VPC로 바라보는 Cloud 환경

오늘날 IT 환경은 Cloud 기반으로 구성되어, 기존의 On-Premise 환경에서 탈피 중이다.

 

이를 통해, 물리적 서버를 직접 소유하거나 관리하지 않더라도 어플리케이션 개발이 가능하며 언제, 어디서든 접근할 수 있게 되었다.

 

그렇다면, 과연 이 Cloud 환경에서 우리가 개발한 어플리케이션은 어디에 배치되고 어떻게 사용이 되는걸까?

 

이를 알기 위해서는 먼저 VPC에 대해 알아야한다.

 

VPC (Virtual Priavte Cloud)

Amazon Virtual Private Cloud(Amazon VPC)를 사용하면 정의한 논리적으로 격리된 가상 네트워크에서 AWS 리소스를 시작할 수 있습니다. 이 가상 네트워크는 AWS의 확장 가능한 인프라를 사용한다는 이점과 함께 고객의 자체 데이터 센터에서 운영하는 기존 네트워크와 매우 유사합니다.
출처 : Amazon VPC 사용설명서

 

 

VPC란 리전에 생성되는 논리적 네트워크 공간으로, 계정에 소속되는 가상 클라우드 공간이다.

이러한 VPC 내부에는 서브넷이 존재하며, 서브넷 내부에 우리가 사용하는 서비스들이 배치되게 된다.

 

대표적인 클라우드 환경인 AWS의 서비스들을 VPC 기준으로 분류하면 다음과 같이 분류할 수 있다.

 

 

 

VPC 네트워킹 필수 서비스란,

인스턴스나 RDS와 같은 가상 머신에 ENI (네트워크 인터페이스)를 연결해 통신하는 서비스이다.

 

VPC 네트워킹의 경우 다음과 같은 규칙을 가지게 된다.

 

1. 보안그룹을 반드시 수반하는 ENI가 존재한다
2. ENI를 생성하기 위해서는 서브넷이 필수적이다. (서브넷 내부에 ENI 생성)
3. 서브넷 생성을 위해서는 VPC가 필수적이다.
4. VPC에 생성된 서브넷에는 무조건 각 1개의 라우팅 테이블과, 네트워크 ACL이 연결된다.

 

위의 규칙들을 지켜서 우리는 VPC 네트워킹 서비스를 만들 수 있다.

 

그렇다면 이렇게 만들어낸 VPC 안에는 어떠한 것들이 들어가게 될까?

 

서비스를 생성할 공간 요소

 

VPC를 구성하는 공간 요소는 어떻게 될까?

 

VPC는 Virtual Priavte Cloud의 약자로, 개인(계정)이 만들어내는 가상의 클라우드 환경이다.

 

가상의 네트워크 공간이지만, 이는 AWS가 운영하는 IDC 인프라 위에 논리적으로 추상화되어 구성된다.

 

결국 이는 AWS의 물리적 센터를 빌려서 만들어내는 것이기 때문이다.

 

이로 인해, 클라우드 환경의 공간적 요소는 크게 다음과 같이 분류된다.

 

1. 계정
2. 리전 (Region)
3. VPC
4. AZ (Availability Zone)
5. Subnet

 

계정 (Account)

AWS 계정을 고유하게 식별하는 12자리 숫자(예: 012345678901)입니다. 많은 AWS 리소스에는 
Amazon 리소스 이름(ARN)에 계정 ID가 포함됩니다. 계정 ID 부분은 한 계정의 리소스를 다른 계정의 리소스와 구분합니다.
출처 : AWS 계정 식별자 보기

 

 

대표적인 클라우드 Vendor인 AWS는 모든 서비스가 하나의 계정으로 생성된다.

 

모든 서비스는 암묵적으로 12자리 숫자로 구성된 계정 ID 식별자 태그가 붙어있으며, 이를 이용해 구분된다.

 

각각의 공간은 ID 값으로 분류되어 서로 다른 AWS 계정 간의 침범을 막아놓는다.

 

AWS Cloud는 계정의 전용 공간으로, 그 공간 내에서 리전을 선택해 원하는 서비스로 확장을 하게 된다.

 

이러한 계정은 크게 구분하자면 Root 와 IAM 사용자로 구분할 수 있다.

 

Root 사용자의 경우 고유 이메일 주소로 생성한 계정으로 AWS 서비스에 대한 모든 접근 권한을 보유한다.

 

IAM 사용자는 Root 사용자로부터 별도의 권한을 부여받은 하위 사용자이다.

 

Root로부터 JSON 형태의 Policy를 부여받아 권한을 가지게 된다.

