비공개 서비스 액세스를 사용하여 Looker(Google Cloud 핵심 서비스) 인스턴스에 액세스: 다른 리전에서 발생한 트래픽

NGINX

다음 예시에서는 NGINX 출시 버전 1.22.1과 Red Hat Enterprise Linux 출시 버전 8.9(Ootpa)를 사용합니다. VM에서 사용 중인 NGNIX 및 Red Hat 버전을 확인하려면 각 VM에서 다음 명령어를 실행합니다.

1. 먼저 VM에 연결합니다.

2. 다음 명령어를 사용하여 NGINX를 설치합니다.

   sudo yum install nginx -y
   

3. VM이 실행 중인 NGINX 버전을 확인하려면 다음 명령어를 실행합니다.

   sudo nginx -v
   

   그러면 다음과 비슷한 결과가 반환됩니다.

   nginx version: nginx/1.22.1

4. VM이 실행 중인 NGINX 출시 버전을 확인하려면 다음을 실행합니다.

   sudo rpm -qi nginx | grep Release
   

   그러면 다음과 비슷한 결과가 반환됩니다.

   Release : 1.module+el8.8.0+20355+6d9c8a63.1

5. VM이 사용 중인 Red Hat 버전을 확인하려면 다음 명령어를 실행합니다.

   sudo cat /etc/redhat-release
   

각 프록시 서버를 설정하려면 생성된 두 VM 각각에 대해 다음 안내를 따르세요.

1. VM에 연결

2. 다음 구성을 포함하도록 /etc/nginx/nginx.conf 파일을 수정합니다.

   events {
     worker_connections 1024;
   }
   
   http {
     log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                       '$status $body_bytes_sent "$http_referer" '
                       '"$http_user_agent" "$http_x_forwarded_for"';
   
     log_format debug  '$http_x_forwarded_for - $remote_user [$time_local] '
                       '"$request_method $scheme://$host$request_uri $server_protocol" '
                       '$status $body_bytes_sent "$http_referer" '
                       '"$http_user_agent" $request_time';
   
     access_log  /var/log/nginx/access.log  debug;
   
     sendfile            on;
     tcp_nopush          on;
     keepalive_timeout   65;
       types_hash_max_size 4096;
   
       include             /etc/nginx/mime.types;
       default_type        application/octet-stream;
   
   server {
     listen 443 ssl;
     # listen [::]:443 ssl;
     include snippets/self-signed.conf;
     # include snippets/ssl-params.conf;
     server_name CUSTOM_DOMAIN;
     location / {
       proxy_pass https://INGRESS_PRIVATE_IP/$request_uri;
       proxy_set_header Host $server_name;
       proxy_http_version 1.1;
     }
   }
   server {
     listen 80;
     # listen [::]:80;
     server_name CUSTOM_DOMAIN;
     return 302 https://$server_name$request_uri;
     }
   }
   

   다음을 바꿉니다.

   • CUSTOM_DOMAIN: Looker(Google Cloud 핵심 서비스) 인스턴스의 커스텀 도메인입니다.
   • INGRESS_PRIVATE_IP: Looker(Google Cloud 핵심 서비스) 인스턴스의 인그레스 비공개 IP입니다.

   또한 다음 사항도 고려하세요.

   • 이는 IPv4 전용 구성입니다. 프록시가 비공개 IPv6 주소도 수신 대기해야 하는 경우 파일에서 listen [::]:443 ssl 줄의 주석 처리를 삭제합니다.
   • 액세스 로그 수준은 debug로 설정됩니다. 특정 환경에서 사용되는 수준에 맞게 조정해야 합니다.
   • 이 단계의 후반부에서 언급되는 ssl-params.conf 파일을 구현하는 경우 include snippets/ssl-params.conf의 주석 처리를 삭제합니다.

3. Looker(Google Cloud 핵심 서비스) 커스텀 도메인 URL을 참조하는 유효한 TLS 인증서를 만듭니다. 이 인증서는 프록시가 Looker(Google Cloud 핵심 서비스)에 액세스를 시도하는 클라이언트에 제공하는 인증서입니다. 인증서에 서명하는 데 사용되는 인증 기관(CA)은 클라이언트가 신뢰하는 인증 기관이어야 합니다. 내부 비공개 CA를 사용하여 이 TLS 인증서에 서명할 수도 있습니다. (또는 자체 관리형 SSL 인증서를 사용할 수도 있습니다.)

