WireGuard & 경로 선택
직접 UDP, 구성된 Peer Relay, DERP relay를 사용할 수 있습니다. 모두 WireGuard로 종단 간 암호화됩니다. 이번 지도는 실제 패킷의 direct/relay 여부를 측정하지 않았습니다.
Tailscale 연결 모델 ↗INFRASTRUCTURE / OVERVIEW
직접 조회검증 기록실패 / 보류실선: 경로 · 점선: 미성립
PATH WALKTHROUGH
접속은 어떻게 이루어지나요?
구성 설명용 단계 재생 · 실제 패킷 캡처가 아닙니다.
i
현재와 목표를 구분합니다. 운영 토큰 발급, 실제 Target 앱 배포, DB 복제 복구, 트래픽 전환은 남은 연결입니다.
IDENTITY & AUTHORIZATION
누가, 어디까지 접근할 수 있나요?
네트워크 도달, 신원 인증, 리소스 인가는 서로 다른 관문입니다.
01Network
→Tailscale ACL · VPC · NetworkPolicy
02Authentication
→개인 신원 · AWS IAM · ServiceAccount
03Authorization
Kubernetes RBAC · DB role · S3 권한
| 접근 주체 | 접근망 | 네트워크 범위 | 허용 범위 | 제한 범위 | 근거 수준 |
|---|
TRANSPORT ≠ PERMISSION
Tailscale은 네트워크를 잇고, RBAC는 작업을 제한합니다.
TLS & Kubernetes identity
워크로드 API는 TLS server name 검증을 유지하고 원래 ServiceAccount Bearer 토큰을 전달합니다. API proxy의 noauth 모드는 Kubernetes 인증·인가를 생략하지 않습니다.
Kubernetes ServiceAccount ↗DNS & Service discovery
사람용 MagicDNS 이름, 워크로드의 cluster-local Service, 원본 인증서의 server name을 구분해야 합니다. Service 이름을 바꾸는 것만으로 인증서 신원이나 RBAC가 바뀌지 않습니다.
Kubernetes DNS ↗OBSERVATIONS & OPEN CONNECTIONS
확인한 사실, 아직 남은 연결
시점별 스냅샷입니다. 브라우저가 클러스터에 직접 접속하거나 상태를 자동 갱신하지 않습니다.
직접 조회와 검증 기록 SOURCES
진행 중인 연결 NOT ACTIVE TRAFFIC
범위와 해석
현재 팀 정본 platform·demo-chat과 AWS Source / AWS Platform / 온프레미스 Target을 기준으로 합니다. 종료된 개인 실험, 이전 Railshot 자원, 정리된 probe Job은 활성 지도에서 제외했습니다. Ready는 데이터 동작 성공을, PR 병합은 통합 완료를, Tailscale Online은 API 가용성을 보장하지 않습니다.