VPN

# Tailscale - WireGuard 기반 Zero Trust VPN
# 중앙 관리, SSO 통합, ACL로 세분화된 접근 제어

# 1. 설치 (Linux)
curl -fsSL https://tailscale.com/install.sh | sh

# 2. 연결 (브라우저에서 SSO 인증)
sudo tailscale up

# 기업 SSO 연동 (SAML, OIDC)
sudo tailscale up --login-server=https://login.tailscale.com

# 3. 상태 확인
tailscale status
# 결과 예:
# 100.64.0.1    my-laptop    user@example.com  linux   -
# 100.64.0.2    office-pc    user@example.com  windows -
# 100.64.0.3    server-prod  admin@example.com linux   -

# 4. 다른 기기에 SSH 접속 (Tailscale IP 사용)
ssh 100.64.0.3  # 또는
ssh server-prod  # MagicDNS로 호스트명 사용

# === ACL (Access Control List) 정책 예제 ===
# tailscale.com 관리 콘솔에서 설정
{
  "acls": [
    // 개발자는 개발 서버만 접근 가능
    {
      "action": "accept",
      "src": ["group:developers"],
      "dst": ["tag:dev:*"]
    },
    // 관리자는 모든 서버 접근 가능
    {
      "action": "accept",
      "src": ["group:admins"],
      "dst": ["*:*"]
    },
    // 모든 사용자는 사내 웹앱만 접근
    {
      "action": "accept",
      "src": ["*"],
      "dst": ["tag:webapp:80,443"]
    }
  ],
  "tagOwners": {
    "tag:dev": ["group:devops"],
    "tag:prod": ["group:admins"],
    "tag:webapp": ["group:admins"]
  },
  "groups": {
    "group:developers": ["user1@example.com", "user2@example.com"],
    "group:admins": ["admin@example.com"],
    "group:devops": ["devops@example.com"]
  }
}

# === Subnet Router (사내 네트워크 접근) ===
# 사내에 Tailscale 노드를 설치하고 서브넷 라우터로 설정
sudo tailscale up --advertise-routes=192.168.1.0/24

# 관리 콘솔에서 라우트 승인 후, 모든 Tailscale 기기에서
# 192.168.1.0/24 네트워크 접근 가능

# === Exit Node (전체 인터넷 트래픽 VPN 경유) ===
# 서버에서 Exit Node 활성화
sudo tailscale up --advertise-exit-node

# 클라이언트에서 Exit Node 사용
tailscale up --exit-node=server-prod

# 장점:
# - WireGuard 기반으로 빠르고 안전
# - NAT 통과 자동 처리 (DERP 릴레이)
# - SSO/MFA 통합
# - 세분화된 ACL로 Zero Trust 구현
# - 설치 수분 내 완료 (전통적 VPN: 수 시간~수일)

# OpenVPN 서버 설정 (Ubuntu/Debian)
# 레거시 시스템이나 특수 요구사항에 사용

# 1. 설치
sudo apt update
sudo apt install openvpn easy-rsa

# 2. PKI 초기화 및 인증서 생성
make-cadir ~/openvpn-ca
cd ~/openvpn-ca
./easyrsa init-pki
./easyrsa build-ca nopass           # CA 생성
./easyrsa gen-req server nopass     # 서버 인증서 요청
./easyrsa sign-req server server    # 서버 인증서 서명
./easyrsa gen-dh                    # DH 파라미터
openvpn --genkey secret ta.key      # TLS-Auth 키

# 3. 서버 설정 (/etc/openvpn/server.conf)
cat > /etc/openvpn/server.conf << 'EOF'
port 1194
proto udp
dev tun

# 인증서 경로
ca /etc/openvpn/ca.crt
cert /etc/openvpn/server.crt
key /etc/openvpn/server.key
dh /etc/openvpn/dh.pem
tls-auth /etc/openvpn/ta.key 0

# VPN 네트워크
server 10.8.0.0 255.255.255.0

# 클라이언트가 서로 통신 가능
client-to-client

# 모든 트래픽을 VPN으로
push "redirect-gateway def1 bypass-dhcp"
push "dhcp-option DNS 1.1.1.1"

# 보안 설정 (2025 권장)
cipher AES-256-GCM
auth SHA256
tls-version-min 1.2
tls-cipher TLS-ECDHE-RSA-WITH-AES-256-GCM-SHA384

# 로깅
log-append /var/log/openvpn.log
verb 3
EOF

# 4. 클라이언트 인증서 생성
./easyrsa gen-req client1 nopass
./easyrsa sign-req client client1

# 5. 클라이언트 설정 파일 (.ovpn)
cat > client1.ovpn << 'EOF'
client
dev tun
proto udp
remote vpn.example.com 1194
resolv-retry infinite
nobind
persist-key
persist-tun


# CA 인증서 내용



# 클라이언트 인증서 내용



# 클라이언트 개인키 내용



# ta.key 내용

key-direction 1

cipher AES-256-GCM
auth SHA256
verb 3
EOF

# OpenVPN vs WireGuard:
# OpenVPN: 100,000+ 줄 코드, 복잡한 설정, 인증서 관리 필요
# WireGuard: 4,000줄 코드, 간단한 설정, 키 쌍만 사용
# 새 프로젝트는 WireGuard 권장