Lesson 14 of 20

터널 — 포트를 하나도 열지 않고 밖에 내놓는다

cloudflared 는 서버가 밖으로 거는 전화다

13강의 문제는 밖에서 안으로 들어오는 게 막힌다는 것이었습니다. 그런데 안에서 밖으로 나가는 건 잘 되죠. 웹 서핑이 되니까요.

터널은 그 성질을 뒤집어 씁니다. 서버가 먼저 클라우드플레어로 전화를 걸어 두고, 그 선을 끊지 않습니다. 손님이 오면 클라우드플레어가 그 선을 타고 요청을 내려보내요.

High school서버가 밖으로 거는 전화

13강의 문제는 밖에서 안으로 들어오는 게 막힌다는 것이었습니다. 그럼 안에서 밖으로 걸면 됩니다.

방향	막히나
밖 → 안	막힘 (NAT·방화벽)
안 → 밖	안 막힘 — 웹서핑이 되니까

cloudflared는 서버가 밖으로 거는 전화입니다 — 그 통화를 계속 유지해요.

High school터널이 작동하는 방식

단계	내용
1	서버에서 cloudflared 실행
2	클라우드플레어로 연결을 만듦 (밖으로)
3	그 연결을 유지
4	방문자가 오면 클라우드플레어가 그 통로로 전달
5	서버가 응답을 같은 통로로

포트를 하나도 안 엽니다 — 방화벽 설정이 필요 없어요.

포트포워딩과 무엇이 다른가

포트포워딩

밖 → 안. 포트를 연다.
공인 IP 가 필요합니다. CGNAT 이면 불가능.
IP 가 노출되고, 봇이 곧바로 두드립니다.

cloudflared 터널

안 → 밖. 포트를 하나도 안 엽니다.
공인 IP 가 필요 없습니다. CGNAT 이어도 됩니다.
IP 가 노출되지 않습니다.

세우는 순서

$ cloudflared tunnel login              # 브라우저가 열려 도메인을 고른다
$ cloudflared tunnel create mytunnel    # UUID 와 자격증명 json 이 생긴다
$ cloudflared tunnel route dns mytunnel app.example.com
                                        # CNAME 레코드가 자동으로 만들어진다
$ sudo cloudflared service install       # systemd 로 등록해 늘 살아 있게 한다

High school터널의 이점

이점	내용
포트 미개방	공격 표면이 거의 0
CGNAT 무관	13강의 문제가 사라짐
공인 IP 불필요	—
IP가 바뀌어도 됨	터널이 다시 연결
SSH도 가능	HTTP가 아니어도

9강에서 "SSH는 회색 구름으로"라고 했지만, 사실 이쪽이 훨씬 낫습니다.

설정 파일 — 어느 이름을 어느 앱에

tunnel: <UUID>
credentials-file: /etc/cloudflared/<UUID>.json
no-autoupdate: true

ingress:
  - hostname: app.example.com
    service: http://localhost:3019
  - hostname: lab.example.com
    service: http://192.168.219.48:8765
    originRequest:
      noTLSVerify: true
      connectTimeout: 30s
  - service: http_status:404          # 맨 끝에 반드시 하나

ingress 는 위에서부터 차례로 봅니다. 먼저 맞는 줄이 이깁니다. 맨 마지막 줄에는 hostname 없는 기본값이 반드시 있어야 하고요 — 없으면 시작하지 않습니다.

순서를 바꿔 보세요 — 와일드카드를 위로 올리면 app 이 가려집니다.

Python Runs in your browser

# ingress 규칙을 위에서부터 맞춰 본다
ingress = [
    {"hostname": "app.example.com", "service": "http://localhost:3019"},
    {"hostname": "*.example.com",   "service": "http://localhost:8080"},
    {"service": "http_status:404"},
]

def 고르기(찾아온):
    for i, 줄 in enumerate(ingress):
        h = 줄.get("hostname")
        if h is None:
            return i, 줄["service"], "기본값"
        if h == 찾아온:
            return i, 줄["service"], "정확히 일치"
        if h.startswith("*.") and 찾아온.endswith(h[1:]):
            return i, 줄["service"], "와일드카드"

for 이름 in ["app.example.com", "lab.example.com", "other.org"]:
    i, s, 왜 = 고르기(이름)
    print(f"{이름:20} → {s:26} ({i}번 줄, {왜})")

High school터널의 대가

대가	내용
클라우드플레어 의존	그곳이 멈추면 접속 불가
지연이 조금 늘 수 있음	경로가 길어짐
데몬을 유지해야	죽으면 접속 불가
설정 학습	—

첫 줄이 근본적입니다 — 편의를 얻는 대신 한 회사에 의존하게 됩니다.

🤔 Check yourself

cloudflared 터널이 NAT 을 통과하는 원리는?

🤔 Check yourself

ingress 목록의 맨 마지막 줄에 반드시 있어야 하는 것은?

Answer 어느 규칙에도 안 맞는 요청을 받을 곳이 필요합니다. 보통 service: http_status:404 를 둡니다. 없으면 cloudflared 가 아예 뜨지 않습니다.