AWS VPC (Virtual Private Cloud)

[9ga0]

📆 일자: 26년 8월 3일(월)

최종연 선배님께서 클라우드 세미나에서 언급하셨던 VPC 기억하시나요? 복습 차원에서 준비해보았습니다.

🤔오늘의 질문

1. VPC는 무엇이고 왜 필요한가요?

2. Public Subnet과 Private Subnet의 차이는 무엇인가요?

3. Security Group과 NACL의 차이는 무엇인가요?

[k9425mino]

1. VPC는 무엇이고 왜 필요한가요?

VPC(Virtual Private Cloud)는 AWS 클라우드 안에 만드는 논리적으로 격리된 가상 네트워크이다. 온프레미스 환경에서 회사가 자체 네트워크를 구성하는 것처럼, AWS에서도 VPC를 사용하여 다음 항목을 직접 설계할 수 있다.

• IP 주소 범위: CIDR
• 서브넷
• 라우팅 경로
• 인터넷 연결 여부
• 방화벽 정책
• 내부 시스템 간 통신 구조

예를 들어 다음과 같은 구조를 만들 수 있다.

VPC: 10.0.0.0/16
├─ Public Subnet: 10.0.1.0/24
│  └─ Load Balancer, Bastion Host
└─ Private Subnet: 10.0.2.0/24
   └─ Application Server, Database

• 필요성① 네트워크 격리: 다른 AWS 사용자나 다른 VPC와 네트워크가 논리적으로 분리되어 보안이 강화된다.
• 필요성② 보안 통제: 서버마다 인터넷 접근 여부를 구분하고, Security Group과 NACL을 통해 트래픽을 제한할 수 있다.
• 필요성③ 네트워크 구조 설계: 웹 서버, 애플리케이션 서버, 데이터베이스 서버를 서로 다른 서브넷에 배치할 수 있다.
• 필요성④ 기존 사내망과 연결: VPN이나 AWS Direct Connect를 이용해 사내 온프레미스 네트워크와 VPC를 연결할 수 있다.

즉, VPC는 AWS 리소스를 단순히 실행하는 공간이 아니라, AWS 인프라의 네트워크 경계와 보안구조를 정의하는 기본 단위이다.

2. Public Subnet과 Private Subnet의 차이는 무엇인가요?

Public Subnet과 Private Subnet을 구분하는 핵심은 인터넷 게이트웨이로 향하는 라우팅 경로가 있는지이다.

[ Public Subnet ]
라우팅 테이블에 다음과 같은 경로가 있는 서브넷이다.

0.0.0.0/0 → Internet Gateway

이 경로는 목적지를 알 수 없는 외부 트래픽을 인터넷 게이트웨이로 전달한다는 의미이다.

다만 Public Subnet에 있다고 해서 EC2가 무조건 인터넷에서 접근 가능한 것은 아니다. 다음 조건도 충족해야 한다.

• EC2에 Public IPv4 또는 Elastic IP가 있어야 함
• Security Group이 인바운드 접근을 허용해야 함
• NACL이 트래픽을 허용해야 함
• 운영체제 방화벽이 허용해야 함

즉,

Public Subnet ≠ 무조건 공개된 서버

정확히는 인터넷 게이트워이로 연결될 수 있는 서브넷이다.

[ Private Subnet ]
인터넷 게이트웨이로 직접 연결되는 경로가 없는 서브넷이다.

0.0.0.0/0 → NAT Gateway

또는 외부로 향하는 기본 경로가 전혀 없을 수 있다.

Private Subnet의 서버는 인터넷에서 직접 접근할 수 없지만, NAT Gateway를 사용하면 외부로 요청을 보낼 수 있다.

예를 들어 Private Subnet의 EC2가 패키지를 설치하는 경우이다.

Private EC2
   ↓
NAT Gateway
   ↓
Internet Gateway
   ↓
인터넷

이 구조에서는 EC2가 인터넷으로 요청을 보낼 수 있지만, 인터넷 사용자가 해당 EC2에 직접 접속할 수는 없다.

일반적인 구성:

Internet
   │
Internet Gateway
   │
Public Subnet
   ├─ Application Load Balancer
   └─ NAT Gateway
          │
Private Subnet
   ├─ Application Server
   └─ Database

보통 외부 요청을 받아야 하는 Load Balancer만 Public Subnet에 배치하고, 실제 애플리케이션과 데이터베이스는 Private Subnet에 배치한다.

