🌐

[SAP] Networking & VPC Architecture

Date

2026/03/07

Amazon VPC

VPC 설계 필수 고려 대상

•

CIDR 계획 — 온프레미스와 겹치지 않게 설계한다. 나중에 피어링/하이브리드 연결 시 CIDR 충돌은 해결할 수 없다

•

서브넷 전략 — Public(IGW Route 존재) / Private(없음) / Isolated(엔드포인트만)

•

Security Group(Stateful) vs NACL(Stateless)

항목	Security Group	NACL
운영 레벨	Instance level	Subnet level
범위	연결된 모든 인스턴스에 적용	연결된 서브넷의 모든 인스턴스에 적용
규칙 유형	Allow rule 만 존재	Allow & Deny rule
규칙 평가(적용)	모든 규칙 평가 후 트래픽 처리	트래픽과 일치하는 규칙까지 오름차순
반환 트래픽	자동 허용 (Stateful)	명시적 허용 필수 (Stateless)

Amazon Virtual Private CloudWhat is Amazon VPC? - Amazon Virtual Private Cloud

VPC Peering vs Transit Gateway

VPC Peering

•

두 VPC 간 1:1 point-to-point 연결

•

Transitive routing 불가 — VPC AB, AC 연결해도 B→C는 통신 불가

◦

모든 VPC 간 Peering을 위해선 n(n-1)/2개 필요

•

VPC 당 최대 125개 활성 peering 연결 가능

•

비용: 데이터 전송 요금만 과금 (연결 자체 무료)

•

대역폭 제한 없음, 레이턴시 최저 → 성능 Good

AWS Transit Gateway

Transit Gateway는 리전 내 VPC 라우팅 구성을 hub-and-spoke 아키텍처로 통합하는 고가용성 관리형 서비스다. 각 Spoke VPC는 Transit Gateway에만 연결하면 나머지 모든 VPC에 접근할 수 있다.

•

Transitive routing 지원

•

리전 당 최대 5,000개 attachment 가능

•

attatchment 당 최대 50 Gbps(burst)

•

비용: 데이터 전송 + 데이터 처리 + 시간당 attachment 요금 발생

•

멀티 계정: AWS RAM으로 TGW 공유 가능

•

멀티 리전: TGW 피어링으로 리전 간 연결 (정적 라우트만 지원)

Amazon VPCWhat is AWS Transit Gateway for Amazon VPC? - Amazon VPC

항목	VPC Peering	Transit Gateway
아키텍처	Full Mesh (1:1)	Hub & Spoke
Transitive routing
하이브리드 연결		VPN/DX 통합
스케일	125 peers per VPC	5,000 attachments
Latency	최저	약간 높음 (추가 hop)
비용	데이터 전송	전송+처리+시간당
적합한 시나리오	VPC 수 적을 때	VPC 수 많거나 온프레미스 통합

AWS Direct Connect (DX)

온프레미스와 AWS 간 전용 물리 회선 연결. 인터넷을 거치지 않아 일관된 대역폭과 낮은 레이턴시 보장

Direct Connect 연결 유형

•

Dedicated Connection — 1/10/100 Gbps, 고객이 직접 AWS와 계약

•

Hosted Connection — 50 Mbps ~ 10 Gbps, 파트너사 경우

Virtual Interface (VIF)

반드시 다음 중 하나의 VIF를 생성해야 한다

•

Private VIF: Private IP로 Amazon VPC에 접근할 때 사용

•

Public VIF: Public IP로 모든 AWS 퍼블릭 서비스에 접근할 때 사용

•

Transit VIF: Direct Connect Gateway와 연결된 하나 이상의 Amazon VPC Transit Gateway에 접근할 때 사용

온프레미스 라우터
    │
    ▼
DX Connection (물리 회선)
    │
    ├─ Private VIF → VGW → 단일 VPC
    ├─ Private VIF → DX Gateway → 여러 리전의 VPC들
    ├─ Transit VIF → DX Gateway → Transit Gateway → 여러 VPC들
    └─ Public VIF → AWS 퍼블릭 서비스 (S3, EC2 퍼블릭 IP 등)
Plain Text
복사

DX HA Patterns

•

DX 단독: 물리 회선 장애 시 다운 (비권장)

•

DX + Site-to-Site VPN 이중화: DX 장애 시 VPN으로 자동 Failover

•

DX + DX(이중화): 서로 다른 DX Location 2개 사용

DX 구축에는 수주~수개월이 소요 → 긴급 연결은 VPN 먼저, 장기적으로 DX 도입 DX + VPN 이중화 시 BGP AS_PATH로 우선순위 조정

AWS Direct ConnectWhat is Direct Connect? - AWS Direct Connect

AWS Site-to-Site VPN

•

IPsec VPN 터널 2개(이중화) 자동 생성

•

BGP 동적 라우팅 또는 정적 라우팅 지원

•

가속 VPN: Global Accelerator를 통해 AWS 백본 경유, 성능 개선

•

VGW(Virtual Private Gateway) 또는 Transit Gateway에 연결

DX vs VPN 선택 기준

•

일관된 대역폭/낮은 레이턴시 필요 → DX

•

빠른 구축/비용 절감 우선 → VPN

•

두가지 모두 필요한 엔터프라이즈 → DX + VPN 이중화

AWS PrivateLink & VPC Endpoint

Gateway Endpoint

Gateway VPC Endpoint는 IGW나 NAT 장치 없이 Amazon S3와 DynamoDB에 안정적으로 연결한다. Gateway Endpoint는 AWS PrivateLink를 사용하지 않으며, 추가 요금이 없다.

