번호로 보는 세 가지 통증과 부가 리스크
- 공개 SFTP 난립은 패치·증적 비용을 키운다. 호스트마다 OpenSSH 창과 IDS 조정이 필요하고 공개 엔드포인트가 많을수록 주간 대응이 무거워진다.
- 정체성 매트릭스는 경로가 갈라지면 깨진다. chroot가 있어도 오래된 공인 IP 우회가 남으면 업로드 귀속이 흐트러지고 감사는 일관된 목을 요구한다.
- 세그먼테이션 현실은 평면 라우팅을 허용하지 않는다. 파트너와 CI 출구는 한 대역으로 모이기 쉬워 구멍을 늘리면 몇 달 뒤 알 수 없는 터널이 생긴다. 배스천에 MFA·로그·레이트 리밋을 모은다.
점프 호스트에 임시 rsync가 상시화되면 중복과 보존 기간이 흐려진다. 전달과 영속을 문서로 나누고 ssh_config로 ProxyJump 모델을 통일한다.
ProxyJump와 ProxyCommand: 어떤 래퍼가 이기나
ProxyJump(-J)은 배스천을 거쳐 최종 호스트에 붙게 하고 Host 블록으로 키와 포트를 정리하는 현행 권장안이다. ProxyCommand는 HTTP 프록시나 구형 클라이언트에 적합하며 ssh -W %h:%p bastion이 표준이다. SFTP 협상은 타깃 sshd에 남고 ForceCommand internal-sftp와 ChrootDirectory는 기존과 같다.
SSH 사용자 인증서는 배스천과 타깃에서 CertificateFile을 분리한다. 성능은 대개 디스크 IO나 RTT가 지배하며 무차별 압축은 피하고 병렬 이슈는 동시성 설계부터 의심한다.
삼중 홉은 런북과 실패 테스트가 전제다. ProxyCommand 스크립트가 한 줄을 넘기면 리뷰·버전관리한다. GUI SFTP는 ssh_config를 무시하기 쉬워 CI는 CLI나 검증된 라이브러리로 모은다.
판단표: 직결 공개·배스천·이중 홉·사설 WAN
추가 공개 논의에 쓴다.
| 모델 | 맞을 때 | 노출 | 운영 부하 |
|---|---|---|---|
| 공인 직결 | 초소팀 | 높음 | 단기 낮음 |
| 단일 배스천+내부 | 일반 분리 | 중·집중 | 중간 |
| 이중 DMZ | 금융·행정 | 더 낮음 | 높음 |
| WAN/ZTNA | 동적 출구 CI | 낮음 | 높음+벤더 |
반복 노동과 경계 스캔 대수를 함께 본다. 관리 점프 함대가 있으면 SFTP용 별도 스택으로 로그를 갈라 놓지 말자.
실무: ssh_config·타깃 sshd·CI 래퍼
스테이징에서 검증하고 sshd 리로드 중엔 다른 세션을 유지한다. Match User는 환경별 Unix 계정과 맞춘다.
# Step 1: bastion Host block with keepalive
Host bastion
HostName bastion.example.com
User jumpuser
IdentityFile ~/.ssh/id_ed25519_bastion
ServerAliveInterval 60
ServerAliveCountMax 3
# Step 2: production SFTP target via ProxyJump
Host mac-prod-sftp
HostName 10.0.40.12
User sftp_prod
IdentityFile ~/.ssh/id_ed25519_prod
ProxyJump bastion
ServerAliveInterval 60
# Step 3: legacy ProxyCommand alternative
# ProxyCommand ssh -W %h:%p bastion
# Step 4: rsync or GitHub Actions wrapper
# export RSYNC_RSH="ssh -F ~/.ssh/prod.conf -o BatchMode=yes"
# Step 5: target sshd Match User sftp_prod with ForceCommand internal-sftp
# and ChrootDirectory per multitenant guide; verify ownership bits.
# Step 6: optional ControlMaster for CI reuse
# ControlMaster auto
# ControlPath ~/.ssh/cm-%r@%h:%p
# ControlPersist 420
체크섬 게이트로 조용한 손상을 막고 간헐 실패는 사무실과 CI에서 P95 RTT를 나눠 본다.
수치 기준: RTT·멀티플렉싱·배스천 패치 주기
첫 핸드셰이크 P95가 800ms를 넘기면 CPU 스틸·FW·DNS를 먼저 본다. ServerAliveInterval 60초와 ServerAliveCountMax 3, ControlPersist는 420~900초가 무난하다.
권고 후 14일 안에 배스천을 우선 패치하고 내부 호스트와 창을 어긋낸다. 병렬 터널 상한은 MaxSessions 논의에 묶고 실패 연속 시 지수 백오프 최대 60초로 캡한다.
매시간 작은 마커로 비대칭 라우트 퇴행을 잡고 CPU와 디스크 지표는 분리한다. TLS 검사 정책이 바뀌면 RTT를 재기준화한다. 인증 로그는 SFTP 감사와 같은 SIEM으로 상관시키고 실패 이벤트는 남긴다. 성수기 전에 수직 스케일한다.
FAQ·교차 링크·호스팅 원격 Mac이 나은 때
배스천 운영자가 페이로드를 보나
경로 가시성은 전제로 두고 접근 통제·운영자 로테·필요 시 종단 보호를 검토한다.
GitHub Actions에서 ssh_config 배포
암호 시크릿에서 렌더하고 ssh -F, SG는 Actions IP로, 가능하면 단명 인증서를 병행한다.
이중 홉이 처리량을 망치나
대개 디스크·RTT가 지배한다. 전제를 바꾸기 전 재현 크기로 측정한다.
요약: 도달성을 배스천에 모으면 답변이 명확해지고 chroot·병렬·인증서·원자적 배포와 맞물린다.
한계: 배스천 HA·로그·온콜은 남는다. SFTPMAC 호스팅 원격 Mac은 진입·테넌트 분리·Apple 하드 유지를 묶어 빌드와 서명에 집중하게 한다.
자체 Mac mini에는 전력·냉각·원격 핸드가 붙고 배스천도 숨은 비용을 없애지 못한다. SFTPMAC 호스팅으로 월 비용을 예측 가능하게 옮기면 uplink·모니터링은 사업자에 맡기고 인증서·CI는 내부에 둔다. 경로 문서는 ProxyJump 예와 함께 연간 검토한다.
단일 진입과 테넌트 디렉터리를 자체 코로 없이 맞추려면 SFTPMAC을 검토하세요.