클라우드 컴퓨팅 7주차

네트워킹

• 서로 연결한다 라는 뜻
• IT 자원 간 연결하여 통신하는 환경

 

OSI 7계층과 프로토콜

• 통신 과정을 단계별로 나누어 장애가 발생하면 해당 부분만 수정 가능

Layer	Data Unit	Protocol	Network Device
7 응용 계층	Data	HTTP, FTP, SMTP, Telnet	L7
6 표현 계층		ASCII, MPEG, JPEG, MIDI
5 세션 계층		API's, Sockets, WinSock
4 전송 계층	Segments	TCP, UDP	L4(Port 번호 활용)
3 네트워크 계층	packet / Datagram	IP, ICMP, IPSec, IGMP	L3 Router(IP주소 활용)
2 데이터링크 계층	Frame	Ethernet, Token Ring, FDDI	L2, Bridge (MAC 주소 활용)
1 물리 계층	Bit	Coax, Fiber, Wireless, hubs	Hub

 

 

TCP & UDP

종류	TCP	UDP
연결방식	연결지향형 프로토콜	비연결형 프로토콜
전송 순서	전송 순서 보장	전송 순서 바뀔 수 있음
수신 여부 확인	확인함	확인안함
통신 방식	1:1	1:1, 1:n, n:n
신뢰성	높다	낮다
재전송	(오류, 패킷 손실 검출 시)재전송 요청	없음
속도	느림	빠름

 

 

IPv4

• 10진수 4부분으로 구성(32비트)
• 공인 IP
  인터넷 통신 목적
  ISP가 할당
  중복되지 않음
  
  
• 사설 IP
  로컬 네트워크 통신 목적
  네트워크 관리자 혹은 장치가 할당
  인터넷에서 식별 불가
  다른 네트워크의 IP와 중복될 수 있음
  IP 대역
  - 클래스 A : 10.0.0.0 ~ 10.0.0.0/8
  - 클래스 B : 172.16.0.0 ~ 172.16.0.0/12
  - 클래스 C : 192.168.0.0 ~ 192.168.255.255/16
  
  
• IPv6 : 16진수 8부분으로 구성

 

 

IP 주소 클래스(classful)

• Class - A
  클래스중 가장 큼(호스트 2^24 수용)
  국가나 글로벌 기업이 사용하는 대형 네트워크
  시작비트는 항상 0
  네트워크 ID : 1~126, 호스트 ID : 0.0.0 ~ 255.255.255
  네트워크 ID 127은 예약 주소
  
  
• Class - B
  클래스 중 두번째로 큼(호스트 2^16 수용)
  대기업 등에서 사용하는 중대형 네트워크
  시작비트는 항상 10
  네트워크 ID : 128.0 ~ 191.255, 호스트 ID : 0.1 ~ 255.254 (255.255는 브로트 캐스트)
  
  
• Class - C
  일반적으로 사용되는 클래스 중 가장 작음 (호스트 2^8 수용)
  로컬 영역 네트워크 환경에서 할당 되는 주소의 대부분이 Class - C
  시작비트는 항상 110
  네트워크 ID : 192.0.0 ~ 223.255.255, 호스트 ID : 0 ~ 255
  
  
• Class - D
  시작비트는 항상 1110, 멀티캐스트
  
  
• Class - E
  시작비트는 항상 1111, 연구 및 실험용으로 예약된 주소

 

CIDR

• IP 주소를 클래스로 나누다 보니 모든 IP를 사용하지 않아 낭비 발생
  낭비를 줄이기 위해 비트 단위로 쪼갬 -> 서브넷 마스크 사용
  
  
• 필요한 네트워크 ID 부분을 마스킹(1로 세팅)
  ex) class A : /8, class B : /16
  표기법 : 192.168.32.0/24
  
