Cloud Technology Blog

A : DNS 를 IPv4 로 맵핑

AAAA : DNS 를 IPv6 로 맵핑

CNAME : DNS 를 다른 DNS 로 맵핑

-> Root 도메인이 아닐경우에만 작동

Alias : Amazon Service 로 맵핑

Type Image

AWS Route53 Alias

Gateway Endpoint 를 사용하면 AWS PrivateLink 를 사용하지 않고도 Internet Gateway 와 NAT Gateway 없이도 AWS 서비스에 연결할 수 있습니다.

게이트웨이 엔드포인트를 통한 액세스

다음 다이어그램은 인스턴스에서 게이트웨이 엔드포인트를 통해 Amazon S3 및 DynamoDB에 액세스하는 방법을 보여줍니다. VPC에서 Amazon S3 또는 DynamoDB로의 트래픽은 게이트웨이 엔드포인트로 라우팅됩니다. 각 서브넷 라우팅 테이블에는 서비스로 전송되는 트래픽을 서비스의 접두사 목록을 사용하여 게이트웨이 엔드포인트로 보내는 라우팅이 있어야 합니다.

[참고사항]

인터넷 게이트웨이를 통한 액세스

다음 다이어그램은 인스턴스에서 퍼블릭 서비스 엔드포인트를 통해 Amazon S3 및 DynamoDB에 액세스하는 방법을 보여줍니다. 퍼블릭 서브넷의 인스턴스에서 Amazon S3 또는 DynamoDB로의 트래픽은 VPC의 인터넷 게이트웨이를 거쳐 서비스로 라우팅됩니다. 프라이빗 서브넷의 인스턴스는 Amazon S3 또는 DynamoDB로 트래픽을 전송할 수 없습니다. 기본적으로 프라이빗 서브넷에는 인터넷 게이트웨이에 대한 라우팅이 없기 때문입니다. 프라이빗 서브넷의 인스턴스에서 Amazon S3 또는 DynamoDB로 트래픽을 보내려면 퍼블릭 서브넷에 NAT 디바이스를 추가하고 프라이빗 서브넷의 트래픽을 NAT 디바이스로 라우팅합니다. Amazon S3 또는 DynamoDB로 전송되는 트래픽은 인터넷 게이트웨이를 통과하지만 AWS 네트워크를 벗어나지 않습니다.

1. VPC Reachability Analyzer 경로를 생성합니다.

2. 출발지 소스를 지정합니다.

3. 대상으로 지정합니다.

4. Amazon Simple Notification Service(Amazon SNS)

5. AWS Lambda 함수를 생성하여 Reachability Analyzer를 시작하고 분석이 실패할 경우 SNS 주제에 메시지를 게시합니다.

6. Lambda 함수를 호출하는 Amazon EventBridge(Amazon CloudWatch Events) 규칙을 생성합니다.

-> EventBridge 를 Cron 으로 설정하여 주기적으로 Lambda 를 실행하게 설정

[참고 코드]

import boto3

def lambda_handler(event, context):
    aws_region = 'your_aws_region'

    instance_id = 'your_instance_id'
    service_id = 'your_service_id'

    sns_topic_arn = 'your_sns_topic_arn'

    client = boto3.client('networkmanager', region_name=aws_region)

    try:
        # Reachability Analyzer 실행
        response = client.create_connectivity_test(
            GlobalNetworkId=service_id,
            TestDescription='Reachability Analyzer Test',
            ResourceType='EC2_INSTANCE',
            Source={
                'Ec2InstanceId': instance_id
            }
        )

        # Reachability Analyzer 실행 결과 반환
        test_id = response['ConnectivityTest']['ConnectivityTestId']
        return {
            'statusCode': 200,
            'body': f'Reachability Analyzer test started. Test ID: {test_id}'
        }
    except Exception as e:
        # Reachability Analyzer 실행 실패 시 SNS 알림 발생
        sns_client = boto3.client('sns', region_name=aws_region)
        sns_client.publish(
            TopicArn=sns_topic_arn,
            Message=f'Reachability Analyzer test failed: {str(e)}'
        )
        return {
            'statusCode': 500,
            'body': f'Reachability Analyzer test failed. Error: {str(e)}'
        }

Amazon Route 53 Resolver는 퍼블릭 레코드,Amazon VPC별 DNS 이름, Amazon Route 53 프라이빗 호스팅 영역에 관한 AWS 리소스의 DNS 쿼리에 재귀적으로 응답하며 모든 VPC에서 기본적으로 사용할 수 있습니다.

