base의 보안 프리미티브
W^X (쓰기 가능과 실행 가능 둘 다인 페이지 없음), KARL (모든 부팅에서 재무작위화되는 커널), pledge(2) (데몬이 자신에 대해 선언하는 syscall 화이트리스트), unveil(2) (선언된 경로로 축소된 파일시스템 가시성) — 모두 기본 시스템에, 기본적으로 켜져 있음, 체크리스트 필요 없음. 스톡 Linux에서 악용 가능했을 한 부류의 버그가 단순히 도달할 수 없습니다.
운영 체제
·
OpenBSD 7.5 + 7.6
OpenBSD VPS, KYC 없음.
신원을 묻지 않는 북유럽 호스트에서 기본값부터 안전하게.
모든 등급에 사전 설치된 OpenBSD 7.5와 7.6, W^X, KARL, pledge/unveil 및 syspatch가 기본적으로 켜져 있음. systemd 없음, 텔레메트리 없음, NordBastion 패치 없음 — openbsd.org 출처의 새 install(8)에 가깝습니다.
요약
- 01
모든 등급에 사전 설치된 OpenBSD 7.5와 7.6 — Sentinel에서 Citadel까지, 추가 요금 없음, 라이선스 비용 없음.
- 02
기본적으로 켜진 W^X, KARL, pledge(2) 및 unveil(2) — 따라야 하는 강화 체크리스트가 아닌, base에 구워진 보안 프리미티브.
- 03
4개 노르딕 헌법 관할권 중 하나에 고정 — 스웨덴, 핀란드, 노르웨이 또는 아이슬란드 — Bitcoin 또는 Monero로 결제.
왜 NordBastion에 OpenBSD인가
기본적으로, 자신을 감사하는 운영체제.
의도적인 릴리스 모델
연 2회 릴리스, 정확히 일정에 맞춰, 그 사이의 errata를 위한 syspatch(8)와 함께. "롤링 안정" 없음, 수년에 걸친 LTS 없음, 대역외 패치가 필요한 깜짝 헤드라인 CVE 없음. 릴리스 일정은 운영체제 역사에서 가장 예측 가능한 것 중 하나입니다.
systemd 없음, 깜짝 없음
서비스 감독을 위한 rc.d 셸 스크립트, 스케줄링을 위한 cron(8), sudo 대신 doas(1), /bin/sh로서의 ksh — 모든 구성 요소는 작고, 단일 잘 정의된 계약으로 작성되었으며, 소스를 읽으실 수 있습니다. DNS, 마운트 및 타이머를 흡수하도록 성장한 PID 1이 없습니다.
사전 설치된 이미지
네 개의 OpenBSD 이미지, 각각 한 번의 클릭.
| 이미지 | 슬러그 | 사용 사례 |
|---|---|---|
| OpenBSD 7.6 (-current) | openbsd-7.6 |
현재 릴리스 — 2026년 새 OpenBSD 서버에 대한 기본 선택, base 전체에 최신 pledge/unveil 커버리지와 함께. |
| OpenBSD 7.5 (-stable) | openbsd-7.5 |
이전 릴리스, errata 패치와 함께 여전히 -stable에 — 7.6에 대해 아직 재검증되지 않은 런북을 위해. |
| OpenBSD 7.6 + httpd | openbsd-7.6-httpd |
Base httpd(8)과 acme-client(1) 사전 구성됨 — 자동 갱신 인증서가 있는 정적 사이트 또는 역방향 프록시, 60 MB 미만 상주. |
| OpenBSD 7.6 + relayd | openbsd-7.6-relayd |
TLS 종료 L4/L7 프록시로 사전 연결된 relayd(8) — 공개 TLS 계층에서 멀리 샌드박싱하고 싶으신 애플리케이션 스택 앞에 유용함. |
요청 시 다른 모든 OpenBSD 릴리스 또는 install76.img 워크플로우에 대해 커스텀 ISO 마운트 사용 가능 — 패널을 통해 티켓 없음.
NordBastion의 OpenBSD 대 Linux
OpenBSD 또는 Linux. 두 가지 철학, 하나의 네트워크.
