로그인 포털과 역방향 프록시를 이용한 나스의 보안 강화

 

이번엔 시놀로지 나스의 로그인 포털 과 역방향 프록시를 이용하여 보안을 강력하게 강화 하는 방법에 대한 이야기를 해볼까 합니다.

 

요즘 많은 사람들이 시놀로지 나스등 으로 구축한 클라우드 서버와 웹서버 등등을 이용하려 데이터를 백업 하고 웹서비스를 이용하는 경우가 많은데요

사용자가 급증하면 이를 해킹하여 악용 하려는 악성 트래커 들과 해킹 프로그램 등이 많아지기 마련이죠.

 

(ex : 시놀로지 나스의 해킹에 이용된 좀비 DSM웹 들)

 

(외부 침입 로그 기록)

 

최근에  dsm 7. 이전의 dsm 6.대의 업그레이드 가 안된 취약한  운영체제를 중심으로 관리가 안된 나스 시스템을 좀비 서버로 이용 하거나 저장된 데이터 들을 불법 탈취 하려는 시도가 부쩍 많아진듯 합니다.

그래서 이번엔 이런  원하지 않는 불청객 들의 원치않던 침입을 차단할수 있는 시놀로지 나스의 로그인 포털을 이용한 여러 방법들을 설명해 볼까 합니다.

 

먼저 이를 이용 하기위해서는 시놀로지의 ddns 서비스를 활성화 하고 시놀로지 에서 지원하는 도메인 서비스를 이용해야 합니다만 여기까지 설명 하는것은 스토리가 너무 길어지니 추후에 글을 따로 작성 하기로 하고 이번엔 ddns 서비스 등을 이미 이용하는 사용자 들을 중점으로 리뷰를 작성하려 합니다.

 

저의 경우는 두개의 도메인이 ddns 서비스에 연결되 있는데요

1.번 시놀로지 나스에서 제공하는 도메인은 로컬내부나 외부 서비스(dsm 과 여러 패키지나 서비스 등을 이용하는 도메인)등 보안이 필요한 서비스에 이용하고 있고.

2.번 Dynu.com 에 DNS 서버를 등록한 DDNS 도메인은 외부에 공개된 개인 블로그나 웹 서비스 등에 이용하고 있습니다.

 

( DDNS 서비스 이용 )

 

이번 리뷰에 이용된 도메인은 시놀로지 나스에서 제공 하고있는 도메인을 이용한 ddns 서비스 도메인이 중점이 되겠네요.

 

시놀로지 나스에서 제공 하는 도메인의 경우는 시놀로지 서비스 에서 제공하는 Let's Encrypt 의 인증서를 사용할수 있으며 이를 이용한 서브도메인의 와일드 카드 를 적용할수 있습니다.

 

(ex : *시놀로지 도메인 인증서 )

 

 

(ex:서비스에 이용된 인증서 구성)

 

*시놀로지 로컬 서비스 에는(빨간 선) 시놀로지 도메인의 와일드 카드 인증서로 

*웹 서비스 등 외부 서비스 에는 (녹색선) 개인 도메인 으로 구성되 있습니다. 

 

즉 예를들어 각각의 서브 도메인 명.시놀로지 제공 도메인 으로 구성된 와일드 카드로 인증서를 구성 할수 있으니 이를 응용하여 각각의 패키지를 서브 도메인+시놀로지 도메인 으로 구성하여 역방향 프록시로 연결할 예정 입니다.

 

STEP1. 로그인 포털을 이용한 DSM 서비스 도메인 지정

 

먼저 가장 기본인 시놀로지 운영 시스템인 dsm 서비스를 로그인 포털을 이용하여 시놀로지 도메인 으로 연결해 보도록 하겠습니다.

 

시놀로지의 dsm 버전 DSM 7.1.1-42962 Update 3 경우는 로그인 포털의 도메인을 이용한 DSM 설정을 기본으로 로그인 포털 에서 지정할수 있으니 만일 DSN 버전이 DSM 7. 이전인 분들은 보안을 위해서 DSM 버전을 업그레이드 해 주시길 바랍니다.

