AWS Network Firewall

1. 서비스 개요
2. 고객 과제
3. 주요 이점
4. 동작 방식
5. 주요 기능
6. 비교와 선택 기준
7. 사용 사례
8. 레퍼런스 아키텍처
9. 비용
10. 시작하기
11. 다음 단계

AWS Network Firewall은 Amazon VPC의 인바운드·아웃바운드·East-West 트래픽을 상태 저장 검사, 침입 방지, 도메인 필터링, TLS 검사로 보호하는 관리형 서비스입니다. 인프라 관리 없이 트래픽 부하에 따라 자동으로 확장되며, AWS Firewall Manager를 통해 여러 계정과 VPC에 일관된 보안 정책을 적용할 수 있습니다.

99.99%

SLA 가용성 보장

100 Gbps

가용 영역당 최대 대역폭

Layer 3–7

트래픽 검사 범위

1. 1

   Firewall

   VPC에 대한 트래픽 필터링 로직을 제공하는 AWS 리소스입니다. 보호할 VPC와 각 가용 영역에서 사용할 Firewall 서브넷을 지정합니다. Firewall 엔드포인트는 전용 서브넷(/28 이상)에 배포되며, VPC 라우팅 테이블을 통해 트래픽을 Firewall 엔드포인트로 라우팅합니다.

2. 2

   Firewall Policy

   방화벽의 모니터링 및 보호 동작을 정의하는 AWS 리소스입니다. 상태 비저장 규칙 그룹과 상태 저장 규칙 그룹을 포함하며, 하나 이상의 Firewall에 연결하여 사용합니다.

3. 3

   규칙 그룹

   VPC 트래픽을 매칭하고 조치를 취하는 규칙 집합입니다. 상태 비저장 규칙은 개별 패킷을 검사하고, 상태 저장 규칙은 연결 컨텍스트를 유지하며 트래픽을 검사합니다. Suricata 호환 규칙을 가져올 수 있고, AWS 관리형 규칙이나 AWS Marketplace 파트너 관리형 규칙도 사용할 수 있습니다.

4. 4

   배포 모델: 분산형과 중앙 집중형

   분산형 배포는 각 VPC에 Firewall을 배포하여 애플리케이션에 가까운 위치에서 트래픽을 검사합니다. 중앙 집중형 배포는 AWS Transit Gateway에 연결된 VPC에 Firewall을 배포하여 인터넷 게이트웨이, Direct Connect, VPN, NAT 게이트웨이, VPC 간 트래픽을 한 곳에서 검사합니다.

AWS Transit Gateway에 검사 VPC를 연결하고, 해당 VPC 내 전용 Firewall 서브넷에 AWS Network Firewall 엔드포인트를 배포합니다. 워크로드 VPC, 인터넷 게이트웨이, Direct Connect gateway, VPN 게이트웨이를 Transit Gateway에 연결한 뒤, Transit Gateway 라우팅 테이블을 통해 모든 트래픽을 검사 VPC의 Firewall 엔드포인트로 라우팅합니다. Firewall 엔드포인트는 Firewall Policy에 정의된 상태 비저장/상태 저장 규칙 그룹으로 트래픽을 검사한 후, 허용된 트래픽만 목적지로 전달합니다. Alert 로그와 Flow 로그는 Amazon S3, CloudWatch, Kinesis로 전송되어 모니터링에 활용됩니다. AWS Firewall Manager를 통해 여러 계정의 방화벽 정책을 중앙에서 관리합니다.

각 워크로드 VPC 내에 전용 Firewall 서브넷(/28 이상)을 생성하고 AWS Network Firewall 엔드포인트를 배포합니다. VPC 라우팅 테이블을 수정하여 인터넷 게이트웨이, NAT 게이트웨이, 보호 대상 서브넷의 트래픽이 Firewall 엔드포인트를 경유하도록 설정합니다. Firewall 엔드포인트는 인바운드·아웃바운드 트래픽에 대해 상태 저장 검사, IPS, 도메인 필터링, TLS 검사를 수행합니다. 이 모델은 애플리케이션에 가까운 위치에서 트래픽을 검사하므로 지연 시간을 최소화할 수 있습니다.

