[AWS] VPC 간 통신은 어떻게 하나..(VPC Peering, PrivateLink, Transit Gateway)

서론

🏛️ 팀 근두운 아키텍처(네트워크 배치 위주)

VPC간 통신 서비스

VPC Peering

resource "aws_vpc_peering_connection" "peering" {
  peer_vpc_id = <수락자 VPC ID>
  vpc_id      = <요청자 VPC ID>
  auto_accept = true # 자동 수락 여부
}

실제 트래픽이 허용 되려면, 보안그룹 설정도 반드시 필요하다.

# 서비스 VPC -> CERT VPC
resource "aws_route" "SERVICE_to_CERT" {
  route_table_id            = <서비스 VPC Public Subnet의 라우트 테이블>
  destination_cidr_block    = <CERT VPC Private Subnet의 IPv4 CIDR>
  vpc_peering_connection_id = <서비스 <-> CERT 피어링>
}

# CERT VPC -> 서비스 VPC
resource "aws_route" "CERT_to_SERVICE" {
  route_table_id            = <CERT VPC Private Subnet의 라우트 테이블>
  destination_cidr_block    = <서비스 VPC Public Subnet의 IPv4 CIDR>
  vpc_peering_connection_id = <서비스 <-> CERT 피어링>
}

PrivateLink

엄밀히 말하면, PrivateLink는 VPC간 통신의 개념은 아니고 VPC내 특정 서비스를 Endpoint 개념으로 접근할 수 있도록 해주는 기능이다.

flowchart TD
  subgraph ATT["공격 VPC 10.180.0.0/16"]
	  DNS1["Route 53 Resolver"]
	  subgraph Pub1["Public Subnet 10.180.40.0/24"]
		  Kali["EC2<br/>Kali Linux<br/>Wazuh/Velociraptor Agent"]
	  end
	  Kali -->|"1. DNS 조회"| DNS1 -->|"2. Endpoint ENI 사설 IP 반환"| Kali
	  Kali -->|"3. TCP 1514/8000 요청"| ENI
	  subgraph Pri1["Private Subnet 10.180.140.0/24"]
		  ENI["VPC Endpoint ENI<br/>(Interface Endpoint)"]
		  style ENI fill:#87CEFA,stroke:#0000FF,stroke-width:2px,color:#000
	  end
  end
  ENI -->|"4. 트래픽 전달"| Link
	  subgraph SER["서비스 VPC 10.60.0.0/16"]
		  DNS2["Route 53 Resolver"]
		  subgraph Pub2["Public Subnet 10.60.10.0/24"]
			  WEB["EC2<br/>WEB 서버<br/>Wazuh/Velociraptor Agent"]
			  WAS["EC2<br/>WAS 서버<br/>Wazuh/Velociraptor Agent"]
		  end
		  Pub2 -->|"1. DNS 조회"| DNS2 -->|"2. Endpoint ENI 사설 IP 반환"| Pub2
		  Pub2 -->|"3. TCP 1514/8000 요청"| ENI2
  	  subgraph Pri2["Private Subnet 10.60.50.0/24"]
			  ENI2["VPC Endpoint ENI<br/>(Interface Endpoint)"]
			  style ENI2 fill:#87CEFA,stroke:#0000FF,stroke-width:2px,color:#000
		  end
	  end
	  ENI2 -->|"4. 트래픽 전달"| Link
  subgraph Hyp["AWS Hyperplane"]
	  Link["AWS PrivateLink<br/>ENI 사설 IP -> NLB 사설 IP"]
	  style Link fill:#FFB6C1,stroke:#FF1493,stroke-width:2px,color:#000
  end
  Link -->|"5. VPC Endpoint Service 연결"| SERVICE
  subgraph CERT["CERT VPC 10.50.0.0/16"]
	  SERVICE["VPC Endpoint Service"]
	  style SERVICE fill:#e8f5e9,stroke:#2e7d32,stroke-width:2px,color:#000
	  SERVICE -->|"6. Listener 수신"| NLB
	  subgraph Pri3["Private Subnet 10.50.10.0/24"]
			NLB["NLB"]
		  style NLB fill:#FFFFE0,stroke:#FFEB00,stroke-width:2px,color:#000
		  subgraph TG["Target Group"]
			  Wazuh["Wazuh SIEM<br/>(1514, 1515)"]
			  Velociraptor["Velociraptor Server<br/>(8000)"]
			end
		  NLB --> Wazuh
		  NLB --> Velociraptor
	  end
  end

VPC Endpoint ENI는 HyperPlane으로 연결되는 터널 역할

Transit Gateway

flowchart LR
	subgraph AWS["AWS 동일 계정 / 동일 리전"]
		VPC1["공격 VPC"]
		VPC2["서비스 VPC"]
		TGW["Transit Gateway"]
		VPC3["CERT VPC"]
	end
	VPC1 <--> TGW
	VPC2 <--> TGW
	VPC3 <--> TGW	

공격 VPC는 모의해킹을 위한 네트워크 영역으로, 서비스 VPC의 플랫폼에 공인 IP로 접근

Amazon VPC튜토리얼: AWS Transit Gateway 시작하기 - Amazon VPC

튜토리얼: AWS Transit Gateway 시작하기 - Amazon VPC

Transit Gateway는 가상 프라이빗 클라우드와 온프레미스 네트워크를 상호 연결하는 데 사용할 수 있는 네트워크 전송 허브입니다. Transit Gateway는 가상 프라이빗 클라우드와 온프레미스 네트워크를 상호 연결하는 데 사용할 수 있는 네트워크 전송 허브입니다.

Amazon VPC

결론

VPC Peering 구성 시 라우팅 경로와 보안그룹을 최소 권한 원칙으로 적절히 제한하여 운영하자.