Amazon VPC 트랜짓 게이트웨이 작동 방식 - 아마존 VPC
예제 아키텍처 다이어그램리소스 연결Equal Cost Multipath 라우팅 가용 영역라우팅트랜짓 게이트웨이 시나리오 예시

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Amazon VPC 트랜짓 게이트웨이 작동 방식

AWS Transit Gateway에서 트랜짓 게이트웨이는 가상 사설 클라우드 (VPCs) 와 온프레미스 네트워크 간의 트래픽 흐름에 대한 지역 가상 라우터 역할을 합니다. Transit Gateway는 네트워크 트래픽의 볼륨에 따라 탄력적으로 조정됩니다. Transit Gateway를 통한 라우팅은 패킷이 대상 IP 주소를 기반으로 특정 다음 홉 연결로 전송되는 계층 3에서 작동합니다.

예제 아키텍처 다이어그램

다음 다이어그램은 세 개의 VPC 첨부 파일이 있는 트랜짓 게이트웨이를 보여줍니다. 각 라우팅 테이블에는 로컬 경로와 다른 두 VPCs 경로로 향하는 트래픽을 트랜짓 게이트웨이로 보내는 경로가 VPCs 포함되어 있습니다.

VPC연결 옵션

다음은 이전 다이어그램에 표시된 연결에 대한 기본 Transit Gateway 라우팅 테이블의 예입니다. 각 CIDR 블록은 라우팅 테이블로 VPC 전파됩니다. 따라서 각 연결은 패킷을 다른 두 가지 연결로 경로 지정할 수 있습니다.

대상 주소 대상 경로 유형
VPC A CIDR Attachment for VPC A 전파
VPC B CIDR Attachment for VPC B 전파
VPC C CIDR Attachment for VPC C 전파

리소스 연결

Transit Gateway Attachment는 패킷의 소스이자 대상입니다. 다음 리소스를 Transit Gateway에 연결할 수 있습니다.

  • 하나 이상VPCs. AWS Transit Gateway는 VPC 서브넷 내에 Elastic Network 인터페이스를 배포하고, Transit Gateway는 이 인터페이스를 사용하여 선택한 서브넷과 주고 받는 트래픽을 라우팅합니다. 각 가용 영역에 하나 이상의 서브넷이 있어야 합니다. 그러면 트래픽이 해당 영역의 모든 서브넷에 있는 리소스에 도달할 수 있습니다. 연결을 생성하는 동안 특정 가용 영역 내의 리소스는 동일한 영역 내에 서브넷이 활성화된 경우에만 Transit Gateway에 도달할 수 있습니다. 서브넷 라우팅 테이블은 Transit Gateway에 대한 경로를 포함합니다. 트래픽은 동일한 가용 영역의 서브넷에 연결이 있는 경우에만 Transit Gateway에 전달됩니다.

  • 하나 이상의 연결 VPN

  • 하나 이상의 AWS Direct Connect 게이트웨이

  • 하나 이상의 Transit Gateway Connect 연결

  • 하나 이상의 Transit Gateway 피어링 연결

  • Transit Gateway Attachment 하나가 패킷의 소스이자 대상일 수 있습니다

Equal Cost Multipath 라우팅

AWS Transit Gateway는 대부분의 첨부 파일에 대해 동일 비용 멀티패스 (ECMP) 라우팅을 지원합니다. VPN첨부 파일의 경우 전송 게이트웨이를 만들거나 수정할 때 콘솔을 사용하여 ECMP 지원을 활성화하거나 비활성화할 수 있습니다. 다른 모든 첨부 파일 유형에는 다음과 같은 ECMP 제한이 적용됩니다.

  • VPC- CIDR 블록이 겹칠 수 ECMP 없으므로 지원되지 VPC 않습니다. 예를 들어, 트랜짓 게이트웨이에 CIDR 10.1.0.0/16을 VPC 사용하는 두 번째 라우팅을 연결한 다음 라우팅을 CIDR 설정하여 둘 사이의 트래픽에 부하를 분산할 수 없습니다. VPC

  • VPN- VPNECMP지원 옵션이 비활성화되면 트랜짓 게이트웨이는 여러 경로에 동일한 접두사가 있는 경우 내부 지표를 사용하여 선호 경로를 결정합니다. VPN첨부 파일 활성화 또는 비활성화에 ECMP 대한 자세한 내용은 을 참조하십시오. Amazon 트랜짓 게이트웨이의 VPC 트랜짓 게이트웨이

  • AWS Transit Gateway 연결 - AWS Transit Gateway 연결 첨부 파일이 자동으로 지원됩니다ECMP.

  • AWS Direct Connect AWS Direct Connect 게이트웨이 - 네트워크 접두사, 접두사 길이 및 PATH AS_가 완전히 동일한 경우 게이트웨이 첨부 파일은 여러 Direct Connect Gateway 연결을 자동으로 지원합니다ECMP.

  • 트랜짓 게이트웨이 피어링 - 트랜짓 게이트웨이 피어링은 동적 라우팅을 지원하지 않으며 서로 다른 두 대상에 대해 동일한 고정 경로를 구성할 수 ECMP 없기 때문에 지원되지 않습니다.

참고

  • BGP멀티패스 AS-Path Relax는 지원되지 않으므로 서로 다른 자율 시스템 번호 () 를 ECMP 초과하여 사용할 수 없습니다. ASNs

  • ECMP서로 다른 연결 유형 간에는 지원되지 않습니다. 예를 들어, ECMP A와 VPC 첨부 파일 간에는 VPN 활성화할 수 없습니다. 대신, Transit Gateway 경로가 평가되며 트래픽은 그에 따라 평가된 경로로 라우팅됩니다. 자세한 내용은 경로 평가 순서 단원을 참조하십시오.

