AWS Networking Services 발표

Amazon Virtual Private Cloud (Amazon VPC) · 가상 네트워크

데이터센터 네트워크를 AWS 안에 그대로 설계합니다

Amazon VPC는 사용자가 정의한 논리적으로 격리된 가상 네트워크입니다. 기존 데이터센터에서 운영하던 네트워크와 비슷한 구조를 AWS 인프라 위에서 구성합니다. VPC 자체에는 추가 요금이 없고, NAT gateway 같은 일부 구성 요소에만 요금이 부과됩니다.

VPC IPv4 CIDR 블록 크기 범위 (65,536개 ~ 16개 주소)
/16 ~ /28
VPC당 기본 subnet 수 (상향 가능)
200
VPC당 IPv4 CIDR 블록 수 (기본 5개, 최대 50개까지 상향)
5 → 50
Security Group당 기본 inbound·outbound 규칙 수 (각각 적용)
60

Customer challenges

고객이 겪는 문제

Isolation

외부에 노출하면 안 되는 서버를 분리하기 어렵습니다

Application 서버와 database는 인터넷에서 직접 접근할 수 없어야 하지만, 업데이트 다운로드 같은 outbound 통신은 필요합니다. 계층별로 접근 경로를 나누지 않으면 보안 요구사항과 운영 요구사항을 함께 맞추기 어렵습니다.

IP plan

IP 대역이 겹치면 나중에 연결할 수 없습니다

온프레미스나 다른 VPC와 IP 대역이 겹치면 VPC 간 연결이나 하이브리드 연결을 구성할 수 없습니다. 처음 정한 CIDR의 크기는 바꿀 수 없어서, 계획 없이 만든 네트워크는 확장할 때 다시 설계해야 합니다.

Scale

계정과 VPC가 늘수록 관리가 복잡해집니다

사업 단위, 환경, 리전이 늘면서 VPC가 수백 개로 늘어납니다. VPC 간 연결, 온프레미스 연결, 인터넷 출구와 보안 규칙을 VPC마다 따로 관리하면 운영 부담이 커집니다.

Benefits

왜 VPC부터 설계해야 하나요

EC2, RDS, Load Balancer 같은 대부분의 리소스는 VPC의 subnet 안에서 IP 주소를 받아 동작합니다. 그래서 VPC 설계가 이후 보안, 연결, 확장성의 기준이 됩니다.

Isolate

워크로드 단위로 네트워크를 분리합니다

워크로드나 조직 단위로 VPC를 나누어 인프라를 격리합니다. 하나의 VPC 안에서는 subnet으로 web, application, database 계층을 분리합니다.

Route

트래픽 경로를 직접 정합니다

Route table이 subnet과 gateway에서 나가는 트래픽의 목적지를 결정합니다. Internet gateway, NAT gateway, VPC endpoint, Transit Gateway 중 어디로 보낼지 경로 단위로 지정합니다.

Control

여러 계층에서 접근을 통제합니다

Security Group이 리소스 단위의 기본 통제 수단이고, Network ACL이 subnet 단위의 보조 통제를 맡습니다. VPC Block Public Access로 계정 전체의 인터넷 접근을 한 번에 차단할 수도 있습니다.

How it works

동작 방식

VPC는 리전 단위 리소스이고, subnet은 하나의 가용 영역(AZ)에 속합니다. Subnet의 유형은 연결된 route table의 경로로 결정됩니다.

  1. VPC와 CIDR

    VPC를 만들 때 IPv4 CIDR 블록을 지정하며, RFC 1918 사설 대역 사용을 권장합니다. 생성 후 보조 IPv4 CIDR와 IPv6 CIDR를 추가할 수 있지만 기존 CIDR의 크기는 바꿀 수 없습니다.

  2. Subnet과 가용 영역

    Subnet은 VPC의 IP 대역 일부이며 하나의 AZ 안에만 존재합니다. 리소스를 여러 AZ의 subnet에 나누어 배치하면 단일 AZ 장애에 대비할 수 있습니다.

  3. Route table이 subnet 유형을 정합니다

    Internet gateway로 가는 직접 경로가 있으면 public subnet, 없으면 private subnet입니다. VPC 밖으로 가는 경로가 전혀 없으면 isolated subnet이 됩니다.

  4. Gateway와 endpoint로 외부와 연결합니다

    Internet gateway는 인터넷과, NAT gateway는 private subnet의 outbound 통신을 연결합니다. VPC endpoint를 쓰면 internet gateway나 NAT 장치 없이 AWS 서비스에 사설로 접근합니다.