  
• 서브넷팅
  하나의 네트워크를 여러 서브넷으로 구성(세분화 관리)
  1. 필요한 네트워크의 수를 2진수로 계산하여 호스트 ID를 앞부터 1로 채워 네트워크 ID로 바꿈
  2. 필요한 호스트의 수를 2진수로 계산하여 호스트 ID를 뒤부터 채우고 나머지 앞을 네트워크 ID로 바꿈
  ex 192.168.32.0/24 기준
  100개의 호스트 사용 => 2^7 = 128이므로 7비트 필요
  11111111.11111111.11111111.10000000 (뒤 7자리가 호스트 ID가 되고, 네트워크 ID로 25비트 사용)
  -> 192.168.1.0/25 와 192.168.1.128/25 두 개의 네트워크로 나뉨
  
  

라우팅

• 라우팅 : 데이터 패킷을 출발지에서 목적지까지 전달
• 효율적인 전송로 선택
• 주기적으로 라우팅 테이블을 갱신하여 목적지까지 패킷 전달
• IP헤더 정보를 읽어 목적지 IP정보를 알아낸 뒤, 목적지까지 최적 경로를 제공
  
  
• 정적 라우팅 : 관리자가 고정적으로 설정한 경로 사용
  동적 라우팅 : 네크워크 상황에 따라 인접한 라우터끼리 정보 교환하여 최적의 경로 찾음
  
  

AWS 네트워킹

 

AWS의 IP 주소

• IPv4(2^32개)
  공인(publivc) IP : EC2 생성시 IPv4 부여, 중지하고 재시작하면 새로운 IPv4받음
  사설(private) IP : EC2가 중지/재시작 되어도 안바뀜(고정)
  Elastic IP : 고정된 공인 IPv4를 EC2에 부여하는 것. 중지/재시작 되어도 안바뀜
  모든 공인 IPv4는 시간당 요금 있음
  
  
• IPv6
  모든 IP가 public
  무료

 

DNS / Route53

• 가용성과 확장성이 뛰어난 DNS 웹서비스
  
  
• Amazon VPC에 사용자 지정 도메인 이름을 할당하고 액세스
  
  
• 다양한 라우팅 정책 제공
  단순 라우팅 : example.com으로 이동
  가중치 라우팅 : 지정비율(60:40 등)
  지리 위치 라우팅 : 사용자와 리소스 간의 최인접 위치
  지리 근접 라우팅 : 사용자와 리소스 간의 최인접 위치 & 편항값으로 위치 이동
  지연 시간 라우팅 : 여러 리전 중 응답이 빠른 쪽
  장애 대응 라우팅 : 액티브-패시브 구성
  다중 응답 라우팅 : 무작위로 8개 응답 요청

 

Amazon VPC

• 리전 단위
  계정을 새로 만들면 기본 VPC를 할당 받고, 별도 설정 없이 EC2 인스턴스 배포 가능
  기본 EC2는 인터넷에 연결되어 있음(원칙적으로 VPC는 인터넷에 연결되어있지 않음)
  EC2 인스턴스는 IPv4를 할당 받음
  
  
• VPC는 서브넷을 구성 : 네트워크의 파티션 개념
  Public Subnet : 인터넷 게이트웨이를 통해 인터넷과 연결, EC2등 웹서버, 애플리케이션 서버로 사용자에게 노출
  Private Subnet : 인터넷과 연결 안됨. 데이터베이스 등 외부 노출이 필요 없는 인프라 배치
  
  
• 서브넷들 간의 통신은 라우팅 테이블을 사용

 

서브넷

• 단일 네트워크를 논리적으로 분할한 영역
  하나의 서브넷은 하나의 AZ에 위치
  
  
• VPC에서 CIDR 블록으로 서브넷의 주소 범위를 설정
  
  
• CIDR 블록으로 IP 주소 지정
  AWS는 5개의 IP주소는 예약되어있음
  호스트ID 기준
  0번 : 네트워크 주소
  1번 : VPC 라우터
  2번 : DNS 서버
  3번 : 사용하지 않지만 예약됨
  255번 : 브로드캐스트 주소
  