  • 단일 Direct Connect 게이트웨이는 ECMP 여러 트랜짓 가상 인터페이스를 지원합니다. 따라서 단일 Direct Connect 게이트웨이만 설정하여 사용하고 여러 게이트웨이를 설정하여 사용하여 이점을 활용하지 않는 것이 좋습니다. ECMP Direct Connect 게이트웨이 및 퍼블릭 가상 인터페이스에 대한 자세한 내용은 퍼블릭 가상 인터페이스에서 액티브/액티브 또는 액티브/패시브 Direct Connect 연결을 설정하려면 어떻게 해야 합니까? 를 참조하십시오. AWS .

가용 영역

를 전송 게이트웨이에 VPC 연결할 때는 전송 게이트웨이가 VPC 서브넷의 리소스로 트래픽을 라우팅하는 데 사용할 하나 이상의 가용 영역을 활성화해야 합니다. 각 가용 영역을 활성화하려면 정확히 하나의 서브넷을 지정해야 합니다. Transit Gateway는 서브넷의 IP 주소 하나를 사용하여 해당 서브넷에 네트워크 인터페이스를 배치합니다. 가용 영역을 활성화한 후에는 지정된 서브넷이나 가용 영역뿐만 아니라 의 모든 서브넷으로 VPC 트래픽을 라우팅할 수 있습니다. 그러나 Transit Gateway Attachment가 있는 가용 영역에 상주하는 리소스만 Transit Gateway에 도달할 수 있습니다.

대상 첨부 파일이 없는 가용 영역에서 트래픽이 유입되는 경우 AWS Transit Gateway는 해당 트래픽을 연결 파일이 있는 임의의 가용 영역으로 내부적으로 라우팅합니다. 이러한 유형의 가용 영역 간 트래픽에는 추가 전송 게이트웨이 요금이 부과되지 않습니다.

가용성을 위해 여러 개의 가용 영역을 활성화하는 것이 좋습니다.

어플라이언스 모드 지원 사용

스테이트풀 네트워크 어플라이언스를 구성하려는 경우 어플라이언스가 위치한 VPC 첨부 파일에 대해 어플라이언스 모드 지원을 활성화할 수 있습니다. VPC 이렇게 하면 트랜짓 게이트웨이가 소스와 목적지 간 트래픽 흐름의 수명 기간 동안 해당 VPC 연결에 대해 동일한 가용 영역을 사용할 수 있습니다. 또한 트랜짓 게이트웨이는 해당 영역에 서브넷 연결이 있는 한VPC, 해당 가용 영역에 트래픽을 전송할 수 있습니다. 자세한 내용은 예: 공유 서비스의 어플라이언스 VPC 단원을 참조하십시오.

라우팅

전송 게이트웨이는 전송 게이트웨이 IPv4 라우팅 테이블을 사용하여 첨부 파일 간에 IPv6 패킷을 라우팅합니다. VPN연결VPCs, 연결 및 Direct Connect 게이트웨이의 라우팅 테이블에서 경로를 전파하도록 이러한 라우팅 테이블을 구성할 수 있습니다. Transit Gateway 라우팅 테이블에 정적 경로를 추가할 수도 있습니다. 패킷이 한 연결에서 오는 경우 이 패킷은 대상 IP 주소와 일치하는 경로를 사용하여 다른 연결로 라우팅됩니다.

Transit Gateway 피어링 연결의 경우 정적 경로만 지원됩니다.

라우팅 테이블

Transit Gateway는 자동으로 기본 라우팅 테이블과 함께 제공됩니다. 기본적으로 이 라우팅 테이블은 기본 연결 라우팅 테이블과 기본 전파 라우팅 테이블입니다. 경로 전파 및 라우팅 테이블 연결을 비활성화한 경우 AWS 는 Transit Gateway에 대한 기본 라우팅 테이블을 생성하지 않습니다.

Transit Gateway에 사용할 추가 라우팅 테이블을 만들 수 있습니다. 이렇게 하면 연결의 서브넷을 격리할 수 있습니다. 각 연결은 라우팅 테이블 하나와 연결할 수 있습니다. 한 연결은 하나 이상의 라우팅 테이블에 해당 경로를 전파할 수 있습니다.

Transit Gateway 라우팅 테이블에 경로와 일치하는 트래픽을 삭제하는 블랙홀 경로를 만들 수 있습니다.

트랜짓 게이트웨이에 VPC 연결할 때 트래픽이 트랜짓 게이트웨이를 통해 라우팅되도록 하려면 서브넷 라우팅 테이블에 경로를 추가해야 합니다. 자세한 내용은 Amazon VPC 사용 설명서의 Transit Gateway의 라우팅을 참조하십시오.

라우팅 테이블 연결

Transit Gateway Attachment를 단일 라우팅 테이블과 연결할 수 있습니다. 각 라우팅 테이블은 0개 이상의 연결과 연결할 수 있으며 패킷을 다른 연결에 전달할 수 있습니다.

경로 전파

각 연결에는 하나 이상의 Transit Gateway 라우팅 테이블에 설치할 수 있는 경로가 있습니다. 연결이 Transit Gateway 라우팅 테이블에 전파되면 이러한 경로가 라우팅 테이블에 설치됩니다. 알려진 경로는 필터링할 수 없습니다.

VPC첨부 파일의 경우 의 CIDR 블록이 트랜짓 게이트웨이 라우팅 테이블로 VPC 전파됩니다.

동적 라우팅을 VPN 첨부 파일 또는 Direct Connect 게이트웨이 연결과 함께 사용하는 경우 온-프레미스 라우터에서 학습한 경로를 모든 전송 게이트웨이 라우팅 테이블에 BGP 전파할 수 있습니다.

동적 라우팅을 첨부 파일과 함께 사용하는 경우 VPN 첨부 파일과 연결된 라우팅 테이블의 경로가 고객 게이트웨이에 광고됩니다. VPN BGP

Connect 연결의 경우 Connect 연결과 연결된 라우팅 테이블의 경로가 VPC BGP 스루에서 실행되는 타사 가상 어플라이언스 (예: SD WAN 어플라이언스) 에 광고됩니다.