 

(*로그인 포털을 이용하여 시놀로지 DSM 서비스를 지정하자)

 

 

위에 이미지를 참고삼아 제어판 -> 로그인 포털 ->DSM 탭으로 이동하여 간단한 설정 만으로 DSM의 접속을 지정된 도메인 으로 설정 할수가 있습니다.

탭 안의 구성을 보시면 DSN 포트 탭에서 HTTP,HTTPS 포트 설정을 먼저 해주시면 됩니다.

 

이 방법은 결국 포트에서 포트 로의 매칭이 아니라

특정 도메인 에서 -> 로컬의 내부 서비스 포트로 연결 된다는 것입니다. 

지정한 외부 도메인이 호출될 경우 시놀로지 나스의 로컬 서비스인 이 포트로 연결해라 하고 지정해 주는 것이죠.(예 : 5010 / 5011 등등)사용자 들이 DSM 접근 포드를 지정할수 있습니다.

 

그리고 다음에 도메인 설정 에서 사용자가 지정한 설정한 서브 도메인+ 시놀로지 나스 도메인 을 지정해 주면 되겠죠?(예 : dsm.serves.synology.me 등등 )

 

이렇게 도메인과 DSM에 사용될 포트를 지정하여 연결해 놓으면 외부에선 지정한 도메인 이 아니면 서비스에 연결이 거부됩니다.(내부 로컬 아이피는 o 외부 접속 불가 X)

 

즉 외부에서 지정한 도메인 으로 요청된 신호를 시놀로지 시스템이 내부 로컬의 포트와 연결된 서비스로 연결하여 주는 것이니 외부의 기본 웹 포트인 80 /443 포트만 열려 있으면 로컬의 서비스 포트로(예 :5001 등등) 시스템을 연결하여 주는것 입니다.

 

이렇게 설정을 하는 주요 논점은 주로 외부에서 침입하는 불청객은 서비스 포트 차원에서 지정된 도메인 으로만 연결되게 해 줌으로 원천적 으로 연결을 거부하는 것이 설정의 중요 포인트 입니다.

 

STEP2. 응용 프로그램(패키지) 들의 도메인 지정

 

이렇게 가장 기본적인 DSM 시스템 방어를 먼저 해주시고 다음엔 로그인 포털로 넘어 가서 각각의 패키지 들을 또한 비슷한 방법으로 설정해 주시면 됩니다.

 

(로그인 포털에 이용중인 패키지들)

 

(ex:포토스테이션 패키지의 설정 예)

 

 

 

 

위에 예를 들어 설정한 포토스테이션 의 패키지의 내용처럼 지정했던 시놀로지 도메인에 앞자리 서브명엔 별칭인 photo 가 들어가며 HTTPS 프로토콜 기준으로 5443 이라는 로컬 포트가 지정 된것을 확인할수 있겠죠?

 

즉 예 :소스인  photo.시놀로지 도메인으로 서비스 요청이 들어오면 대상 포트인 5443 로컬 포트로 연결하여 포토스테이션 이란 패키지 프로그램을 연결 시켜라 이런 설정과 요청인 것이죠

 

(*포토 스테이션 연결된 브라우저 창의 모습)

 

 

*참고 : 연결은 pc브라우저나 스마트 폰 등의 앱에서 연결 가능 합니다.

다만 설정에 따라 스마트 폰이나 태블릿의 경우 도메인:80 / 443 의 경우 처럼 기본 웹 포트로 지정해 주어야 스마트 폰 앱 에서 연결해야 연결이 가능한 경우가 있으니 참고 하시기 바랍니다.

이런 식으로 응용하여 시놀로지의 사용 하시는 기본 패키지 들을 웹과 스마트 폰 등의 다양한 디바이스 들에서 프로그램을 자신만 아는 설정된 도메인 으로만 접근할수 있도록 하여서 좀더 보안에 특화된 방법으로 안전하게 사용할수가 있습니다.

 

그 외의 시놀로지 기본 패키지로 등록이 안된 서비스 들도 이용할수가 있는데 이때 역방향 프록시를 사용 하시면 됩니다.

 

STEP3. 그외 서비스 이용방법

 

이제 패키지로 등록이 안된 서비스 들을 이용하는 방법 입니다

이 설정도 로그인포털 에서 이용할수가 있는데요

 

로그인 포털에서 고급 -> 역방향 프록시 로 들어 갑니다.

