AWS 네트워크 연결 옵션

1.  VPC 피어링

• VPC 피어링은 서로 다른 두 VPC 간 연결을 구성하여 프라이빗 IP 주소를 통해 통신을 할 수 있는 기능을 제공합니다. VPC 피어링을 통해 마치 동일한 네트워크 내에 있는 것처럼 서로 통신 할 수 있음
• 단점 : P2P방식이라 1대1로만 연결해야함...

VPC Peering 연결할때 주의할점

• 1. 서로 다른 VPC CIDR(네트워크 대역) 사용 필요 VPC 피어링을 구성하는 각 VPC의 할당된 CIDR은 동일하거나 겹치지 않아야 함. 만약, 연결하고자 하는 두 VPC 간의 CIDR이 동일하거나 겹치는 경우에는 VPC 피어링을 구성할 수 없음. 따라서, VPC를 설계하는 단계에서 CIDR(네트워크 대역)이 겹치지 않게 계획하는 것이 무엇보다 중요함
  -> 당연한 얘기지만 중요
• 2. Transit Routing을 지원하지 않음 VPC 피어링 연결 구성 시, 상대방 VPC의 CIDR 대역 외에 다른 네트워크 대역과 통신할 수 없음. 상대방 VPC에 구성된 인터넷 게이트웨이, NAT 게이트웨이 뿐만 아니라 VPN과 Direct Connect로 연결된 온프레미스와의 통신을 지원하지 않음
• 3. VPC 피어링 최대 연결 제한 동일한 VPC 간의 연결은 하나의 연결을 제외하고는 연결할 수 없습니다. VPC 당 연결 가능한 VPC 피어링의 연결 한도는 현재 기본적으로 50개의 연결을 가질 수 있고 AWS에 요청하여 최대 125개 까지 연결이 가능합니다

 

2. VPN

• VPN(Virtual Private Network)은 공용 인터넷을 통해 가상의 사설 네트워크를 구성하여 프라이빗 통신을 제공합니다. 이를 통해, 데이터 암호화, 전용 연결 등 여러 보안 요구사항 들을 충족할 수 있습니다. AWS에서 제공하는 관리형
• Site-to-Site VPN과 클라이언트 VPN 제공

2.1 VPN 특징

• 1) VPN 연결 협상 시, Responder로 동작
  가상 프라이빗 게이트웨이는 '통신 요청자(Initiator)'가 아니기 때문에 VPN 협상은 항상 고객 게이트웨이 디바이스 에서 연결을 시도해야 함
• 2) VPN 터널의 Idle Timeout VPN 터널 연결 후, 터널에 트래픽이 10초 이상 흐르지 않는 경우 해당 터널은 Down이 발생. 터널 유지를 위해 온프레미스에서 DPD(Dead Peer Detect)를 설정하거나 ping(icmp)를 일정 간격으로 발생시켜 터널을 유지하는 것을 권장합니다. (2020년 8월 기능 추가) DPD 시간 초과가 발생할 때 AWS가 IKE 세션을 다시 시작하도록 지정하거나, DPD 시간 초과가 발생할 때 AWS가 작업을 수행하지 않도록 지정할
• 3) 표준 IPSec 지원 데이터를 암호화하고 인증에 관여하는 다양한 알고리즘을 지원
  알고리즘 종류
  IKE(Internet Key Exchange) : Version 1 or 2
  Advanced Encryption Standard (AES) 128 or 256
  Secure Hash Algorithm (SHA) 128 or 256
  Phase 1 Diffie Hellman(DH) groups : 2,14~24
  Phase 2 Diffie Hellman(DH) groups : 2,5,14~24
  Phase 1~2 Encryption algorithms : AES128, AES256, AES128-GCM-16, AES256-GCM-16
  Phase 1~2 integrity algorithms : SHA-1, SHA2-256, SHA2-384, SHA2-512
• 4) NAT-T(NAT Traversal)을 지원

2.2 VPN 옵션

• 1) Static Routing Static Routing은 사용자가 직접 원격 네트워크의 경로에 대해서 설정이 필요합니다.
• 2) Dynamic Routing Dynamic Routing은 BGP라는 라우팅 프로토콜을 사용하여 상대측으로부터 전달되는 네트워크 경로를 자동으로 인지하여 통신을 할 수 있습니다. 
  - > VPC 라우팅 테이블의 경로 전파 옵션을 활성화하면, 라우팅 테이블을 수정하지 않고 가상 프라이빗 게이트웨이에서 전파되는 경로가 라우팅 테이블에 동적으로 업데이트 할 수 있음