Direct Connect 게이트웨이 연결의 경우 허용된 접두사 상호 작용에 따라 고객 네트워크에 알려지는 경로가 결정됩니다. AWS

정적 경로와 전파 경로의 대상이 동일한 경우 정적 경로의 우선순위가 높으므로 전파 경로는 라우팅 테이블에 포함되지 않습니다. 정적 경로를 제거하면 중복 전파 경로가 라우팅 테이블에 포함됩니다.

피어링 연결에 대한 라우팅

두 개의 Transit Gateway를 피어링하고 두 게이트웨이 간에 트래픽을 라우팅할 수 있습니다. 이렇게 하려면 Transit Gateway에서 피어링 연결을 생성하고 함께 피어링 연결을 생성할 피어 Transit Gateway를 지정해야 합니다. 그런 다음 Transit Gateway 라우팅 테이블에서 정적 경로를 생성하여 트래픽을 Transit Gateway 피어링 연결로 라우팅합니다. 피어 트랜짓 게이트웨이로 라우팅되는 트래픽은 피어 트랜짓 게이트웨이의 VPC 및 VPN 첨부 파일로 라우팅될 수 있습니다.

자세한 내용은 예: 피어링된 Transit Gateway 단원을 참조하십시오.

경로 평가 순서

Transit Gateway 경로는 다음과 같은 순서로 평가됩니다.

  • 대상 주소의 가장 구체적인 경로입니다.

  • 동일하지만 연결 유형이 다른 경로의 CIDR 경우 경로 우선 순위는 다음과 같습니다.

    • 고정 경로 (예: 사이트 간 VPN 고정 경로)

    • 참조된 경로 접두사 목록

    • VPC-전파된 경로

    • Direct Connect 게이트웨이 전파 경로

    • Transit Gateway Connect로 전파되는 경로

    • 프라이빗 Direct Connect로 전파되는 경로를 VPN 통한 사이트 간

    • 사이트 VPN 간 전파 경로

    • Transit Gateway 피어링 전파 경로 (클라우드) WAN

일부 첨부 파일은 경로 알림 전송을 지원합니다. BGP 첨부 파일 유형이 동일하고 동일한 CIDR 경로의 경우 경로 우선 순위는 BGP 속성에 의해 제어됩니다.

  • 더 짧은 AS 경로 길이

  • 낮은 MED 값

  • 첨부 파일이 지원하는 경우 e BGP over i BGP 경로가 선호됩니다.

    중요

    AWS 위에 나열된 것과 동일한 CIDR 첨부 파일 유형 및 BGP 속성을 가진 BGP 경로에 대해서는 일관된 경로 우선 순위 지정 순서를 보장할 수 없습니다.

AWS Transit Gateway에는 선호 경로만 표시됩니다. 백업 경로는 해당 경로가 더 이상 광고되지 않는 경우 (예: Direct Connect 게이트웨이와 사이트 VPN 간 동일한 경로를 광고하는 경우) 에만 Transit Gateway 라우팅 테이블에 표시됩니다. AWS Transit Gateway에는 기본 경로인 Direct Connect 게이트웨이 경로에서 수신한 경로만 표시됩니다. 백업 VPN 경로인 사이트 간 경로는 Direct Connect 게이트웨이가 더 이상 광고되지 않는 경우에만 표시됩니다.

VPC및 트랜짓 게이트웨이 라우팅 테이블 차이

라우팅 테이블 평가는 라우팅 테이블을 사용하는지 아니면 트랜짓 게이트웨이 VPC 라우팅 테이블을 사용하는지에 따라 다릅니다.

다음 예는 VPC 라우팅 테이블을 보여줍니다. VPC로컬 경로의 우선 순위가 가장 높고, 가장 구체적인 경로가 그 뒤를 잇습니다. 정적 경로와 전파 경로의 대상이 같은 경우, 정적 경로 우선순위가 더 높습니다.

대상 주소 대상 우선순위
10.0.0.0/16

로컬

 1
192.168.0.0/16 pcx-12345 2
172.31.0.0/16 vgw-12345(정적) 또는

tgw-12345(정적)

 2
172.31.0.0/16 vgw-12345(전파) 3
0.0.0.0/0 igw-12345 4

다음 예는 트랜짓 게이트웨이 라우팅 테이블을 보여줍니다. 첨부 파일보다 AWS Direct Connect 게이트웨이 연결을 선호하는 경우 BGP VPN 연결을 사용하고 트랜짓 게이트웨이 라우팅 테이블의 경로를 전파하십시오. VPN

대상 연결(대상) 리소스 유형 경로 유형 우선순위
10.0.0.0/16 tgw-attach-123 | vpc-1234 VPC 정적 또는 전파 1
192.168.0.0/16 tgw-attach-789 | vpn-5678 VPN 고정 2
172.31.0.0/16 tgw-attach-456 | dxgw_id AWS Direct Connect 게이트웨이 전파 완료 3
172.31.0.0/16 tgw-attach-789 | -123 tgw-connect-peer 연결 전파 4
172.31.0.0/16 tgw-attach-789 | vpn-5678 VPN 전파 5

트랜짓 게이트웨이 시나리오 예시

다음은 전송 게이트웨이의 일반적인 사용 사례입니다. 전송 게이트웨이는 이러한 사용 사례에만 국한되지 않습니다.

예시

    트랜짓 게이트웨이를 모든 VPCs AWS Direct Connect, 및 사이트 VPN 간 연결을 연결하는 중앙 집중식 라우터로 구성할 수 있습니다. 이 시나리오에서는 모든 연결이 Transit Gateway 기본 라우팅 테이블과 연결되어 Transit Gateway 기본 라우팅 테이블에 전파됩니다. 따라서 모든 연결은 패킷을 서로 라우팅할 수 있으며 Transit Gateway는 단순한 계층 3 IP 라우터 역할을 합니다.

