AWS Transit Gateway 심화 2강

허브가 있어도 뭔가를 붙여야 쓸모가 있다. TGW에 연결하는 각 접점을 어태치먼트(attachment)라고 부른다.

이번 강은 어태치먼트의 종류와 각각의 성격, 그리고 자주 발목을 잡는 MTU 문제를 다룬다.

이 강의 목표는 다음과 같다.

• TGW에 붙는 어태치먼트 다섯 종류를 구분한다.
• VPC 어태치먼트가 서브넷·ENI와 어떻게 엮이는지 이해한다.
• MTU 8500 vs 1500의 함정을 피한다.

1. 어태치먼트 다섯 종류

종류	무엇을 연결하나	경로 학습
VPC	같은 리전의 VPC	정적(직접 추가)
Site-to-Site VPN	온프레미스(인터넷 위 터널)	BGP 전파
Direct Connect Gateway	온프레미스(전용 회선)	BGP 전파
TGW Peering	다른/같은 리전의 TGW	정적
Connect	SD-WAN·서드파티 어플라이언스(GRE)	BGP 전파

2. VPC 어태치먼트의 실제 모습

VPC를 붙이면 TGW는 그 VPC의 지정한 서브넷마다 ENI(네트워크 인터페이스)를 하나씩 만든다. 그 ENI가 TGW로 가는 입구다.

• 어태치먼트용 서브넷은 가용 영역(AZ)마다 하나씩 두는 것이 정석이다. 특정 AZ에 어태치먼트 서브넷이 없으면 그 AZ의 리소스는 TGW로 못 나간다.
• 이 서브넷은 작게(/28 정도) 잡아 IP를 아낀다. 워크로드가 쓸 주소를 잡아먹지 않게.

예제 1) VPC가 3개 AZ에 걸쳐 있는데 어태치먼트 서브넷을 2개 AZ에만 만들었다. 어떤 일이 생기나?

해설) 서브넷이 없는 세 번째 AZ의 인스턴스는 TGW 경로를 타지 못한다. 같은 AZ에 TGW ENI가 없기 때문이다. HA를 위해 워크로드가 있는 모든 AZ에 어태치먼트 서브넷을 두어야 한다.

3. 온프레미스로 나가는 세 갈래

• Site-to-Site VPN: 인터넷 위 IPsec 터널. 빠르게 구축, 저렴. BGP로 경로를 주고받는다.
• Direct Connect Gateway: 통신사 전용 회선을 TGW에 연결하는 관문. 안정적·저지연·고대역폭.
• Connect: 이미 VPC 안에 있는 SD-WAN 어플라이언스 등에 GRE + BGP로 붙는 논리적 어태치먼트.

4. MTU — 조용한 패킷 학살자

TGW가 지원하는 최대 패킷 크기(MTU)는 경로마다 다르다.

• VPC·DX·Peering·Connect 간: 8500바이트(점보 프레임)
• VPN 연결: 1500바이트

예제 2) VPC 피어링(점보 프레임 9001)을 쓰던 두 VPC를 TGW로 옮기는데, 한쪽만 먼저 바꿨다. 큰 파일 전송이 간헐적으로 멈춘다. 왜?

해설) TGW의 VPC 경로 MTU는 8500이다. 한쪽이 아직 9001로 큰 패킷을 보내면 TGW가 그걸 넘기지 못하고 버린다(특히 비대칭 트래픽에서 두드러진다). 양쪽 VPC를 동시에 마이그레이션해 MTU를 맞춰야 한다.

예제 3) 온프레미스와 VPN으로 붙였는데 SSH는 되지만 대용량 응답이 자꾸 끊긴다. 첫 의심은?

해설) VPN 경로 MTU 1500과 경로상의 오버헤드(IPsec 헤더)로 인한 MTU/MSS 불일치다. 고객 게이트웨이에서 TCP MSS 클램핑을 걸어 세그먼트 크기를 낮추면 대개 해결된다.

정리

• 어태치먼트 = TGW에 붙는 접점. VPC·VPN·DXGW·Peering·Connect 다섯 종류.
• VPC 어태치먼트는 AZ마다 ENI를 만든다 — 워크로드가 있는 모든 AZ에 작은 서브넷을.
• MTU는 VPC 경로 8500, VPN 1500. 마이그레이션·VPN에서 MTU 불일치를 조심.

다음 강에서는 이 어태치먼트들이 실제로 어떻게 서로 통신하는지, 라우팅의 핵심 개념 두 가지를 판다.