🏠 MySQL과 Tailscale로 안전한 홈서버 만들기(외부 접속)

🏠

기존에 오라클로 홈서버를 만들었었다. 요기

AWS로 환경을 변경하면서 MySQL로 마이그레이션을 하게 돼서 MySQL로 홈서버를 구축했다.

 

처음에는 오라클 환경처럼 공유기 포트포워딩으로 MySQL의 3306 포트를 외부에 공개하려 했지만

이번에는 Tailscale이란 신세계를 접하게 되어 Tailscale을 사용해 구축했다.

 

💭
Tailscale을 이용하면 인터넷 상에 포트를 공개하지 않고 팀원만 안전하게 접속할 수 있다.
팀원은 내 컴퓨터의 공인 IP나 공유기 내부 IP로 접속하지 않고 Tailscale이 발급한 100.x.x.x 형태의 전용 IP로 MySQL에 접속한다.

Tailscale을 사용하면 공인 IP가 변경되어도 영향을 받지 않기 때문에 IP가 변경될 걱정을 하지 않아도 된다!

 

---

 

MySQL 외부 접속 허용하기

팀원이 접속하려면 MySQL이 외부 네트워크 인터페이스에서도 연결을 받도록 설정해야 한다.

C:\ProgramData\MySQL\MySQL Server 8.4\my.ini

MySQL 설정 파일은 일반적으로 위와 같은 위치에 있고 ProgramData는 숨김 폴더다.

my.ini를 관리자 권한으로 열고 [mysqld] 부분의 bind-address를 0.0.0.0으로 수정한다.

 

[mysqld]
bind-address=0.0.0.0
port=3306

bind-address가 127.0.0.1으로 되어있다면 다른 PC에서는 접속할 수 없고 로컬 연결만 허용한다.

설정을 수정했다면 PowerShell에 아래 명령어를 입력한다.

 

Restart-Service MySQL84

1. MySQL 서비스를 재시작한다. 

 

Get-NetTCPConnection -LocalPort 3306 -State Listen

2. 정상적으로 포트를 열고있는지 확인한다.

 

위처럼 나오면 정상이다.

127.0.0.1:3306만 나온다면 my.ini 설정을 다시 확인해야 한다.

 

 

프로젝트 데이터베이스 생성하기

먼저 MySQL 환경변수를 등록하지 않았다면 등록해준다.

경로: C:\Program Files\MySQL\MySQL Server 8.4\bin

 

 

MySQL 관리자 계정으로 접속한다.

mysql -u root -p

비밀번호를 입력할 때 PowerShell 화면에는 아무것도 표시되지 않는다.

입력이 안 되는 것처럼 보여도 실제로는 입력되고 있으므로 비밀번호를 입력하고 Enter를 누르면 된다.

 

이번 프로젝트에서 사용할 데이터베이스를 생성한다.

CREATE DATABASE 프로젝트명
    CHARACTER SET utf8mb4
    COLLATE utf8mb4_0900_ai_ci;

생성된 데이터베이스를 확인한다.

SHOW DATABASES;

 

 

외부 접속용 계정 만들기

팀원이 접속할 때 root 계정을 사용하면 안 된다.

root는 서버 전체를 관리할 수 있기 때문에 문제가 생겼을 때 피해 범위가 너무 크다.

따라서 팀원별로 별도의 계정을 만드는 것이 좋다.

 

CREATE USER 'gildong'@'100.90.30.40'
IDENTIFIED BY '길고-복잡한-개별비밀번호';

gildong 에는 팀원 이름이나 닉네임을, @뒤 부분엔 팀원의 IP를 입력하면 된다.

 

아직 팀원의 Tailscale IP를 모르는 상태라면 다음처럼 계정을 만들 수 있다.

CREATE USER 'team_user'@'%'
IDENTIFIED BY '길고-복잡한-비밀번호';

'team_user'@'%'는 모든 IP에서 해당 계정으로 로그인할 수 있다는 의미다.

 

팀원에게 필요한 권한을 부여한다.

GRANT SELECT, INSERT, UPDATE, DELETE,
      CREATE, ALTER, INDEX, REFERENCES
ON 데이터베이스명.*
TO 'gildong'@'100.90.30.40';

FLUSH PRIVILEGES;

개발 중 테이블 삭제가 필요하다면 DROP 권한을 추가한다.

GRANT DROP
ON 데이터베이스명.*
TO 'gildong'@'100.90.30.40';

 

아래 명령어를 입력해 마무리.

FLUSH PRIVILEGES;

 

등록된 사용자와 접속 허용 주소는 다음 쿼리로 확인한다.

