본문으로 건너뛰기

방화벽 규칙

개요​

방화벽 규칙은 가상 네트워크 단위로 설정합니다. 각 가상 네트워크의 상세 페이지에서 규칙을 추가·편집·삭제·재정렬하며, 규칙은 위에서 아래 순서로 평가되어 첫 번째로 일치하는 규칙이 적용됩니다. 변경 사항은 최대 1분 이내에 적용됩니다.

기본 동작은 '모두 허용'

아무 규칙도 설정하지 않으면 모든 트래픽이 통과합니다. 따라서 외부 접근을 제한하고 싶다면 명시적으로 허용 규칙을 추가하고, 마지막에 포괄적인 차단(ALL 0.0.0.0/0 → 0.0.0.0/0 DROP) 규칙을 두는 패턴을 사용합니다.

사전 요건
  • 가상 네트워크가 이미 생성되어 있어야 합니다 (가상 네트워크)
  • Resource.VirtualNetwork.UPDATE 권한 (방화벽 규칙은 가상 네트워크의 firewall_rules 필드로 함께 업데이트)

규칙 구성 요소​

요소설명예시
프로토콜통신 프로토콜ALL / TCP / UDP / ICMP
소스트래픽 출발지 IPv4 또는 CIDR192.168.1.0/24, 0.0.0.0/0
대상트래픽 목적지 IPv4 또는 CIDR10.0.0.0/8, 172.16.0.1
포트 / 종료 포트TCP·UDP일 때만 사용. 단일 포트 또는 범위80 또는 1000–2000
액션트래픽 처리 방식ACCEPT (허용) / DROP (차단)
설명규칙 메모 (최대 256자)웹 서버 접근 허용
포트 설정은 TCP/UDP에서만 가능

프로토콜이 ALL 또는 ICMP인 경우 포트 필드는 비활성화됩니다.

규칙 추가​

  1. 네트워크 > 가상 네트워크 목록에서 대상 가상 네트워크를 클릭합니다.
  2. 상세 페이지의 방화벽 규칙 섹션으로 이동합니다.
  3. 규칙 추가 버튼을 클릭합니다 (규칙이 하나도 없으면 첫 번째 규칙 추가 버튼).
  4. 위의 구성 요소를 입력하고 저장합니다.

규칙 수정·삭제​

각 규칙 행 우측의 ⋮ 메뉴에서:

  • 수정: 필드를 변경한 뒤 저장
  • 삭제: 확인 다이얼로그 후 즉시 제거

규칙 순서 변경​

규칙은 위에서 아래로 평가되므로 순서가 매우 중요합니다.

  1. 순서 변경 버튼을 클릭합니다.
  2. 각 규칙 우측에 표시되는 ↑ / ↓ 버튼으로 위치를 조정합니다.
  3. 완료를 클릭해 저장합니다 (변경 취소는 취소).

자주 쓰는 규칙​

용도프로토콜소스대상포트액션
SSH 외부 접속 (제한 권장)TCP<관리자-IP>/32<VM-CIDR>22ACCEPT
HTTP 공개TCP0.0.0.0/0<VM-CIDR>80ACCEPT
HTTPS 공개TCP0.0.0.0/0<VM-CIDR>443ACCEPT
Jupyter NotebookTCP<사무실-IP>/24<VM-CIDR>8888ACCEPT
핑(진단용)ICMP<사무실-IP>/24<VM-CIDR>—ACCEPT
명시적 차단(맨 마지막)ALL0.0.0.0/00.0.0.0/0—DROP
SSH는 소스 IP를 좁혀 두세요

0.0.0.0/0로 22번 포트를 열면 무차별 대입 공격 대상이 됩니다. 본인·사무실 IP 또는 VPN 대역으로 제한하세요.

순서 배치 원칙​

1. 구체적인 허용 규칙 (특정 IP·포트)
2. 일반적인 허용 규칙 (서브넷·표준 서비스 포트)
3. 구체적인 차단 규칙 (특정 위험 IP)
4. 포괄적 차단 규칙 (마지막)

예시 1: 웹 서버(10.0.0.100) 접근 제어

순서프로토콜소스대상포트액션설명
1TCP192.168.1.0/2410.0.0.10022ACCEPT내부망 SSH
2TCP0.0.0.0/010.0.0.10080ACCEPTHTTP 공개
3TCP0.0.0.0/010.0.0.100443ACCEPTHTTPS 공개
4ALL0.0.0.0/010.0.0.100—DROP나머지 차단

예시 2: DB 서버(10.0.0.200) — 웹 서버에서만 접근 허용

순서프로토콜소스대상포트액션설명
1TCP192.168.1.0/2410.0.0.20022ACCEPT관리용 SSH
2TCP10.0.0.10010.0.0.2003306ACCEPT웹서버 → DB 연결
3ALL0.0.0.0/010.0.0.200—DROP나머지 차단

예시 3: 개발 환경 — 개발팀 IP 대역에서만 접근 가능

순서프로토콜소스대상포트액션설명
1TCP203.0.113.0/2410.0.1.0/2422ACCEPT개발팀 SSH
2TCP203.0.113.0/2410.0.1.0/2480-8080ACCEPT개발 웹 서비스
3ALL0.0.0.0/010.0.1.0/24—DROP나머지 차단

자주 묻는 질문​

규칙을 추가했는데 트래픽이 여전히 차단됩니다.

  • 위쪽에 더 광범위한 DROP 규칙이 있는지 확인하세요. 첫 번째로 일치하는 규칙만 적용됩니다.
  • 소스/대상 CIDR과 포트가 정확한지, 호스트 비트가 0인지 확인하세요(예: 192.168.1.100/24 → 192.168.1.0/24).
  • 변경 사항은 최대 1분 이내에 적용되므로 잠시 기다린 뒤 재시도합니다.

모든 트래픽이 차단되어 가상머신에 접근할 수 없어요.

가상 네트워크 페이지에서 임시로 ALL 0.0.0.0/0 → 0.0.0.0/0 ACCEPT 규칙을 맨 위에 추가해 우회 접근한 뒤, 올바른 규칙으로 정리하고 임시 규칙을 제거하세요.

포트 범위가 작동하지 않아요.

  • 프로토콜이 TCP 또는 UDP여야 합니다(ALL/ICMP는 포트 미지원).
  • 시작 포트 ≤ 종료 포트, 1–65535 범위인지 확인합니다.

다음 단계​