패킷 없이 경로가 막힌 곳을 찾아내세요

How analysis works

경로를 정의하고, 구성 모델로 판정합니다

경로(path)는 출발지, 목적지, 프로토콜, 목적지 포트로 이루어집니다. 분석(analysis)을 실행하면 결과에 도달 여부, 정방향 · 반환 경로 구성요소, 차단 이유가 담깁니다. 아래는 결과를 줄인 예시입니다.

# 경로 정의: 인스턴스 A → 인스턴스 B, TCP 443
aws ec2 create-network-insights-path \
  --source i-0a1b2c3d4e5f60001 --destination i-0a1b2c3d4e5f60002 \
  --protocol tcp --destination-port 443

# 분석 실행 후 결과
{
  "Status": "succeeded",
  "NetworkPathFound": false,
  "Explanations": [{
    "ExplanationCode": "ENI_SG_RULES_MISMATCH",
    "Direction": "ingress",
    "NetworkInterface": { "Id": "eni-0f..." },
    "SecurityGroups": [{ "Id": "sg-0db..." }]
  }]
}

Features

주요 기능

분석은 IPv4만 대상으로 합니다. 같은 리전 안에서, 같은 VPC이거나 peering 또는 Transit Gateway로 연결된 VPC 사이 경로를 분석합니다. TGW Connect attachment와 TGW policy table, 대상 상태(health), BYOIP 광고 상태, Traffic Mirroring은 고려하지 않습니다. TGW 라우팅 테이블을 지나는 TCP 경로는 정방향만 분석하고, GWLB 엔드포인트를 지나는 경로에는 GWLB와 그 대상이 포함되지 않습니다.

Reachability vs Network Access

한 경로를 진단할지, 전체 접근을 감사할지

두 도구 모두 automated reasoning 기반의 정적 분석입니다. Reachability Analyzer는 "A에서 B로 갈 수 있나"를 묻고, Network Access Analyzer는 Network Access Scope로 정의한 "있어서는 안 되는 경로"를 찾습니다.

Reference architecture

조직 안의 여러 계정을 가로지르는 경로 분석

delegated administrator 계정에서 계정 A의 인스턴스를 출발지로, 계정 B의 인스턴스를 목적지로 지정합니다. 분석은 네트워크 계정의 Transit Gateway 라우팅까지 따라가고, 계정 B 보안 그룹에서 막힌 지점을 보고합니다. VPC 구성은 VPC, 허브 라우팅은 Transit Gateway 페이지를 참고하세요.

관리 계정은 조직 내 모든 계정의 리소스를, delegated administrator 계정은 관리 계정을 제외한 멤버 계정과 명시적으로 공유받은 관리 계정 리소스를 분석합니다. 실제 트래픽 흐름은 VPC Flow Logs로, 글로벌 토폴로지와 경로 모니터링은 Network Manager로 보완합니다.

Getting started

시작하기

1. STEP 1

   경로 정의

   출발지와 목적지 리소스, 프로토콜(TCP · UDP), 목적지 포트를 지정합니다. 필요하면 출발지 · 목적지 주소와 포트 범위 필터를 더합니다.

2. STEP 2

   분석 실행

   경로를 저장하고 분석을 시작합니다. 특정 중간 구성요소를 지나야 하거나 피해야 하면 이때 지정합니다.

3. STEP 3

   결과 읽기

   도달하면 hop-by-hop 경로를, 막히면 explanation code와 차단 구성요소를 확인합니다.

4. STEP 4

   수정 후 재분석

   라우팅이나 보안 그룹을 고친 뒤 같은 경로를 다시 분석합니다. 차단 요소가 더 있으면 이어서 나타납니다.

5. STEP 5

   확장과 자동화

   교차 계정이 필요하면 trusted access와 delegated administrator를 설정하고, 주요 경로는 변경 파이프라인에서 API로 재검증합니다.

Pricing

비용 항목

상시 요금은 없고, 분석을 실행할 때만 과금됩니다. 단가는 Amazon VPC 요금 페이지의 Network Analysis 탭에 있습니다.

요금 단가는 리전에 따라 다릅니다. 최신 단가는 Amazon VPC 요금 페이지의 Network Analysis 탭에서 확인하세요.