AWS Network를 어떻게 공부할까? - VPC부터 Transit Gateway, PrivateLink까지

ㅁ 들어가며

AWS를 사용하다 보면 VPC, Subnet, Security Group, Route Table, NAT Gateway, ALB 같은

다양한 네트워크 서비스를 만나게 된다.

각각의 서비스를 생성하고 설정하는 방법은 어렵지 않다.

하지만 네트워크 장애를 분석하거나 조금 복잡한 아키텍처를 만나면 이야기가 달라진다.

 

EC2에서 출발한 패킷은 실제로 어디를 지나갈까?

Route Table은 어느 시점에 경로를 결정할까?

Security Group과 Network ACL은 이 흐름의 어디에 개입할까?

VPC가 여러 개가 되면 VPC Peering과 Transit Gateway는 무엇이 달라질까?

개별 서비스의 사용법을 알고 있어도 이런 질문을 하나의 흐름으로 설명하기는 쉽지 않다.

그래서 이번에는 AWS Network를 서비스 단위로 외우기보다

패킷이 이동하는 하나의 흐름으로 다시 공부해 보려고 한다.

 

ㅁ AWS Network를 공부하는 관점

이번 학습에서 가장 중요하게 생각하는 질문은 하나다.

패킷은 어디에서 출발해서, 어떤 경로와 네트워크 구성요소를 거쳐, 어디에 도착하는가?

 

이를 이해하기 위해 AWS Network를 다음 순서로 바라본다.

Topology
   ↓
Packet Flow
   ↓
Routing
   ↓
Security

 

먼저 어떤 네트워크와 구성요소가 존재하는지 살펴본다.

그다음 실제 패킷이 어디에서 출발하고 어디로 이동하는지 추적한다.

이 과정에서 Route Table이 어떤 경로를 선택하는지 확인하고,

Security Group과 Network ACL 같은 보안 요소가 어디에서 트래픽을 통제하는지 살펴본다.

 

서비스의 정의를 외우기보다 전체 흐름에서 각 서비스가 어떤 역할을 담당하는지 이해하는 것이 목표다.

 

ㅁ AWS Network의 전체 흐름

AWS Network를 공부하면서 다룰 내용을 크게 연결하면 다음과 같다.

Region
  ↓
Availability Zone
  ↓
VPC
  ↓
Subnet
  ↓
IP / ENI
  ↓
EC2 / RDS
  ↓
Security Group / Network ACL
  ↓
Route Table
  ↓
Gateway
  ↓
ALB / NLB / GWLB
  ↓
VPC Peering
  ↓
VPN / Direct Connect
  ↓
Transit Gateway
  ↓
VPC Endpoint / PrivateLink

 

처음에는 하나의 VPC 안에서 네트워크가 어떻게 만들어지는지부터 시작한다.

이후 패킷의 이동과 보안을 살펴보고, 인터넷과 연결한다.

여러 VPC가 필요해지면 VPC Peering과 Transit Gateway로 범위를 확장하고,

온프레미스까지 연결하면 VPN과 Direct Connect가 등장한다.

마지막에는 인터넷을 통하지 않고 AWS 서비스나 다른 VPC의 서비스에 접근하는 VPC Endpoint와 PrivateLink까지 이어진다.

각각 독립된 AWS 서비스처럼 보이지만 전체 흐름을 따라가면 서로 연결된 하나의 네트워크 이야기다.

 

ㅁ AWS Network 학습 목차

이 글은 AWS Network 학습 내용을 연결하기 위한 목차 역할을 한다.

각 글에서도 현재 공부하는 서비스만 설명하는 것이 아니라 이전에 학습한 내용과 어떻게 연결되는지를 함께 살펴본다.

 

01. AWS VPC 네트워킹을 하나의 이야기로 이해하기

공간 → 컴퓨팅 → 연결

AWS Network를 구성하는 요소를 역할에 따라 나누고 VPC, Subnet, ENI가 어떤 관계를 가지는지 살펴본다.