    개요

    다음 다이어그램은 이 시나리오를 위한 구성의 주요 구성 요소를 보여줍니다. 이 시나리오에서는 트랜짓 게이트웨이에는 VPC 첨부 파일 3개와 사이트 간 VPN 연결 1개가 있습니다. VPCA, VPC B, VPC C의 서브넷에서 다른 서브넷으로 VPC 향하거나 먼저 VPN 연결하기 위한 패킷은 트랜짓 게이트웨이를 통해 라우팅됩니다.

    VPC첨부 파일 3개와 첨부 파일 1개가 있는 트랜짓 게이트웨이. VPN

    리소스

    이 시나리오에서는 다음 리소스를 생성합니다.

    라우팅

    각 VPC 테이블에는 라우팅 테이블이 있으며 트랜짓 게이트웨이를 위한 라우팅 테이블이 있습니다.

    VPC라우팅 테이블

    각 VPC 항목에는 2개의 항목이 있는 라우팅 테이블이 있습니다. 첫 번째 항목은 의 로컬 IPv4 라우팅에 대한 기본 항목입니다VPC. 이 항목을 사용하면 이 항목의 인스턴스가 서로 VPC 통신할 수 있습니다. 두 번째 항목은 다른 모든 IPv4 서브넷 트래픽을 트랜짓 게이트웨이로 라우팅합니다. 다음 표는 VPC A 경로를 보여줍니다.

    대상 주소 대상

    10.1.0.0/16

    로컬

    0.0.0.0/0

    tgw-id
    Transit Gateway 라우팅 테이블

    다음은 라우팅 전파가 활성화된 이전 다이어그램의 연결에 대한 기본 라우팅 테이블의 예입니다.

    대상 주소 대상 경로 유형

    10.1.0.0/16

    Attachment for VPC A

    전파

    10.2.0.0/16

    Attachment for VPC B

    전파

    10.3.0.0/16

    Attachment for VPC C

    전파

    10.99.99.0/24

    		 Attachment for VPN connection

    전파
    고객 게이트웨이 BGP 테이블

    고객 게이트웨이 BGP 테이블에는 다음이 포함됩니다 VPCCIDRs.

    • 10.1.0.0/16

    • 10.2.0.0/16

    • 10.3.0.0/16

    전송 게이트웨이를 여러 격리된 라우터로 구성할 수 있습니다. 이는 여러 개의 Transit Gateway를 사용하는 것과 유사하지만 라우팅 및 연결이 변경될 수 있는 경우 더 많은 유연성을 제공합니다. 이 시나리오에서는 격리된 각 라우터에 단일 라우팅 테이블이 있습니다. 격리된 라우터와 연결된 모든 연결이 전파되어 해당 라우팅 테이블과 연결됩니다. 하나의 격리된 라우터와 연결된 경우 패킷을 서로 라우팅할 수 있지만, 격리된 다른 라우터에 연결된 경우 패킷을 라우팅하거나 수신할 수 없습니다.

    개요

    다음 다이어그램은 이 시나리오를 위한 구성의 주요 구성 요소를 보여줍니다. VPCA, VPC B, VPC C의 패킷은 트랜짓 게이트웨이로 라우팅됩니다. 목적지로 인터넷을 사용하는 VPC A, VPC B, VPC C의 서브넷에서 오는 패킷은 먼저 전송 게이트웨이를 통과한 다음 사이트 간 VPN 연결 (목적지가 해당 네트워크 내에 있는 경우) 로 라우팅됩니다. 예를 들어 10.1.0.0에서 10.2.0.0까지 다른 VPC 서브넷의 대상이 있는 패킷은 트랜짓 게이트웨이를 통해 라우팅되며, 트랜짓 게이트웨이 라우팅 테이블에 해당 패킷에 대한 경로가 없기 때문에 차단됩니다. VPC

    첨부 파일 3개와 첨부 파일 1개가 있는 트랜짓 게이트웨이. VPC VPN

    리소스

    이 시나리오에서는 다음 리소스를 생성합니다.

    VPN연결이 작동되면 BGP 세션이 설정되고 트랜짓 게이트웨이 라우팅 테이블로 VPN CIDR 전파되고 고객 게이트웨이 테이블에 VPC CIDRs 추가됩니다. BGP

    라우팅

    각 VPC 게이트웨이에는 라우팅 테이블이 있으며, 트랜짓 게이트웨이에는 두 개의 라우팅 테이블이 있습니다. 하나는 연결용입니다. VPCs VPN

    VPCA, VPC B, VPC C 라우팅 테이블

    각 VPC 테이블에는 2개의 항목이 있는 라우팅 테이블이 있습니다. 첫 번째 항목은 의 로컬 IPv4 라우팅에 대한 기본 VPC 항목입니다. 이 항목을 사용하면 이 항목의 인스턴스가 서로 VPC 통신할 수 있습니다. 두 번째 항목은 다른 모든 IPv4 서브넷 트래픽을 트랜짓 게이트웨이로 라우팅합니다. 다음 표는 VPC A 경로를 보여줍니다.

    대상 주소 대상

    10.1.0.0/16

    로컬
    0.0.0.0/0

    tgw-id
    Transit Gateway 라우팅 테이블

    이 시나리오에서는 연결에 하나의 라우팅 테이블을 VPCs 사용하고 VPN 연결에 하나의 라우팅 테이블을 사용합니다.

    VPC첨부 파일은 다음 라우팅 테이블과 연결되며, 이 라우팅 테이블에는 VPN 첨부 파일에 대한 전파된 경로가 있습니다.

    대상 주소 대상 경로 유형
    10.99.99.0/24 Attachment for VPN connection

    전파

    VPN첨부 파일은 각 첨부 파일에 대한 경로가 전파된 다음 라우팅 테이블과 연결됩니다. VPC

    대상 주소 대상 경로 유형

    10.1.0.0/16

    Attachment for VPC A

    전파

    10.2.0.0/16

    Attachment for VPC B

    전파

    10.3.0.0/16

    Attachment for VPC C

    전파

    전송 게이트웨이 라우팅 테이블에서 라우팅을 전파하는 방법에 대한 자세한 내용은 Amazon VPC Transit Gateways를 사용하여 트랜짓 게이트웨이 라우팅 테이블로의 경로 전파 활성화을 참조하십시오.

