DB 서브넷 격리 아키텍처: Multi-AZ 복제 및 VPC Endpoint의 구조

정성헌·2026년 4월 2일

0. Backgrounds

인프라 설계 시 보안 강화를 위해 DB 서브넷을 외부 인터넷과 완전히 격리(Isolated)하는 아키텍처를 채택하곤 합니다. 그러나 이 과정에서 고가용성(HA)을 위한 데이터 동기화 메커니즘과 네트워크 엔드포인트의 역할을 혼동하여 불필요한 설계를 추가하는 실수가 빈번히 발생합니다.

핵심 의문: "Multi-AZ 환경에서 가용 영역 간 DB 데이터 동기화를 위해 별도의 VPC Endpoint나 네트워크 피어링 설정이 필요한가?"
결론: 그렇지 않습니다. 데이터 복제는 사용자가 제어하는 라우팅 영역 밖에서 이루어집니다.

1. DB 데이터 동기화(Replication)의 실제 작동 메커니즘

AWS RDS의 Multi-AZ 구성은 서비스 연속성을 위한 핵심 요소입니다. 하지만 이들의 통신 방식은 일반적인 VPC 내부 통신과는 궤를 달리합니다.

1.1. 작동 원리: 동기식 복제 (Synchronous Replication)

인프라 추상화: 데이터 복제는 인프라 관리자가 정의한 서브넷 라우팅 테이블이나 VPC Endpoint를 경유하지 않습니다.
전용 백엔드 네트워크: AWS가 관리하는 별도의 내부 전용 백엔드 네트워크를 통해 물리적 데이터 센터 간 실시간 동기화가 수행됩니다.
관리 주체: 이는 관리형 서비스(Managed Service)의 영역으로, 사용자가 YAML 파일이나 콘솔에서 통로를 설정하거나 개입할 수 없습니다.

1.2. 결론

DB 노드 간의 복제 트래픽은 사용자의 VPC 트래픽 쿼터나 보안 그룹 설정(Egress)에 영향을 받지 않는 완전 격리된 평면(Control/Data Plane)에서 동작합니다.

2. VPC Endpoint의 역할과 완전 격리의 맹점

인터넷 게이트웨이(IGW)와 NAT 게이트웨이가 없는 '완전 격리 서브넷'은 보안상 유리하지만, 서비스 운영 측면에서는 '고립'이라는 부작용을 낳습니다.

2.1. 도입 필요성

DB 서브넷에서 외부 인터넷(0.0.0.0/0) 경로를 삭제하면 외부 위협은 차단되지만, AWS의 다른 필수 관리 서비스와의 접점도 상실됩니다. 이를 해결하기 위해 VPC Endpoint라는 프라이빗 전용 통로가 필요합니다.

2.2. DB 서브넷 필수 Endpoint 연동 대상

완전 격리 환경에서도 운영을 위해 반드시 고려해야 할 엔드포인트는 다음과 같습니다.

서비스명	유형	용도 및 필요성
S3	Gateway	DB 스냅샷 백업 데이터 전송 및 로그 저장.
Secrets Manager	Interface	DB 자격 증명(Password)의 안전한 호출 및 로테이션.
Systems Manager (SSM)	Interface	퍼블릭 접속 없이 프라이빗 환경에서의 OS 패치 및 보안 관리.

3. 실무 아키텍처 설계 요약 (Best Practice)

안전하고 견고한 격리형 DB 인프라를 설계하기 위한 3대 원칙입니다.

① 고가용성 (High Availability)

2개 이상의 가용 영역(AZ)에 서브넷을 분산 배치하고 RDS Multi-AZ 옵션을 활성화합니다. 이때 데이터 동기화는 RDS 자체 네트워크 인프라에 위임합니다.

② 보안성 (Isolation)

DB 서브넷의 라우팅 테이블에서 IGW 및 NAT Gateway로 향하는 모든 라우팅을 제거하여 외부 노출을 원천 차단합니다.

③ 운영 가능성 (Feasibility)

격리된 환경 내에서 AWS 서비스와 통신할 수 있도록 VPC Endpoint(S3, SSM 등)를 구성하여 백업 및 관리 효율성을 확보합니다.

Editor's Note:
결국 DB 보안의 핵심은 "무조건적인 차단"이 아니라, "필요한 통로(Endpoint)만 선별적으로 열어주는 전략적 격리"에 있습니다. 복제 메커니즘에 대한 오해를 바로잡는 것이 효율적인 아키텍처 설계의 시작입니다.

4. 마무리

만약 자신이 회사에서 aws를 이용해 인프라를 구축해야 될 상황이 왔을 때 단순히 db subnet은 외부와 완전히 차단되야 된다고 생각해 Nat 게이트웨이뿐만아니라 vpc endpoint까지 연결하지 않는다면 그 subnet은 db로써 역할할 수 없는 "외딴섬"이 되버립니다.
지속적인 db 백업이나 보안 업데이트를 위해 AWS 서비스들과 통신하기 위해서 꼭 vpc endpoint가 있어야 된다는 것을 알게 되었습니다.