 

리전(Region)과 가용 영역(Availiability Zone)

AWS에는 리전이라는 개념이 있습니다. AWS가 전 세계에서 데이터 센터를 클러스터링하는 물리적 위치를 리전이라고 합니다.
논리적 데이터 센터의 각 그룹을 가용 영역이라고 합니다
출처 : AWS 리전 

 

 

리전은 데이터센터 클러스터의 지리적 위치를 의미한다.

 

각 AWS 리전은 지리적 영역 내에서 격리되고 물리적으로 분리된 최소 3개의 AZ로 구성된다.

 

가용 영역은 실제 1개 이상의 개별 데이터 센터이다.

 

이러한 가용 영역들이 모여 데이터센터를 클러스터링하며 리전이 된다.

 

가용 영역들은 서로 다중 광 네트워크로 연결되어 최소 지연 시간 내 트래픽 처리를 가능하게 하며 모든 트래픽은 암호화된다.

 

VPC는 오직 1개의 리전에만 유일하게 포함되며, A리전에 생성된 VPC를 B 리전에서는 확인할 수 없다.

 

 

각 가용 영역은 리전 이름 뒤에 ap-northeast-2a , 2b ..와 같이 분리되어 존재한다.

 

이때, 이러한 서로 다른 가용 영역은 계정 기준으로 보장되게 된다.

 

AWS의 경우 VPC 생성 시에 분리된 AZ에 생성되도록 설정하여, 고가용성을 확보하게 된다.

 

 

 

VPC와 가용 영역은 얼핏 비슷해 보이지만, 실제로는 차이점이 존재한다.

 

VPC와 가용 영역 모두 자기만의 고유 영역을 가지며, 분리되어 있다.

 

VPC에 속하는 보안그룹, 네트워크 ACL 등은 가용 영역에 의존하지 않고, 가용 영역에 속하는 S3나 VPC와 무관한 서비스들(Lambda 등)은 리전에는 포함되나 VPC와는 관련이 없다.

 

다만, 서브넷의 경우 VPC와 가용 영역을 모두 지정하며 둘 모두에 포함되게 된다.

 

Subnet

서브넷은 VPC의 IP 주소 범위입니다. 특정 서브넷에서 EC2 인스턴스와 같은 AWS 리소스를 생성할 수 있습니다.
출처 : AWS VPC 사용 설명서 > Subnet

 

서브넷을 알기 위해서는 가장 먼저 IP에 대해 알아야 한다.

 

IP는 크게 퍼블릭 IP/ 프라이빗 IP로 분류가 가능하다.

 

퍼블릭 IP의 경우, 인터넷 전체에서 유일하여 A에서 사용 중이라면 B에서 사용이 불가능하다. 

 

반면 프라이빗 IP는 퍼블릭 IP와 달리 인터넷 라우터가 주소를 갖지 않기에 중복해 사용이 가능하다.

 

이를 통해 퍼블릭 IP의 내부에서 분할해 주소를 사용하게 하였으며, 인터넷과 통신하기 위해서는 퍼블릭으로 변환되어야 합니다.

 

CIDR (Classless Inter Domain Routing)

인터넷상의 데이터 라우팅 효율성을 향상시키는 IP 주소 할당 방법입니다. 인터넷에 연결되는 모든 컴퓨터, 서버 및 최종 사용자 디바이스에는 IP 주소라는 고유한 번호가 연결되어 있습니다. 디바이스는 이러한 IP 주소를 사용하여 서로 찾고 통신합니다. 조직에서는 CIDR을 사용하여 네트워크에 유연하고 효율적으로 IP 주소를 할당합니다.
출처: AWS CIDR이란 무엇인가요?

 

CIDR 블록

 

초기 인터넷은 IPv4주소를 고정된 Class 기반으로 나눠 배포했으나 이는 주소의 낭비가 심하여 ClasslessIDR로 대체되었다. 

 

AWS에서 VPC는 하나 이상의 IPv4 CIDR 블록을 가지게 되고, 이는 AWS 공인 IP에서 사용 가능한 프라이빗 IP 공간을 확보 받는 것이다.

 

이러한 VPC의 주소 공간을 다시 쪼개 Subnet을 넣어놓게 된다.

 

VPC가 10.0.0.0/16을 가지고 있다면 이를 다시 10.0.0.0/24 , 10.0.1.0/24, 10.0.2.0/24와 같이 쪼개고 그 안에 서브넷이 들어가게 된다.

 

예시를 들면 케이크(VPC)를 샀을 때, 이를 친구A(Subnet1), 친구B(Subnet2), 친구C(Subnet3)와 나눠 먹는 것이라 볼 수 있다.

 

이 때 서브넷은 AZ에 종속되며, 고가용성을 확보하기 위해서는 같은 역할의 서브넷을 서로 다른 가용 영역에 생성해야 한다.