 

 

현재 연결된 설정 들을 볼수가 있는데요.

제가 설정한 서비스중 파일 관리를 위한 “WEBDAV “서비스를 예로 들어 보겠습니다.

 

이미지 에서도 직관적으로 보여 지지만 webdav 의 기본 포트인 5015  / 5016 포트가 웹 리소스 포트인 80 / 443 등에서 연결되어 대상포트로 넘어 가는데요

 

즉 외부 도메인 에서 포트를 지정해 주지 않고 도메인 네임 만으로 (예 : webdav.도메인 네임) 으로 서비스 요청이 들어오면 이를 로컬 서비스인 localhost:5015 / 5016 으로 넘겨주어 webdav 서비스를 이용하는 것이 설정의 요점 입니다.

 

결국 webdav 서비스를 외부에서 이용할때 지정된 도메인 으로 들어오는 요청만 내부 로컬의 webdav 서비스로 연결이 허락되어 보다 안전하게 서비스를 이용할수 있는거죠

 

물론 내부망 에서는 로컬 아이피 : 5015 이런 식으로 연결이 가능하며 이외의 외부에 대한 로컬 서비스 로의 접근을 지정한 도메인 접근만 허용하며 근본적으로 막는것이 역방향 프록시의 설정 목표가 되는것 입니다.

 

(*역방향 프록시 설정 예)

 

이런 식으로 이용하면 외부 에서는 서비스에 대한 도메인 을 입력하고 사용자 암호/페스워드 등을 이용하여 접근할수있게 되겠죠.

 

그래서 저같은 경우는 보안이 필요한 패키지나 서비스 들은 유출되지 않는 시놀로지 도메인을 이용하며 그외에 개방이 필요한 서비스 들에게는 외부 공개용 개인 도메인을 이용하여 시놀로지의 보안에 이용하고 있습니다.

 

이제 역방향 프록시로 지정된 도메인이 아닌 외부 아이피 만으로 접근한 서비스 창을 살펴보죠.

 

 

위의 이미지 처럼 지정되지 않은 접근시 위에 보이는 경고 페이지로 연결 되거나 서비스에 연결되지 않는 인터넷 에러가 발생 하도록 설정되어 있습니다.

 

그리고 nslookup 을 이용하여 외부 아이피로 도메인을 읽어 보았습니다만 외부 DNS 서버를 이용한 외부 도메인 외에 패키지 들에 이용한 시놀로지 도메인은 확인이 안되더군요. 즉 개인이 유출하지 않는 이상 외부에서 시놀로지 패키지 보안에 이용한 서비스는 알수가 없다는 것이 되겠죠?

 

 

이처럼 로그인 포털과 역방향 프록시를 이용하여 설정하면 다양한 서비스 들과 패키지 들을 좀더 안전하게 외부에서 이용할수 있습니다.

 

물론 완전히 개방한 서비스 에 비하여 도메인 유출을 항상 조심해야 하며 설정 하는등의 불편함은 있지만 왜 그런 말이 있죠 불편한 만큼 보안은 안전해 진다는….

 

저 같은 경우는 이렇게 시놀로지 도메인 서비스를 이용한 역방향 프록시 설정 후 시간당 수십건씩 침입하던 외부 불청객 들이 로그기록 에서 사라지게 되었네요.

 

그리고 역방향 프록시 설정이 유용한 이유중 하나가 공유기 단의 포트포워딩 등을 복잡하게 구성할 필요가 없어집니다

즉 공유기 단에서 기본 웹 포트인 80 / 443 포트만 열어주고 나스에서 역방향 도메인 설정을 해주면 공유기의 80 /443 포트로 들어오는 서비스 요청을 나스의 역방향 시스템이 알아서 각각의 로컬 서비스로 연결해 주기 때문에 거의 대부분의 서비스를 외부포트 80 /443 포트 만으로도 연결이 가능하기 때문이죠.

 

요즘 나스등 개인 서버들이 많아지면서 이를 해킹 하여 개인 데이터를 탈취 를 시도하고 심지어 개인 서버들을 좀비화 하여 다른 데이터 서버들을 감염 시키는 해킹 시도들이 많아지고 있는 추세입니다.

