보안 강화 가이드

관리 UI는 DNS, 인증서, 포트를 제어하므로 다음 체크리스트대로 설정하기를 권장합니다.

관리 UI

• [ ] 처음 로그인한 뒤 관리자 비밀번호를 변경합니다
• [ ] 2단계 인증(TOTP)을 켜거나 패스키를 등록합니다
• [ ] 가족이나 동료가 조회만 하면 될 때는 읽기 전용 계정을 만들어 주고 관리자 비밀번호를 공유하지 않습니다
• [ ] 보안 진입 경로를 설정하여 관리 UI가 사용자 지정 경로로만 열리게 합니다
• [ ] 「내부망 전용 접근」을 켜고, 외부에서 관리해야 할 때는 VPN(Tailscale 등)으로 들어갑니다
• [ ] 신뢰할 수 없는 네트워크에서 접속한다면 관리 UI의 HTTPS를 켭니다
• [ ] 자동화 스크립트와 명령줄 / MCP에는 최소 권한의 API 토큰을 사용하고 만료 시간을 지정하며 관리자 비밀번호를 공유하지 않습니다
• [ ] 설정 백업에 암호화 암호를 설정하고 예약 백업을 켭니다
• [ ] 알림 센터에서 「보안 및 로그인」, 「설정 변경」, 「주요 장애」 템플릿으로 푸시를 설정합니다
• [ ] 관리 UI를 이 호스트의 리버스 프록시 뒤에 둘 때는 감사 로그에 실제 출처가 기록되는지 확인합니다. 포트 포워딩 진입점에서는 PROXY 프로토콜을 켭니다
• [ ] 새 버전을 내려받은 뒤에는 릴리스 검증에 따라 서명을 확인합니다
• [ ] 「설정 → 기능 모듈」에서 사용하지 않는 모듈을 꺼 수신 중인 서비스와 호출 가능한 엔드포인트를 줄입니다
• [ ] fnOS에서는 모든 fnOS 관리자 계정을 신뢰할 때만 「fnOS 로그인 상태로 자동 로그인」을 켭니다. 켜 두면 fnOS 관리자 계정이 탈취되는 순간 Gately 관리자 계정도 함께 탈취됩니다

외부 서비스

• 웹 서비스로 내부 서비스를 공개할 때는 HTTPS를 켜고 기본 인증, 웹 인증, 서드파티 로그인을 함께 사용합니다.
• 공개 사이트에는 WAF를 켭니다. 먼저 「탐지 전용」으로 오탐을 관찰한 뒤 「차단」으로 전환합니다.
• IP 허용·차단 목록, GeoIP 국가 필터, 인증 실패 시 자동 차단으로 접속 출처를 제한합니다.

Docker

docker.sock을 마운트하는 것은 호스트에 root 수준 권한을 주는 것과 같습니다. Docker 관리가 필요 없다면 이 마운트를 제거하세요.

웹 터미널

로컬 셸은 기본적으로 꺼져 있습니다. 꼭 필요할 때만 켜고, 관리 UI에 2단계 인증이 켜져 있는지 확인하세요.

설정 백업

설정 디렉터리를 비공개 git 저장소에 넣거나 주기적으로 백업하세요. ssl.json에는 인증서 개인 키가 들어 있으므로 안전하게 보관하세요.