VPC (Virtual Private Cloud) = 논리적으로 격리된 사용자 정의 가상 네트워크
AWS Region 에 여러 VPC 생성 가능 (Region 당 최대 5개)
VPC 당 최대 CIDR 는 5개, 각 CIDR:
최소 크기 = /28 (16개 IP 주소)
최대 크기 = /16 (65536개 IP 주소)
VPC 는 프라이빗이므로 프라이빗 IPv4 범위만 허용:
10.0.0.0/8
172.16.0.0/12
192.168.0.0/16
VPC CIDR 는 다른 네트워크와 겹치지 않아야 함
VPC 에서 S3, DynamoDB 같은 서비스에 접근하려면 IGW 가 필요
Traffic Mirroring
VPC 에서 네트워크 트래픽을 캡처하고 검사 가능
트래픽을 보안 어플라이언스로 라우팅
트래픽 캡처:
ENI 에서
ENI 또는 NLB 로
모든 패킷 캡처 또는 관심 있는 패킷만 캡처
소스와 타겟은 동일한 VPC 또는 다른 VPC 에 있을 수 있음
Subnet
AWS 는 각 Subnet 에서 5개의 IP 주소 예약 (처음 4개 & 마지막 1개)
이 5개 주소는 사용 불가하며 EC2 인스턴스에 할당할 수 없음
e.g. 10.0.0.0/24 의 경우:
10.0.0.0 - 네트워크 주소
10.0.0.1 - VPC 라우터용으로 AWS 가 예약
10.0.0.2 - Amazon 제공 DNS 매핑용으로 AWS 가 예약
10.0.0.3 - 향후 사용을 위해 AWS 가 예약
10.0.0.255 - 네트워크 브로드캐스트 주소
Subnet 은 기본적으로 Private Subnet 이고 동일 VPC 내에 있는 Subnet 끼리는 local Route 를 통해 서로 통신이 가능하다. 때문에 동일 VPC 에 생성되는 리소스, 정확히는 ENI 는 어느 서브넷에 있든 리소스끼리 서로 문제없이 접근할 수 있다. 다만 VPC 는 모든 AZ 를 포함하기 때문에 서로 다른 AZ 에 위치한 Subnet 에 생성된 리소스 간의 통신에는 데이터센터 간 통신이 추가적으로 발생하기 때문에 지연, 비용 등 통신 비효율이 발생할 수 있다.
Route Table
VPC 내부에 속하고 Subnet 을 연결할 수 있다.
기본적으로 VPC 의 CIDR 는 local 로 보낸다.
예를 들어, Destination 이 VPC CIDR 인 10.0.0.0/16 이면 Target 인 local 로 보내고, Destination 이 0.0.0.0/0 이면 IGW 를 Target 으로 보낸다.
DX 와 AWS Direct Connect Location 간에 전용 연결을 설정해야 한다.
AWS Direct Connect Location 은 AWS 의 전용선 서비스다. 전용선을 직접 구축하지 않고 AWS 클라우드 인프라 앞단에 3rd party IDC 사업자와 계약을 통해 3rd party IDC 에 Direct Connect Location 장비를 위치하여 제공한다.
Direct Connect Location 에 물리적으로 연결하게 되면 논리적으로 BGP Peering 을 통해 on-prem 과 AWS 간에 Private 한 전용선이 생긴다.
즉, Direct Connect Location 에서 AWS 의 라우터와 사용자의 라우터를 연결하는 것
VPC 에 VPG 를 설정해야 함
동일한 연결에서 퍼블릭 리소스 및 프라이빗 리소스에 액세스
Direct Connect Gateway
여러 다른 Region(동일 계정)의 하나 이상의 VPC 에 Direct Connect 를 설정하기 위해 사용한다.
VPC -> TGW -> DXGW -> Direct Connect Location -> On-prem Router 로 연결된다.
Transit Gateway
기본적으로 VPC 는 서로 연결되어 있지 않다. 이런 VPC 들을 연결할 때 VPC Peering 을 사용할 수도 있지만 1:1 관계의 복잡성 때문에 3개 이상 VPC 를 연결하려한다면 Transit Gateway 를 고려할 수 있다. 전 세계 여러 AWS Region 의 여러 VPC 간 네트워크 연결을 중앙에서 연결하고 관리해준다.
Regional Resource 으로 기본적으로 다른 Region 에 위치한 VPC 끼리는 연결되지 않는다. Region 간 Inter-Region Peering 을 통해 다른 Region 에 위치한 VPC 끼리 연결할 수도 있다.
Resource Access Manager(RAM) 를 사용하여 계정 간 공유
라우트 테이블: 어떤 VPC 가 다른 VPC 와 통신할 수 있는지 제한
Direct Connect GW, VPN 연결과 함께 작동
IP Multicast 지원 (다른 AWS 서비스에서는 지원되지 않음)
Network Firewall
L3 에서 L7 까지 전체 VPC 보호
e.g. 직원들이 Amazon Workspaces 가상 데스크톱을 사용하여 악성으로 알려진 특정 웹사이트를 방문하는 것을 방지