[AWS Network] 02. VPC와 Subnet - AWS 네트워크의 경계: Account부터 Subnet까지

목차 : AWS Network를 어떻게 공부할까? - VPC부터 Transit Gateway, PrivateLink까지

ㅁ 들어가며

AWS에서 VPC를 만든다는 것은 단순히 CIDR 하나를 입력하는 작업이 아니다.

누가 네트워크를 소유하고, 어느 지역에 배치하며, 장애와 IP 주소 공간을 어떻게 나눌지 차례로 결정하는 과정이다.

ㅁ 전체 흐름

Account로 소유와 권한을 구분한다
→ Region으로 지리적 위치를 선택한다
→ 여러 AZ로 장애를 격리한다
→ VPC CIDR로 전체 주소 범위를 정한다
→ AZ별 Subnet으로 주소 공간을 나눈다
→ Route와 보안 조건으로 필요한 통신만 허용한다

이 구조를 이해하면 AWS 네트워크 장애를 볼 때도 어떤 경계에서 문제가 발생했는지 차례대로 좁혀갈 수 있다.

 

ㅁ Account는 네트워크 장비가 아니다

AWS Account는 리소스의 소유권, 권한과 결제를 구분한다.

Account A의 사용자가 Account B의 VPC를 볼 수 있어도 두 VPC가 자동으로 통신하는 것은 아니다.

관리 권한 → 누가 VPC를 조회하고 변경할 수 있는가?
네트워크  → 실제 패킷이 VPC 사이를 이동할 수 있는가?

Root user는 Account의 최고 권한 사용자다.

일상 업무에서는 Root user를 공유하지 않고 IAM Identity Center나 Role을 이용해

필요한 권한만 임시로 제공하는 것이 안전하다.

ㅁ Region과 AZ는 서로 다른 장애 범위를 만든다

Region은 AWS 리소스를 배치하는 지리적 영역이다.

AZ는 Region 내부에서 장애가 격리되도록 설계된 영역이다.

한 AZ의 장애에 대비하려면 여러 AZ에 Subnet만 생성하는 것으로는 부족하다.

각 AZ에 실제 컴퓨팅 자원을 배치하고, 장애 감지와 트래픽 전환 및 데이터 복제를 구성해야 한다.

VPC
├── AZ A의 Subnet → EC2 A
└── AZ B의 Subnet → EC2 B

ㅁ VPC와 Subnet은 주소 공간을 나눈다

VPC CIDR은 전체 주소 공간이고 Subnet CIDR은 그 일부다.

Subnet은 하나의 AZ에만 속한다.

VPC: 10.0.0.0/16
├── AZ A: 10.0.1.0/24
└── AZ B: 10.0.2.0/24

같은 VPC의 Subnet CIDR은 겹칠 수 없다.

서로 독립된 VPC는 같은 사설 CIDR을 사용할 수 있지만, 나중에 연결하면 목적지 주소를 구분하기 어려워진다.

네트워크 확장을 예상한다면 처음부터 겹치지 않는 주소 계획이 필요하다.

ㅁ Public Subnet은 공개 상태를 뜻하지 않는다

Public Subnet은 Route Table에 Internet Gateway로 직접 향하는 경로가 있는 Subnet이다.

이름이 private-subnet이어도 이 경로가 있다면 Public Subnet이다.

하지만 Public Subnet에 있다는 이유만으로 EC2가 인터넷에 공개되지는 않는다.

Internet Gateway 경로
+ Public IPv4 또는 EIP
+ Security Group 허용
+ Network ACL 허용
+ 실행 중인 서비스
= 실제 접근 가능성

Subnet의 분류와 실제 통신 가능 여부는 분리해서 판단해야 한다.

ㅁ 참고 자료

• AWS Account Root user
• IAM 보안 권장 사항
• Region과 Availability Zone
• VPC와 Subnet 기본 개념
• Default VPC