    고객 게이트웨이 테이블 BGP

    고객 게이트웨이 BGP 테이블에는 다음이 포함됩니다 VPCCIDRs.

    • 10.1.0.0/16

    • 10.2.0.0/16

    • 10.3.0.0/16

    Transit Gateway를 공유 서비스를 사용하는 여러 격리된 라우터로 구성할 수 있습니다. 이는 여러 개의 Transit Gateway를 사용하는 것과 유사하지만 라우팅 및 연결이 변경될 수 있는 경우 더 많은 유연성을 제공합니다. 이 시나리오에서는 격리된 각 라우터에 단일 라우팅 테이블이 있습니다. 격리된 라우터와 연결된 모든 연결이 전파되어 해당 라우팅 테이블과 연결됩니다. 하나의 격리된 라우터와 연결된 경우 패킷을 서로 라우팅할 수 있지만, 격리된 다른 라우터에 연결된 경우 패킷을 라우팅하거나 수신할 수 없습니다. 연결은 공유 서비스로 패킷을 라우팅하거나 공유 서비스에서 패킷을 수신할 수 있습니다. 격리해야 하는 그룹이 있지만 공유 서비스(예: 프로덕션 시스템)를 사용하는 경우 이 시나리오를 사용할 수 있습니다.

    개요

    다음 다이어그램은 이 시나리오를 위한 구성의 주요 구성 요소를 보여줍니다. 목적지로 인터넷을 사용하는 VPC A, VPC B, VPC C의 서브넷에서 들어오는 패킷은 먼저 전송 게이트웨이를 통해 라우팅된 다음 사이트 간 고객 게이트웨이로 라우팅됩니다. VPN A, B 또는 C에 서브넷의 목적지가 있는 VPC A, VPC B 또는 VPC C의 서브넷에서 VPC 오는 패킷은 전송 게이트웨이를 통과하며, 전송 게이트웨이 라우팅 테이블에 해당 서브넷에 대한 경로가 없기 때문에 트랜짓 게이트웨이에서는 차단됩니다. VPC VPC VPCA, VPC B, VPC C의 패킷으로, 대상 경로로 VPC D가 전송 게이트웨이를 통과한 다음 D로 전달됩니다. VPC

    VPC첨부 파일 4개와 첨부 파일 VPN 1개가 있는 트랜짓 게이트웨이.

    리소스

    이 시나리오에서는 다음 리소스를 생성합니다.

    VPN연결이 작동되면 BGP 세션이 설정되고 트랜짓 게이트웨이 라우팅 테이블로 VPN CIDR 전파되고 고객 게이트웨이 테이블에 VPC CIDRs 추가됩니다. BGP

    • 각 분리된 라우팅 VPC 테이블은 격리된 라우팅 테이블과 연결되고 공유 라우팅 테이블로 전파됩니다.

    • 각 공유 서비스는 공유 라우팅 테이블과 VPC 연결되며 두 라우팅 테이블에 모두 전파됩니다.

    라우팅

    각 VPC 게이트웨이에는 라우팅 테이블이 있으며 트랜짓 게이트웨이에는 두 개의 라우팅 테이블이 있습니다. 하나는 VPN 연결 VPCs 및 공유 서비스용입니다. VPC

    VPCA, VPC B, VPC C, VPC D 라우팅 테이블

    각 VPC 테이블에는 두 개의 항목이 있는 라우팅 테이블이 있습니다. 첫 번째 항목은 의 로컬 라우팅에 대한 기본 항목입니다VPC. 이 항목을 사용하면 이 항목의 인스턴스가 서로 VPC 통신할 수 있습니다. 두 번째 항목은 다른 모든 IPv4 서브넷 트래픽을 트랜짓 게이트웨이로 라우팅합니다.

    대상 주소 대상
    10.1.0.0/16 로컬
    0.0.0.0/0 transit gateway ID
    Transit Gateway 라우팅 테이블

    이 시나리오에서는 연결에 하나의 라우팅 테이블을 VPCs 사용하고 VPN 연결에 하나의 라우팅 테이블을 사용합니다.

    VPCA, B, C 첨부 파일은 다음 라우팅 테이블과 연결되어 있습니다. 이 라우팅 테이블에는 첨부 파일에 대한 전파된 경로와 D의 VPN 첨부 파일에 대한 전파된 경로가 있습니다. VPC

    대상 주소 대상 경로 유형
    10.99.99.0/24 Attachment for VPN connection 전파
    10.4.0.0/16 Attachment for VPC D 전파

    VPN첨부 파일 및 공유 서비스 VPC (VPCD) 첨부 파일은 각 첨부 파일을 가리키는 항목이 있는 다음 라우팅 테이블과 연결됩니다. VPC 이렇게 하면 VPN 연결 및 공유 서비스에서 통신할 수 VPC 있습니다. VPCs

    대상 주소 대상 경로 유형
    10.1.0.0/16 Attachment for VPC A 전파
    10.2.0.0/16 Attachment for VPC B 전파
    10.3.0.0/16 Attachment for VPC C 전파

    자세한 내용은 Amazon VPC Transit Gateways를 사용하여 트랜짓 게이트웨이 라우팅 테이블로의 경로 전파 활성화 단원을 참조하십시오.

    고객 게이트웨이 BGP 테이블

    고객 게이트웨이 BGP 테이블에는 네 가지 모두에 CIDRs 대한 테이블이 포함되어 VPCs 있습니다.

    Transit Gateway 간에 Transit Gateway 피어링 연결을 생성할 수 있습니다. 그런 다음 각 Transit Gateway 연결 간에 트래픽을 라우팅할 수 있습니다. 이 시나리오에서 VPN 첨부 파일은 트랜짓 게이트웨이 기본 라우팅 테이블과 연결되며 트랜짓 게이트웨이 기본 라우팅 테이블로 전파됩니다. VPC 각 Transit Gateway 라우팅 테이블에는 Transit Gateway 피어링 연결을 가리키는 정적 라우팅이 있습니다.

