Stateful inspection
Appliance mode
검사 VPC 연결에 켜면 한 흐름의 양방향 트래픽이 같은 AZ의 어플라이언스를 지납니다. 상태 기반 방화벽에서 비대칭 경로를 막습니다.
AWS Transit Gateway · 리전 라우팅 허브
VPC와 온프레미스를 하나의 허브에서 라우팅하세요
AWS Transit Gateway는 리전 안의 VPC, Site-to-Site VPN, Direct Connect gateway, SD-WAN 장비를 한 지점에 연결하는 관리형 라우터입니다. 어떤 연결끼리 통신할지는 Transit Gateway 라우팅 테이블로 정합니다.
TGW route table · prod4 routes
assoc: vpc-prod-aassoc: vpc-prod-b10.20.0.0/16vpc · sharedpropagated
172.16.0.0/12dxgw · on-prempropagated
192.168.0.0/16vpn · branchpropagated
0.0.0.0/0vpc · inspectionstatic
prod VPC는 이 테이블로 목적지를 찾습니다. 공유 서비스, 온프레미스, 지사 경로는 전파로 들어오고, 기본 경로는 검사 VPC로 고정합니다.
100 Gbps
VPC 연결당 AZ별 방향별 최대 대역폭
8500
VPC · DX · Connect · 피어링 간 MTU (bytes)
7.5M
VPC 연결당 AZ별 최대 PPS
20 Gbps
Connect 연결당 최대 대역폭 (GRE 피어 4개)
Why Transit Gateway
VPC가 늘어날수록 피어링 메시는 관리하기 어려워집니다
VPC 피어링은 전이 라우팅을 하지 않으므로, VPC가 늘면 연결 수가 빠르게 늘어납니다. Transit Gateway는 모든 연결을 허브로 모으고, 경로 정책을 한 곳에서 관리합니다.
Hub
허브 앤 스포크
VPC, VPN, Direct Connect, SD-WAN을 각각 한 번만 연결하면 허브를 거쳐 서로 통신합니다.
Segment
라우팅 테이블로 분리
운영, 개발, 공유 서비스처럼 라우팅 도메인을 나누고, 필요한 경로만 전파해 통신 범위를 제한합니다.
Share
멀티 계정 공유
AWS RAM으로 Transit Gateway를 다른 계정과 공유합니다. 각 계정은 자기 VPC를 직접 연결하고, 라우팅은 네트워크 팀이 관리합니다.
Association & propagation
연결(Association)은 하나, 전파(Propagation)는 여러 개
각 attachment는 라우팅 테이블 하나에 연결되어 그 테이블로 목적지를 찾습니다. 동시에 자기 경로를 여러 라우팅 테이블에 전파할 수 있습니다. 이 두 설정의 조합이 곧 네트워크 분리 정책입니다.
Attachment
rtb-prod
rtb-dev
rtb-shared
VPC prod10.10.0.0/16
A
–
P
VPC dev10.30.0.0/16
–
A
P
VPC shared10.20.0.0/16
P
P
A
DX gateway172.16.0.0/12
P
P
AP
Association
attachment에서 들어온 패킷을 어느 라우팅 테이블로 조회할지 정합니다. attachment 하나는 라우팅 테이블 하나에만 연결됩니다.
Propagation
attachment의 경로를 라우팅 테이블에 자동으로 넣습니다. VPC는 CIDR을, VPN · DX gateway · Connect는 BGP로 받은 경로를 전파합니다. 피어링은 정적 경로를 씁니다.
결과: prod와 dev 테이블에는 서로의 경로가 없어 두 VPC는 통신하지 못합니다. 두 VPC 모두 공유 서비스 VPC와 온프레미스에는 도달합니다.
Features
주요 기능
Native firewall
Network Firewall 연결
AWS Network Firewall을 Transit Gateway attachment로 직접 붙입니다. 방화벽 엔드포인트를 둘 VPC와 서브넷을 따로 구성하지 않아도 됩니다.
Multi-region
Inter-Region peering
다른 리전이나 다른 계정의 Transit Gateway와 피어링합니다. 리전 간 트래픽은 AWS 백본에서 AES-256으로 암호화되어 이동합니다.
SD-WAN
Transit Gateway Connect
VPC나 Direct Connect를 전송 경로로 삼아 GRE 터널과 BGP로 SD-WAN 장비를 연결합니다. GRE 피어당 최대 5 Gbps입니다.
Many sites
VPN Concentrator
attachment 하나에 최대 100개 지사의 Site-to-Site VPN을 수용합니다. 사이트당 최대 100 Mbps, 합계 5 Gbps이며 BGP 라우팅만 지원합니다.
One to many
Multicast
IGMPv2 또는 정적 그룹 멤버십으로 VPC 사이 멀티캐스트를 라우팅합니다. 멀티캐스트 도메인 단위로 서브넷을 묶고, 새 Transit Gateway에서 활성화합니다.
