AWS Gateway Load Balancer (GWLB)

1. Gateway Load Balancer란?

Gateway Load Balancer는 3rd party 네트워크 가상 어플라이언스의 배포, 확장, 관리를 위한 AWS 관리형 서비스입니다.

Layer 3 (Network Layer) - IP Protocol에서 작동하며, 모든 네트워크 트래픽을 투명하게 처리합니다.

2. 주요 사용 사례

보안 어플라이언스

• 방화벽 (Firewalls)
• 침입 탐지 시스템 (IDS)
• 침입 방지 시스템 (IPS)
• 딥 패킷 인스펙션 (DPI)
• 페이로드 조작 (Payload Manipulation)

3. 핵심 기능

Transparent Network Gateway

• 모든 트래픽의 단일 진입/출구점 역할
• VPC 라우팅 테이블을 자동으로 업데이트
• 애플리케이션에 투명하게 작동

Load Balancer

• 가상 어플라이언스 Target Group으로 트래픽 분산
• 여러 보안 어플라이언스 간 부하 분산
• Health Check를 통한 어플라이언스 상태 관리

기술적 세부사항

• 프로토콜: GENEVE protocol
• 포트: 6081
• 계층: Layer 3 (가장 낮은 수준의 로드 밸런서)

4. 작동 원리

기존 방식 (GLB 없이)

사용자 → ALB → 애플리케이션

문제점: 보안 검사 없이 직접 애플리케이션 접근

GLB 적용 후

사용자 → GWLB → 보안 어플라이언스 → GWLB → 애플리케이션
     ↑                    ↓
   라우팅 테이블        트래픽 분석/필터링
   자동 업데이트        (정상: 통과, 위험: 드롭)

5. 상세 동작 과정

1단계: 라우팅 설정

• GWLB 생성 시 VPC 라우팅 테이블이 자동으로 업데이트
• 모든 트래픽이 GWLB를 먼저 거치도록 설정

2단계: 트래픽 분산

• 사용자 트래픽이 GWLB에 도달
• GWLB가 보안 어플라이언스 Target Group으로 트래픽 분산

3단계: 보안 검사

• 각 보안 어플라이언스가 트래픽 분석
• 정상 트래픽: GWLB로 다시 전송
• 위험 트래픽: 드롭하여 차단

4단계: 애플리케이션 전달

• 검증된 트래픽만 GWLB를 통해 최종 애플리케이션으로 전달

6. 실제 구현 시나리오

방화벽 구성 예시

Internet Gateway
       ↓
   Gateway Load Balancer
       ↓
Firewall Appliances (EC2)
- Palo Alto Networks
- Fortinet FortiGate  
- Check Point CloudGuard
       ↓
   Gateway Load Balancer
       ↓
Application Load Balancer
       ↓
   Web Servers (EC2)

침입 탐지 시스템 구성

VPC Traffic
       ↓
   Gateway Load Balancer
       ↓
IDS/IPS Appliances
- Suricata
- Snort
- Commercial IDS Solutions
       ↓
Log Analysis & Alert

7. GLB vs 다른 Load Balancer

특징	ALB	NLB	GLB
계층	Layer 7	Layer 4	Layer 3
프로토콜	HTTP/HTTPS	TCP/UDP	IP
주요 용도	웹 애플리케이션	고성능 앱	보안 어플라이언스
트래픽 처리	콘텐츠 기반	연결 기반	패킷 기반
투명성	애플리케이션 인식	연결 인식	완전 투명

8. 구현 시 고려사항

성능

• 모든 트래픽이 보안 어플라이언스를 거치므로 지연 시간 증가
• 어플라이언스 성능이 전체 시스템 성능 결정

비용

• 보안 어플라이언스 EC2 인스턴스 비용
• GWLB 자체 사용 비용
• 데이터 처리 비용

가용성

• 보안 어플라이언스의 고가용성 설계 필수
• Multi-AZ 배포 권장

💡 핵심 포인트

• GLB는 보안 특화 Load Balancer: 일반적인 애플리케이션 로드 밸런싱이 아닌 보안 검사 목적
• 투명한 네트워크 게이트웨이: 애플리케이션 코드 변경 없이 모든 트래픽 검사 가능
• 3rd Party 어플라이언스 지원: AWS 네이티브 보안 서비스가 아닌 상용 보안 솔루션 통합
• Layer 3 동작: 가장 낮은 수준에서 모든 IP 트래픽 처리
• GENEVE 프로토콜: 표준 네트워크 가상화 프로토콜 사용 (Port 6081)

---

작성일: 2026-01-29