    개요

    다음 다이어그램은 이 시나리오를 위한 구성의 주요 구성 요소를 보여줍니다. 트랜짓 게이트웨이 1에는 두 개의 VPC 첨부 파일이 있고, 트랜짓 게이트웨이 2에는 사이트 간 VPN 연결 하나가 있습니다. 인터넷을 대상으로 하는 VPC A와 B의 서브넷에서 VPC 수신되는 패킷은 먼저 전송 게이트웨이 1을 통과한 다음 전송 게이트웨이 2를 통과한 다음 연결로 라우팅합니다. VPN

    두 개의 피어링된 트랜짓 게이트웨이 (하나는 두 개의 VPC 첨부 파일이 있고 다른 하나는 첨부 파일이 있는 게이트웨이) VPN

    리소스

    이 시나리오에서는 다음 리소스를 생성합니다.

    첨부 파일을 만들면 각 VPC 첨부 파일이 트랜짓 게이트웨이 1의 라우팅 테이블에 VPC 전파됩니다. CIDRs VPN연결이 작동하면 다음과 같은 동작이 발생합니다.

    • BGP세션이 설정되었습니다.

    • 사이트 간 전송은 트랜짓 게이트웨이 2의 라우팅 VPN CIDR 테이블로 전파됩니다.

    • 고객 게이트웨이 VPC CIDRs 테이블에 추가됩니다. BGP

    라우팅

    각 VPC 게이트웨이에는 라우팅 테이블이 있고 각 트랜짓 게이트웨이에는 라우팅 테이블이 있습니다.

    VPCA 및 VPC B 라우팅 테이블

    각 VPC 테이블에는 항목이 2개인 라우팅 테이블이 있습니다. 첫 번째 항목은 의 로컬 IPv4 라우팅에 대한 기본 VPC 항목입니다. 이 기본 항목을 사용하면 이 항목의 리소스가 서로 VPC 통신할 수 있습니다. 두 번째 항목은 다른 모든 IPv4 서브넷 트래픽을 트랜짓 게이트웨이로 라우팅합니다. 다음 표는 VPC A 경로를 보여줍니다.

    대상 주소 대상

    10.0.0.0/16

    로컬

    0.0.0.0/0

    tgw-1-id
    Transit Gateway 라우팅 테이블

    다음은 라우팅 전파가 활성화된 Transit Gateway 1의 기본 라우팅 테이블의 예입니다.

    대상 주소 대상 경로 유형

    10.0.0.0/16

    Attachment ID for VPC A

    전파

    10.2.0.0/16

    Attachment ID for VPC B

    전파

    0.0.0.0/0

    		 Attachment ID for peering connection

    고정

    다음은 라우팅 전파가 활성화된 Transit Gateway 2의 기본 라우팅 테이블의 예입니다.

    대상 주소 대상 경로 유형

    172.31.0.0/24

    		 Attachment ID for VPN connection

    전파

    10.0.0.0/16

    Attachment ID for peering connection

    정적

    10.2.0.0/16

    		 Attachment ID for peering connection 정적
    고객 게이트웨이 BGP 테이블

    고객 게이트웨이 BGP 테이블에는 다음이 포함됩니다 VPCCIDRs.

    • 10.0.0.0/16

    • 10.2.0.0/16

    인터넷 게이트웨이가 없는 아웃바운드 인터넷 트래픽을 게이트웨이와 인터넷 게이트웨이가 VPC 포함된 게이트웨이로 라우팅하도록 트랜짓 NAT 게이트웨이를 구성할 수 있습니다. VPC

    개요

    다음 다이어그램은 이 시나리오를 위한 구성의 주요 구성 요소를 보여줍니다. VPCA와 VPC B에는 아웃바운드 인터넷 액세스만 필요한 애플리케이션이 있습니다. 공용 NAT 게이트웨이와 인터넷 게이트웨이를 사용하고 연결을 위한 사설 서브넷을 사용하여 VPC C를 구성합니다. VPC 모두 VPCs 트랜짓 게이트웨이에 연결합니다. VPCA와 B의 아웃바운드 인터넷 트래픽이 전송 게이트웨이를 통과하여 C로 전달되도록 라우팅을 구성합니다VPC. C의 NAT 게이트웨이는 트래픽을 인터넷 게이트웨이로 라우팅합니다. VPC VPC

    세 개의 첨부 파일이 있는 트랜짓 게이트웨이. VPC

    리소스

    이 시나리오에서는 다음 리소스를 생성합니다.

    • 세 개는 VPCs IP 주소 범위가 겹치지 않습니다. 자세한 내용은 Amazon VPC 사용 설명서의 Create a VPC 를 참조하십시오.

    • VPCA와 VPC B에는 각각 EC2 인스턴스가 있는 프라이빗 서브넷이 있습니다.

    • VPCC는 다음과 같습니다.

      • 에 연결된 인터넷 게이트웨이VPC. 자세한 내용은 Amazon VPC 사용 설명서의 인터넷 게이트웨이 생성 및 연결을 참조하십시오.

      • NAT게이트웨이가 있는 퍼블릭 서브넷. 자세한 내용은 Amazon VPC 사용 설명서의 NAT 게이트웨이 생성을 참조하십시오.

      • Transit Gateway Attachment를 위한 프라이빗 서브넷. 프라이빗 서브넷은 퍼블릭 서브넷과 같은 가용 영역에 있어야 합니다.

    • 하나의 전송 게이트웨이입니다. 자세한 내용은 Amazon 트랜짓 게이트웨이를 사용하여 VPC 트랜짓 게이트웨이 생성 단원을 참조하십시오.

