0.0.0.0:59500의 정체와 SSH 22번 포트 — 서버 대문은 왜 모두 같은 번호일까

지난번 netstat에서 루프백에 놀란 뒤로, 나는 습관처럼 서버의 문단속을 하게 됐다. 그날도 "오늘은 어떤 문이 열려 있나" 하는 마음으로 명령어를 하나 두드렸는데, 또 낯선 숫자가 눈에 들어왔다. 이번에는 해킹이 아니라 내가 몰랐던 바인딩의 개념이었다.

의문의 UDP 포트 발견: 0.0.0.0:59500의 의미

서버 안에서 실제로 열려 있는 포트 목록을 확인하려고 ss -tulnp를 실행하던 중, 0.0.0.0:59500이라는 낯선 UDP 대기 상태를 발견했다.

$ ss -tulnp
Netid State  Local Address:Port  Process
udp   UNCONN 0.0.0.0:59500         users:(("...",pid=...,fd=...))

이 주소의 맨 앞에 붙은 0.0.0.0은 "전 세계 그 누구든지 문 번호만 알면 일단 노크할 수 있다"는 열린 문을 뜻한다. 다시 말해 서버가 가진 모든 네트워크 인터페이스에서 동시에 듣고 있다는 선언이다. 별것 아닌 숫자 하나인데, 알고 나니 괜히 문이 활짝 열린 집 앞에 서 있는 기분이었다.

완벽한 봉쇄의 원리: 특정 IP 바인딩의 치트키

여기서 서버 보안의 가장 기초이자 강력한 정석 원리를 깨달았다. 만약 이 주소의 맨 앞을 전 세계 모두가 아닌, 나 자신을 뜻하는 내부 전용 루프백 주소인 127.0.0.1(localhost)로 딱 좁혀서 지정(바인딩)해 버리면 어떻게 될까?

그 순간 외부 인터넷망에서는 이 포트가 열려 있는지조차 알 수 없는 완벽한 투명 상태(차단)가 된다. 문은 여전히 존재하지만, 주소가 "우리 집 안방에서만"으로 바뀌는 셈이다. 특정 IP만 들어오게 입구를 좁혀서 보안을 강화하는 이 메커니즘은 원격 제어 도구인 SSH와도 완벽하게 일맥상통하는 유사한 기능이었다.

정리하면 이렇다.

왜 하필 22번일까? 전 세계 공통의 표준 약속

그렇다면 리눅스 서버를 처음 사면 열려 있는 원격 접속 포트는 왜 다들 똑같이 22번을 사용하는 걸까? 정답은 전 세계 모든 서버 관리자와 운영체제 개발자들이 편하게 쓰기 위해 지정해 둔 국제 표준 대문 번호이기 때문이다.

만약 22번이라는 표준 약속이 없다면, 우리는 서버에 접속할 때마다 매번 복잡한 포트 번호를 외워서 직접 주소창에 입력해야만 한다. 전화를 걸 때마다 상대방 전화번호를 새로 외우는 것과 같으니, 상상만 해도 끔찍하다.

다만, 해커 봇들 역시 이 22번이 표준 정문이라는 것을 너무나 잘 알고 있기에 24시간 내내 자동화 프로그램을 돌려 이 번호만 집중적으로 찌르고 다닌다. 표준은 편리함의 대가로 모두에게 알려진 주소가 된 셈이다.

결론: 도어락(비밀번호)을 넘어 진짜 특수 열쇠(SSH 키)의 맥락으로

결국 22번 표준 포트를 열어두고 아이디와 비밀번호를 대입하는 방식은 외부인에게 노출된 '도어락(번호키)'과 같다. 무작위 15자리 암호와 초당 제한을 걸어두었으니 해커가 절대 비밀번호를 맞출 순 없지만, 도어락 앞에서 밤새도록 삑삑거리며 노크하는 흔적(lnav 로그 테러)은 남게 된다.

문이 안 열린다는 사실과, 아무도 문을 두드리지 않는다는 사실은 전혀 다른 이야기다. 그래서 다음 단계의 고민은 자연스럽게 비밀번호를 넘어 SSH 키로 향한다. 번호키를 아무리 튼튼하게 걸어도, 애초에 열쇠 구멍 자체를 특정인만 가진 특수 열쇠로 바꿔버리면 대입할 것이 사라지기 때문이다.

오늘의 수확은 세 가지다. 0.0.0.0은 열린 문, 127.0.0.1은 안방 문, 그리고 22번은 모두가 아는 정문. 이 세 가지만 기억해도 서버 앞에 서는 마음가짐이 조금은 달라진다. 적어도 다음에 낯선 포트를 만나도 심장부터 뛰지는 않을 테니.