[5/5] 동적 방화벽을 재현 가능하게 만들기 — 시작 순서·로그·패킷 검증

ruleset 의존 객체

• tailscaled가 tailscale0와 ts-input·ts-forward 규칙을 만든다.

• dockerd가 Docker bridge, NAT, FORWARD, DOCKER-USER 계열 chain을 만든다.

• 마지막에 /etc/nftables.conf가 Docker chain을 정리하고 native inet filter를 추가한다.

1. 기존 ruleset flush
2. tailscaled restart
3. tailscale0와 Tailscale chain 생성 대기
4. docker restart
5. Docker bridge와 DOCKER-USER 생성 대기
6. /etc/nftables.conf 로드

시작 순서 수정

sudo nft flush ruleset
sudo systemctl restart tailscaled.service
sleep 5
sudo nft -f /etc/nftables.conf
sudo systemctl restart docker

start_firewall.sh

#!/bin/bash

timestamp=$(date '+%Y%m%d-%H%M%S')
logfile="start-${timestamp}.log"

log() {
    echo "$(date '+%Y-%m-%d %H:%M:%S') $1" | tee -a "$logfile"
}

log "INFO: 초기화 스크립트 시작 (로그 파일: $logfile)"

# 1. 기존 ruleset 초기화
if sudo nft flush ruleset; then
    log "INFO: nft ruleset flush 성공"
else
    log "ERROR: nft ruleset flush 실패"
    exit 1
fi

# 2. Tailscale chain과 interface 생성
if sudo systemctl restart tailscaled.service; then
    log "INFO: tailscaled 재시작 성공"
else
    log "ERROR: tailscaled 재시작 실패"
    exit 1
fi

sleep 5
log "INFO: 5초 대기 완료"

# 3. Docker chain과 bridge 생성
if sudo systemctl restart docker; then
    log "INFO: docker 재시작 성공"
else
    log "ERROR: docker 재시작 실패"
    exit 1
fi

sleep 5

# 4. 최종 정책 로드
if sudo nft -f /etc/nftables.conf; then
    log "INFO: /etc/nftables.conf 로드 성공"
else
    log "ERROR: /etc/nftables.conf 로드 실패"
    exit 1
fi

log "INFO: 모든 작업 완료"

원격 실행 방식

sudo nohup ./start_firewall.sh &

실행 로그

2025-10-05 18:42:08 INFO: 초기화 스크립트 시작
2025-10-05 18:42:08 INFO: nft ruleset flush 성공
2025-10-05 18:42:09 INFO: tailscaled 재시작 성공
2025-10-05 18:42:14 INFO: 5초 대기 완료
2025-10-05 18:42:26 INFO: docker 재시작 성공
2025-10-05 18:42:31 INFO: /etc/nftables.conf 로드 성공
2025-10-05 18:42:31 INFO: 모든 작업 완료

정책 로드 전 확인

systemctl is-active tailscaled
systemctl is-active docker

ip link show tailscale0
ip link show enx00e04c637a20
ip link show foxirain4

sudo nft list chain ip filter DOCKER-USER

• tailscaled와 docker가 active다.

• tailscale0가 존재한다.

• USB Ethernet인 enx00e04c637a20가 존재한다.

• Docker network가 만들어져 foxirain4가 존재한다.

• ip filter의 DOCKER-USER chain이 존재한다.

구문 및 ruleset 검증

sudo nft -c -f /etc/nftables.conf
sudo nft -f /etc/nftables.conf
sudo nft list ruleset -a

• Tailscale chain이 존재하는가

• Docker NAT·FORWARD chain이 존재하는가

• DOCKER-USER에 mark 규칙이 들어갔는가

• inet filter input policy가 drop인가

• inet filter forward policy가 drop인가

• FWD-STATE → FWD-DOCKER → FWD-TS → FWD-VM 순서인가

주소 및 route 검증

ip -br address
ip route

sysctl net.ipv4.ip_forward

tailscale status
sudo tailscale debug prefs

docker network inspect foxirain4_net

허용·차단 테스트

Tailnet → Windows

# MacBook
nc -vz 10.10.0.20 22

• SSH 22: 허용

• Sunshine/Moonlight 포트: 허용

• 임의의 테스트 포트: 차단

Windows → Linux 호스트

Test-NetConnection 10.10.0.10 -Port 22

Windows → WAN

Test-NetConnection 1.1.1.1 -Port 443

Windows → Docker gdbserver

Test-NetConnection 10.20.0.10 -Port 31234

nftables counter 확인

sudo nft list chain inet filter IN-STATE
sudo nft list chain inet filter FWD-STATE
sudo nft list chain inet filter FWD-DOCKER
sudo nft list chain inet filter FWD-TS
sudo nft list chain inet filter FWD-VM

tcpdump 패킷 경로 확인

sudo tcpdump -ni tailscale0 host 10.10.0.20
sudo tcpdump -ni enx00e04c637a20 host 10.10.0.20

sudo tcpdump -ni enx00e04c637a20 tcp port 31234
sudo tcpdump -ni foxirain4 tcp port 31234

service listener 확인

sudo ss -lntup
docker ps --format 'table {{.Names}}	{{.Ports}}'
docker exec my_container ss -lntp

재시작 후 검증 체크리스트

정리

Sources

작업 기록

공식 문서

• Tailscale netfilter modes

• Docker with iptables

• nftables manual

시리즈 이동

• 이전:
  🐳
  [4/5] macvlan을 버리고 L3 Docker 브리지를 택한 이유 — foxirain4·gdbserver

• 다음:
  🛡️
  악성코드 분석 VM을 원격으로 보되, 역방향은 막기 — Linux 격리 게이트웨이 총정리