AWS Network Firewall은 배포된 Firewall 엔드포인트 수(시간당)와 처리된 트래픽 양(GB당)을 기준으로 과금됩니다. TLS 검사를 활성화하면 Advanced Inspection에 대한 추가 시간당 요금이 발생합니다. Active Threat Defense 관리형 규칙을 사용하면 처리된 트래픽에 대한 추가 GB당 요금이 적용됩니다. 동일 네트워킹 경로에 NAT 게이트웨이를 배치하면 NAT 게이트웨이의 시간당 및 데이터 처리 요금이 면제됩니다.

Firewall Endpoint 시간당 요금

배포된 각 Firewall 엔드포인트에 대해 리전 및 가용 영역별로 시간당 요금이 부과됩니다. 다수의 VPC를 연결하는 경우, Primary 엔드포인트에는 표준 시간당 요금이, Secondary 엔드포인트에는 할인된 시간당 요금이 적용됩니다.

트래픽 처리 요금

Firewall 엔드포인트를 통해 처리된 트래픽에 대해 리전 및 가용 영역별로 GB당 요금이 부과됩니다. 트래픽의 소스나 목적지에 관계없이 적용됩니다.

Advanced Inspection (TLS) 추가 요금

TLS 검사 기능을 활성화하면 리전 및 가용 영역별로 추가 시간당 요금이 부과됩니다. 별도의 데이터 처리 추가 요금은 없습니다.

Advanced Threat Protection 추가 요금

Active Threat Defense 관리형 규칙 그룹을 활성화하면 처리된 트래픽에 대해 리전 및 가용 영역별로 추가 GB당 요금이 부과됩니다.

단가는 리전마다 다릅니다. https://aws.amazon.com/network-firewall/pricing/

NAT Gateway 할인

동일 리전 및 동일 네트워킹 경로에 NAT 게이트웨이와 Network Firewall을 배치하면, NAT 게이트웨이의 시간당 요금과 데이터 처리 요금이 Network Firewall 사용량 기준으로 면제됩니다.

단가는 리전마다 다릅니다. https://aws.amazon.com/network-firewall/pricing/

1. 1

   1단계: 보호 범위와 배포 모델 결정

   보호할 VPC, 트래픽 방향(인바운드, 아웃바운드, East-West), 검사 요구 사항을 정의합니다. 단일 VPC라면 분산형 배포를, 여러 VPC와 계정에 걸친 일관된 정책이 필요하면 Transit Gateway를 활용한 중앙 집중형 배포를 선택합니다.

2. 2

   2단계: Firewall 서브넷 및 엔드포인트 구성

   각 가용 영역에 /28 이상의 전용 Firewall 서브넷을 생성합니다. 고가용성을 위해 여러 가용 영역에 Firewall 엔드포인트를 배포합니다. 중앙 집중형 모델에서는 검사 VPC를 Transit Gateway에 연결합니다.

3. 3

   3단계: Firewall Policy 및 규칙 그룹 정의

   상태 비저장 규칙(ACL 기반)과 상태 저장 규칙(5-tuple, 도메인 필터링, Suricata 호환 IPS 규칙)을 조합하여 규칙 그룹을 생성합니다. AWS 관리형 위협 시그니처, Active Threat Defense 규칙, 필요 시 AWS Marketplace 파트너 관리형 규칙을 추가합니다. TLS 검사가 필요하면 Advanced Inspection을 활성화합니다.

4. 4

   4단계: VPC 라우팅 테이블 설정 및 트래픽 라우팅

   VPC 라우팅 테이블을 수정하여 보호 대상 서브넷의 트래픽이 Firewall 엔드포인트를 경유하도록 설정합니다. 중앙 집중형 모델에서는 Transit Gateway 라우팅 테이블에서 검사 VPC로 트래픽을 라우팅합니다. NAT 게이트웨이를 함께 사용하면 동일 네트워킹 경로에 배치하여 NAT 게이트웨이 비용 할인을 받을 수 있습니다.

5. 5

   5단계: 로깅, 모니터링 및 중앙 관리 설정

   Alert 로그와 Flow 로그를 Amazon S3, CloudWatch, Kinesis 중 하나 이상으로 전송하도록 구성합니다. 멀티 계정 환경에서는 AWS Firewall Manager를 사용하여 방화벽 정책을 중앙에서 관리하고, 새 계정·VPC에 자동으로 정책을 적용합니다.