OpenBSD · 감사됨
공개 인터넷에 사는 데몬을 위해.
base에 구축된 보안 프리미티브. 더 작은 패키지 세트, 의도적인 연 2회 릴리스 주기, systemd 없음, 컨테이너 스택 없음. 샌드박싱하고 싶으신 단일 목적 인터넷 대면 데몬에 올바른 선택.
Linux · 생태계
Docker가 필요한 워크로드를 위해.
컨테이너, Kubernetes, 공급업체 바이너리, 현대 관찰성 스택 — 모두 Linux를 가정합니다. 안정성을 위해 /debian-vps/ 또는 가장 광범위한 생태계를 위해 /ubuntu-vps/를 선택하십시오.
FreeBSD · zfs + jails
ZFS 우선 스토리지와 jails를 위해.
다른 BSD 짝지움 — 일급 ZFS, jails, bhyve. OpenBSD보다 덜 보안에 편집증적이지만, 훨씬 더 풍부한 ports 트리와 허용적인 라이선스와 함께. /freebsd-vps/를 참조하십시오.
등급 선택
OpenBSD 서버에 올바른 등급. 세 가지 결정, 세 가지 워크로드.
-
$3.90 / MO
Sentinel — 사이드카, 개인
2 vCPU, 4 GB RAM, 120 GB NVMe. OpenBSD의 base 풋프린트는 매우 작아서 이 등급은 모든 샌드박스가 활성화된 채로 httpd + relayd + unbound, WireGuard 엔드포인트, 또는 OpenSMTPd 메일 릴레이를 편안하게 실행합니다.
-
$7.90 / MO
Garrison — 운영 단일 서비스
4 vCPU, 8 GB RAM, 240 GB NVMe. OpenBSD 호스팅 권위 DNS (nsd + unbound + dnsmasq), 또는 작은 Gemini/Gopher 캡슐, 또는 pledge/unveil에 대해 작성된 감사된 애플리케이션에 적정 지점.
-
$16.90 / MO
Ravelin — 다중 서비스 스택
8 vCPU, 16 GB RAM, 480 GB NVMe. 여섯 개의 샌드박싱된 데몬을 호스팅하는 OpenBSD 엣지 라우터 대체 (pf + relayd + iked + dhcpd)에 편안함.
전체 등급 라인 — Sentinel · Garrison · Ravelin · Bulwark · Citadel — /vps/에서.
결론
NordBastion의 OpenBSD는 기본적으로 감사된 옵션입니다. 공개 인터넷에 사는 것에 대해 선택하십시오.
인터넷 대면 데몬 — 역방향 프록시, 권위 DNS, 메일 릴레이, acme-client 뒤의 작은 정적 사이트 — 에 NordBastion의 OpenBSD는 강화 체크리스트 없이 W^X, KARL, pledge 및 unveil을 제공합니다. 노르딕 KYC 없는 호스트와의 짝지움은 일관됩니다: 마케팅 주장보다 보안과 자유 소프트웨어 작성된 약속을 한 두 조직.
진정으로 컨테이너 생태계가 필요하실 때 Linux 배포판 (참조 /debian-vps/, /ubuntu-vps/, /arch-linux-vps/)을 선택하십시오. 진정으로 기본 시스템이 신뢰 경계가 되어야 할 때 OpenBSD를 선택하십시오.
FAQ · OpenBSD
NordBastion의 OpenBSD, 답변해 드립니다.
운영자들이 프라이버시 우선 호스트에 보안 우선 BSD를 배포하기 전에 실제로 묻는 질문.
NordBastion은 어떤 OpenBSD 릴리스를 지원합니까?
현재 릴리스로서 OpenBSD 7.6 (이미지 빌드 시점에 최신 스냅샷으로 재기준된 -current), 그리고 syspatch를 통해 여전히 errata 패치를 받는 이전 릴리스로서 7.5. 더 오래된 릴리스는 패널에 없습니다 — OpenBSD의 업스트림 입장은 지원되는 릴리스를 실행해야 한다는 것입니다 — 그러나 알려진 이유로 7.4 또는 이전을 의도적으로 실행하시는 누구든에게 커스텀 ISO 마운트가 제공됩니다.