    • 트랜짓 게이트웨이의 VPC 첨부 파일 3개. 각 CIDR 블록은 트랜짓 게이트웨이 라우팅 테이블로 VPC 전파됩니다. 자세한 내용은 Amazon VPC 트랜짓 게이트웨이를 사용하여 VPC 첨부 파일 생성 단원을 참조하십시오. VPCC의 경우 프라이빗 서브넷을 사용하여 첨부 파일을 만들어야 합니다. 퍼블릭 서브넷을 사용해 연결을 생성하면 인스턴스 트래픽이 인터넷 게이트웨이로 라우팅되지만, 인스턴스에 퍼블릭 IP 주소가 없기 때문에 인터넷 게이트웨이가 트래픽을 삭제합니다. 첨부 파일을 프라이빗 서브넷에 배치하면 트래픽이 게이트웨이로 라우팅되고 NAT 게이트웨이는 엘라스틱 IP 주소를 원본 IP 주소로 사용하여 인터넷 게이트웨이로 트래픽을 보냅니다. NAT

    라우팅

    각각에 대한 라우팅 VPC 테이블과 트랜짓 게이트웨이에 대한 라우팅 테이블이 있습니다.

    라우팅 테이블
    A의 라우팅 VPC 테이블

    다음은 라우팅 테이블의 예입니다. 첫 번째 항목을 사용하면 의 인스턴스가 서로 VPC 통신할 수 있습니다. 두 번째 항목은 다른 모든 IPv4 서브넷 트래픽을 트랜짓 게이트웨이로 라우팅합니다.

    대상 주소 대상

    VPC A CIDR

    로컬

    0.0.0.0/0

    transit-gateway-id
    B의 라우팅 VPC 테이블

    다음은 라우팅 테이블의 예입니다. 첫 번째 항목을 사용하면 의 인스턴스가 서로 VPC 통신할 수 있습니다. 두 번째 항목은 다른 모든 IPv4 서브넷 트래픽을 트랜짓 게이트웨이로 라우팅합니다.

    대상 주소 대상

    VPC B CIDR

    로컬

    0.0.0.0/0

    transit-gateway-id
    C의 라우팅 VPC 테이블

    인터넷 게이트웨이에 경로를 추가하여 NAT 게이트웨이가 있는 서브넷을 퍼블릭 서브넷으로 구성합니다. 다른 서브넷은 프라이빗 서브넷으로 둡니다.

    다음은 퍼블릭 서브넷의 라우팅 테이블 예입니다. 첫 번째 항목을 사용하면 의 인스턴스가 서로 VPC 통신할 수 있습니다. 두 번째 및 세 번째 항목은 VPC VPC A와 B의 트래픽을 트랜짓 게이트웨이로 라우팅합니다. 나머지 엔트리는 다른 모든 IPv4 서브넷 트래픽을 인터넷 게이트웨이로 라우팅합니다.

    대상 주소 대상
    VPC C CIDR 로컬
    VPC A CIDR transit-gateway-id
    VPC B CIDR transit-gateway-id
    0.0.0.0/0 internet-gateway-id

    다음은 프라이빗 서브넷의 라우팅 테이블 예입니다. 첫 번째 항목을 사용하면 의 인스턴스가 서로 VPC 통신할 수 있습니다. 두 번째 항목은 다른 모든 IPv4 서브넷 트래픽을 NAT 게이트웨이로 라우팅합니다.

    대상 주소 대상
    VPC C CIDR 로컬
    0.0.0.0/0 nat-gateway-id
    Transit Gateway 라우팅 테이블

    다음은 Transit Gateway 라우팅 테이블의 예입니다. 각 CIDR 블록은 트랜짓 게이트웨이 라우팅 테이블로 VPC 전파됩니다. 고정 경로는 아웃바운드 인터넷 트래픽을 VPC C로 전송합니다. 선택적으로 각각에 블랙홀 경로를 추가하여 VPC 상호 통신을 방지할 수 있습니다. VPC CIDR

    CIDR 연결 경로 유형

    VPC A CIDR

    Attachment for VPC A

    전파

    VPC B CIDR

    Attachment for VPC B

    전파

    VPC C CIDR

    Attachment for VPC C

    전파
    0.0.0.0/0

    Attachment for VPC C

    		 정적

    공유 서비스에서 어플라이언스 (예: 보안 어플라이언스) 를 구성할 수 VPC 있습니다. 트랜짓 게이트웨이 첨부 파일 간에 라우팅되는 모든 트래픽은 먼저 공유 서비스의 어플라이언스에 의해 검사됩니다. VPC 어플라이언스 모드가 활성화되면 트랜짓 게이트웨이는 플로우 해시 알고리즘을 사용하여 VPC 어플라이언스에서 단일 네트워크 인터페이스를 선택하여 플로우 수명 기간 동안 트래픽을 전송합니다. Transit Gateway는 반환 트래픽에 대해 동일한 네트워크 인터페이스를 사용합니다. 이렇게 하면 양방향 트래픽이 대칭적으로 라우팅됩니다. 즉, 양방향 트래픽은 흐름 수명 동안 첨부 파일의 동일한 가용 영역을 통해 라우팅됩니다. VPC 아키텍처에 여러 Transit Gateway가 있는 경우 각 Transit Gateway는 자체 세션 선호도를 유지하며 각 Transit Gateway는 다른 네트워크 인터페이스를 선택할 수 있습니다.

    흐름 고착성을 보장하려면 정확히 하나의 트랜짓 게이트웨이를 어플라이언스에 연결해야 합니다. VPC 여러 트랜짓 게이트웨이를 단일 어플라이언스에 VPC 연결해도 트랜짓 게이트웨이가 서로 흐름 상태 정보를 공유하지 않기 때문에 흐름 고정성이 보장되지 않습니다.

