AWS Transit Gateway 심화 1강

AWS 클라우드 따라잡기 15장에서 Transit Gateway를 세 줄로 소개했다. 이번 심화 시리즈는 그 세 줄을 여섯 강으로 펼친다.

첫 강의 주제는 "왜 이런 게 필요한가"다. 도구를 배우기 전에 그 도구가 푸는 문제부터 이해해야 오래 남는다.

이 강의 목표는 다음과 같다.

• VPC 피어링만으로 망을 짤 때 무엇이 무너지는지 안다.
• 허브 앤 스포크(hub-and-spoke)가 그 문제를 어떻게 푸는지 이해한다.
• Transit Gateway가 정확히 무엇인지 한 문장으로 말할 수 있다.

1. 출발점: VPC 피어링

VPC 피어링은 두 VPC를 1:1로 직접 잇는다. 사설 IP로 통신하고, 설정도 간단하다. VPC가 두세 개일 때는 이보다 좋은 방법이 없다.

문제는 두 가지다.

• 전이(transitive)가 안 된다. A-B를 잇고 B-C를 이어도, A는 C와 통신하지 못한다. B가 중간에서 트래픽을 전달해 주지 않는다.
• 연결 수가 폭발한다. 모든 VPC가 서로 통신하려면 그물망(full mesh)으로 다 이어야 한다. VPC가 n개면 필요한 피어링은 n(n-1)/2 개다.

2. 연결 수는 얼마나 빨리 느는가

예제 1) VPC가 4개, 6개, 10개, 20개일 때 full mesh 피어링은 각각 몇 개인가?

해설) n(n-1)/2 에 대입한다.

• 4개 → 4·3/2 = 6개
• 6개 → 6·5/2 = 15개
• 10개 → 10·9/2 = 45개
• 20개 → 20·19/2 = 190개

VPC가 두 배가 되면 연결은 네 배 가까이 는다. 190개의 피어링을 사람이 손으로 관리한다고 상상해 보라. 라우팅 테이블마다 경로를 다 넣어야 하고, 하나만 빠져도 통신이 끊긴다.

3. 해법: 허브 앤 스포크

Transit Gateway(TGW)는 리전 단위의 네트워크 허브다. 각 VPC를 TGW 하나에만 연결하면, 나머지는 TGW가 중계한다.

• VPC가 n개여도 연결은 n개뿐이다. 20개면 190개가 아니라 20개.
• TGW를 경유하므로 전이 통신이 된다. A도 B도 C도 TGW를 통해 서로 닿는다.
• VPC뿐 아니라 VPN, Direct Connect, 다른 리전의 TGW까지 같은 허브에 붙는다.

예제 2) VPC 20개를 full mesh 피어링으로 이을 때와 TGW로 이을 때, 관리해야 할 연결 수의 차이는?

해설) 피어링은 190개, TGW는 20개다. 차이는 170개. 규모가 커질수록 이 격차는 벌어진다. 대규모 네트워크에서 TGW가 사실상 표준이 된 이유가 여기 있다.

4. 한 문장 정의

Transit Gateway는 여러 VPC와 온프레미스 네트워크를 하나의 허브로 모아 서로 통신시키는 리전 규모의 라우터다. AWS 글로벌 인프라 위에서 동작하며, 데이터센터 간 트래픽은 물리 계층에서 자동 암호화된다.

예제 3) "TGW는 스위치인가 라우터인가?"라고 물으면 어떻게 답해야 할까?

해설) TGW는 목적지 IP를 보고 다음 홉을 결정하는 라우터에 가깝다. 자체 라우팅 테이블을 갖고, 정적 경로와 BGP로 학습한 동적 경로를 함께 다룬다. 스위치처럼 MAC을 배우는 게 아니라, 라우터처럼 CIDR을 보고 어느 어태치먼트로 보낼지 고른다.

정리

• 피어링은 1:1·비전이·연결 폭발(n(n-1)/2)이라는 한계가 있다.
• TGW는 허브 앤 스포크로 연결을 n개로 줄이고 전이 통신을 가능케 한다.
• TGW = 리전 규모의 네트워크 허브(라우터). VPC·VPN·DX·타 리전을 한곳에 모은다.

다음 강에서는 이 허브에 "무엇을" 붙일 수 있는지, 어태치먼트의 종류를 하나씩 본다.