Infograb logo
에이전트 없는 모드에서 Teleport와 OpenSSH 사용하기

이 가이드에서는 Teleport를 에이전트 없는 모드로 구성하여 OpenSSH 서버 sshd 를 Teleport 클러스터에 조인하는 방법을 보여줍니다. 기존의 OpenSSH 서버 풀은 Teleport CA에 의해 동적으로 발급된 SSH 인증서를 수락하도록 구성할 수 있습니다.

Teleport와 OpenSSH를 사용하는 것은 신속하게 시작할 수 있는 장점이 있지만, 장기적으로는 sshdteleport 로 교체하는 것을 권장합니다. teleport SSH 서버는 OpenSSH와 호환되지 않는 여러 기능을 지원합니다:

Teleport는 Proxy Service를 통해 SSH 연결을 프록시하여 OpenSSH를 지원합니다. Teleport 사용자가 OpenSSH 노드에 연결 요청을 하면 Proxy Service는 사용자의 Teleport 역할을 확인합니다.

RBAC 검사가 성공하면 Proxy Service는 Teleport CA에 의해 서명된 동적으로 생성된 인증서를 사용하여 OpenSSH 노드에 인증합니다. 이를 통해 Proxy Service는 OpenSSH 노드에 대한 연결을 기록하고 감사할 수 있습니다.

Proxy Service는 Teleport 사용자가 감사 회피를 하지 못하도록 Teleport CA에 의해 서명된 인증서를 요구합니다. 이 인증서는 Auth Service만이 소유하고 있습니다.

이 설정에서 Teleport SSH Service는 RBAC 검사와 함께 세션을 감사하고 기록하며, 이는 SSH 세션 기록 시 연결 종료가 필요하지 않도록 해줍니다.

주의

OpenSSH 노드를 Teleport에 등록하려면 teleport 바이너리를 sshd 호스트에 복사해야 합니다. teleport 바이너리는 클러스터에 노드를 등록하고 인증서를 생성하며 OpenSSH sshd 구성을 수정하는 등의 작업을 처리합니다. sshdteleport 바이너리를 복사하여 실행할 수 없는 경우, 대신 노드를 수동으로 등록할 수 있습니다.

전제 조건

  • 로컬 머신에 OpenSSH 버전 6.9 이상이 설치되어 있어야 합니다. OpenSSH 버전은 다음 명령어로 확인할 수 있습니다:

    ssh -V
  • 실행 중인 Teleport 클러스터 버전 17.0.0-dev 이상. Teleport를 시작하려면 가입하여 무료 평가판을 이용하거나 데모 환경 설정 방법을 확인하십시오.

  • tctl 관리자 도구와 tsh 클라이언트 도구.

    tctltsh 다운로드 방법에 대한 지침은 설치를 방문하십시오.

  • Teleport가 설치되지 않은 Linux 호스트에 OpenSSH 서버 sshd 버전 7.4 이상이 설치되어 있어야 하며, 이 호스트의 SSH 포트는 Teleport Proxy Service 호스트에서의 트래픽을 허용해야 합니다.
  • 연결이 가능한지 확인하기 위해 tsh login 으로 로그인한 다음, 현재 자격 증명을 사용하여 tctl 명령어를 실행할 수 있는지 확인하십시오. 예를 들어:
    tsh login --proxy=teleport.example.com --user=email@example.com
    tctl status

    클러스터 teleport.example.com

    버전 17.0.0-dev

    CA 핀 sha256:abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678abdc1245efgh5678

    클러스터에 연결할 수 있고 tctl status 명령어를 실행할 수 있다면, 현재 자격 증명을 사용하여 워크스테이션에서 후속 tctl 명령어를 실행할 수 있습니다.
    자신의 Teleport 클러스터를 호스팅하는 경우, Teleport Auth Service를 호스팅하는 컴퓨터에서 전체 권한으로 tctl 명령어를 실행할 수도 있습니다.

