[인프라공방] 지하철 노선도 - 1. 망 구성하기

1.  용어 및 개념 정리

[1] VPC

 퍼블릭 클라우드 상에서 제공되는 사설 네트워크 (private network)이며, 가상의 데이터 센터와 같다. IP주소 범위, VPC 범위를 설정해 외부와 격리된 네트워크 컨테이너를 구성할 수 있다. 논리적으로 독립된 가상 네트워크는 외부 네트워크 통신 제어, VPC 내부 통신 설정을 통해 보안적인 이점을 제공한다. 참고로 AWS VPC 는 리전 단위로 서비스를 제공한다.

 

 

[2] subnet 

 VPC 의 하위 단위로 VPC 에 할당된 IP 를 더 작은 단위로 분할한 개념을 말한다. 하나의 서브넷은 하나의 가용영역(AZ) 안에 위치하며,  CIDR block range 를 통해 IP 주소 범위를 지정할 수 있다. 

  각 subnet 에 IP 할당 갯수는 2^(32 - 호스트 주소 할당 숫자) 를 통해 연산한다. 예를 들어 10.0.0.0/26 이라면 2^(32 - 26) = 64개의 ip 갯수를 할당할 수 있다. 하지만 AWS 에서 subnet 을 구성하는 경우 5개의 IP 갯수를 제외하고 계산해야 한다. AWS 에서 subnet 을 구성할 경우 아래와 같은 이유로 자동으로 5개의 IP 주소를 할당하며 최종적으로 할당되는 IP 의 갯수는 64 - 5 = 59개이다. 만약 원하는 IP 할당 갯수가 64개라면 실제 할당하는 IP 는 64개 보다 더 많아야 한다.

• subnet 설정이 10.0.0.0/24 라면?
  • 10.0.0.0 : network address
  • 10.0.0.1 : VPC router
  • 10.0.0.2 : DNS Server
  • 10.0.0.3 : 미래 사용을 위해 남겨 둠
  • 10.0.0.255(마지막 주소) : network broadcast address (단 broadcast 를 제공하지 않음)

 서브넷 종류에는 public subnet 과 private subnet 이 존재한다.  public subnet 은 외부에서 인터넷 연결을 통해 통신할 수 있는 서브넷을 말한다. internet gateway 를 퍼블릭 라우팅 테이블에 등록해 외부 인터넷과 통신 가능한 상태로 구성할 수 있다. 내부에 위치한 인스턴스에 public IP 를 부여할 수 있으며 웹 서버, 어플리케이션 서버 등 유저에게 노출하는 인프라를 구성하는 공간이다. private subnet 은 외부에서 인터넷 연결을 통해 통신할 수 없는 서브넷을 말한다. (참고로, 외부에서 private subnet 으로 통신이 불가하지만 private subnet 에서 외부와의 통신은 NAT interface 를 구성해 외부와의 통신이 가능하다.) public IP 부여가 불가능하며 DB 와 같은 외부 노출이 필요없는 인프라에서 많이 사용한다. 

 

[3] route table

route table 은 router 가 다른 망과의 서버 통신하기 위해 참고하는 테이블이다. route table 은 destination 와 target 을 컬럼으로 테이블이 구성되는데 destination 은트래픽을 이동할 대상 IP 주소 범위, target 은 대상 트래픽을 전송할 때 사용할 게이트웨이, 네트워크 인터페이스를 지정한다. 

 route table 은 구체적인 서브넷 마스크 숫자가 큰 것을 높은 우선순위로 한다. 아래 route table 을 기준으로 IPv4 10.0.1.231 을 라우팅해야 한다면 호스트 주소 할당 숫자가 10.0.0.0/16 을 destination 으로 기준으로 local 로 라우팅한다.