 

조금 더 안전하게 개인 서버를 운영하기 위한 최소한의 방법으로 역방향 프록시 설정에 대한 설명을 이번 글에 리뷰하게 되었습니다.

 

보안에 100% 완벽한 설정은 있을수 없지만 최소한의 노력으로 자기방어는 해봐야 하지 않을까요?

 

*참조 자료로 pdf 파일로 만든 본문의 내용을 상단 자료 링크에 첨부 하였습니다.

요즘 피싱으로 인한 피해가 극성 입니다.

저도 피싱 페이팔 사이트의 수상한 메일을 받았는데요

메일 내용 일부( 번역 했습니다)

 

발신: "PayPal 지원"<tukang_becak39@kerak-bumi.my.id> 수신
: <XXXXXX @naver.com>;
Cc:
Sent: 2022-12-23 (금) 00:14:15 (GMT+09:00)
Subject: PayPal - Limited - Action - Required -Reference - KR-PP-L-35893034660901

고객님들께 XXXXXX@naver.com님,
PayPal 계정에서 의심스러운 활동이 감지되었습니다. 계정을 보호하고 무단 액세스를 방지하기 위해 계정 정보 확인을 요청하고 있습니다.

 

무슨 일이야?

귀하의 PayPal 계정에서 비정상적인 활동이 감지되었습니다. 세부정보:

국가 : 인도
기기 : 사파리/아이폰 12 프로 맥스
일시 : 2022년 12월 22일 오후 3시 14분 11초
내가 무엇을해야 하나?

PayPal 계정에 로그인하고 계정을 확인하십시오.

 

저 같은 경우도 예전 피싱 네이버 웹에 로그인 할뻔한 경험 등이 있어 조심성이 많은 편인데 무심코 계정에 이상 활동이 있다는 페이팔 메일을 받은 후 무심코 사이트에 접속 했고 비번을 입력 후 개인 정보(주소 정보 등) 을 입력 후 다음 카드 정보 요구 에서 뭔가 이상함을 느꼈습니다.

 

계정 이상 로그인 시도가 있었다고 하더라도 카드 정보 등까지 입력을 요구하는 경우는 그리 흔치 않고 또한 생각 해보니 제가 사용한 비번은 지금은 사용하지 않는 비번 ... 즉 전혀 상관 없는 지난 비번으로 연결됐다는 점등.. 수상한 징후들... 연결된 자칭 페이팔 보안 페이지를 유심히 살펴봤습니다.

일단 연결된 페이지 않의 다른 링크를 추적해 보니 전혀 연결이 안됩니다. 즉 개인정보 요구 링크 외에 페이팔 대시보드 등에 전혀 연결이 안되는 허위 링크로 만들어진 가짜 사이트 입니다.

 

연결된 url 창의 주소를 추적해 보니 페이 팔관 전혀 상관없는 사이트로 연결 되더군요...

그리고 정상 페이팔 사이트와 다른 스펠링....

정상 페이팔 사이트의 링크 www.paypal.com

피싱 사이트 링크 sub-payypall-com.tutur-batin.my.id

피싱사이트 링크의 페이팔 도메인 스펠링이 paypal 이 아닌 payypall... 아무리 서브 사이트 라도 이렇게 터무니 없는 스펠링 조합은 있을 수 없습니다...

다시 로그인 창으로 돌아와 피싱 사이트의 로그인 화면에서 무작위 비번을 넣어보니 그냥 로그인 됩니다;;;

즉 사용자가 무심코 이 사이트에 접속 됬다면 비번은 아무거나 넣어도 개인정보 요구니 창으로 넘어가는 것이며 이 피싱 사이트는 오직 개인 정보와 카드 정보를 갈취하기 위한 악의적 피싱 사이트 입니다.

페이팔에 정상적 으로 로그인 한후 이 사이트에서 받은 메일을 페이팔 에서 보낸 메일인가 문의 메일을 넣어보니 페이팔 에서 보낸 정상 메일이 아님이 밝혀졌습니다.

 

정상 페이팔 사이트 접속 페이지 입니다 

 

저 같은 경우는 처음에 전화정보와 주소 정보를 입력하고 카드 정보 입력 란에서 뭔가 수상함을 느낀 후 중단 했지만 자칫 카드 정보 등을 입력 했다면 바로 연결된 계좌 등이 위험해 지겠죠.