•

동작 방식: 라우트 테이블에 prefix list 라우트 자동 추가

•

무료

•

단점: VPC 외부(온프레미스, 피어링된 다른 리전 VPC)에서는 사용 불가

Interface Endpoint (PrivateLink)

AWS PrivateLink를 이용해 VPC 프라이빗 서브넷의 리소스와 VPC 외부의 엔드포인트 서비스를 연결한다. ENI(Elastic Network Interface)가 엔드포인트 서비스로 향하는 트래픽의 진입점 역할을 한다.

•

동작 방식: 서브넷에 ENI 생성, Private IP 할당

•

지원 서비스: S3, DynamoDB를 포함한 대부분의 AWS 서비스 + 타사 서비스

•

시간당 + 데이터 처리 비용 발생

•

장점: 온프레미스(DX/VPN 경유), 피어링 VPC, 타 계정에서도 접근 가능

항목	Gateway Endpoint	Interface Endpoint
지원 서비스	S3, DynamoDB	대부분 AWS 서비스
구현 방식	라우트 테이블 수정	ENI (PrivateIP)
비용	무료	시간당 + 데이터 처리
온프레미스 접근		(DX/VPN 경유)
크로스 리전
Security Group	지원 안 함	지원

온프레미스에서 프라이빗 접근 → Interface Endpoint VPC 내 EC2에서 S3 프라이빗 접근, 비용 최소화 → Gateway Endpoint

Amazon Virtual Private CloudAWS PrivateLink concepts - Amazon Virtual Private Cloud

Amazon Virtual Private CloudGateway endpoints - Amazon Virtual Private Cloud

Route53 Resolver — Hybrid DNS

온프레미스 AWS VPC 간 DNS 쿼리를 해결하는 핵심 서비스

온프레미스 DNS 서버
    │ 쿼리: aws-internal.example.com
    ▼
Route 53 Inbound Endpoint (ENI, AWS에 배치)
    │ → AWS 내부 Route 53으로 전달
    ▼
Private Hosted Zone → 응답 반환
Plain Text
복사

VPC 내 EC2
    │ 쿼리: on-prem.company.com
    ▼
Route 53 Outbound Endpoint (ENI, AWS에 배치)
    │ → Forwarding Rule 적용
    ▼
온프레미스 DNS 서버 → 응답 반환
Plain Text
복사

•

Inbound Endpoint: 온프레미스 → AWS 쿼리 수신

•

Outbound Endpoint + Forwarding Rule: AWS → 온프레미스 쿼리 전달

•

DNS Firewall: 악성 도메인 쿼리 차단 가능

Amazon Route 53What is Route 53 VPC Resolver? - Amazon Route 53

네트워크 보안 계층 방어

인터넷
  │
  ▼
[AWS WAF + AWS Shield] — L7 공격 차단
  │
  ▼
[Internet Gateway]
  │
  ▼
[NACL] — Stateless, 서브넷 레벨
  │
  ▼
[Security Group] — Stateful, 인스턴스 레벨
  │
  ▼
EC2 / 서비스
Plain Text
복사

•

NACL: Stateless(요청 + 응답 각각 규칙 필요), 서브넷 경계, 번호 순서 적용, Deny 규칙 명시 가능

•

Security Group: Stateful(응답 자동 허용), 인스턴스 단위, Allow만 가능

•

AWS Network Firewall: VPC 레벨 L3/L4/L7 필터링, IDS/IPS 기능

NACL은 특정 IP 차단(Deny) 필요 시 사용 Security Group은 참조(다른 SG ID를 소스로 지정) 가능

Summary

개념	한 줄 요약
VPC Peering	1:1, Transitive 불가, 무료(데이터 제외)
Transit Gateway	Hub-Spoke, Transitive 가능, 5000 attachment
DX Private VIF	VPC 접근 (프라이빗 IP)
DX Public VIF	AWS 퍼블릭 서비스 접근
DX Transit VIF	TGW 경유 다수 VPC 접근
Gateway Endpoint	S3/DynamoDB 전용, 무료, 라우트 테이블 기반
Interface Endpoint	모든 서비스, 유료, ENI 기반, 온프레미스 지원
Route 53 Inbound	온프레미스 → AWS DNS
Route 53 Outbound	AWS → 온프레미스 DNS