(참고로, 라우터(Router) 는 최종 목적지를 가기 위해 어디로 패킷을 보내는 것이 최적 경로인지 학습하며 라우팅 정보가 있을 때는 해당 요청을 Forwarding 하여 target 으로 전달하고 라우팅 정보가 없을 때 Drop 하여 요청을 버린다.)

 

[4] internet gateway

VPC 가 외부의 인터넷과 통신할 수 있도록 경로를 만들어주는 소스이다. IPv4, IPv6 를 지원하며 IPv4 는 NAT 역할을 한다. Route table 을 통해 접근 가능하며 무료인 서비스이다.

• gateway...??
  • 서로 다른 통신망 혹은 프로토콜 간 네트워크 통신을 가능하게 하는 구성요소
  • 예시
    • internet gateway : 인터넷 망과 연결을 중계하는 요소
    • NAT gateway : private IP 를 public IP 로 변환하는 구성요소 (AWS 에서 쉽게 생성 및 관리하도록 제공)

 

[5] CIDR(Classless Inter Domain Routing)

IP주소 영역을 여러 네트워크 영역으로 나누기 위해 IP 를 묶는 방식이며 여러 개의 사설망을 구축하기 위해 망을 나누는 방법이다. CIDR Block 은 IP 주소의 집합이며 이는 CIDR Notation 을 통해 CIDR Block 을 표현한다.  CIDR Notation 은 A.B.C.D/E 형식으로 표현하며 A,B,C,D 는 네트워크 주소와 호스트 영역을 표시하고 E 는 네트워크 주소가 몇 bit 인지를 나타낸다.

 

[6] NAT(Network Address Translation) 

 private IP 를 public IP 로 통신할 수 있도록 주소를 변환하는 방법이다. private IP 는 한정된 IP주소를 최대한 활용하기 위한 방법으로 사설망 내부의 별도의 IP 를 할당하고 외부와 통신하기 위한 public IP 를 공용으로 사용하는 형태를 말한다. 이 때 private IP 를 public IP 로 변환하는 역할을 하는 주체이다.

 NAT 에는 Dynamic NAT, Static NAT, PAT(Port Address NAT) 3가지가 존재하며 기능을 아래와 같다.

• Dynamic NAT : 1개의 private IP 를 가용 가능한 public IP 로 연결
• Static NAT : 1개의 private IP 를 고정된 1개의 public IP 로 연결 (AWS Integernet gateway 에서 사용)
• PAT : 많은 private IP 를 1개의 public IP 로 연결 (AWS NAT gateway 에서 사용) 

 

[7] Security Group

NACL(Network Access Control List) 와 함께 방화벽 역할을 하는 서비스이다. 즉, 연결된 리소스에 도달하고 나갈 수 있는 트래픽을 제어하는 역할을 담당한다. 인바운드, 아웃바운드 규칙을 통해 설정이 가능하며 source, port 범윔 및 protocol 을 지정할 수 있다. 

 

 

2. AWS 논리망 구성하기

만들고자 하는 인프라 구성

 

 

[1] VPC 구성

 

[2] subnet 구성

 

[3] internet gateway 설정

 

[4] public routing table 생성 및 라우팅 설정

(1) public routing table 생성

 

(2) 라우팅 설정

• internet-gateway 설정

 

(3) 서브넷 설정

 

[5] nat gateway 설정

(1) subnet 설정, elastic ip 설정

 

[6] private routinng table 생성

(1) private routing table 생성

(2) 라우팅 설정

• nat-gateway 설정
  • 내부 요청은 내부로 라우팅 (다른 subnet 이동 포함) 
  • 나머지 요청은 nat gateway 로 이동

 

(3) 서브넷 설정

 

[6] public ec2 생성

• OS : Ubuntu 설정
• 아키텍처 : x86 선택
• 인스턴스 유형 : t2.micro
• 키 페어 : pem 을 통한 생성
• network 설정 (아래 그림 참고)
  • VPC 설정
  • public subnet 설정
• security group 설정 (아래 그림 참고)
  