레거시 OpenSSH 노드에서 v14로 업그레이드하기

이전에 OpenSSH 노드를 Teleport CA를 신뢰하도록 구성했지만 등록하지 않았고 Teleport 클러스터를 Teleport 14로 업그레이드하면 기본적으로 해당 노드에 더 이상 연결할 수 없습니다. 이는 클러스터에 등록되지 않은 OpenSSH 서버에 대한 연결이 Teleport 14에서 더 이상 허용되지 않기 때문입니다. 이전에 구성한 모든 OpenSSH 노드를 Teleport에 등록하려면 이 가이드를 따라야 합니다. 이 작업은 Teleport 클러스터가 Teleport 14로 업그레이드되기 전에 완료되어야 합니다.

OpenSSH 노드를 등록하는 데 문제가 있거나 모든 OpenSSH 노드를 등록하기 전에 Teleport 클러스터를 Teleport 14로 업그레이드해야 하는 경우에는 TELEPORT_UNSTABLE_UNLISTED_AGENT_DIALING 환경 변수를 Proxy Service에 전달하고 yes 로 설정할 수 있습니다. 이렇게 하면 등록되지 않은 OpenSSH 노드에 대한 연결이 가능하지만 Teleport v15에서는 제거될 예정입니다.

1/3단계. sshd 구성

Teleport는 클러스터에 조인한 Teleport 프로세스를 통해서만 인프라의 리소스에 접근을 허용합니다.

OpenSSH 노드를 등록하려면 클러스터에 연결하기 위한 유효한 인증 토큰이 필요합니다. 다음 명령어를 실행하여 Teleport Auth Service에서 토큰을 생성할 수 있습니다:

tctl tokens add --type=node --format=text
abcd123-insecure-do-not-use-this

teleport 바이너리를 sshd 호스트에 복사합니다. 다음 명령어를 사용하여 sshd 를 구성하고 클러스터에 노드 리소스를 생성합니다:

sudo teleport join openssh \ --address server1.example.com:22 \ --proxy-server teleport.example.com:443 \ --join-method token \ --token abcd123-insecure-do-not-use-this \ --labels env=dev

명령어 옵션을 다음 값으로 변경합니다:

  • server1.example.com:22 Teleport 클러스터에 조인할 노드의 주소 및 포트로 설정합니다.
  • teleport.example.com:443 Teleport Proxy Service의 주소 및 포트로 설정합니다.
  • abcd123-insecure-do-not-use-this 조인 토큰 값으로 설정합니다.

tsh ls 또는 웹 UI에서 새 노드가 나열되어 있는지 확인합니다. tctl edit nodes/<hostname> 명령어로 호스트 이름과 레이블을 편집할 수 있습니다. 호스트 이름이 고유하지 않으면 tctl nodes ls -v 로 UUID를 가져와 tctl edit nodes/<uuid>로 편집합니다. 노드가 성공적으로 등록되었음을 확인한 후 복사한 teleport 바이너리는 삭제할 수 있습니다.

2/3단계. SSH 클라이언트 구성 생성

다음 단계는 OpenSSH 클라이언트를 구성하여 Teleport가 관리하는 자격 증명을 사용하여 sshd 호스트에 연결하는 것입니다. 이 구성은 사용자의 Teleport 발급 인증서를 사용하여 sshd 호스트에 인증하고, 이전에 생성한 호스트 인증서를 사용하여 sshd 호스트를 인증합니다.

