• 목록
  • 아래로
  • 위로
  • 0
  • Seia
  • 조회 수 569


저도 예전에 그랬지만 많은 사람들이 Docker를 단순히 시스템에 직접 설치 안하고 반가상화해서 ~~를 돌려주는 도구나 혹은 비슷한 정의 그리고 자주하는 보안적인 실수가 있어서 그에 대한 고찰을 적어봅니다.

 

관련 소스코드 및 기반은 다음 레포지토리에 두고 있습니다.

 

https://github.com/Seia-Soto/containers

A set of container configurations for my personal use. - Seia-Soto/containers

 

1. 도커 설치: 빌드해야 할까?

 

가장 먼저 제가 고민한 사항입니다. 어떤 프로그래밍 언어를 배우고 하던 간에 버전 관리자는 필수적이라고 생각합니다. 그래야 호환성 문제를 효과적으로 해결할 수 있기 때문이죠. 하지만 도커는 예외였습니다. 제 생각이지만:

 

- 도커는 시스템 위에서 동작합니다.

- 대부분의 현대 리눅스 운영체제는 패키지 매니저에서 패키지를 자동으로 설정까지 해줍니다. (대부분 깔끔하게)

 

2가지 이유로 그냥 패키지 매니저로 설치하는 것을 선호합니다.

 

2. Docker-Compose와 Swarm, Kube 등, 언제 써야 할까?

 

언제 Docker-Compose를 써야 할까?

 

단순하게 멋져보이는 도커 명령어를 입력하는 것보다는 Compose를 사용하면 훨씬 더 효과적으로 프로젝트에 단위를 부여하여 관리할 수 있게 됩니다. 기존에 docker create나 docker run 등으로 직접 컨테이너를 관리하는 것보다 compose를 사용하면:

 

- 컨테이너를 직접적으로 설명할 수 있게 합니다. (docker-compose.yml)

- 이후 유지보수를 쉽게 합니다.

- 사람 눈에 보기 쉽습니다.

 

위와 같은 장점이 있다고 생각합니다. 하지만 모든 용도에 Docker-compose가 적합한 것은 아닙니다. Docker-compose도 결국에는 하나의 파이썬 스크립트로 *하나의 메탈*에서 그 능력이 발휘됩니다. 대규모 오케스트레이션이 아닌 홈 서버나 단일 서버에 훨씬 더 적합하다는 뜻입니다. 가장 큰 이유에는 생태계의 다른 도구보다 상대적으로 덜 직관적인 클러스터링 그리고 네트워크 관리 능력에 있습니다. 이는 최근 커뮤니티가 커지고 기술 집약도가 높아지는 Kubernetes(쿠버네테스)를 사용하는 것이 훨씬 더 이후 유지보수에 나을 수 있음을 뜻합니다.

 

Kubernetes는 대규모 오케스트레이션에서만.

 

선을 잡아놓으면 편합니다. Kubernetes는 절대로 작은 러닝커브를 가지고 있지 않기 때문입니다. 단순히 네트워크를 잡고 클러스터를 연결하는 것 그 이상으로 설계하는 능력을 필요로 합니다.

 

Docker-Swarm?

 

Docker-Swarm이 나쁜 도구는 아닙니다. 하지만 Kube에 밀려 점점 말려들어가는 기술로 커뮤니티의 크기가 상대적으로 굉장히 축소되고 있습니다. 이후에는 Swarm 대신 Kube를 보는 것이 훨씬 나을 것 같습니다. GCP 등의 클라우드 솔루션도 빠르게 제공되고 있고요.

 

3. Docker-Compose로 홈 서버 관리하기

 

Docker를 어떻게 쓸까?

 

먼저 Docker를 왜 쓸까에 대해서 다시 생각해볼 필요가 있습니다. 그 용도에 맞게 써야지 훨씬 더 이후에 스트레스를 줄일 수 있기 때문입니다.