  • ICMP : ping check 를 위함
  • SSH : ssh client 사용을 위함
  • HTTPS : HTTP 통신을 위함
• 생성 완료 후, 정상 동작 check list
  • 외부에서 ping check, port check(telnet), socket communication check

 

 

[7] private ec2 생성

• OS : Ubuntu 설정
• 아키텍처 : x86 선택
• 인스턴스 유형 : t2.micro
• 키 페어 : pem key 생성
• network 설정 (아래 그림 참고)
  • VPC 설정
  • private subnet 설정
• security group 설정 (아래 그림 참고)
  
  • ICMP : ping check 를 위함
  • MySQL : public security group 에서 요청을 받기 위함
  • SSH : SSH client 를 사용하기 위함
• 생성 완료 후, 정상 동작 check list
  • public instance 에서 ping check, port check(telnet), socket communication check
  • 외부에서 private ec2 접속 불가능 여부 확인
  • private ec2 에서 외부 연결 가능 확인 (NAT 를 통해 private subnet → public subnet→ 외부 통신 가능한지 확인)

 

 

3. 연결 테스트 방법

[1] ping check : remote ip 와 연결 여부 확인

ping [remote ip address]

 

[2] port check : remote ip + port 연결 여부 확인

# debian
telnet [remote ip address] [port number]

 

[3] 외부 서버 통신 확인

# install library

sudo apt install socket
sudo apt install net-tools

# server socket open
sudo socket -s 443

# server public ip 확인
curl wgetip.com

# client request connection
telnet [server ip] 443

# connection 상태 확인
sudo netstat -antp | grep 443

 

 

4. private instance 에 접근하기 위한 public instance 에 pem key 전송하기

# scp 명령어
scp [파일1] [파일2] [원격지 id]@[remote ipv4]:[받는 위치]

# 예시
scp cooper-workshop-private.pcm ubuntu@[server public ip]:~/keys/

 

 

5. trouble shooting

[1] port check fail

• situation
  • ping check success / port check 에서 fail 되는 현상
• cause
  • private security group inbound rule 에서 TCP port = 0 으로 설정되어 발생한 문제
  • TCP port = 0 으로 설정할 경우 모든 port 에 관한 요청 허용하는 것으로 오해
• action
  • security gruop inbound TCP port 22 로 재설정

 

[2] 기존에 다른 EC2 사용하던 pem key 로 public instance 로 접근하지 못하는 문제

 

• situation
  • 기존 cooper-infra-public.pem 파일로 새로운 EC2 instance 를 생성하여 외부에서 해당 pem key 를 통해 접근하는 과정에서 발생한 문제
• cause
  • /.ssh/known_hosts 에 저장된 remote host public key 와 remote host public key 가 충돌하여 발생한 문제
  • SSH client 가 remote host 를 확인하기 위해 .ssh/known_hosts 파일에 기존에 저장된 remote ip public key 를 통해 검증하는 과정에서 발생한 에러
• action
  • 기존 EC2 를 사용하고 있지 않기 않아 .ssh/known_hosts 파일의 remote ip public key 를 제거 및 재생성하여 해결
  • ssh-keygen -R [public instance ip]

 

Reference

• https://www.inflearn.com/course/%EC%9D%B8%ED%94%84%EB%9D%BC-%EA%B3%B5%EB%B0%A9-%EC%84%9C%EB%B9%84%EC%8A%A4-%EB%A7%8C%EB%93%A4%EA%B8%B0
• https://docs.aws.amazon.com/ko_kr/vpc/latest/userguide/configure-your-vpc.html
• https://docs.aws.amazon.com/ko_kr/vpc/latest/userguide/VPC_Route_Tables.html
• https://www.youtube.com/watch?v=WY2xoIClOFA
• https://www.youtube.com/watch?v=3VXLD0-Iq8A
• https://ghdwlsgur.github.io/docs/Linux/known_hosts