SELECT User, Host
FROM mysql.user;

 

 

Tailscale 설치하기

Tailscale은 여러 컴퓨터를 하나의 사설 네트워크처럼 연결해주는 VPN 서비스다.

Tailscale 다운로드

 

MySQL 홈서버로 사용할 내 컴퓨터와 팀원 컴퓨터에 모두 Tailscale을 설치해 각자 계정을 만들어 로그인한다.

내 홈서버의 Tailscale IP는 다음 명령어로 확인한다.

tailscale ip -4

명령어를 입력하면 나오는 주소가 팀원이 MySQL에 접속할 때 사용할 호스트 주소다.

 

 

팀원에게 홈서버 장치 공유하기

먼저 Tailscale 관리자 페이지로 이동한다.

Tailscale Machines 관리 페이지

 

다음 순서로 공유한다.

1. MySQL이 설치된 홈서버 컴퓨터를 찾는다.
2. 오른쪽의 ⋯ 버튼을 hover하면 노출되는 Share를 선택
3. 팀원의 이메일을 입력하고 초대를 전송한다.
4. 팀원이 이메일로 받은 초대를 수락한다.

장치 공유 방식을 사용하면 팀원에게 내 Tailscale 네트워크 전체가 노출되지 않고 공유한 홈서버 한 대에만 접근할 수 있다.

팀원이 여러 명이라면 이메일로 각각 초대하는 것이 안전하다. 

 

 

Windows 방화벽에서 MySQL 허용하기

Tailscale 연결이 되어 있어도 Windows 방화벽이 3306 포트를 막고 있으면 팀원은 MySQL에 접속할 수 없다.

팀원 컴퓨터에서 다음 명령어로 Tailscale IP를 확인한다.

tailscale ip -4

 

팀원 IP가 100.x.x.x 이라면 내 홈서버의 관리자 PowerShell에서 해당 IP만 허용한다.

New-NetFirewallRule `
  -DisplayName "MySQL - 팀원 홍길동" `
  -Direction Inbound `
  -Protocol TCP `
  -LocalPort 3306 `
  -RemoteAddress 100.x.x.x `
  -Action Allow

팀원이 여러 명이라면 팀원별로 규칙을 만드는 것이 관리하기 편하다.

 

등록된 MySQL 방화벽 규칙은 다음 명령어로 확인한다.

Get-NetFirewallRule |
  Where-Object DisplayName -Like "*MySQL*" |
  Format-Table DisplayName, Enabled, Direction, Action

 

 

팀원 컴퓨터에서 연결 테스트하기

팀원이 DBeaver를 바로 실행하기 전에 Tailscale 연결부터 확인해야 한다.

팀원 컴퓨터에서 다음 명령어를 실행한다.

tailscale status

목록에 공유받은 홈서버가 보여야 한다.

 

그다음 Tailscale 전용 ping을 실행한다.

tailscale ping 100.x.x.x

여기서 입력하는 IP는 반드시 내 홈서버의 Tailscale IP여야 한다.

 

마지막으로 MySQL 3306 포트에 연결할 수 있는지 확인한다.

Test-NetConnection 100.x.x.x -Port 3306

 

정상이라면 다음과 같이 표시된다.

TcpTestSucceeded : True

 

 

 

DBeaver에서 홈서버 MySQL 연결하기

팀원은 DBeaver에서 MySQL 연결을 추가하고 다음과 같이 설정한다.

DB 종류: MySQL
Host: 내 홈서버의 Tailscale IP
Port: 3306
Database: 데이터베이스명
Username: 팀원 전용 계정
Password: 팀원 전용 비밀번호

Test Connection을 눌러 연결을 확인한다.

 

Spring Boot에서는 다음과 같이 설정할 수 있다.

spring:
  datasource:
    url: jdbc:mysql://100.x.x.x:3306/데이터베이스명?serverTimezone=Asia/Seoul&characterEncoding=UTF-8
    username: gildong
    password: ${DB_PASSWORD}
    driver-class-name: com.mysql.cj.jdbc.Driver

 

 

⚠️ TcpTestSucceeded : False가 발생했을 때

팀원이 다음 명령어를 실행했는데 실패할 수 있다.

Test-NetConnection 100.x.x.x -Port 3306

TcpTestSucceeded : False

이 오류는 아직 MySQL 계정이나 비밀번호를 확인하는 단계까지 도달하지 못했다는 뜻이다. 보통 다음 중 하나가 원인이다.

• 잘못된 IP를 입력했다.
• Tailscale 연결이 끊겨 있다.
• 장치 공유 초대를 수락하지 않았다.
• MySQL 서비스가 중지되어 있다.
• MySQL이 127.0.0.1에서만 연결을 받고 있다.
• Windows 방화벽이 3306 포트를 차단하고 있다.