 

1. 서버 안정성의 강화

 

가장 먼저 볼 수 있는 것은 안정성 자체가 높아진다는 점입니다. 왜냐하면 격리된 환경에서 애플리케이션을 실행하기 때문입니다. 하지만 단순히 격리를 위해서 도커를 실행하는 것이라면 WASMER로 컴파일하여 단순 격리가 되는 바이너리를 만드는 것을 추천드립니다.

 

2. 힙해서?

 

Docker는 힙합니다. 맞아요. 그런데 무조건 언제나 도커를 써야 한다는 말은 아닙니다. 무조건적으로 Docker를 권장하는 이유 중 하나는 위에서 말한 안정성 때문이 큽니다. 실패해도 컨테이너를 다 지우고 OS를 다시 설치할 필요도 없이 데몬만 잘 굴러간다면 처음부터 시작할 수 있기 때문입니다. 하지만 자신의 서버의 목적이 확실하고 Docker가 없어도 충분히 간결하고 강력하게 운영이 되고 있다면 Docker는 짐만 됩니다.

 

Docker 데몬이 먹는 메모리고 컨테이너고 모두 자원이니 아깝기 때문입니다.

 

3. 찍먹이 가능하다.

 

사실 모든 것은 Docker의 가장 큰 특징인 '격리'에서 나옵니다. 동시에 격리가 확실하기 때문에 여러분이 실행하고 싶은게 있다면 바로 돌려줄 수 있습니다.

 

Docker-Compose를 쓸 때 간과하는 사항

 

1. 한 개의 프로젝트 단위 당 하나의 네트워크로 묶입니다.

 

가끔가다가 이런 사람을 본적이 있습니다. 프로젝트 단위(docker-compose.yml) 당 하나의 네트워크로 묶이게 되므로 모든 서비스가 데이터베이스에 연결되기 위해서는 depends_on이든 무엇이든 다 하나의 compose file에 넣어야 하는가 하는 사람입니다. 하지만 단순히 하나의 브릿지 네트워크를 구축하여 사용하는 것이 제일 좋습니다. 굳이 동적인 프로젝트 단위의 네트워크 망을 사용할 이유는 없으니깐요.

 

docker network create -d bridge <네트워크 이름>

 

2. 무분별한 ports 사용은 서버에 큰 보안 구멍을 낼 수 있습니다.

 

두 번재로 더 많은 사람들이 간과하는 부분입니다. 보통 우리는 docker-compose나 docker로 포트를 열려면 -p 혹은 ports를 사용해야 한다는 말을 가볍게 듣고 사용하는 경우가 정말로 흔할 것입니다. 하지만 Docker 데몬은 iptables 규칙을 직접 관리합니다. 사용자가 관여할 필요가 없다는 뜻입니다. 여기에서 관리하다가 한 가지 모순이 생깁니다.

 

- Docker 트래픽은 Docker 데몬이 관리하는 iptables의 Docker 체인으로 들어갑니다.

 

즉, 도커로 기존의 스택을 대체할 것이라면 단순한 포트포워딩 등 L3 계층의 작업은 도커 데몬에게 맡기는 것이 훨씬 안정적으로 네트워크를 운용할 수 있게 해줍니다.

 

이를 해결하기 위해 2가지의 방법을 제시할 수 있습니다. 첫 번째는 컨테이너의 포트를 호스트의 localhost로만 공유되게 하는 것입니다. 아래와 같이 포트 맵핑 앞에 호스트를 작성하여 내부로만 공유되게 할 수 있습니다.

 

version: "3.8"

services:
  example:
    build: ./
    ports:
      - "127.0.0.1:80:80"

 

두 번째는 컨테이너 간의 상호작용을 저희가 위에서 직접 생성한 외부 브릿지 네트워크로 통일하고 expose 프로퍼티를 사용하는 것입니다. 이 경우에는 컨테이너에서 expose에 지정된 포트가 내부 네트워크인 docker_br0 내부에서만 공유되게 됩니다. 즉, 호스트 컴퓨터에서는 포트를 더욱 자유롭게 사용이 가능하다는 것입니다. 원하는 컨테이너에만 ports를 사용하여 외부로 공유되는 포트를 최소화할 수 있습니다.