• Region과 Availability Zone
• VPC와 Subnet
• IP와 ENI
• 공간·컴퓨팅·연결
• 포함과 연결의 차이

→ [AWS Network] 01. AWS VPC 네트워킹을 하나의 이야기로 이해하기

 

02. VPC와 Subnet

Region → AZ → VPC → Subnet

AWS에서 네트워크 공간이 어떻게 만들어지고 CIDR을 이용해 어떻게 나누어지는지 살펴본다.

→ [AWS Network] 02. VPC와 Subnet - AWS 네트워크의 경계: Account부터 Subnet까지

 

03. IP, ENI 그리고 EC2

Application → EC2 → ENI → Network

트래픽이 어디에서 만들어지고 EC2가 VPC 네트워크와 어떻게 연결되는지 살펴본다.

→ [AWS Network] 03. IP, ENI 그리고 EC2 - 트래픽은 어디에서 시작할까?

 

04. Security Group과 Network ACL

트래픽을 허용할 것인가?

Security Group과 Network ACL의 차이를 Stateful과 Stateless 관점에서 살펴본다.

→ [AWS Network] 04. Security Group과 Network ACL

 

05. Route Table과 Routing

패킷을 어디로 보낼 것인가?

Route Table의 역할과 Longest Prefix Match를 중심으로 AWS의 라우팅 원리를 살펴본다.

→ [AWS Network] 05. Route Table과 Routing - 패킷을 어디로 보낼 것인가?

 

06. Internet Gateway와 NAT Gateway

VPC는 인터넷과 어떻게 연결되는가?

Public Subnet과 Private Subnet의 차이를 패킷의 이동 경로를 통해 살펴본다.

→ [AWS Network] 06. Internet Gateway와 NAT GatewayVPC는 인터넷과 어떻게 연결되는가?

 

07. ALB, NLB 그리고 GWLB

들어온 트래픽을 어디로 전달할 것인가?

AWS Load Balancer의 종류와 실제 트래픽 전달 구조를 살펴본다.

→ 

 

08. VPC Peering

VPC와 VPC를 직접 연결한다.

서로 다른 VPC를 연결하는 방법과 VPC Peering의 특징 및 한계를 살펴본다.

→ 

 

09. VPN과 Direct Connect

AWS와 On-Premise를 연결한다.

Site-to-Site VPN과 Direct Connect를 통해 Hybrid Network가 어떻게 만들어지는지 살펴본다.

→ 

 

10. Transit Gateway

많아진 네트워크 연결을 중앙에서 관리한다.

VPC Peering의 Full Mesh 문제에서 시작해 Attachment, Association, TGW Route Table을 살펴본다.

→ 

 

11. VPC Endpoint와 PrivateLink

인터넷을 거치지 않고 서비스에 접근한다.

VPC Endpoint와 AWS PrivateLink를 이용한 Private Connectivity의 동작 원리를 살펴본다.

 

ㅁ 공부하면서 계속 던질 질문

각 주제를 공부할 때 다음 질문을 반복해서 확인한다.

1. 트래픽은 어디에서 시작하는가?
2. 다음 목적지는 누가 결정하는가?
3. 트래픽은 어디에서 허용되거나 차단되는가?
4. 반환 트래픽은 어떤 경로로 돌아오는가?

그리고 통신이 되지 않는다면 이 흐름을 반대로 따라가며 어느 지점에서 문제가 발생했는지 생각해 본다.

결국 AWS Network를 공부하는 목적은 서비스 이름과 설정 방법을 많이 아는 것이 아니다.

네트워크 구성을 보고 패킷이 어떻게 움직이는지 설명할 수 있는 것.

이것을 이번 AWS Network 학습의 목표로 삼는다.

 

ㅁ 참고 자료

이번 학습은 『Amazon VPC 네트워킹 원리와 보안』을 보면서 내가 공부한 내용을 정리하였다.

책에서 다루는 AWS Network의 구조와 서비스 간 관계를 중심으로 공부하되,

현재 AWS의 기능과 세부 사양은 AWS 공식 문서를 통해 함께 확인한다.