먼저 팀원 컴퓨터에서 확인한다.

tailscale status
tailscale ping 내_홈서버_Tailscale_IP
Test-NetConnection 내_홈서버_Tailscale_IP -Port 3306

 

판단 방법은 다음과 같다.

tailscale ping 실패
→ Tailscale 로그인 또는 장치 공유 문제다.

tailscale ping 성공 + 3306 실패
→ MySQL 리스닝 또는 Windows 방화벽 문제다.

3306 성공 + DBeaver 실패
→ MySQL 계정, Host, 권한 또는 비밀번호 문제다.

 

내 홈서버에서는 다음 항목을 확인한다.

tailscale ip -4
Get-Service -Name "MySQL*"
Get-NetTCPConnection -LocalPort 3306 -State Listen
Test-NetConnection 내_Tailscale_IP -Port 3306

LocalAddress가 127.0.0.1이라면 my.ini의 bind-address 설정을 다시 확인해야 한다.

 

 

⚠️Tailscale에서 로그아웃 또는 Expired가 뜰 때

팀원이 Tailscale에서 Logged out, Expired 또는 재인증 관련 메시지를 볼 수 있다.

Tailscale은 보안을 위해 각 장치의 인증 키를 주기적으로 만료시킨다.

인증 키가 만료되면 해당 컴퓨터는 Tailscale 네트워크에서 연결이 끊기고 MySQL에도 접속할 수 없다.

 

이 경우 팀원은 Tailscale 앱을 열고 다시 로그인하면 된다.

PowerShell에서는 다음 명령어로 강제 재인증할 수 있다.

tailscale up --force-reauth

 

브라우저가 열리면 기존에 장치 공유 초대를 수락했던 동일한 계정으로 로그인한다.

재인증 후 다음 명령어로 상태를 확인한다.

tailscale status
tailscale ip -4

 

그다음 다시 테스트한다.

tailscale ping 내_홈서버_Tailscale_IP
Test-NetConnection 내_홈서버_Tailscale_IP -Port 3306

 

재로그인 후 팀원의 Tailscale IP가 변경됐다면 Windows 방화벽과 MySQL 사용자에 등록한 기존 IP도 수정해야 한다.

내 홈서버는 항상 접속 가능해야 하므로 인증 키 만료를 비활성화할 수 있다.

1. Tailscale Machines 관리 페이지에 접속한다.
2. 홈서버 오른쪽의 ⋯ 버튼을 누른다.
3. Disable Key Expiry를 선택한다.

 

팀원 개인 컴퓨터는 보안을 위해 인증 만료를 유지하고, 만료됐을 때 다시 로그인하는 편이 좋다.

 

 

 

✅ 보안을 위해 꼭 지켜야 할 것

홈서버는 편리하지만 설정을 잘못하면 데이터베이스가 외부 공격에 노출될 수 있다.

최소한 다음 원칙은 지키는 것이 좋다.

- 공유기에서 3306 포트를 인터넷에 포트포워딩하지 않는다.
- 외부 접속에 root 계정을 사용하지 않는다.
- 팀원별로 MySQL 계정을 따로 만든다.
- 계정에는 프로젝트 DB에 필요한 권한만 부여한다.
- 팀원마다 서로 다른 비밀번호를 사용한다.
- Windows 방화벽 전체를 끄지 않는다.
- Tailscale IP 또는 Tailscale 대역에서만 3306을 허용한다.
- 프로젝트에서 빠진 팀원의 Tailscale 공유와 MySQL 계정을 제거한다.
- DB 비밀번호를 Git 저장소에 커밋하지 않는다.
- 중요한 데이터는 정기적으로 백업한다.

 

 

💭 마무리

처음에는 MySQL 홈서버를 만들려면 공인 IP, 포트포워딩, 공유기 설정 등 복잡한 과정이 필요할 것이라고 생각했다.

하지만 Tailscale을 사용하니 공유기 설정 없이 내 컴퓨터와 팀원 컴퓨터를 하나의 사설 네트워크처럼 연결할 수 있었다.

오라클에 비해 너무나 간단하고 신기해서 신세계였다.

MySQL의 3306 포트를 인터넷 전체에 공개하지 않아도 된다는 점도 마음에 들었다.

 

비용 부담 없이 사이드 프로젝트용 공용 데이터베이스가 필요하다면 MySQL과 Tailscale을 조합한 홈서버도 충분히 괜찮은 선택이다. 우리는 배포를 위해 결국 AWS로 다시 이관했지만...