클라우드 인프라 기초

클래스리스 IP 주소 관리 체계

컴퓨터가 Network에서 통신하려면 서로를 구분할 수 있는 IP 주소가 필요합니다.

IPv4는 192.168.0.1과 같은 형태로 표현하며, 32Bit로 이루어져 있습니다.

CIDR은 IP 주소의 Network 영역과 Host 영역을 구분하여 Network의 범위를 표현하는 방법입니다.

예를 들어,

192.168.0.0/24

/24는 앞에서부터 24Bit를 Network 영역으로 사용한다는 의미입니다. 나머지 8Bit는 Host 영역으로 사용하기 때문에 총 2⁸ = 256개의 주소를 표현할 수 있습니다.

CIDR	Network Bit	Host Bit	주소 개수
/24	24Bit	8Bit	256개
/25	25Bit	7Bit	128개
/26	26Bit	6Bit	64개

따라서 / 뒤의 숫자가 커질수록 Network 범위는 작아지고 Host가 사용할 수 있는 주소도 줄어듭니다.

Subnet

Subnet은 하나의 Network를 더 작은 Network로 나눈 것입니다.

VPC에서 사용하는 IP 주소 범위를 여러 Subnet으로 나누어 Resource를 배치할 수 있습니다.

예를 들어,

VPC: 10.0.0.0/16
├── Public Subnet: 10.0.1.0/24
└── Private Subnet: 10.0.2.0/24

처럼 하나의 VPC 안에서 여러 Subnet을 만들 수 있습니다.

AWS에서는 Internet Gateway로 연결되는 경로가 있는 Subnet을 Public Subnet, 외부 Internet으로 직접 연결되는 경로가 없는 Subnet을 Private Subnet이라고 합니다.

Subnet을 나누면 Resource를 용도에 따라 분리하고 Network 접근을 관리하기 쉬워집니다.

공인 IP와 사설 IP

IP 주소는 공인 IP와 사설 IP로 구분할 수 있습니다.

공인 IP는 Internet에서 통신할 수 있는 주소이고, 사설 IP는 내부 Network에서 사용하기 위한 주소입니다.

종류	특징	예시
공인 IP	Internet에서 통신 가능	203.x.x.x
사설 IP	내부 Network에서 사용	192.168.0.10

사설 IP는 Internet에서 직접 Routing할 수 없으며, 다음과 같은 정해진 범위를 사용합니다.

10.0.0.0/8
172.16.0.0/12
192.168.0.0/16

AWS VPC에서도 일반적으로 이와 같은 사설 IP 주소 범위를 사용하여 Resource의 주소를 구성합니다.

NAT

NAT는 Network Address Translation의 약자로, Network를 통과하는 과정에서 IP 주소를 변환하는 기술입니다.

사설 IP를 사용하는 Resource가 외부 Network와 통신해야 할 때 사용할 수 있습니다.

Private Subnet
10.0.1.10
    ↓
NAT Gateway
    ↓
Internet

AWS에서는 NAT Gateway를 Public Subnet에 구성하여 Private Subnet의 Resource가 Internet으로 요청을 보낼 수 있도록 할 수 있습니다.

이때 외부에서 Private Subnet의 Resource로 직접 연결을 시작할 수는 없습니다.

ACL

ACL은 Network로 들어오거나 나가는 Traffic을 허용하거나 차단하기 위한 규칙입니다.

AWS의 Network ACL은 Subnet에 적용되어 해당 Subnet을 오가는 Traffic을 제어합니다.

예를 들어,

규칙 번호	Traffic	동작
100	192.168.0.10	허용
200	192.168.0.20	차단

처럼 규칙을 설정할 수 있습니다.

Network ACL은 번호가 낮은 규칙부터 확인하며, 조건에 일치하는 규칙이 적용됩니다.

또한 Network ACL은 Stateless 방식이기 때문에 요청과 응답 Traffic을 각각 확인합니다.

Security Group

Security Group은 EC2와 같은 AWS Resource에 적용하는 가상 Firewall입니다.

Resource로 들어오는 Inbound Traffic과 나가는 Outbound Traffic을 제어할 수 있습니다.

예를 들어 Web Server의 경우,

80번 Port  → HTTP
443번 Port → HTTPS
22번 Port  → SSH

와 같이 필요한 Port에 대한 접근을 허용할 수 있습니다.

Network ACL과 비교하면 다음과 같습니다.

	Network ACL	Security Group
적용 대상	Subnet	Resource
규칙	허용 / 차단	허용
방식	Stateless	Stateful

Security Group은 Stateful 방식이므로 허용한 요청에 대한 응답 Traffic은 별도로 허용하지 않아도 됩니다.

AWS Region

Region은 AWS가 Cloud Infrastructure를 운영하는 지리적으로 분리된 영역입니다.

AWS는 여러 Region을 제공하고 있으며, 각 Region은 독립적인 Infrastructure를 가지고 있습니다.

예를 들어 서울 Region은 다음과 같습니다.

ap-northeast-2

하나의 Region은 여러 Availability Zone(AZ)으로 구성됩니다.

Availability Zone은 서로 분리된 물리적인 위치에 존재하기 때문에 여러 AZ에 Resource를 분산하면 특정 AZ의 장애에 대한 영향을 줄일 수 있습니다.

AWS IAM Role과 User

IAM은 AWS Resource에 대한 인증과 권한을 관리하는 서비스입니다.

사용자나 Resource마다 필요한 권한만 부여하여 AWS Resource에 대한 접근을 제어할 수 있습니다.

IAM User

IAM User는 AWS에서 사용하는 사용자 또는 Application을 나타내는 Identity입니다.

User에게 정책을 연결하여 특정 AWS Resource에 대한 접근 권한을 부여할 수 있습니다.

IAM Role

IAM Role은 User나 AWS Service가 필요한 권한을 사용할 수 있도록 만든 Identity입니다.

예를 들어 EC2에서 S3에 접근해야 한다면 Access Key를 코드에 직접 저장하는 대신 IAM Role을 EC2에 연결하여 S3 접근 권한을 부여할 수 있습니다.

이처럼 AWS Resource가 다른 AWS 서비스를 사용할 때 Role을 이용하면 Access Key를 직접 관리해야 하는 부담을 줄일 수 있습니다.

AWS VPC

VPC는 AWS에서 생성할 수 있는 논리적으로 분리된 가상 Network입니다.

VPC를 생성할 때 먼저 사용할 IP 주소 범위(CIDR)를 지정하고, 그 범위 안에서 Subnet을 구성합니다.

VPC
│
├── Public Subnet
│   └── Web Server
│
└── Private Subnet
    ├── Application Server
    └── Database

VPC에서는 Subnet뿐만 아니라 Route Table, Internet Gateway, NAT Gateway 등을 이용하여 Network의 통신 경로를 구성할 수 있습니다.

또한 Security Group과 Network ACL을 이용하여 Resource와 Subnet의 Traffic을 제어할 수 있습니다.

따라서 VPC는 AWS에서 IP 주소, Subnet, Routing, 외부 Network 연결, 접근 제어 등을 구성하는 기본적인 Network 환경이라고 볼 수 있습니다.