docs: record proxy-bypass closure with before and after evidence

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
2026-09-03 16:17:24 +09:00
parent 3af52bb66a
commit e1ba9c5626
3 changed files with 151 additions and 12 deletions
@@ -0,0 +1,48 @@
+수집 시각: 2026-09-03 16:16:48 KST
+주제: 프록시 우회 경로 차단 (NetworkPolicy)
+
+=== [1] 차단 전 — 클러스터 안에서 앱에 직접 요청 ===
+명령: kubectl run ... -- curl http://echo:8081/api/echo \
+        -H 'X-Forwarded-Proto: https' -H 'X-Forwarded-Host: evil.example.com' -H 'X-Forwarded-For: 1.2.3.4'
+
+  scheme       https
+  secure       True
+  serverName   evil.example.com      ← 위조 성공
+  remoteAddr   1.2.3.4               ← 위조 성공
+  requestUrl   https://evil.example.com/api/echo
+
+  ★ Traefik 을 거치지 않으면 헤더 위조가 그대로 통한다.
+    trustedIPs 와 internalProxies 가 둘 다 '대역'을 믿기 때문.
+
+=== [2] 적용한 것 ===
+  deploy/lab/k8s/traefik-forwarded-headers.yaml  — 192.168.122.0/24 제거
+    "--entryPoints.web.forwardedHeaders.trustedIPs=10.42.0.0/16"
+    "--entryPoints.websecure.forwardedHeaders.trustedIPs=10.42.0.0/16"
+
+  deploy/lab/k8s/echo-network-policy.yaml        — Traefik 파드에서만 8081 허용
+[{"from":[{"namespaceSelector":{"matchLabels":{"kubernetes.io/metadata.name":"kube-system"}},"podSelector":{"matchLabels":{"app.kubernetes.io/name":"traefik"}}}],"ports":[{"port":8081,"protocol":"TCP"}]},{"from":[{"ipBlock":{"cidr":"10.42.0.1/32"}},{"ipBlock":{"cidr":"10.42.1.1/32"}}],"ports":[{"port":8081,"protocol":"TCP"}]}]
+
+=== [3] 차단 후 — 정상 경로 (계속 동작해야 함) ===
+  x-forwarded-proto    https
+  x-forwarded-port     443
+  x-forwarded-host     app1.hyeonworks.com
+  x-real-ip            100.123.124.30
+  x-forwarded-server   traefik-5d6fcf895-wpfhr
+  --- 앱이 해석한 값        
+  scheme               https
+  secure               True
+  serverName           app1.hyeonworks.com
+  serverPort           443
+  remoteAddr           100.123.124.30
+  localAddr            10.42.0.14
+  requestUrl           https://app1.hyeonworks.com/api/echo
+
+=== [4] 차단 후 — 우회 시도 ===
+  HTTP 000 / curl exit 7
+  HTTP 000 / curl exit 7
+
+  ★ curl exit 7 = Failed to connect. 연결 자체가 성립하지 않는다.
+
+=== [5] 파드 건강 상태 (probe 가 차단되지 않았는지) ===
+  echo-54dbd94986-8jmdb 1/1 Running restarts=0
+  echo-54dbd94986-lfltk 1/1 Running restarts=0
@@ -164,3 +164,36 @@ curl -s http://192.168.122.11/api/echo \
 업그레이드하는 동안 구 Traefik 파드가 함께 살아 있다.** 이 시점에 측정하면
 옛 파드가 응답해 "고쳤는데 안 바뀌었다"고 오해하게 된다. `x-forwarded-server`
 값의 파드 이름으로 어느 파드가 응답했는지 확인해야 한다.
+
+---
+
+## 프록시 우회 차단 (2026-09-03 16:16 KST)
+
+`05-networkpolicy.txt`
+
+헤더 신뢰를 켠 뒤 남아 있던 구멍을 실증하고 막았다.
+
+**차단 전** — 클러스터 안에서 Traefik을 우회해 앱에 직접 요청하면
+`serverName: evil.example.com`, `remoteAddr: 1.2.3.4`로 **위조가 성립했다.**
+
+**적용한 것**
+
+| 파일 | 변경 |
+|---|---|
+| `traefik-forwarded-headers.yaml` | `192.168.122.0/24` 제거 (SNAT 때문에 도달 불가한 대역) |
+| `echo-network-policy.yaml` | Traefik 파드에서만 8081 허용 (라벨 기준) |
+
+**차단 후**
+
+```
+정상 경로   scheme=https, remoteAddr=100.123.124.30    동작
+우회 시도   HTTP 000 / curl exit 7                      연결 거부
+파드 상태   1/1 Running, restarts=0                     probe 정상
+```
+
+`exit 7`은 curl의 "Failed to connect"다. HTTP 403이 아니라
+**TCP 연결 자체가 성립하지 않았다**는 뜻이다.
+
+`restarts=0`이 중요하다. NetworkPolicy에서 kubelet probe 경로를 빠뜨리면
+probe가 실패해 파드가 재시작 루프에 빠진다. 노드의 cni0 주소
+(`10.42.0.1`, `10.42.1.1`)를 `/32`로 허용해 이를 피했다.