  만약, 호스트 30개의 IP주소가 필요하다면 /27은 사용 못함. 2^5 = 32지만 예약된 5개를 빼면 27 호스트를 수용가능하기 때문
  -> /26 사용
  
  

라우팅 테이블

• 트래픽 전송 규칙, 데이터 패킷을 전송하기 위한 정보를 포함
  
  
• 기본적으로 VPC와 함께 자동으로 제공됨 (호스트 ID의 1번)
  
  
• 라우팅 테이블 구성
  대상 주소 : 트래픽을 이용한 대상 IP주소(대상 CIDR) 범위
  대상 : 대상 트래픽을 전송할 때 사용할 게이트웨이, 네트워크 인터페이스 또는 연결
  
  
  
• 라우팅 우선순위
  가장 긴 접두사(/32 는 /24 보다 우선순위 높음)
  정적 경로
  
  

인터넷 게이트웨이 (IGW)

• VPC가 외부 인터넷과 연결되는 통로
  Public 서브넷과 연결됨(라우팅 테이블)
  Private 서브넷은 NAT(사설IP -> 공인IP)를 통해 인터넷 액세스 권한부여
   - NAT gateway : AWS-managed
   - NAT instances : self - managed
  NAT gateway를 통해 외부 인터넷 구간으로 나갈 수 있지만, 반대로 외부에서 private 서브넷으로는 들어올 수 없음
  -> public subnet에서 bastion Host를 구축함으로써 접속 가능
  Bastion Host : public subnet의 EC2를 통해 private subnet의 EC2에 접속하게 함.
  
  
• 별다른 설정 없이 인터넷 게이트웨이 ID를 참조하는 방식으로 간단
  
  
• 확장성, 중복성, 고가용성을 가지는 VPC 구성요소
  VPC에 1개만 생성 가능, 여러 개 사용하지 않음
  
  
• IPv4, IPv6 지원

 

NACL

• 제어 대상 : 서브넷으로 들어오고 나가는 트래픽 제어(방화벽)
  
  
• IP주소에 대한 규칙 정의(허용/거부 규칙 모두 가능)
  
  
• Stateless 접근 통제 : 이전 상태 정보를 기억하지 않아 다음에 그 상태를 활용하지 않음
  -> 인바운드 규칙에 따라 허용한 트래픽일지라도 아웃 바운드 규칙 적용
  
  인바운드 : 네트워크에 들어오는 정보, 클라이언트에서 서버로 들어오는 요청 정보
  아웃바운드 : 네트워크에서 나가는 정보, 서버에서 클라이언트로 나가는 응답 정보
  
  

보안 그룹

• 제어 대상 : 인스턴스에 대한 인바운드 및 아웃바운드 트래픽 제어(방화벽)
  
  
• 인스턴스 단위로 설정(하나의 인스턴스에 하나 이상의 보안그룹 설정)
  
  
• 기본적으로 모든 port는 비활성화, 필요한 port를 허용하는 허용 규칙만 가능
  
  
• IP주소나 다른 보안 그룹 참조 가능
  
  
• Stateful 접근 통제 : 이전 상태 정보를 기억하고 다음에 그 상태를 활용
  -> 인바운드 규칙에 따라 허용했다면, 아웃바운드 규칙에도 적용

 

• 보안그룹 테이블은 허용 대상만 나열, 테이블에 해당 트래픽이 없으면 거부
  
  
• NACL 테이블은 허용/거부 설정 가능, NACL의 마지막 규칙은 모든 트래픽 거부
  
  

NACL 규칙 순서

• 서브넷 앞에서 적용
  
  
• 규칙 순서대로 규칙을 적용하며, 위에서 규칙이 적용되면 아래 내용은 무시
  
  
• 100단위로 규칙 설정 -> 새로운 규칙 삽입 쉬움

 

VPC 흐름 로그

• 인터페이스에 통과하는 모든 IP 트래픽을 기록
  VPC Flow logs
  Subnet Flow Logs
  Elastic Network Interface Flow Logs
  
