[dev] 컨테이너를 활용해 보자 #1 - 샌드박스 (sandbox)

컨테이너 기술에 대해서 글을 적어볼까 합니다.

첫편은 비 개발자들도 관심을 갖고 읽어볼 수 있도록 용어 및 개념 설명부터 캐주얼하게 시작하겠습니다. 너무쉬워서 도저히 못참겠다 하시는 분들은 한번만 참아주세요. 다음편 부터는 개발자만을 대상으로, 좀더 구체적인 내용으로 들어갈 계획입니다.

컨테이너에 대해서 이야기 하기 위해서 무엇부터 이야기를 해야할까 생각을 해 봤습니다. 여러 방향에서 접근할 수 있으나, 저는 먼저 샌드박스라는 것부터 한번 이야기를 시작해 볼까 합니다.

샌드박스?

컨테이너 이야기하다가 갑자기 샌드박스 이야기를 하니, 우릴 무시하느냐, 아무나 갖다붙이느냐, 재밌는 글인척 하려고 낚시하는거냐 하시는 비 개발자 분들이 계실지도 모르겠습니다. 맞습니다 (아닙니다, 맞습니다), 샌드박스(sandbox)는 말그대로 모래상자입니다. 놀이터에 가면 어린이들이 놀 수 있는 공간에 모래를 가득 채워놓았죠? 어린이들이 넘어져도 굴러도 다치지 않고, 모래의 특성상 바닥도 손상되지 않지요. 뭐든지 마음놓고 할 수 있는 공간입니다.

출처

이번에는 모래가 가득 들은 쟁반 있다고 상상해 봅시다 (sandbox가 아닌 sand tray이긴 합니다만). 모래를 평평하게 만든 후, 손가락으로 글씨를 썼다 지우고, 모래성을 쌓았다 부수고, 구멍을 팠다 메우고 할수 있습니다. 마음껏 놀고나면? 손바닥으로 스윽 모래를 평평하게 하면 리셋 되지요. 모래가 너무 더러우면? 가져다 버리세요.

출처

그렇다면 샌드박스가 소프트웨어 분야에서 왜 필요한걸까?

소프트웨어 분야에서 샌드박스라는것은, 뭔가 안전하지 않거나, 임시적인 실험등을 안전하게 수행할 수 있는 공간을 의미합니다. 이 개념에서 출발하여 여러 가지로 뻗어 나가게 됩니다.

간단한 예를 들어 볼께요. 바이러스 파일을 분석하는 프로그램을 만들었습니다. 이제 실제 테스트 해볼 일만 남았는데, 자신의 PC에서 테스트하다가 바이러스에 감염될까바 걱정이 됩니다. 사람이 만든코드에는 오류가 있기 마련이고, 바이러스는 100% 막을 수가 없기 때문입니다. 게다가 그 바이러스는 시스템을 몽땅 날려버리는 악성 바이러스입니다.

이 프로그램은 어떻게 프로그램을 테스트 할까요? 그렇습니다. 자신의 PC안에 샌드박스를 만들고, 그안에 자신의 프로그램과, 바이러스 파일을 넣은후 돌려보면 됩니다. 프로그램에 오류가 있어서 바이러스가 활개를 친다 하더라도, 그 영향력이 샌드박스 밖으로 미치지 못합니다. 모래상자 안에만 난장판이 될 뿐이지요. 난장판이 된 샌드박스를 지워버리기만 하면 모든게 없었던 일이 됩니다. 참 쉽죠?

또다른 예를 들어 볼까요? 프로그램의 오류를 악용하는 바이러스들도 있습니다. 예를 들면, 많은 아마추어 개발자들에 의해 개발된 프로그램들은, 아주아주 드문 케이스에 발생할 수 있는 오류들을에 대한 처리 로직이 없는 경우가 있습니다. 그 부분을 노리고 공격하는 악성코드들에게 먹잇감이 되지요. 하지만 그런 상황을 재현시키고 프로그램을 테스트하는것이 그리 간단하지는 않습니다. 요즘같은 세상에 하드디스크 용량이 1메가만 남았을때 프로그램이 어떻게 동작하는지 테스트하려면 다음중 어떤방법이 가장 좋을까요?

1. 용량을 채워서 실제로 1메가만 남도록 한다
2. 하드 파티션을 나눠서 1메가 남은 디스크를 만든다
3. 1메가의 용량을 가진 샌드박스 만든다.

네 정답은 3번입니다. 물론 마운트 등을 통해서 용량 제한을 줄 수 있지 않느냐 하시는분이 있을수 있습니다. 50K 메모리만 남은 상황에서 시험하고 싶다는 조건이 추가 된다면? 네, 샌드박스 없이는 눈물겨운 뻘짓을 할 수 밖에는 없습니다. 물론 샌드박스 없이도 가능하기는 하고, 실제로 소프트웨어 유닛테스트시에 사용되고 있으나, 여기서는 다루는 영역을 벗어나니 생략합니다.

이렇게 샌드박스를 만들어서 뭔가를 돌리는것을 샌드박싱 이라고 합니다. Isolation 이라는 용어도 사용되고 있으나, 더욱 보편적인 용어는 역시 샌드박싱입니다.

샌드박스는 어떻게 만드나?

샌드박스를 만드는 방법은 다양합니다.

1. 성능구린 컴퓨터를 하나 사서 프로그램을 돌리고, 바이러스걸리면 포멧한다
   가장 원초적인 샌드박싱입니다. 아주 오래전에는 이 방법이 최선이었지만, 지금은 똥멍청이짓이라고 부릅니다.

2. 가상머신(Virtual Machine; VM)을 만든다
   가장 확실한 샌드박스입니다만 상당히 무겁다는것이 단점이죠.

3. 수제 샌드박스를 만든다 - fork-exec, chroot, cgroups, namespace, apparmor etc..
   수제라는 말이 왠지 고급지지만, 소프트웨어에서 '수제'라 함은 원시적이고 노가다중의노가다임을 의미합니다. 리눅스 커널과 그위의 툴을 통해서 샌드박스를 만들 수 있습니다. 독자가 원하지 않을 것 같아서 생략합니다. 원하시는 분 계시면 나중에 추가로 다루도록 하겠습니다.

4. 컨테이너를 만든다
   컨테이너는 시스템 자원을 공유하면서도, 독립적인 환경과 제약을 만들 수 있습니다. 생성 삭제가 엄청나게 빠르고, 부팅이 필요가 없습니다. 백개고 천개고 만들수 있으며, 허용된 자원을 공유하기때문에 집적도 등의 효율이 높습니다. 가상머신에 비해서 보안쪽 약점이 존재합니다. 또한 독립성과 고립성이 가상머신에 비해 많이 떨어집니다.

컨테이너는 가상머신과 라이벌 존재가 아니라 상호 보완재로 사용됩니다. 제가 하고있는 프로젝트도 VM과 컨테이너를 혼용하고 있으며, 컨테이너 덕분에 복잡한 문제를 많이 해결했습니다. 샌드박싱으로 이야기를 시작했지만, 컨테이너의 사용 범위는 무궁무진합니다. 앞으로 힘이 닿는데로 조금씩 다뤄 보겠습니다. 물론 제가 이론에 약하니, 실제 사용해보는 쪽으로 진행해 보려고 합니다.

감사합니다.