개인 서버 구축 2: Tailscale·SSH 관리망을 잠그는 CLI 프롬프트

개인 Linux 서버의 원격 관리망을 Tailscale로 구축하고 SSH를 잠가줘.

서버 OS: {{SERVER_OS}}
관리 장치: {{ADMIN_DEVICES}}
tailnet identity 종류: {{TAILNET_OWNER}}
선택한 방식: {{SSH_MODE}}
Linux 관리자: {{ADMIN_USER}}
현재 복구 가능한 접속: {{CURRENT_ACCESS}}

보안 목표:
- 공유기 port forwarding과 공인망 SSH 노출 없음
- root login과 password brute force 차단
- 사용자·장치 단위 최소 권한
- 설정 실패 시 local console로 복구 가능

작업 규칙:
1. 현재 OS, network interface, listening port, firewall, sshd effective config를 읽기 전용으로 조사해. IP, public key, 계정명은 보고서에서 마스킹해.
2. Tailscale은 현재 OS용 공식 package 절차를 사용해. `curl | sh`를 쓴다면 먼저 URL·내용·공식 출처를 설명하고, 가능한 경우 공식 package repository 절차를 우선해.
3. `tailscale up` 인증 URL이나 auth key를 기록·채팅·commit에 남기지 마. reusable·preauthorized key를 기본값으로 만들지 마.
4. 서버와 관리 장치가 tailnet에 나타나고 Tailscale IP·MagicDNS 이름으로 양방향 확인될 때까지 SSH 방화벽을 바꾸지 마.
5. 선택한 {{SSH_MODE}}만 구성해. Tailscale SSH라면 현재 tailnet policy와 check mode를 먼저 검토하고, OpenSSH라면 authorized key 권한과 `sshd -t`를 확인해.
6. 새 terminal에서 key 기반 로그인이 성공하고 `sudo` 사용을 검증하기 전에는 `PasswordAuthentication`이나 `PermitRootLogin`을 변경하지 마.
7. SSH 설정은 drop-in 파일을 우선 사용하고 원본·변경 diff·복구 명령을 남겨. `sshd -t` 실패 시 reload하지 마.
8. firewall을 켜기 전 현재 session, Tailscale interface와 Docker 사용 여부를 확인해. SSH를 전체 인터넷에 허용하는 규칙을 만들지 마.
9. tailnet policy는 모든 사용자·모든 장치 허용 대신 관리자 identity가 server tag의 SSH에만 접근하도록 최소화해. 기존 policy가 있으면 덮어쓰지 말고 diff와 test 결과를 보여줘.
10. key expiry 해제를 편의상 기본 적용하지 마. 필요하다면 위험과 분실 시 revoke 절차를 설명하고 별도 승인을 받아.
11. 공유기 22번 forwarding, router DMZ, 공인 IP bind는 설정하지 마.

결과는 '현재 노출 / SSH 방식 선택 / Tailscale 설치 / policy 초안 / 단계별 실행·검증 / sshd hardening / firewall / 복구 절차 / 최종 노출 점검' 순서로 보고해.

tailscale status
tailscale ip -4
sudo ss -lntup
sudo sshd -t
sudo sshd -T | grep -E 'permitrootlogin|passwordauthentication|pubkeyauthentication'
sudo ufw status verbose