9.7. Memcached 서비스 보안

절차

• LAN에서 방화벽을 구성합니다. Memcached 서버에 로컬 네트워크에서만 액세스할 수 있는 경우 memcached 서비스에서 사용하는 포트로 외부 트래픽을 라우팅하지 마십시오. 예를 들어, 허용되는 포트 목록에서 기본 포트 11211 을 제거합니다.

  # firewall-cmd --remove-port=11211/udp
  # firewall-cmd --runtime-to-permanent

• 애플리케이션과 동일한 시스템에서 단일 Memcached 서버를 사용하는 경우 memcached 를 설정하여 localhost 트래픽만 청취합니다. /etc/sysconfig/memcached 파일에서 OPTIONS 값을 수정합니다.

  OPTIONS="-l 127.0.0.1,::1"

• SASL(Simple Authentication and Security Layer) 인증을 활성화합니다.

  1. /etc/sasl2/memcached.conf 파일을 수정하거나 추가합니다.

     sasldb_path: /path.to/memcached.sasldb

  2. SASL 데이터베이스에 계정을 추가합니다.

     # saslpasswd2 -a memcached -c cacheuser -f /path.to/memcached.sasldb

  3. memcached 사용자 및 그룹에 대해 데이터베이스에 액세스할 수 있는지 확인합니다.

     # chown memcached:memcached /path.to/memcached.sasldb

  4. /etc/sysconfig/memcached 파일의 OPTIONS 매개변수에 -S 값을 추가하여 Memcached에서 SASL 지원을 활성화합니다.

     OPTIONS="-S"

  5. Memcached 서버를 다시 시작하여 변경 사항을 적용합니다.

     # systemctl restart memcached

  6. SASL 데이터베이스에서 생성된 사용자 이름과 암호를 애플리케이션의 Memcached 클라이언트 구성에 추가합니다.

• TLS를 사용하여 Memcached 클라이언트 및 서버 간 통신을 암호화합니다.

  1. /etc/sysconfig/memcached 파일의 OPTIONS 매개변수에 -Z 값을 추가하여 TLS를 사용하여 Memcached 클라이언트와 서버 간의 암호화된 통신을 활성화합니다.

     OPTIONS="-Z"

  2. -o ssl_chain_cert 옵션을 사용하여 PEM 형식으로 인증서 체인 파일 경로를 추가합니다.
  3. -o ssl_key 옵션을 사용하여 개인 키 파일 경로를 추가합니다.