[AWS] Solutions Architect Associate 실습 28일차 - Gateway Load Balancer(GWLB)

 

1. Gateway Load Balancer

■ deploy, scale, and manage a fleet of 3rd party network virtual appliances in AWS

배포 및 확장과 AWS의 타사 네트워크의 가상 어플라이언스 플릿 관리에 사용된다.

■ Example: Firewalls, Intrusion Detection and Prevention Systems, Deep Packet Inspection Systems, payload manipulation

GWLB의 역할은 트래픽을 방화벽이나 침입 탐지 시스템(어플라이언스)로 전달하는 것이다.

■ Operates at Layer 3 (Network Layer) - IP Packets 

모든 로드 밸런서보다 낮은 수준에서 실행된다. - IP패킷의 네트워크 계층인 L3

■ Combines the following functions:

■ GWLB는 아래 두 가지 기능을 갖는다.

• Transparent Network Gateway - single entery/exit for all traffic
• Load Balancer - distributes traffic to your virtual appliances 

■ Uses the GENEVE protocol on port 6081

 

2. Operation Process of GWLB

정확한 동작 과정은 아래와 같다.

 

위 그림처럼 여러분의 애플리케이션에 액세스하는 사용자가 있다고 하자. 그리고 사용자는 ALB 를 사용해 애플리케이션에 바로 액세스 하고, 트래픽은 사용자에서 바로 ALB와 애플리케이션으로 이동한다. 하지만 애플리케이션으로 이동 전에 모든 트래픽을 검사하려면 어떻게 해야 할까?

사용자가 ALB(Application Load Balancer)를 통해 애플리케이션에 직접 접근하는 구조에서, 애플리케이션에 도달하기 전에 모든 트래픽을 검사하려면 GWLB(Gateway Load Balancer)를 사용할 수 있다.

기존에는 애플리케이션으로 이동하는 모든 트래픽을 검사하기 위해 EC2 인스턴스와 같은 가상 어플라이언스를 배포해야 했다. 그러나 이 과정에서 트래픽 흐름이 복잡해지고 설정 및 관리가 어려운 문제가 발생했다.

⭐ GWLB를 생성하면 이면에서는 VPC에서 라우팅 테이블이 업데이트 된다.

→ 그러면 모든 사용자의 트래픽이 먼저 GWLB를 통과한다.

→ GWLB는 트래픽을 보안 어플라이언스(예: 방화벽, IDS - 침입탐지 시스템)로 전달한다.

→ 방화벽이나 IDS가 트래픽을 검사한다.

→ 정상적인 트래픽이면 다시 GWLB로 반환
→ 악성 트래픽이면 방화벽이 차단(Drop)
→ GWLB는 정상적인 트래픽만 애플리케이션(ALB 등)으로 전달한다.

즉, GWLB는 트래픽을 부하 분산하여 보안 어플라이언스로 보내는 역할이고, 실제 검사와 필터링은 방화벽(또는 IDS, IPS 등)이 수행하는 것이 맞다. 즉, GWLB를 활용하면 애플리케이션 접근 전에 모든 트래픽을 손쉽게 검사할 수 있으며, 네트워크 보안을 효과적으로 강화할 수 있다.

 

 

💡 어플라이언스(Appliance)란?

어플라이언스란 네트워크 보안 및 트래픽 처리를 담당하는 전용 가상 장비(가상 어플라이언스, Virtual Appliance)를 의미한다. 예를 들면, 방화벽(Firewall), 침입 탐지 시스템(IDS, Intrusion Detection System), 침입 방지 시스템(IPS, Intrusion Prevention System), DDoS 보호 장비 같은 것들이 해당된다.

 

💡  VPC( Virtual Private Cloud)란?

가상 프라이빗 클라우드로, 클라우드 내에서 사용자가 직접 정의할 수 있는 격리된 네트워크 환경이다.
AWS의 VPC를 예로 들면, 사용자는 VPC를 생성하여 IP 주소 범위(서브넷), 라우팅 테이블, 인터넷 게이트웨이, NAT 게이트웨이, 보안 그룹 등을 설정할 수 있다. 이를 통해 온프레미스 네트워크와 유사한 환경을 클라우드에서 구축하고, 보안과 네트워크 제어를 강화할 수 있다. 쉽게 말해, VPC는 클라우드 내에서 내 맘대로 구성할 수 있는 독립적인 네트워크 공간이다. 

🔥 GWLB 자체가 트래픽을 검사하는 것은 아니고, 방화벽(Firewall), 침입 탐지 시스템(IDS) 등 가상 어플라이언스가 트래픽을 검사하는 역할을 한다.

 

3. Gateway Load Balancer - Target Group

• EC2 instances
• IP Addresses - must be private IPs

 

위 그림에서 Network Load Balancer 로 되어 있는데 Gateway Load Balancer 도 같은 방식이니 똑같다고 이해하면 된다. (단 세 번째 그림은 제외하고) 

 

예를 들면 '가상 어플라이언스'는 방화벽(Firewall), 침입 탐지 시스템(IDS), 트래픽 모니터링 시스템 같은 네트워크 보안 장비를 가상 머신 형태로 실행하는 걸 의미한다. 자체 데이터 센터(On-Premise)의 경우, 이런 가상 어플라이언스를 물리 서버 위에 VM(가상 머신)으로 띄우고, 위 그림처럼 그 VM의 IP를 수동으로 등록해서 네트워크 흐름을 제어할 수 있다. 

하지만 AWS 환경에서는 GWLB(Gateway Load Balancer)를 사용하면 이런 과정을 자동화할 수 있다. 위에서 본 것처럼 GWLB는 트래픽을 받아서 가상 어플라이언스로 보내고, 어플라이언스가 검사한 후 다시 GWLB를 통해 원래 목적지로 트래픽을 전달하는 역할을 하기 때문이다.  즉, GWLB는 트래픽을 중간에서 받아서 보안 장비(가상 어플라이언스)로 보내고, 검사를 마친 트래픽을 다시 목적지로 전달하는 장치이다. 쉽게 말하면, 네트워크 보안 검사를 위한 트래픽 중계소 역할을 한다고 보면 이해가 쉽다. 

 

이 부분의 실습은 너무 어렵기 때문에 SKIP

 

---

 

내가 나중에 보려고 스크랩 (Amazon AWS 공홈)

 

1. https://aws.amazon.com/ko/blogs/networking-and-content-delivery/introducing-aws-gateway-load-balancer-supported-architecture-patterns/

2. https://aws.amazon.com/ko/blogs/networking-and-content-delivery/scaling-network-traffic-inspection-using-aws-gateway-load-balancer/