이후 계정 정보를 수정하고 마무리 했습니다.

제가 경험한 건 페이팔을 사칭한 피싱 사이트 였지만 다른 피싱 사이트 등도 이런 정도의 피싱 사이트 들이 많을 것으로 생각 되는군요 

피싱 피해를 예방 하기위새서 보다 많은 사용자의 주의가 필요하다고 생각 되네요

 

시놀로지 나스의 전원 불량 수리

 

시놀로지 나스의 1515+ 및 동일 cpu인 인텔 아톰 C2538 칩셋의 나스 이용자들 을 위한 유익한 정보 공유 입니다

 

제가 몇년쩨 사용하는 나스는 1515+ 시놀로지 제품 으로서 실 사용 체감 으로는 아직 부족함이 느껴지진 않는 시스템 입니다 만 

이 라인의 제품들이 이후 인텔 cpu 이슈로 전 세계의 많은 이용자 들의 원성의 대상이 되기도 했던 비운의 모델 라인들 입니다 당시 동일 cpu모델들인 15+ 라인들이 모두 이 이슈에서 자유롭지 못하죠;;;;.

 

아래는 저항에 관련된 이미지 인데 저의 경우는 저항이 아니고 트렌지스터 고장이 원인 이기 때문에 저항에 관한 글은 생략 합니다.

 

*인텔 아톰 C2538 칩셋 cpu 이슈로 저항을 추가 한 부분 

 

 

데이터의 보관과 안정성을 우선으로 사용하는 나스 라는 시스템에서 사용하던 시스템이 어느 날 갑자기 전원이 안들어오고 부팅이 안된다....

정말 상상하기 싫은 끔찍한 시간이 도래 하는것이죠.

 

전 가장 이슈가 되었던 저항 문제는 해결된 업그레이드 기판으로 서비스를 받은 상태라 안심하고 사용 하였지만. 업그레이드 이후 어느 날 갑자기 찾아온 전원 인가 불가.....

 

이리저리 검색을 하여 결국 이 문제가 트렌지스터 문제 라는것과 해결 방법을 알아냈지만 정말 손톱보다 더 작은 부품을 택배로 받아 본 순간 맨붕이 옵니다.

이 트렌지스터를 시놀로지 1515+ 에 납땜하여 이식 하는것은 신의 손이 아닌 나에게는 불가능한 작업 이라는 빠른 판단이 온거죠.

 

*문제가된 시놀로지 1515의 트렌지스터

 

*트렌지스터 이상 유무 테스트 방법 

표시된 두곳에 한가닥 전선을 연결하여 전원이 들어오면 트렌지스터 고장입니다.

파워나 메인보드 다른곳에 이상이 있으경우는 두곳을 연결 한다고 해도 전원이 들어오지 않습니다.

두곳 체결하여 전원 들어오면 트렌지스터 고장 99.9999% 입니다 

 

 

트렌지스터 문제를 해결한 블로그 글 링크 참조 : 

https://nasmanual.co.kr/%EB%82%98%EC%8A%A4-%EC%88%98%EB%A6%AC-%EC%82%AC%EB%A1%80/%EC%8B%9C%EB%86%80%EB%A1%9C%EC%A7%80-ds1515-%EC%A0%84%EC%9B%90%EC%9D%B4-%EC%BC%9C%EC%A7%80%EC%A7%80-%EC%95%8A%EC%95%84%EC%9A%94/

 

예전에는 트렌지스 라디오 등 기판을 수리할수 있는 기술자 분들이 운영하는 전파사 등이 줄비 했으나 어느 순간부터 주위에 이런 기술자 분들이 운영하는 가전 수리점 들이 하나 둘 사라져 가기 시작했고 이젠 왠만한 수리는 그냥 기판 교체 라는 모둘형 수리 방식으로 바뀐 후 이런 메인 보드나 기판 들을 자가 수리 하시는 분들의 유투브 영상이나 블로그 글들을 바라보며 그저 감탄할뿐 현실이 될수없는 신의 손들;;;;

 

결국 내가 작업 할수없다는 판단으로 대신 납땜을 수고해 주실 신의 손을 구글 신의 도움을 받아 검색하기 시작했고 처음 연락 한곳은 사설 나스 전문 수리점 이라는 블로그 글을 보고 연락을 시도 했습니다.