   이 예에서는 Certbot을 통한 자동 갱신을 설정하지 않고 Let's Encrypt 무료 서비스를 사용하여 인증서를 이미 생성했다고 가정합니다. 인증서가 생성되면 각 프록시 VM의 certs 및 private 디렉터리에 관련 파일을 저장합니다.

   /etc/pki/tls/certs/custom-domain.custom-domain.com.fullchain.pem;
   /etc/pki/tls/private/custom-domain.custom-domain.com.key.pem;
   

   custom-domain.custom-domain.com을 커스텀 도메인으로 바꿉니다.

   설치에 certs 및 private 디렉터리가 없으면 이러한 디렉터리를 만들거나 다른 폴더를 사용할 수 있습니다.

4. NGINX가 인증서 파일을 선택하도록 하려면 /etc/nginx/snippets 디렉터리를 만듭니다.

   sudo mkdir /etc/nginx/snippets
   

5. 구성 파일(/etc/nginx/snippets/self-signed.conf)을 만듭니다.

   sudo touch /etc/nginx/snippets/self-signed.conf
   

   구성 파일을 수정하여 저장한 인증서 파일의 경로를 추가합니다.

   ssl_certificate /etc/pki/tls/certs/custom-domain.custom-domain.com.fullchain.pem;
   ssl_certificate_key /etc/pki/tls/private/custom-domain.custom-domain.com.key.pem;
   

   custom-domain.custom-domain.com을 커스텀 도메인으로 바꿉니다.

6. 구성 파일에 이전 단계에서 언급된 파일에 대한 참조가 포함되어 있는지 확인하려면 다음 명령어를 실행합니다.

   sudo more /etc/nginx/snippets/self-signed.conf
   

   그러면 추가한 파일 경로가 반환됩니다.

7. 필요한 경우 향후 NGINX 구성에서 재사용할 수 있는 매개변수를 저장하는 데 사용할 수 있는 ssl-params.conf NGINX 파일을 만듭니다.

   참고로 파일의 콘텐츠는 다음과 유사합니다.

   ssl_protocols TLSv1.3;
   ssl_prefer_server_ciphers on;
   ssl_dhparam /etc/nginx/dhparam.pem;
   ssl_ciphers EECDH+AESGCM:EDH+AESGCM;
   ssl_ecdh_curve secp384r1;
   ssl_session_timeout  10m;
   ssl_session_cache shared:SSL:10m;
   ssl_session_tickets off;
   ssl_stapling on;
   ssl_stapling_verify on;
   resolver 127.0.0.53 valid=300s;
   resolver_timeout 5s;
   # Disable strict transport security for now. You can uncomment the following
   # line if you understand the implications.
   #add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";
   add_header X-Frame-Options DENY;
   add_header X-Content-Type-Options nosniff;
   add_header X-XSS-Protection "1; mode=block";
   

8. NGINX에서 Looker(Google Cloud 핵심 서비스) 인그레스 IP로 트래픽을 전달할 수 있도록 SELinux를 구성하려면 httpd_can_network_connect SELinux 불리언 매개변수를 1로 설정합니다.

   sudo setsebool -P httpd_can_network_connect 1
   

9. 이제 다음 명령어를 사용하여 NGINX 프로세스를 다시 시작할 수 있습니다.

   sudo systemctl restart nginx
   

10. 다음 명령어를 사용하여 NGINX가 올바르게 다시 시작되었는지 확인합니다.

    sudo systemctl status nginx
    

    다음과 비슷한 출력이 반환됩니다.