 

version: "3.8"

services:
  example:
    build: ./
    expose:
      - 80
    networks:
      - docker_br0

networks:
  docker_br0:
    external: true

 

*다른 docker 컨테이너에서 접근할 때에는 container_name 프로퍼티를 사용하면 다음에 생성되는 컨테이너에 주소가 자동으로 반영됩니다.

 

앞으로 더 많아지겠지만 일단은... 그렇습니다.

도다님 포함 2명이 추천

추천인 2

작성자
Seia 33 Lv. (42%) 89400/92480EXP

GitHub에서 seia-soto로 활동 중입니다.

댓글 0

권한이 없습니다.
번호 제목 글쓴이 날짜 조회 수
공지 시스템 점검 작업 완료 안내 10 마스터 마스터 24.09.05.16:25 2054
공지 [중요] 호스팅 만료와 관련하여 일부 수칙이 변경됩니다. 4 마스터 마스터 23.01.14.02:23 8846
500 [Python] 이미지 파일의 Exif 정보 삭제하기 (+ 식빵자세 산냥이) image 이니스프리 이니스프리 21.07.03.13:42 439
499 [Python] PDF2image 모듈이 실행되지 않을 때 이니스프리 이니스프리 21.06.23.20:36 2853
498 유료 VPN 선택과 관련하여 참고할 웹 문서! 2 이니스프리 이니스프리 21.06.08.19:28 389
497 [Python] 영어로 표기된 날짜를 숫자로 변환 이니스프리 이니스프리 21.05.30.11:39 1131
496 [Python] Google Trend의 '최근 인기 검색어' 크롤링 3 이니스프리 이니스프리 21.05.02.12:24 594
495 [Python] for 문에 두 개의 리스트를 넣고 enumerate를 사용하는 방법 이니스프리 이니스프리 21.05.01.21:01 259
494 [Python] 입력받은 연도가 윤년이 아니면 그보다 가장 가까운 과거의 윤년을 출력하기 8 이니스프리 이니스프리 21.04.19.20:23 511
493 [Javascript] 이미지 업로드 전 가로x세로 사이즈를 확인하여 지정된 크기 이상인 경우 alert 띄우는 스크립트 이니스프리 이니스프리 21.04.17.21:28 159
492 [HTML] 특정 사이트의 파비콘을 다운로드 받는 방법 이니스프리 이니스프리 21.04.16.22:02 391
491 [Javascript] 값을 이용하여 배열의 요소를 삭제하는 방법 이니스프리 이니스프리 21.04.13.22:10 275
490 [Gnuboard] DB 테이블 중 g5_board_file에 대하여 이니스프리 이니스프리 21.04.11.16:25 528
489 [Windows] Windows 업데이트 원천 방지하기 5 image Seia Seia 21.04.10.07:10 412
[Docker] Docker 다시 알고 사용하기 Seia Seia 21.04.10.07:04 569
487 [미디어위키/리버티 스킨] 모바일 환경에서 가로로 긴 표가 짤리는 현상 개선하기(스크롤 구현) image 가온이 가온이 21.04.09.20:07 315
486 [Python] 내일 날짜를 구하기 3 이니스프리 이니스프리 21.03.31.23:46 806
485 [Python] 네이트 실시간 검색어 크롤링 1 이니스프리 이니스프리 21.03.22.20:16 1112
484 [Python] 간단하게 내 ip 확인하기 3 이니스프리 이니스프리 21.03.20.00:26 319
483 [Python] 특정 서버와 내 PC 간의 시간 차이를 구하기 (테스트 중) 이니스프리 이니스프리 21.03.20.00:11 1571
482 [Python] Youtube Playlist에 담긴 동영상들을 역순으로 불러오기 이니스프리 이니스프리 21.03.19.00:41 216
481 [미디어위키]웹호스팅상의 미디어위키 사용자들께 대박 좋은 일이 일어났어요! 2 입체그림 21.03.14.10:53 231