먼저 Teleport 클러스터에 로그인했는지 확인합니다:

tsh status
> Profile URL: https://teleport.example.com:443 Logged in as: myuser Cluster: teleport.example.com Roles: access, auditor, editor, host-certifier Logins: ubuntu, root Kubernetes: enabled Valid until: 2022-05-06 22:54:01 -0400 EDT [valid for 11h53m0s] Extensions: permit-agent-forwarding, permit-port-forwarding, permit-pty
tsh status
> Profile URL: https://teleport.example.com:443 Logged in as: myuser Cluster: teleport.example.com Roles: access, auditor, editor, reviewer, host-certifier Logins: ubuntu, root Kubernetes: enabled Valid until: 2022-05-06 22:54:01 -0400 EDT [valid for 11h53m0s] Extensions: permit-agent-forwarding, permit-port-forwarding, permit-pty
tsh status
> Profile URL: https://mytenant.teleport.sh:443 Logged in as: myuser Cluster: mytenant.teleport.sh Roles: access, auditor, editor, reviewer, host-certifier Logins: ubuntu, root Kubernetes: enabled Valid until: 2022-05-06 22:54:01 -0400 EDT [valid for 11h53m0s] Extensions: permit-agent-forwarding, permit-port-forwarding, permit-pty

로컬 머신에서 다음 tsh 명령어를 실행합니다. 이 명령어는 SSH 클라이언트가 클러스터의 호스트에 연결하기 위해 Teleport가 관리하는 자격 증명을 사용하도록 지시하는 구성 블록을 출력합니다.

tsh config > ssh_config_teleport

이 명령은 쉽게 정리할 수 있도록 비표준 위치에 SSH 구성 파일을 생성하지만, 원하시면 이 출력을 기본 SSH 구성 파일(~/.ssh/config )에 추가할 수 있습니다.

Teleport는 연결을 처리할 때 실행되는 여러 서브시스템 또는 미리 정의된 명령을 포함하는 SSH 서버를 구현합니다. Proxy Service는 SSH 트래픽을 원격 호스트와 신뢰할 수 있는 클러스터로 전달하는 proxy 서브시스템을 구현합니다.

tsh config 가 생성하는 구성에 대한 간단한 설명은 다음과 같습니다:

# 모든 {{ .ClusterName }} 호스트에 대한 공통 플래그
Host *.{{ .ClusterName }} {{ .ProxyHost }}
    UserKnownHostsFile "{{ .KnownHostsPath }}"
    IdentityFile "{{ .IdentityFilePath }}"
    CertificateFile "{{ .CertificateFilePath }}"

ssh 로 접속하는 호스트가 Teleport 클러스터에 속하는 경우(즉, 해당 주소가 클러스터 도메인의 서브도메인인 경우), Teleport가 관리하는 알려진 호스트 파일, 개인 키 및 인증서를 .tsh 디렉터리에 저장합니다.

# 프록시를 제외한 모든 {{ .ClusterName }} 호스트에 대한 플래그
Host *.{{ .ClusterName }} !{{ .ProxyHost }}
    Port 3022
    ProxyCommand "{{ .TSHPath }}" proxy ssh --cluster={{ .ClusterName }} --proxy={{ .ProxyHost }} %r@%h:%p

ssh 로 접속하는 호스트가 Teleport 클러스터에 속하는 경우, OpenSSH 클라이언트는 먼저 SSH 연결을 Proxy Service에 설정하는 명령어인 ProxyCommand 를 실행합니다. 이 명령어, tsh proxy ssh 는 SSH 트래픽을 Proxy Service를 통해 선택한 호스트(신뢰할 수 있는 클러스터의 호스트 포함)로 전달하기 위해 proxy 서브시스템을 요청합니다.

tsh proxy ssh 명령은 다음과 같은 명령을 통해 proxy 서브시스템을 요청합니다. 여기에서 mynode 라는 노드에 root 로 로그인하고, 클러스터 이름이 teleport.example.com 이라고 가정합니다:

/usr/bin/ssh -l root -A -o UserKnownHostsFile=/root/.tsh/known_hosts -p 11105 teleport.example.com -s proxy:mynode:3022@teleport.example.com

명령에서 사용된 known_hosts 파일은 tsh 에 의해 관리됩니다. 이 파일에 sshd 호스트의 정보가 나열되어 있으므로 SSH 클라이언트는 이전에 생성한 인증서를 통해 호스트를 인증할 수 있습니다.