대부분의 서버가 Linux를 실행하는데 왜 OpenBSD입니까?
OpenBSD가 다른 기본값을 만들기 때문입니다. 기본 시스템은 W^X 하에서 바이너리를 실행하고, 커널은 부팅 시 재무작위화됩니다 (KARL), 감사된 데몬의 syscall은 pledge(2)에 의해 제한되고 파일시스템 접근은 unveil(2)에 의해 제한되며, 결과는 스톡 Linux 시스템에서 악용 가능했을 한 부류의 버그가 단순히 도달할 수 없다는 것입니다. 이 중 어느 것도 활성화하시도록 기억하실 것을 요구하지 않습니다.
커널은 커스텀입니까?
아니오 — 스톡 OpenBSD GENERIC.MP. 저희는 커널을 패치하지 않고, 드라이버를 벗기지 않으며, virtio 경로를 위해 커스텀 커널을 사전 컴파일하지 않습니다. KARL은 어쨌든 모든 부팅에서 커널 링크 순서를 재섞으므로, 디스크의 바이너리조차도 의도적으로 다음 운영자의 것과 다릅니다.
ports / pkg_add는 어떻습니까 — 미러는 도달 가능합니까?
예. 기본 이미지의 /etc/installurl은 cdn.openbsd.org를 가리키며, 이는 4개 베이스천 중 어느 곳에서든 노르딕 미러 (일반적으로 ftp.eu.openbsd.org 또는 스웨덴 대학 미러 중 하나)로 해결됩니다. pkg_add와 ports 트리는 추가 구성 없이 작동합니다; 방화벽은 클리어 및 Tor 양파 형태 모두로 OpenBSD 미러 트래픽을 허용합니다.
syspatch가 작동합니까?
예, 그리고 그것은 NordBastion OpenBSD 이미지의 표준 업데이트 경로입니다. syspatch는 전체 소스 빌드 없이 실행 중인 릴리스에 대한 서명된 errata를 적용합니다. 이미지는 표준 일일 cron(8) 항목을 활성화합니다; /etc/daily.local을 편집하여 자동 syspatch에 옵트인하실 수 있습니다. 저희는 syspatch를 직접 자동 적용하지 않습니다 — 그것은 귀하의 결정입니다.
OpenBSD에서 Docker / Kubernetes를 실행할 수 있습니까?
아니오 — OpenBSD는 그 스타일의 네이티브 컨테이너 런타임이 없으며, 프로젝트는 의도적으로 Linux 컨테이너 생태계를 쫓지 않았습니다. 워크로드가 근본적으로 OCI 컨테이너 스택이라면, Debian (참조 /debian-vps/) 또는 Ubuntu (참조 /ubuntu-vps/)에서 실행하십시오. OpenBSD는 호스트에서 직접 사는 데몬 — relayd, httpd, OpenSMTPd, unbound — 그리고 pledge/unveil 샌드박싱으로부터 이익을 얻는 데몬에 올바른 선택입니다.
OpenBSD 이미지에 기본적으로 무엇이 설치됩니까?
OpenSSH, doas, vi, sysmerge, syspatch, 표준 cron 테이블 및 acme-client와 함께하는 base 설치. 기본적으로 제3자 패키지 없음; pkg_add로 자신의 것을 선택하십시오. 이미지는 의도적으로 공식 릴리스의 새 install(8)에 가깝습니다.
KVM에서 OpenBSD에 대한 뉘앙스가 있습니까?
OpenBSD는 KVM에서 견고한 virtio-net, virtio-blk 및 virtio-rng 지원을 가지며, NordBastion은 업스트림 권장 머신 유형 (q35, 스토리지를 위한 virtio-scsi)을 사용합니다. 알아야 할 한 가지: OpenBSD는 기본 설치 레이아웃과 함께 MBR 또는 GPT를 선호하며, 설치 프로그램의 자동 디스크 할당은 virtio 기기에서 잘 작동합니다 — 기억해야 할 특별한 파티셔닝 의식이 없습니다.
