베스천 호스트(Bastion Host)

1. 베스천 호스트란?

베스천 호스트(Bastion Host)는 외부 네트워크(인터넷)와 내부 네트워크 사이에서 인증된 사용자만 내부 서버에 접근하도록 중계 역할을 수행하는 서버입니다. 보통 SSH 또는 RDP를 통해 사용되며, 다음의 특징을 가집니다.

• 인터넷에 직접 노출됨 (Public IP 존재)
• 엄격한 방화벽 규칙으로 접근 제어
• 내부 네트워크로의 접근 권한 보유
• 로깅, 감사 추적 기능 활성화

2. 베스천 호스트가 필요한 이유

필요성	설명
보안성 강화	직접 접근이 차단된 내부 리소스를 안전하게 연결
감사 및 추적	모든 접속을 중앙 집중식으로 로깅 가능
정책 통제	하나의 출입문을 통해 네트워크 접근 제어 가능
권한 분리	개발자, 운영자 별 접근 통제를 세분화할 수 있음

3. 베스천 호스트 구성 아키텍처 (AWS 기준 예시)

아래는 AWS 기준으로 베스천 호스트 아키텍처 예시입니다.

• 베스천 호스트는 퍼블릭 서브넷에 위치하며 인터넷 게이트웨이와 연결
• 내부 리소스(예: EC2)는 프라이빗 서브넷에 위치하며, 오직 베스천 호스트에서만 접근 허용

4. 주요 기능 및 특징

1) 접속 중계 (SSH Proxy)

• 내부 EC2에 직접 접근하는 것이 아니라, bastion → target server 순서로 접근
• ssh -J 또는 ProxyCommand를 통해 체인 연결

2) 사용자 접근 제어

• IAM, Key pair, SSM Session Manager 등을 통한 사용자 인증
• 각 사용자별 계정 분리 권장

3) 감사 로그

• /var/log/secure, /var/log/auth.log 등에 SSH 로그 기록
• CloudTrail, GuardDuty, CloudWatch와 연계 가능

4) 고가용성 및 자동화

• Auto Scaling 그룹으로 다중 베스천 구성
• 스크립트를 통한 일시적 베스천 생성 및 제거도 가능

5. 베스천 호스트 운영 시 보안 베스트 프랙티스

항목	권장 사항
접속 포트 제한	SSH(22) 포트를 특정 IP 대역(예: 사내망, VPN)으로 제한
MFA 적용	베스천 접속 시 다중 인증 적용 (특히 SSM 사용 시)
SSM 사용	AWS Systems Manager의 Session Manager 사용 시 SSH Key 불필요
비정상 접속 알림	CloudWatch/GuardDuty로 의심스러운 접근 탐지
접속 기록 보존	로그를 S3/CloudWatch Logs로 전송하여 장기 보존

6. 베스천 호스트 대체 기술

대안 기술	설명
AWS SSM Session Manager	Agent 기반 원격접속 기능. 퍼블릭 IP 없이도 접속 가능
OpenVPN / WireGuard	내부망 전용 VPN 구성으로 직접 접속 가능
Identity-Aware Proxy (IAP)	GCP에서 제공하는 인증 기반 접근 게이트웨이
Zero Trust Network Access (ZTNA)	VPN 없이 사용자/디바이스 인증 기반의 접근 제어 방식

7. 마무리 정리

항목	요약
정의	외부에서 내부 네트워크 리소스에 접근하기 위한 보안 게이트웨이 서버
주요 기능	인증된 사용자 접근, 로깅, 접근 제어, 보안 트래픽 중계
클라우드 사용 예	AWS VPC 퍼블릭 서브넷에 위치해 내부 EC2로 SSH 연결 허용
보안 팁	SSM Session Manager 적극 활용, 접속 IP 제한, 로그 중앙화
대안 기술	VPN, Zero Trust, IAP 등 최신 기술 고려 가능