[AWS Cloud Practitioner] 네트워킹 정리

AWS와의 연결

AWS 리소스에 경계를 설정하는 데 사용할 수 있는 네트워킹 서비스

인터넷 게이트웨이

가상 프라이빗 게이트웨이

Direct Connect

보안 또는 운영 요구 사항에 따라 리소스를 그룹화할 수 있는 VPC 내의 한 섹션

서브넷

AWS 클라우드에서 호스팅되는 애플리케이션에 데이터를 요청하면 이 요청은 패킷으로 전송됨
- 패킷: 인터넷이나 네트워크를 통해 전송되는 데이터의 단위
패킷은 인터넷 게이트웨이를 통해 VPC로 들어간다.
- 패킷이 서브넷으로 들어가거나 나오려면 먼저 권한을 확인해야 함
- 이를 확인하는 VPC 구성 요소는 네트워크 ACL(액세스 제어 목록)임

서브넷 수준에서 인바운드 및 아웃바운드 트래픽을 제어하는 가상 방화벽

각 AWS 계정에는 기본 네트워크 ACL이 포함
- VPC를 구성할 때 계정의 기본 기본 네트워크 ACL을 사용하거나 사용자 지정 네트워크 ACL을 생성 가능
계정의 기본 기본 네트워크 ACL: 기본적으로 모든 인바운드 및 아웃바운드 트래픽 허용
- 사용자 자체 규칙 추가 수정 가능
사용자 지정 네트워크 ACL: 사용자가 허용할 트래픽을 지정하는 규칙을 추가할 때까지 모든 인바운드 및 아웃바운드 트래픽 거부
모든 네트워크 ACL에는 명시적 거부 규칙 존재
- 패킷이 목록의 다른 모든 규칙과 일치하지 않으면 해당 패킷 거부

네트워크 ACL은 상태 비저장 패킷 필터링을 수행
- 아무것도 기억하지 않음. 각 방향(인바운드, 아웃바운드)으로 서브넷 경계를 통과하는 패킷만 확인
해당 요청에 대한 패킷이 서브넷으로 반환될 때 네트워크 ACL은 이전 요청 기억하지 못함
- 네트워크 ACL은 규칙 목록에 따라 패킷 응답 확인 → 허용 또는 거부 결정
패킷이 서브넷에 들어간 후에는 서브넷 내 리소스(예:EC2 인스턴스)에 대한 권한이 평가되어야 함

Amazon EC2 인스턴스에 대한 인바운드 및 아웃바운드 트래픽을 제어하는 가상 방화벽

보안 그룹은 상태 저장 패킷 필터링을 수행
- 들어오는 패킷에 대한 이전 결정을 기억
해당 요청에 대한 패킷 응답이 인스턴스로 반환될 때 보안 그룹이 이전 요청을 기억
- 보안 그룹은 인바운드 보안 그룹 규칙에 관계 없이 응답이 진행하도록 허용

VPC 구성도

DNS 웹 서비스

개발자와 비즈니스가 최종 사용자를 AWS에서 호스팅되는 인터넷 어플리케이션으로 라우팅할 수 있는 안정적인 방법 제공
사용자 요청을 AWS에서 실행되는 인프라(예: EC2 or ELB)에 연결
사용자를 AWS 외부 인프라로 라우팅 가능
도메인 이름의 DNS 레코드 관리하는 기능도 존재
- 새 도메인 이름을 직접 등록 가능
- 다른 도메인 등록 대행자가 관리하는 기존 도메인 이름의 DNS 레코드 전송 가능

Route 53과 CloudFront가 콘텐츠를 전송하는 방식 예시