Attachment types
연결 유형별 성능과 경로 교환
대역폭은 공개된 기본 한도입니다. VPC, DX gateway, 피어링 연결은 SA나 TAM을 통해 상향을 문의할 수 있습니다. Site-to-Site VPN은 Accelerated VPN과 VPN Concentrator 방식으로도 연결할 수 있습니다.
| 연결 유형 | 최대 대역폭 | MTU | 경로 교환 |
|---|---|---|---|
| VPC | 100 Gbps · AZ별, 방향별 | 8500 bytes | VPC CIDR 전파. AZ마다 서브넷 하나를 지정합니다. |
| Direct Connect gateway | 100 Gbps · AZ별, 방향별 | 8500 bytes | Transit VIF 위 BGP |
| Site-to-Site VPN | 터널당 1.25 Gbps, Large bandwidth 터널 5 Gbps (Accelerated VPN 제외), VPN Concentrator 사이트당 100 Mbps | IPsec 터널 MTU 1446 bytes | BGP 또는 정적. BGP를 쓰면 ECMP로 여러 터널을 묶습니다. Accelerated VPN은 Global Accelerator를 거쳐 AWS 엣지로 들어옵니다. |
| Connect | GRE 피어당 5 Gbps, 연결당 피어 4개로 20 Gbps | 8500 bytes | GRE 터널 위 BGP |
| Peering | 100 Gbps · AZ별, 방향별 | 8500 bytes | 정적 경로. 같은 리전과 다른 리전 모두 가능합니다. |
Reference architecture
리전 허브와 중앙 검사
서울 리전의 Transit Gateway가 업무 VPC, 공유 서비스 VPC, 검사 VPC를 연결합니다. 온프레미스는 Direct Connect gateway와 VPN으로, 다른 리전은 피어링으로 이어집니다.
좁은 화면에서는 다이어그램을 좌우로 밀어서 보세요.
Getting started
Transit Gateway를 구성하는 순서
- STEP 1
Transit Gateway 생성
ASN을 정하고, 기본 라우팅 테이블 연결과 전파를 쓸지 결정합니다.
- STEP 2
Attachment 생성
VPC는 AZ마다 서브넷 하나를 지정해 연결합니다. VPN, DX gateway도 붙입니다.
- STEP 3
라우팅 테이블 설계
도메인별 테이블을 만들고, attachment마다 연결과 전파를 설정합니다.
- STEP 4
VPC 경로 추가
각 VPC 서브넷 라우팅 테이블에 Transit Gateway를 대상으로 하는 경로를 넣습니다.
- STEP 5
흐름 확인
Transit Gateway Flow Logs로 트래픽이 의도한 경로로 흐르는지 확인합니다.
Pricing
비용 항목
Transit Gateway 요금은 attachment 수와 시간, 그리고 Transit Gateway로 보낸 데이터 양으로 정해집니다. VPN, Direct Connect, 리전 간 전송 요금은 따로 붙습니다.
| 과금 항목 | 과금 기준 | 참고 |
|---|---|---|
| Attachment 시간 | attachment마다 연결된 시간. 부분 시간은 1시간으로 계산합니다. | VPC는 VPC 소유자, DX는 DX gateway 소유자, Network Firewall은 방화벽 소유자, VPN · Connect · 피어링은 Transit Gateway 소유자에게 청구됩니다. |
| 데이터 처리 | VPC, Direct Connect, VPN, Network Firewall에서 Transit Gateway로 보낸 GB | 기본은 보낸 쪽(소스 attachment) 소유자에게 청구되며, Flexible Cost Allocation 정책으로 목적지나 중앙 계정에 배분할 수도 있습니다. 피어링 attachment에서 들어온 데이터에는 처리 요금이 없고, Connect와 Private IP VPN attachment는 기반 VPC · DX attachment 요금 외에 추가 처리 요금이 없습니다. |
| Multicast 데이터 처리 | 멀티캐스트 수신 인스턴스가 받은 GB | 수신자마다 계산합니다. |
| 리전 간 데이터 전송 | 피어링으로 다른 리전에 보낸 아웃바운드 GB | 보내는 쪽에 EC2 데이터 전송 요금으로 청구되며, 인바운드는 무료입니다. |
| Site-to-Site VPN | VPN 연결 시간, VPN Concentrator 시간 | Site-to-Site VPN 요금으로 따로 청구됩니다. Accelerated VPN은 연결당 Global Accelerator 2개의 시간 요금과 Data Transfer Premium이 붙습니다. |
| Direct Connect | 포트 시간과 Direct Connect 아웃바운드 데이터 전송 | Direct Connect 요금으로 따로 청구됩니다. |
요금 단가는 리전과 사용량에 따라 다릅니다. 최신 단가는 AWS Transit Gateway 요금 페이지에서 확인하세요.
Next step
우리 조직에 맞는 라우팅 도메인을 설계해 보세요
VPC 목록, 계정 구조, 온프레미스 연결 방식, 검사 요구사항을 정리해 오시면 라우팅 테이블과 연결 구성을 함께 검토합니다.