🌐 VPC 네트워크 설계

왜 VPC를 직접 설계해야 할까?

여러분이 스타트업의 첫 번째 클라우드 엔지니어로 입사했다고 상상해 보세요. CTO가 이렇게 말합니다:

"우리 서비스가 다음 달에 출시되는데, AWS에 안전한 네트워크를 구축해 주세요. 웹 서버는 외부에서 접근 가능해야 하고, 데이터베이스는 절대 외부에 노출되면 안 됩니다."

이 요구사항을 듣고 무엇을 떠올리시나요? 바로 VPC(Virtual Private Cloud)입니다.

VPC는 AWS 클라우드 안에 여러분만의 격리된 네트워크 공간을 만드는 것입니다. 마치 회사 건물을 짓는 것과 비슷합니다:

• VPC = 회사 건물 전체 부지
• 퍼블릭 서브넷 = 1층 로비 (누구나 들어올 수 있음)
• 프라이빗 서브넷 = 서버실 (관계자 외 출입 금지)
• Internet Gateway = 건물의 정문
• NAT Gateway = 서버실에서 외부로 택배 보내는 전용 출구
• Security Group = 각 방의 출입 카드 리더기
• NACL = 건물 층별 보안 게이트

이 실습을 마치면 여러분은 프로덕션급 VPC를 설계하고 구축할 수 있게 됩니다. 실제 회사에서 사용하는 것과 동일한 네트워크 아키텍처를 직접 만들어 보겠습니다.

실무에서는 이 VPC 위에 EC2, RDS, Lambda 등 모든 서비스가 배치됩니다. 네트워크를 잘못 설계하면 보안 사고가 나거나, 나중에 구조를 바꾸기가 매우 어렵습니다. 처음부터 제대로 설계하는 것이 핵심이고, 이 실습이 그 첫걸음입니다.

아키텍처 개요

네트워크 흐름

비용 예측

Step 1: VPC 생성

이 단계에서는 모든 리소스가 배치될 VPC 자체를 먼저 만듭니다. VPC를 만들 때 가장 중요한 결정은 CIDR 블록 선택입니다.

CIDR 블록은 이 VPC에서 사용할 수 있는 IP 주소의 범위를 결정합니다. 10.0.0.0/16은 10.0.0.0부터 10.0.255.255까지 65,536개의 IP 주소를 사용할 수 있다는 뜻입니다. 프로덕션에서는 이 정도면 충분하고, 나중에 서브넷을 다양하게 나누기에도 좋습니다.

aws ec2 create-vpc \
  --cidr-block 10.0.0.0/16 \
  --tag-specifications 'ResourceType=vpc,Tags=[{Key=Name,Value=lab-vpc}]'

resource "aws_vpc" "lab" {
  cidr_block = "10.0.0.0/16"
  tags = {
    Name = "lab-vpc"
  }
}

Step 2: 서브넷 생성

이제 VPC 안에 4개의 서브넷을 만듭니다. 서브넷은 VPC의 IP 범위를 더 작은 단위로 나눈 것입니다.

왜 4개일까요? 고가용성을 위해 2개의 가용 영역(AZ)에 각각 퍼블릭/프라이빗 서브넷을 배치합니다. 하나의 AZ에 장애가 발생해도 다른 AZ에서 서비스를 계속할 수 있습니다.

CIDR 범위를 설계할 때는 명확한 규칙을 정하면 관리가 편합니다:

• 1~9번대: 퍼블릭 서브넷 (10.0.1.0/24, 10.0.2.0/24)
• 10번대 이상: 프라이빗 서브넷 (10.0.10.0/24, 10.0.20.0/24)

Step 3: Internet Gateway 생성 및 연결

Internet Gateway(IGW)는 VPC가 인터넷과 통신할 수 있게 해주는 관문입니다. IGW가 없으면 VPC 안의 어떤 리소스도 외부 인터넷에 접속할 수 없습니다.

Step 4: 라우팅 테이블 설정

라우팅 테이블은 네트워크 트래픽의 길잡이입니다. "이 목적지로 가려면 어디로 보내라"는 규칙들의 모음입니다.

퍼블릭 서브넷과 프라이빗 서브넷에는 서로 다른 라우팅 테이블이 필요합니다:

• 퍼블릭: 외부 트래픽(0.0.0.0/0)을 IGW로 보냄
• 프라이빗: 외부 트래픽(0.0.0.0/0)을 NAT Gateway로 보냄

Step 5: NAT Gateway 생성

NAT Gateway는 프라이빗 서브넷의 리소스가 인터넷에 접속할 수 있게 해줍니다. 예를 들어, 프라이빗 서브넷의 EC2가 소프트웨어 업데이트를 받거나 외부 API를 호출할 때 필요합니다.

핵심은 아웃바운드만 허용한다는 점입니다. 외부에서 프라이빗 서브넷으로 들어오는 연결은 차단됩니다.

Step 6: 보안 그룹 설정

보안 그룹(Security Group)은 인스턴스 수준의 방화벽입니다. 어떤 트래픽이 들어올 수 있고(인바운드), 나갈 수 있는지(아웃바운드)를 제어합니다.

보안 그룹은 Stateful입니다. 인바운드로 허용된 요청의 응답은 자동으로 아웃바운드 허용됩니다.

Step 7: NACL(네트워크 ACL) 설정

NACL은 서브넷 수준의 방화벽입니다. 보안 그룹과 달리 Stateless이므로, 인바운드와 아웃바운드 규칙을 각각 설정해야 합니다.

핵심 개념 확인

직접 설명해 보기

완성 후 테스트 가이드

VPC 구성이 완료되었다면, 다음 테스트를 통해 올바르게 작동하는지 확인하세요.

트러블슈팅

확장 아이디어

이 실습을 마쳤다면, 다음 단계로 도전해 보세요:

1. VPC Peering: 두 개의 VPC를 만들어 서로 연결하기. 마이크로서비스 아키텍처에서 서비스별 VPC를 분리할 때 사용합니다.
2. VPC Endpoint: S3나 DynamoDB에 프라이빗 서브넷에서 인터넷을 거치지 않고 직접 접속하기. NAT Gateway 비용을 절약할 수 있습니다.
3. Flow Logs: VPC 트래픽 로그를 CloudWatch Logs로 보내 네트워크 모니터링하기. 보안 감사에 필수입니다.
4. Transit Gateway: 여러 VPC와 온프레미스 네트워크를 중앙에서 관리하기. 대규모 조직에서 사용합니다.
5. IPv6 Dual-Stack: VPC에 IPv6를 추가하여 듀얼 스택 네트워크 구성하기.

학습 정리

리소스 정리