 

전화 상담에서 제가 트렌지스터 교체 라는 요지를 밝혔고 수리비를 문의 하였지만 

돌아오 답변은 다소... 아니 많이 이해가 힘든 금액을 제시 하는 자칭 전문 수리점 이라는 곳 (위치는 서울 도봉 부근...시비 걸리기 싫어 여기 까지만) .....

 

40만원....

1515 현 중고 시세보다 더 비싼 수리비용

 

처음엔 정말 오타인가 싶어 다시 문의

"메인보드 기판 전체 통갈이 인가요????
아뇨 해당 트랜지스터 만 교환 합니다..."

 

 

이해가 힘들더군요 상식 적으로 트렌지스터 부품( 부품값 개당 50x 10 = 500원 에 배송 비 +3000원 인데) 기술 비 가 40만원...

 

아무리 기술비 라지만 제 상식 으로는 납득이 안되서 더 이상 말 안섞고 상담을 종료 하였고.(웬민하면 사설수리점 이라 인터넷에 선전중인 곳은 이용 하시지 않는게;;;;)

 

이후 힘들어도 자가 수리할 요량으로 납땜 수리 방법을 검색하다 알게된 유투브 영상을 보고 이 분의 블로그를 방문하여 정말 납땜 신의 도움을 받게 됩니다.

트렌지스터 부품 주문 링크 :https://www.eleparts.co.kr/goods/view?no=23326

납땜 문의 블로그 링크 : https://m.blog.naver.com/PostList.naver?blogId=volvo1269

 

구로단지 에서 사무실을 운영하며 여가 활동 삼아 납땜을 문의 받는 이 분 
얼른 기판을 들고 찾아가서 작업을 맡기고 지켜 보았는데 너무 나 자연스럽고 손쉽게 금방 납땜을 하시더군요 

*총 비용 부품비 : 배송비 포함 3000원 선 납땜비 1~2 만원선 (너무나 저렴 합니다;;;)

 

 

결국 제가 올리는 글의 요점은 저와 비슷하게 AS가 지난 시놀로지 나스 라던가 혹은 다른 메인보드 기판에 원인은 파악했으나 납땜등의 작업에 인두 작업등 에 자신이 없으신 분들은 이곳에 방문 하시어 수리를 요청하시면 되겠다 싶네요.

그리고 공구를 다 갗추고 계시고 납땜에 자신이 잇으신 분들은 아래 영상을 참고로 납땜 작업을 하시면 됩니다.

 

*혹 자가수리 하실 분들도 이분 블로그와 유투브 영상을 보시면 납땜 요령이나 방법등도 영상으로 나와있으니 참고하시면 괜찮을듯..

 

트렌지스터 납땜 요령 : https://m.blog.naver.com/PostView.naver?blogId=volvo1269&logNo=222322460427&navType=by

 

*사장님 영상중 시놀로지 나스의 전원관련 수리 영상이 업로드 되어 있기에 새로 추가했습니다. 

 

 

*영상관련 더 많은 자료는 위에 자료에 본문 유투브 링크를 올렸으니 해당 유투브 링크를 참조하시기 바랍니다

 

 

전 시놀로지 나스 1515 모델의 트렌지스터 고장으로 기판에서 교체 -> 납땜 작업을 해주어야 하지만 이 작업을 제가 할수가 없는 정밀한 납땜 작업 이라 이 분께 납땜 수리를 의례 하였고 만족한 결과물을 얻을수 있었습니다.

 

물론 신의 손이신 분들은 직접 자가 수리 하시면 되지만 회로기판의 경우 인두질이 서툰 저같은 사람이 작업 하다보면 기판에 과한열을 가하게 되면 아예 메인보드 기판을 통갈이 해야하는 불상사가 발생하니 이 분처럼 전문 납땜 작업을 해주시는 분이 더없이 고마운 이유가 될것입니다.

 

이렇게 전원 고장인 1515 에게 너무나 저렴한 비용으로 생명 연장을 시켜주고 집으로 돌아와 분해후 청소를 하고 메인 보드의 수은전지 (CR1220 : 다이소 표 가격 1000원)교체해 주고 잘 사용하고 있습니다.