    nginx.service - The nginx HTTP and reverse proxy server
      Loaded: loaded (/usr/lib/systemd/system/nginx.service; disabled; vendor preset: disabled)
      Active: active (running) since Tue 2024-05-14 11:58:00 UTC; 9min ago
      Process: 144044 ExecStart=/usr/sbin/nginx (code=exited, status=0/SUCCESS)
      Process: 144042 ExecStartPre=/usr/sbin/nginx -t (code=exited, status=0/SUCCESS)
      Process: 144039 ExecStartPre=/usr/bin/rm -f /run/nginx.pid (code=exited, status=0/SUCCESS)
    Main PID: 144045 (nginx)
        Tasks: 2 (limit: 11040)
      Memory: 2.6M
      CGroup: /system.slice/nginx.service
              ├─144045 nginx: master process /usr/sbin/nginx
              └─144046 nginx: worker process
    May 14 11:58:00 proxy-three-eu-w4 systemd[1]: nginx.service: Succeeded.
    May 14 11:58:00 proxy-three-eu-w4 systemd[1]: Stopped The nginx HTTP and reverse proxy server.
    May 14 11:58:00 proxy-three-eu-w4 systemd[1]: Starting The nginx HTTP and reverse proxy server...
    May 14 11:58:00 proxy-three-eu-w4 nginx[144042]: nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
    May 14 11:58:00 proxy-three-eu-w4 nginx[144042]: nginx: configuration file /etc/nginx/nginx.conf test is successful
    May 14 11:58:00 proxy-three-eu-w4 systemd[1]: Started The nginx HTTP and reverse proxy server.
    

Apache

각 VM에 대해 다음 단계를 완료합니다.

1. 먼저 VM에 연결합니다.

2. Apache를 설치합니다.

   sudo yum install httpd -y
   

3. 다음 예시에서는 Red Hat Enterprise Linux 출시 버전 7.9를 사용합니다. VM이 사용 중인 Red Hat 버전을 확인하려면 다음 명령어를 실행합니다.

   cat /etc/redhat-release
   

   그러면 다음이 반환됩니다.

   Red Hat Enterprise Linux Server release 7.9 (Maipo)

4. 다음 예시에서는 Apache 출시 버전 2.4.6을 사용합니다. VM이 사용 중인 Apache 버전을 확인하려면 각 VM에서 다음 명령어를 실행합니다.

   sudo httpd -version
   

   그러면 다음이 반환됩니다.

   Server version: Apache/2.4.6 (Red Hat Enterprise Linux)
   Server built:   date
   

5. Apache 서버에 대한 자세한 내용을 보려면 다음 명령어를 실행하세요.

   sudo rpm -qi httpd
   

   그러면 다음과 비슷한 출력이 반환됩니다.

   Name        : httpd
   Version     : 2.4.6
   Release     : 99.el7_9.1
   Architecture: x86_64
   Install Date: Tue May  7 15:48:59 2024
   Group       : System Environment/Daemons
   Size        : 3899819
   License     : ASL 2.0
   Signature   : RSA/SHA256, Fri Apr 28 17:09:45 2023, Key ID 199e2f91fd431d51
   Source RPM  : httpd-2.4.6-99.el7_9.1.src.rpm
   Build Date  : Fri Apr 28 16:56:11 2023
   Build Host  : x86-vm-40.build.eng.bos.redhat.com
   Relocations : (not relocatable)
   Packager    : Red Hat, Inc. 
   Vendor      : Red Hat, Inc.
   URL         : http://httpd.apache.org/
   Summary     : Apache HTTP Server
   Description :
   The Apache HTTP Server is a powerful, efficient, and extensible
   web server.
   

6. 프록시 VM에 구성 파일(/etc/httpd/conf.d/ssl.conf)을 만들고 다음 구성을 파일에 추가합니다.

   ServerName custom domain of Looker (Google Cloud core)
   #   SSL Engine Switch:
   #   Enable/Disable SSL for this virtual host.
   SSLEngine on
   #   SSL Protocol support:
   # List the enable protocol levels with which clients will be able to
   # connect.  Disable SSLv2 access by default:
   SSLProtocol all -SSLv2 -SSLv3
   #   SSL Cipher Suite:
   #   List the ciphers that the client is permitted to negotiate.
   #   See the mod_ssl documentation for a complete list.
   SSLCipherSuite HIGH:3DES:!aNULL:!MD5:!SEED:!IDEA
   #   Server Certificate:
   # Point SSLCertificateFile at a PEM encoded certificate.  If
   # the certificate is encrypted, then you will be prompted for a
   # pass phrase.  Note that a kill -HUP will prompt again.  A new
   # certificate can be generated using the genkey(1) command.
   # SSLCertificateFile /etc/pki/tls/certs/localhost.crt
   SSLCertificateFile "/etc/pki/tls/certs/custom domain of Looker (Google Cloud core).crt"
   #   Server Private Key:
   #   If the key is not combined with the certificate, use this
   #   directive to point at the key file.  Keep in mind that if
   #   you've both a RSA and a DSA private key you can configure
   #   both in parallel (to also allow the use of DSA ciphers, etc.)
   # SSLCertificateKeyFile /etc/pki/tls/private/localhost.key
   SSLCertificateKeyFile "/etc/pki/tls/private/custom domain of Looker (Google Cloud core).key"
   SSLProxyEngine On
   SSLProxyCheckPeerCN off
   SSLProxyCheckPeerName off
   ProxyPreserveHost On
   RewriteEngine On
   AllowEncodedSlashes NoDecode
   ProxyPass / https://private IP of Looker (Google Cloud core)>:443/
   RewriteCond %{REQUEST_URI} ^/render/
   RewriteRule ^(.*)$ https://private IP of Looker (Google Cloud core)>:443/$1 [P]
   RewriteRule ^(.*)$ https://private IP of Looker (Google Cloud core)>:443/$1 [P,NE]
   ProxyPassReverse / https://private IP of Looker (Google Cloud core):443/
   