일반적인 아키텍처 패턴:

• Public Subnet: ALB(Load Balancer), Bastion Host 배치
• Private Subnet: 실제 애플리케이션 서버, RDS 데이터베이스 배치 → 보안 강화

구분	Public Subnet	Private Subnet
인터넷 게이트웨이 경로	있음	없음
인터넷에서 직접 접근	조건부 가능	직접 접근 불가
외부 인터넷 접속	가능	NAT Gateway 등을 통해 가능
주요 배치 대상	ALB, 웹 서버, Bastion Host	애플리케이션 서버, DB 서버
일반적인 보안 수준	상대적으로 노출 범위가 큼	상대적으로 안전

3. Security Group과 NACL의 차이는 무엇인가요?

Security Group과 NACL(Network Access Control List)은 모두 트래픽을 제어하지만, 적용 범위와 동작 방식이 다르다.

[ Security Group ]
Security Group은 EC2의 네트워크 인터페이스 등에 적용되는 가상 방화벽이다.

예를 들어 웹 서버의 Security Group을 다음처럼 설정할 수 있다.

Inbound
- TCP 80 ← 0.0.0.0/0
- TCP 443 ← 0.0.0.0/0
- TCP 22 ← 관리자 IP

Outbound
- All Traffic → 0.0.0.0/0

Security Group은 Stateful이다.

예를 들어 사용자가 웹 서버의 443 포트로 요청을 보냈고 인바운드 규칙이 이를 허용했다면, 서버의 응답 트래픽은 별도의 아웃바운드 규칙 검사를 엄격히 거치지 않고 자동으로 허용된다.

사용자 → 서버 요청: 인바운드 규칙 확인
서버 → 사용자 응답: 자동 허용

또한 Security Group은 Deny 규칙을 지원하지 않는다. 허용되지 않은 트래픽은 기본적으로 차단된다.

[ NACL ]
NACL은 서브넷 경계에서 동작하는 방화벽이다.

NACL은 Stateless이므로 요청과 응답을 각각 허용해야 한다.

예를 들어 사용자의 HTTPS 요청을 허용하려면 다음과 같은 양방향 규칙이 필요할 수 있다.

Inbound
- TCP 443 허용

Outbound
- 임시 포트 범위 허용

클라이언트가 요청할 때 출발지 포트로 임시 포트, 즉 Ephemeral Port를 사용하므로 반환 트래픽을 위한 포트 범위를 고려해야 한다.

NACL은 규칙 번호가 낮은 것부터 평가하며, 첫 번째로 일치한 규칙이 적용된다.

100 ALLOW TCP 443 from 0.0.0.0/0
110 DENY TCP 443 from 203.0.113.0/24

이 경우 203.0.113.0/24의 트래픽도 100번 규칙에서 먼저 허용되므로 110번 규칙까지 도달하지 않는다.

차단 규칙을 우선 적용하려면 다음처럼 구성해야 한다.

90 DENY TCP 443 from 203.0.113.0/24
100 ALLOW TCP 443 from 0.0.0.0/0

실무에서는 보통 Security Group을 주된 접근 제어 수단으로 사용하고, NACL을 서브넷 수준의 보조 방어 계층으로 사용한다.

구분	Security Group	NACL
적용 단위	ENI·EC2 등 리소스 단위	Subnet 단위
상태 추적	Stateful	Stateless
허용 규칙	Allow만 지원	Allow와 Deny 지원
규칙 처리	모든 규칙을 종합	번호가 낮은 규칙부터 순차 처리
반환 트래픽	자동 허용	별도 규칙 필요
일반적 용도	리소스별 세밀한 접근 제어	서브넷 전체의 추가 방어선

[9ga0]

1. VPC는 무엇이고 왜 필요한가요?

VPC는 Virtual Private Cloud의 약자로, 클라우드 안에 만드는 논리적으로 분리된 나만의 네트워크 공간입니다. 예를 들어 AWS 안에 서버를 만들더라도 내가 정한 네트워크의 IP 대역, 서브넷, 라우팅, 보안 규칙의 통제를 받으며 동작하게 만들 수 있습니다.
쉽게 말하면 VPC 는 '회사 전용 네트워크 구역'으로, 서버, 데이터베이스, 로드밸런서 등을 격리된 네트워크 안에 배치하거나, 외부 인터넷에 공개할 자원과 내부에서만 접근할 자원으로 나누기 위해서 사용됩니다.

