[AWS] AWS 이론 - 8. Amazon VPC

 

* AWS 네트워크 서비스인 VPC에 대해 알아본다.

 

 

 

1. Amazon VPC ( Virtual Private Cloud )

* 가상 네트워크 환경 

 

* On-Premise 데이터센터와 연결 옵션 제공

 

* VPC내 모든 EC2 인스턴스에 공인 IP 할당 가능

 

 

 

2. VPC 생성 절차

1) 리전, IP 대역 결정

* RFC 1918 ( Private IP 표준 ) 권장

 

* 확정성을 고려하여 충분히 큰 CIDR ( Classless Inter-Domain Routing ) 지정.

  생성 후 변경 불가 ( Secondary CIDR 4개까지 추가 가능)

 

* VPC 네트워크 범위는 /16 (65534) ~ /28 (14) 까지 가능

 

 

2) 가용영역에 Subnet 생성

* IP : 12345678 . 12345678 . 12345678 . 12345678

   [ 앞 16자리 Network ID ] . [ 다음 8자리 Subnet ID ] . [ 다음 8자리 Host ID ]

 

* 공용, 사설 서브넷은 가용영역에 함께 분리해서 구성 가능.

 

 

3) 라우팅 (Routiong) 설정

* 라우트 테이블 ( Route Table )

  - Packet이 어디로 가야할지 정의하는 Route Policy 집합

  - 목적지 찾는 용도로 VPC와 동시 생성

  - 사용자정의 라우트테이블을 만들어 서브넷 별로 적용 가능

 

* 메인 라우트 테이블 ( Main Route Table )

  - 서브넷의 리소스간(EC2 등) 통신 목적으로 삭제 불가하다.

  - VPC 생성 시 자동 생성되며 암시적( implicitly )으로 적용

  - 서브넷 : 라우트 테이블 = 1 : 1

 

* 사용자 라우트 테이블 ( Custom Route Table )

  - VPC 외부 리소스( 예: 인터넷, On-Premise 데이터센터 )와 통신을 위한 Route rule 추가

  - 명시적 ( Explicitly )으로 적용

 

 

4) 트래픽 (Traffic) 통제

* 라우트 테이블 : 서브넷 단위 라우팅 통제 ( 목적지 정보 제어 )

 

* 네트워크 접근 제어 목록 ( Network ACL )

  - 서브넷 단위

  - Stateless ( return 트래픽 자동 허용 ) 방화벽

  - 허용/거부 규칙 존재 ( default 모든 트래픽 허용 )

  - IP 및 TCP / UDP 포트 기반

  - 순서대로 규칙 확인

 

* 보안 그룹 ( Security Group )

  - 인스턴스 단위

  - Stateful ( return 트래픽에 대해 allow 규칙 설정 필요 ) 방화벽

  - 허용 규칙만 존재 ( 모든 통신 거부 > 허용 설정 )

  - 모든 규칙 확인 후 판단

 

 

3. VPC 확장 기능

1) Internet

* VPC Internet Gateway에 연결하고, NAT에 추가하면 인터넷 통신 가능

 

* EIP ( Elastic IP )

  - Account에 할당되어 변경되지 않는 EIP 할당 ( 퍼블릭 고정 IPv4 )

  - EC2 인스턴스 장애 시, 다른 EC2 인스턴스로 EIP를 Re-Associate

  - 리전 당 기본 5개의 Elastic IP 주소 할당 가능 ( Soft-Limit )

  - Allocation / Release : Account에 EIP 할당 또는 반납

  - Associate / Disassociate : EC2/NAT GW 인스턴스에 EIP 연결 또는 분리

 

 

2) On-Premise

* VPN Gateway

  - IPSec Site-to-Site VPN 통해 암호화 터널 구성

  - 터널은 이중화 되어있고, TLS ( Transport Layer Security ) 규약을 따름

 

* AWS Direct Connect 

  - 전용회선을 통해 직접 연결

 

 

3) Other AWS Regions

* VPC Peering

  - 동일 리전 내 VPC 간 전용 연결 (1:1)

  - VPC 당 하나의 VPC Peering 제공, VPC 간 IP 중복 불가.

  - 고가용성 및 Traffic 수평적 확장 제공

  - 라우팅 테이블 통해 통제 가능

  - 전송 중 암호화 ( Inter Region VPC )

 

 

* AWS Transit Gateway 

  - 다중 VPC간 연결