   

   다음을 바꿉니다.

   • custom domain of Looker (Google Cloud core): Looker(Google Cloud 핵심 서비스) 인스턴스의 커스텀 도메인입니다.
   • private IP of Looker (Google Cloud core): Looker(Google Cloud 핵심 서비스) 인스턴스의 비공개 IP입니다.

7. /etc/httpd/conf.d/ssl.conf 파일에 참조된 디렉터리에서 TLS 인증서 파일을 사용할 수 있는지 확인합니다.

   SSLCertificateFile "/etc/pki/tls/certs/custom domain of Looker (Google Cloud core).crt"
   SSLCertificateKeyFile "/etc/pki/tls/private/custom domain of Looker (Google Cloud core).key"
   

8. mod_ssl이 설치되어 있는지 확인합니다.

   sudo yum list installed | grep mod_ssl
   

   mod_ssl이 설치되어 있지 않으면 다음 명령어를 사용하여 설치합니다.

   sudo yum install mod_ssl
   

   mod_ssl이 설치되면 Apache 구성 파일(/etc/httpd/conf/httpd.conf)에 다음 줄을 추가하여 사용 설정해야 합니다.

   LoadModule ssl_module modules/mod_ssl.so
   

9. Apache 구성 파일(/etc/httpd/conf/httpd.conf)에서 Listen 80을 Listen 443으로 바꿉니다.

10. 다음 명령어를 실행하여 Apache 프록시 VM이 Looker(Google Cloud 핵심 서비스)로 트래픽을 전달할 수 있도록 합니다.

    /usr/sbin/setsebool -P httpd_can_network_connect 1
    

11. 마지막으로 Apache를 다시 시작하여 변경사항을 적용합니다.

    sudo systemctl restart httpd
    

12. 다음 명령어를 사용하여 Apache에서 재작성 모듈이 로드되고 준비되었는지 확인합니다.

    sudo httpd -M | grep rewrite
    

    다음과 비슷한 출력이 반환됩니다.

    rewrite_module (shared)

13. 마지막으로 Apache 프로세스를 시작하거나 다시 시작하여 모든 구성 변경사항이 선택되었는지 확인합니다.

    sudo systemctl restart httpd
    

14. 다음 명령어를 사용하여 Apache 프로세스가 올바르게 다시 시작되었는지 확인합니다.

    sudo systemctl status httpd
    

    다음과 비슷한 출력이 반환됩니다.

    httpd.service - The Apache HTTP Server
    Loaded: loaded (/usr/lib/systemd/system/httpd.service; disabled; vendor preset: disabled)
    Active: active (running) since Tue 2024-05-14 15:41:57 UTC; 1s ago
      Docs: man:httpd(8)
            man:apachectl(8)
    Main PID: 1400 (httpd)
    Status: "Processing requests..."
    CGroup: /system.slice/httpd.service
            ├─1400 /usr/sbin/httpd -DFOREGROUND
            ├─1401 /usr/sbin/httpd -DFOREGROUND
            ├─1402 /usr/sbin/httpd -DFOREGROUND
            ├─1403 /usr/sbin/httpd -DFOREGROUND
            ├─1404 /usr/sbin/httpd -DFOREGROUND
            └─1405 /usr/sbin/httpd -DFOREGROUND
    May 14 15:41:57 proxy-ingress-apache systemd[1]: Starting The Apache HTTP Server...
    May 14 15:41:57 proxy-ingress-apache systemd[1]: Started The Apache HTTP Server.