(VPC를 사용하는 다른 이유)

• IP 대역, 라우팅, 방화벽 규칙을 직접 제어하기 위해
• 보안성과 네트워크 구조를 서비스 목적에 맞게 설계하기 위해

Load Balacer? 여러 서버로 들어오는 요청을 골고루 나눠 주는 장치.

2. Public Subnet과 Private Subnet의 차이는 무엇인가요?

Subnet이란 VPC 안을 더 작은 네트워크 구역으로 나눈 것입니다.
Public Subnet은 인터넷과 직접 통신 가능한 서브넷으로, 보통 라우팅 테이블에 Internet Gateway로 가는 경로가 있습니다. 주로 여기에는 Load Balancer, Bastion Host, 외부에서 직접 접근해야 하는 웹 서버 등을 배치합니다.
Private Subnet은 인터넷에서 직접 접근할 수 없는 서브넷으로, 외부 사용자가 바로 들어올 수 없고, 내부 통신용으로 사용됩니다. 주로 Application Server, Database, Cache, 내부 API 서버 등을 배치합니다. private Subnet의 서버가 외부로 업데이트 파일을 받거나 API 호출을 해야 할 때는 보통 NAT Gateway를 통해 나가는 통신만 허용합니다.

Internet Gateway? VPC가 인터넷과 통신할 수 있게 연결해 주는 출입구.
Bastion Host? 외부에서 private 서버에 안정하게 접속하기 위해 거치는 중간 서버.
NAT Gateway? private subnet의 서버가 인터넷으로 나갈 수 있지만, 인터넷에서 직접 들어오지는 못하게 해주는 장치.

3. Security Group과 NACL의 차이는 무엇인가요?

둘 다 네트워크 접근 제어를 위한 보안 장치지만, 적용 위치와 동작 방식이 다릅니다.
Security Group은 인스턴스 또는 ENI 수준에서 적용되는 방화벽으로, 서버 바로 앞에서 트래픽을 제어합니다. 반면, NACL(Network Access Control List)은 서브넷 수준에서 적용되는 방화벽으로, 서브넷 입구에서 트래픽을 제어한다는 점에서 차이가 있습니다. 실무에서는 보통 Security Group을 주된 방화벽으로 사용하고, NACL은 서브넷 단위의 추가 방어선으로 사용합니다.
이해하기 쉬운 예시를 들어보면 VPC는 아파트 단지이고, Subnet은 아파트 동, NACL은 각 동의 출입문 경비, Security Group은 각 집의 현관문이라고 볼 수 있습니다. 즉, NACL은 101동에 들어오는 사람을 검사하고, Security Group은 101동 803호에 들어오는 사람을 검사하는 개념이라 생각할 수 있습니다.

• 동작 시기 비교

인터넷
    │
Internet Gateway
    │
Public Subnet
    │
[NACL 검사]
    │
EC2
[Security Group 검사]
    │
웹 서버

• Security Group과 NACL의 특징 비교

구분	Security Group	NACL
적용 위치	인스턴스/ENI 단위	서브넷 단위
규칙 타입	Allow만 가능	Allow/Deny 가능
상태	Stateful(상태 연동)	Stateless(상태 비저장)
응답 트래픽	자동 허용	별도 규칙 필요
평가 방식	모든 규칙 종합 평가	규칙 번호 순서대로 평가
주 용도	서버별 세밀한 접근 제어	서브넷 단위의 넓은 접근 제어

NACL은 번호가 작은 규칙부터 차례대로 검사하며, Rule101번이 미통과라도, 101번에서 허용되면 그 뒤는 확인하기 않는 특성을 가지고 있기 때문에, 규칙 번호의 순서가 매우 중요하다.

인바운드? 외부에서 내 서버/네트워크로 들어오는 통신.
아웃바운드? 내 서버/네트워크에서 외부로 나가는 통신.
트래픽? 네트워크를 통해 오가는 데이터 흐름.

ENI(Elastic Network Interface)? EC2 같은 서버에 붙는 가상 네트워크 카드. 컴퓨터에 랜선(LAN 카드)이 있어야 인터넷을 사용할 수 있듯이, EC2도 ENI가 있어야 네트워크 통신을 할 수 있습니다. Private IP 주소, Security Group, Subnet 등 여러 네트워크 정보를 가지고 있다.

VPC
└── Public Subnet
      │
      └── EC2
            │
            └── ENI
                  ├── Private IP
                  ├── Public IP
                  ├── MAC Address
                  └── Security Group

(머릿속에 있어야 할 그림)