Windows에서 PowerShell을 사용할 경우, 일반적인 셸 리디렉션이 잘못된 인코딩으로 파일을 작성할 수 있습니다. 제대로 작성되도록 하려면 다음을 시도해보세요:

tsh.exe config | out-file .ssh\config -encoding utf8 -append

Teleport 클러스터에서는 기본적으로 라우팅이 대소문자를 구분하지만, OpenSSH는 항상 호스트 이름을 소문자로 변환합니다. OpenSSH 클라이언트를 사용하고 호스트 이름에 대문자가 포함된 호스트를 사용하는 경우, Teleport 구성의 auth_service 블록이나 cluster_networking_config 리소스에 case_insensitive_routing: true 로 설정해야 할 수 있습니다.

다중 클러스터

여러 Teleport Proxy 서버 간에 전환하는 경우, 각 서버에 대해 클러스터 특정 구성을 생성하기 위해 tsh config 를 다시 실행해야 합니다.

마찬가지로, 신뢰할 수 있는 클러스터가 추가되거나 제거되면 tsh config 를 다시 실행하고 이전 구성을 교체해야 합니다.

3/3단계. sshd 호스트에 연결

OpenSSH 클라이언트 구성 파일에 새 텍스트를 추가한 후, 앞서 생성한 구성을 사용하여 sshd 호스트에 로그인할 수 있습니다.

먼저, Teleport 클러스터의 주소, sshd 호스트에 로그인할 때 사용할 사용자 이름, SSH 트래픽에 사용하는 sshd 호스트의 포트를 위한 환경 변수를 정의하십시오:

sshd 호스트에 접근할 수 있는 로그인을 확인합니다

tsh status | grep Logins
Logins: ubuntu, root
USER=ubuntu
CLUSTER=teleport.example.com
PORT=22

sshd 호스트에 접근할 수 있는 로그인을 확인합니다

tsh status | grep Logins
Logins: ubuntu, root
USER=ubuntu
CLUSTER=mytenant.teleport.sh
PORT=22

다음으로, 원격 호스트에 SSH로 접속합니다:

ssh -p ${PORT?} -F ssh_config_teleport "${USER?}@${ADDR?}.${CLUSTER?}"

이 이름은 DNS를 통해 확인될 필요는 없으며, 연결은 Teleport Proxy Service를 통해 라우팅됩니다.

기본적으로 tsh config 로 생성된 OpenSSH 클라이언트 구성은 Teleport Proxy Service를 노드의 3022 포트에 연결하도록 지시합니다. 이는 노드의 SSH 서비스가 3022 포트에서 수신 대기할 경우 작동하며, OpenSSH 클라이언트를 통해 Teleport SSH 서비스에 연결할 수 있음을 의미합니다.

Teleport 노드를 클러스터에 조인하면, 노드는 클러스터의 Proxy Service에 역순 터널을 생성합니다. 생성한 구성을 사용하여 Teleport 클러스터의 호스트에 접속하기 위해 ssh 명령을 실행하면, Teleport Proxy Service는 이 역순 터널을 통해 호스트에 연결을 시도하고, 실패할 경우 직접 주소를 다이얼합니다.

우리 경우에는 sshd 호스트가 Teleport를 실행하고 있지 않으므로, 역순 터널이 존재하지 않습니다. 대신 Proxy Service는 호스트의 SSH 포트에서 직접 연결을 설정합니다.

신뢰할 수 있는 리프 클러스터의 호스트에 로그인하려면, 리프 클러스터의 이름을 노드의 이름과 루트 클러스터의 이름 사이에 배치하십시오:

ssh -F ssh_config_teleport ${USER?}@node2.leafcluster.${CLUSTER}
참고

Teleport는 키 대신 OpenSSH 인증서를 사용합니다. 원격 호스트에 연결할 때, OpenSSH는 호스트의 주소가 OpenSSH 인증서의 Principals 섹션에 나열되어 있는지 확인합니다. 일반적으로 이것은 IP 주소가 아니라 완전한 도메인 이름입니다.

Teleport 원문 보기