    중요

    • 소스 및 대상 트래픽이 동일한 트랜짓 게이트웨이 연결에서 중앙 집중식 VPC (검사VPC) 으로 들어오는 한 어플라이언스 모드의 트래픽은 올바르게 라우팅됩니다. 소스와 목적지가 서로 다른 두 개의 트랜짓 게이트웨이 연결에 있는 경우 트래픽이 감소할 수 있습니다. 중앙 집중식 게이트웨이가 다른 게이트웨이 (예: 인터넷 게이트웨이) 에서 트래픽을 VPC 수신한 다음 검사 후 해당 트래픽을 트랜짓 게이트웨이 첨부 파일로 보내는 경우 트래픽이 감소할 수 있습니다.

    • 기존 첨부 파일에서 어플라이언스 모드를 활성화하면 첨부 파일이 모든 가용 영역을 통과할 수 있으므로 해당 첨부 파일의 현재 경로에 영향을 미칠 수 있습니다. 어플라이언스 모드가 활성화되지 않은 경우 트래픽은 원래 가용 영역으로 유지됩니다.

    개요

    다음 다이어그램은 이 시나리오를 위한 구성의 주요 구성 요소를 보여줍니다. 트랜짓 게이트웨이에는 세 개의 VPC 첨부 파일이 있습니다. VPCC는 공유 서비스입니다VPC. VPCA와 B 사이의 VPC 트래픽은 트랜짓 게이트웨이로 라우팅된 다음 검사를 위해 VPC C의 보안 어플라이언스로 라우팅된 다음 최종 목적지로 라우팅됩니다. 어플라이언스는 상태 저장 장치이므로 요청 트래픽과 응답 트래픽을 모두 검사합니다. 고가용성을 위해 C의 각 가용 영역에는 어플라이언스가 하나씩 있습니다. VPC

    공유 서비스의 어플라이언스 VPC

    이 시나리오에서는 다음 리소스를 생성합니다.

    참고

    어플라이언스 모드의 흐름 고정성은 검사로 향하는 소스 및 대상 트래픽에 대해서만 보장됩니다. VPC

    상태 저장 어플라이언스 및 어플라이언스 모드

    VPC첨부 파일이 여러 가용 영역에 분산되어 있고 소스 호스트와 대상 호스트 간의 트래픽을 상태 저장 검사를 위해 동일한 어플라이언스를 통해 라우팅해야 하는 경우 어플라이언스가 위치한 VPC 첨부 파일에 대해 어플라이언스 모드 지원을 활성화하십시오.

    자세한 내용은 블로그의 중앙 집중식 검사 아키텍처를 참조하십시오. AWS

    어플라이언스 모드가 활성화되지 않은 경우의 동작

    어플라이언스 모드가 활성화되지 않은 경우 트랜짓 게이트웨이는 목적지에 도달할 때까지 원래 가용 영역의 VPC 첨부 파일 간에 트래픽을 라우팅하려고 시도합니다. 가용 영역 장애가 있거나 해당 가용 영역에 첨부 파일과 연결된 서브넷이 없는 경우에만 트래픽이 VPC 첨부 파일 간에 가용 영역을 통과합니다.

    다음 다이어그램은 어플라이언스 모드 지원이 활성화되지 않은 경우의 트래픽 흐름을 보여 줍니다. VPCB의 가용 영역 2에서 시작된 응답 트래픽은 트랜짓 게이트웨이를 통해 VPC C의 동일한 가용 영역으로 라우팅됩니다. 따라서 가용 영역 2의 어플라이언스가 A의 소스에서 보낸 원래 요청을 인식하지 못하기 때문에 트래픽이 삭제됩니다. VPC

    어플라이언스로 가는 응답 트래픽 삭제

    라우팅

    각 VPC 게이트웨이에는 하나 이상의 라우팅 테이블이 있고 트랜짓 게이트웨이에는 두 개의 라우팅 테이블이 있습니다.

    VPC라우팅 테이블

    VPCA 및 VPC B

    VPCsA와 B에는 항목이 2개인 라우팅 테이블이 있습니다. 첫 번째 항목은 의 로컬 IPv4 라우팅에 대한 기본 VPC 항목입니다. 이 기본 항목을 사용하면 이 항목의 리소스가 서로 VPC 통신할 수 있습니다. 두 번째 항목은 다른 모든 IPv4 서브넷 트래픽을 트랜짓 게이트웨이로 라우팅합니다. 다음은 A의 라우팅 테이블입니다. VPC

    대상 주소 대상

    10.0.0.0/16

    로컬

    0.0.0.0/0

    tgw-id

    VPCC

    공유 서비스 VPC (VPCC) 에는 각 서브넷에 대해 서로 다른 라우팅 테이블이 있습니다. 서브넷 A는 트랜짓 게이트웨이에서 사용됩니다 (첨부 파일을 만들 때 이 서브넷을 지정합니다). VPC 서브넷 A의 라우팅 테이블은 모든 트래픽을 서브넷 B의 어플라이언스로 라우팅합니다.

    대상 주소 대상

    192.168.0.0/16

    로컬

    0.0.0.0/0

    appliance-eni-id

    (어플라이언스가 있는) 서브넷 B에 대한 라우팅 테이블은 트래픽을 Transit Gateway로 돌려보냅니다.

    대상 주소 대상

    192.168.0.0/16

    로컬

    0.0.0.0/0

    tgw-id
    Transit Gateway 라우팅 테이블

    이 트랜짓 게이트웨이는 VPC A와 B에 대해 VPC 하나의 라우팅 테이블을 사용하고 공유 서비스 VPC (VPCC) 에 대해 하나의 라우팅 테이블을 사용합니다.

    VPCA 및 VPC B 첨부 파일은 다음 라우팅 테이블과 연결됩니다. 라우팅 테이블은 모든 트래픽을 VPC C로 라우팅합니다.

    대상 주소 대상 경로 유형

    0.0.0.0/0

    Attachment ID for VPC C

    정적

    VPCC 어태치먼트는 다음 라우팅 테이블과 연결됩니다. 트래픽을 VPC A와 VPC B로 라우팅합니다.

    대상 주소 대상 경로 유형

    10.0.0.0/16

    Attachment ID for VPC A

    전파

    10.1.0.0/16

    Attachment ID for VPC B

    		 전파