VPC와 온프레미스 리소스를 모두 활용하는 워크로드가 있는 경우 온프레미스에서 호스팅되는 DNS 레코드도 확인해야 합니다. 마찬가지로 이러한 온프레미스 리소스는 AWS에서 호스팅되는 이름을 확인해야 할 수 있습니다. Resolver 엔드포인트 및 조건부 전달 규칙을 통해 온프레미스 리소스와 VPC 간의 DNS 쿼리를 확인하여 VPN 또는 Direct Connect(DX)를 통해 하이브리드 클라우드 설정을 생성할 수 있습니다. 구체적으로 설명하면 다음과 같습니다.

https://docs.aws.amazon.com/ko_kr/Route53/latest/DeveloperGuide/resolver.html

TGW 어플라이언스 모드를 사용하면 트래픽이 소스 또는 대상이 아닌 다른 AZ에서 트래픽 검사를 수행할 수 있습니다.

AWS Transit Gateway Appliance 모드를 사용하면 흐름의 방향과 시작된 가용 영역에 관계없이 동일한 AZ에서 네트워크 흐름을 전달해야 하는 연결을 지정할 수 있습니다. AWS Transit Gateway 어플라이언스 모드는 네트워크 흐름 이 동일한 AZ 및 네트워크 어플라이언스로 대칭적으로 라우팅되도록 합니다. 

TGW 어플라이언스 모드 활성화 인경우 트래픽

Transit Gateway는 흐름 해시 알고리즘을 사용하여 어플라이언스 VPC에서 단일 네트워크 인터페이스를 선택하여 흐름 수명 동안 트래픽을 전송합니다. Transit Gateway는 반환 트래픽에 대해 동일한 네트워크 인터페이스를 사용합니다. 이렇게 하면 양방향 트래픽이 대칭적으로 라우팅됩니다. 즉, 트래픽 흐름은 수명이 다할 때까지 VPC 연결의 동일한 가용 영역을 통해 라우팅됩니다. 아키텍처에 여러 Transit Gateway가 있는 경우 각 Transit Gateway는 자체 세션 선호도를 유지하며 각 Transit Gateway는 다른 네트워크 인터페이스를 선택할 수 있습니다.

VPC 연결이 여러 가용 영역에 걸쳐 있고 상태 저장 검사를 위해 소스 및 대상 호스트 간의 트래픽을 동일한 어플라이언스를 통해 라우팅해야하는 경우, 어플라이언스가 있는 VPC 연결에 대한 어플라이언스 모드 지원을 활성화합니다.

TGW 어플라이언스 모드 비활성화 인경우 트래픽

Transit Gateway는 대상에 도달할 때까지 트래픽이 원래 가용 영역의 VPC 연결 간에 라우팅을 유지하려고 합니다. 트래픽은 가용 영역 장애가 있거나 가용 영역에 VPC 연결과 연결된 서브넷이 없는 경우에만 연결 사이의 가용 영역을 지납니다.

다음 다이어그램은 어플라이언스 모드 지원이 활성화되지 않은 경우의 트래픽 흐름을 보여 줍니다. VPC B의 가용 영역 2에서 시작된 응답 트래픽은 Transit Gateway에 의해 VPC C의 동일한 가용 영역으로 라우팅됩니다. 따라서 가용 영역 2의 어플라이언스가 VPC A에 있는 소스의 원래 요청을 인식하지 못하기 때문에 트래픽이 삭제됩니다.

요약하자면, 어플라이언스 모드를 사용하면 VPC간 트래픽을 검사하며, VPC 연결의 동일한 가용 영역을 통해 라우팅됩니다

https://docs.aws.amazon.com/ko_kr/vpc/latest/tgw/transit-gateway-appliance-scenario.html