  
• 모니터링 및 트러블 슈팅에 활용
  연결성 문제에 대한 근본 원인 파악 용이
  
  
• VPC 흐름 로그 데이터는 S3, CloudWatch Logs, Kinesis Data Firehose에 게시(전송)

 

VPC 피어링 (Peering)

• 서로 다른 VPC 간의 일대일 연결을 통해 동일한 네트워크 처럼 동작
  VPC 안의 리소스끼리 같은 네트워크에 있는 것처럼 통신이 가능하도록 함
  IP 주소 범위(CIDR)가 겹치면 안됨
  ex) 하나의 회사에서 두 개의 VPC를 사용할 때
  
  
• VPC는 하나의 리전에 존재하는데, VPC 피어링을 통해 다수의 가용영역에 분산된 VPC 연결 가능
  연결이 필요한 VPC간에 서로 연결(다른 리전, 다른 계적 연결 가능)
  전이성 피어링 관계는 지원 안됨(건너서 연결은 안됨)
  
  

VPC 엔드포인트

• VPC에서 AWS 서비스를 private 연결 제공
  사설 AWS 네트워크 사용(공용 인터넷X, Private Subnet과 연결)
  
  
• 공용 인터넷을 사용하지 않아 보안이 우수하며, 네트워크 지연시간 짧음
  
  
• VPC 밖에 존재하는 다른 서비스 연결
  VPC 게이트웨이 엔드포인트 : S3, DynamoDB (전용, 비공개 연결)
  VPC 인터페이스 엔드포인트 : ENI를 통해 다른 모든 서비스와 연결 ex) CloudWatch

 

AWS PrivateLink (엔드포인트 서비스)

• 다른 AWS 계정에서 호스팅 하는 서비스 또는 AWS Marketplace 파트너 서비스와 연결
  
  
• 사설 IP주소를 사용해 다른 VPC가 제공하는 서비스를 안전하게 사용
  
  
• VPC IP 주소가 겹치는 경우에 좋은 해결책
  
  
• Network Load Balancer와 ENI를 통해 전용망 구축
  
  

Site-to-Site VPN & Direct Connect(DX)

하이브리드 클라우드 환경에서 AWS와 온프레미스 연결(암호화된 연결)

 

Site-to-Site VPN

• 온프레미스 VPN을 AWS에 연결
• VPN(가상 사설 네트워크) : 인터넷망을 통해 디바이스 간에 사설 네트워크 연결 생성
  - 터널링 프로토콜, 암호화(IPSec) 수행
  
  
• 빠르게 설정(설치) 가능
  
  
• 인터넷을 사용하므로 대역폭 및 보안 문제 발생 가능
  
  
• 구축 속도 빠르게 요구 -> Site-to-Site VPN

 

Direct Connect(DX)

• 물리적으로 AWS와 온프레미스 사이에 프라이빗 전용선 연결
  
  
• 설치하는데 한달 이상 소요, 비용 증가
  
  
• 비공개 연결, 안전하고 빠름
  
  
• 사설망 사용
  
  
• 사설 네트워크 사용 -> Direct Connect
  
  

VPN

• Site-to-Site(S2S)
  VPN을 구축하기 위해서 다음이 프로비저닝 되어야 함
  온프레미스 : Customer Gateway(CGW)
  AWS : Virtual Private Gateway (VGW)
  
  
• 클라이언트 VPN
  인터넷 망에서 VPN 소프트웨어(Open VPN)를 이용해 간편히 AWS 네트워크에 연결
  Private VPN의 EC2 인스턴스에 사설IP를 사용해 연결 가능
  만약, VPC에서 온프레미스의 데이터센터로 Site-to-Site VPN이 연결되어 있다면 클라이언트 접속 가능
  
  

Transit Gateway

• 방대한 인프라가 구성될 때 네트워크 구조가 복잡해지는 것을 해결한 솔루션
  
  
• 수많은(수백개) VPC와 온프레미스 네트워크를 연결하기 위한 전송 허브
  
  
• 스타 구조로 연결(VPCs, Direct Connection, VPN 연결)