[AWS] VPC 및 서브넷 설정 & EC2 외부 접근 허용 #2

Bastion / SSH Tunneling

Private EC2 생성 후 외부 접근 허용: Inbound 위한 Bastion 설정

1. PEM 파일은 Private Key 

• AWS에서 PEM 파일은 Private Key다. SSH 클라이언트를통해 원격 서버(EC2 인스턴스)에 접근할 때, Private Key가 필요하다.
• AWS 콘솔에서 생성된 PEM 파일은 Private Key로, 이를 통해 EC2 인스턴스에 연결할 수 있다. Public Key는 AWS가 EC2 생성 시 내부적으로 주입되며, 사용자는 이를 볼 수 없다.

2. SSH 접속 시 Key Pair 사용

• SSH 클라이언트는 원격 서버에 접속할 때  Key Pair 중 Private Key를 사용한다. 클라이언트는 PEM 파일(Private Key)을 사용해 서버에 인증을 요청한다.
• EC2 인스턴스는 클라이언트로부터 받은 Private Key를 Public Key와 비교하여 인증한다. 이 Public Key는 EC2 인스턴스에 자동으로 주입된 상태이다.

3. OpenSSL을 통한 RSA Key Pair 생성

• OpenSSL 등을 사용해 RSA Key Pair를 생성하면, Pulbic Key와 Private Key가 각각 .pub과 .pem파일로 생성된다.
• AWS에서는 Private Key 파일만 제공하며, Public Key는 사용자가 볼 수 없도록 관리된다. Public Key는 EC2 인스턴스에 자동으로 주입되어 사용된다.

1. Bastion EC2를 이어줄 Key Pair(.pem 키) 생성

1. EC2 콘 솔 내 키페어 메뉴에서 키페어를 생성한다. (local-to-bastion-test)

 

2. local-to-bastion-test Key생성과 동시에 pem파일 다운되는 것을 확인할 수 있다. 

 

2. Bastion 호스트 역할을 할 EC2 (Public Subnet) 인스턴스 만들기

1. 인스턴스 이름 (public-bastion-test) 설정

 

2. 인스턴스 유형 (t2.micro) 설정 

 

3. 위에서 만든 Key Pair(local-to-bastion-test)로 Key Pair 설정

 

4. VPC(sanghyun-vpc) 선택

5.  서브넷(2a) 설정

6. 퍼블릭 IP 자동 할당 활성화

7. 인스턴스 생성 확인

• SG(Security Group)에 모든 IP에 대해 `0.0.0.0/0` SSH 22번 포트가 열려있는 것 확인

8. AWS Console에서 EC2 인스턴스 연결 성공 여부 확인 

 

9. 로컬에서 접속 테스트 확인하기

• 명령어

ssh -i .ssh/KeyPairName(local-to-bastion-test).pem ec2-user@BastionHostIP(54.180.146.92)

 

• MAC에서 해당 명령어를 입력하면 권한 관련 오류 메세지가 뜰 것이다. 
  • 해결방법: PEM 파일에 권한을 설정해줘야한다. 

chmod 400 local-to-bastion-test.pem

 

• 권한 설정 후 다시 연결을 시도하면 연결이 정상적임을 확인할 수 있다.

3. 추후 Local에서 Server EC2(Private 서브넷 내 존재)에 접근하기 위한 Key Pair(.pem키 생성)

1. 앞전과 동일하게 키페어를 생성한다. (local-to-priavte-test)

• 생성과 동시에 pem 파일 다운로드 되는 것 확인

4. EC2(Private Subnet) 테스트 인스턴스 만들기

1. 인스턴스 이름(private-instance-test) 설정

 

2. 인스턴스 유형(t2.micro) 설정

 

3. 앞서 만든 Key Pair(local-to-private-test)로 Key Pair 설정

4. VPC(sanghyun-vpc) 선택

5. 서브넷(private-subnet-test1, 가용 영역 2a) 설정

6. 퍼블릭 IP 자동 할당 활성화

 

7. 인바운드 보안 규칙 → 소스 유형 "사용자 지정"

8. SG를 앞전에만든 Bastion EC2의 SG로 설정한다.

9. 설명을 다음과 같이 명시적으로 적으면 추후에 헷갈리지 않는다. ("Allow SSH from the Bastion Host")

 

10. 생성된 인스턴스 확인

11. bastion ec2 실행 후 `ssh ec2-user@{target-private-ip}` 명령어를 통해 Private EC2에 SSH 접근을 시도한다.

• 상기 이미지에서는 `ssh ec2-user@10.0.58.101`로 수행했다.
  • Private IP는 하기 이미지 값에 해당한다. VPC(Private) 내에서 할당된 IP

• 하지만 이미지와 같이 SSH 접근에 실패했다.
  • Private EC2에 SSH 접근을 위해서는 Key Pair(.pem 키)가 필요하다.

5. Bastion EC2 인스턴스 내 Private EC2에 SSH 접속을 위한 .pem 키 설정 후 접속 성공 확인하기

1. Bastion EC2 터미널에서 `nano bastion-to-private-test.pem`: (파일명은 상관없다) 에디터를 연다.

 

2. `pbcopy < local-to-private-test.pem`: 앞전에 생성하고 로컬에 저장했던 Key Pair(local-to-private-test.pem)의 값을 복사한다.

3. 복사한 값을 에디터에 붙여넣는다. 

• `chmod 400 bastion-to-private.pem`: 읽기 권한을 부여하여 SSH 접속 시 해당 키를 읽을 수 있도록 설정한다.

 

4. SSH 접근 시도 성공 확인

 

6. SSH Tunneling으로 지금 내 컴퓨터 로컬에서 Bastion을 통해 Private EC2에 SSH 접속해보기Í

1. Bastion EC2에 SSH Tunneling을 연다. → SSH 통로를 위한 터널을 열어둔다.

• SSH 통로를 위한 터널을 열어두는 작업이기에 새 터미널에 아래 명령어를 실행한채 냅둬야한다.

ssh -i "local-to-bastion.pem" -N -L 33322:{target-private-ip}:22 ec2-user@{bastion-host-public-ip}

2. 새 터미널을 하나 더열고 앞서 열어놓았떤 터널을 통해 Private EC2에 직접 SSH 명령어를 수행

• `.pem`키는 2개가 있음. 혼용 주의
• 터널이 열리는 순간 Private EC2는 내 로컬에서 접근 가능한 포트가 되기에 33322 포트의 localhost로 접속해야한다는 점 유념

이미지에서 확인한바와 같이 연결에 성공은 했다. 하지만 `ping google.com` 명령어를 통해 외부의 요청을 시도하면 정상적으로 이뤄지지 않는 것을 확인할 수 있다. 이는 Private EC2 외부 접근을 허용하도록 해줘야한다.(NAT Instance)

 

😇 다음 포스팅에선 Private EC2에 외부접근을 허용하도록 설정하는 것(Outbound 위한 NAT Instance)을 다뤄볼 예정이다.

 

---

ℹ️ 참고

[ASAC 6기 강의자료]