Key features

주요 기능

Subnet (public / private / isolated)

Subnet은 IPv4 전용, dual stack, IPv6 전용으로 만들 수 있습니다. Route table 구성에 따라 public, private, VPN-only, isolated subnet으로 구분됩니다.

출처

Security Group / Network ACL

Security Group은 상태 저장(stateful) 방식의 리소스 단위 방화벽이고, 다른 Security Group을 규칙에서 참조할 수 있습니다. Network ACL은 subnet 단위의 상태 비저장(stateless) 규칙으로 특정 트래픽을 deny하는 보조 통제에 씁니다.

출처

NAT gateway (public / private)

Private subnet의 인스턴스가 VPC 밖으로 연결을 시작할 수 있게 하고, 외부에서 시작하는 연결은 받지 않습니다. Public NAT gateway는 Elastic IP로 인터넷에, private NAT gateway는 Transit Gateway나 virtual private gateway를 거쳐 다른 VPC나 온프레미스에 연결합니다.

출처

Regional NAT gateway 2025-11

하나의 NAT gateway가 워크로드가 있는 AZ를 따라 자동으로 확장·축소됩니다. Public subnet이 필요 없고, AZ가 늘어나도 route table을 고칠 필요가 없습니다. Private NAT 용도에는 zonal NAT gateway를 사용합니다.

출처

Gateway VPC endpoint

Internet gateway나 NAT 장치 없이 Amazon S3와 DynamoDB에 접근합니다. Route table에 서비스의 prefix list를 목적지로 하는 경로가 추가되며, 추가 요금은 없습니다.

출처

VPC Encryption Controls 2025-11

리전 내 VPC 안과 VPC 간 트래픽의 전송 중 암호화 상태를 모니터링하고 강제합니다. Monitor 모드에서 VPC Flow Logs의 encryption-status 필드로 평문 트래픽을 찾고, 정리한 뒤 enforce 모드로 전환합니다.

출처

IPAM (IP Address Manager)

AWS 워크로드의 IP 주소를 계획, 추적, 모니터링하는 VPC 기능입니다. 비즈니스 규칙에 따라 VPC에 CIDR를 자동 할당하고, 조직 전체의 IP 할당 이력을 확인합니다.

출처

VPC sharing / VPC Flow Logs

VPC sharing은 VPC 소유 계정이 같은 AWS Organizations의 다른 계정에 subnet을 공유하는 방식입니다. VPC Flow Logs는 network interface를 오가는 IP 트래픽 정보를 CloudWatch Logs, S3, Data Firehose로 보내며 네트워크 성능에 영향을 주지 않습니다.

출처

Compare

Security Group과 Network ACL 비교

항목Security GroupNetwork ACL
적용 위치인스턴스(ENI) 단위Subnet 단위
적용 범위Security Group이 연결된 모든 인스턴스연결된 subnet 안의 모든 인스턴스
규칙 유형Allow 규칙만 지원Allow와 Deny 규칙 모두 지원
규칙 평가모든 규칙을 평가한 뒤 허용 여부를 결정번호가 낮은 규칙부터 순서대로 평가하고 처음 일치한 규칙을 적용
응답 트래픽자동 허용 (stateful)명시적으로 허용해야 함 (stateless)
권장 용도기본 접근 통제 수단특정 트래픽 차단, subnet 단위 guard rail

Use cases & reference architecture

사용 사례와 레퍼런스 아키텍처

Multi-tier 웹 애플리케이션 호스팅

Web 서버, application 서버, database를 서로 다른 subnet에 두고 계층 간 연결과 제한을 정의합니다. 인터넷에서 들어오는 트래픽은 public subnet에서만 받습니다.

출처

온프레미스와 연결하는 하이브리드 네트워크

VPC를 Site-to-Site VPN이나 Direct Connect로 데이터센터와 연결하고, VPC peering이나 Transit Gateway로 다른 VPC와 연결합니다. 클라우드 리소스와 기존 인프라를 하나의 네트워크처럼 사용합니다.

출처

여러 계정이 함께 쓰는 중앙 관리형 VPC

네트워크 계정이 VPC를 소유하고 같은 AWS Organizations의 다른 계정에 subnet을 공유합니다. 각 계정은 공유받은 subnet에 자기 리소스만 만들고 관리하며, 관리할 VPC 수는 줄어듭니다.

출처

2개 AZ에 걸친 public·private subnet 구성

2개 AZ의 public subnet에 ALB와 NAT gateway, private subnet에 Auto Scaling group 서버, S3 gateway endpoint가 있는 VPC
출처: AWS 공식 문서

VPC에 2개 AZ마다 public subnet과 private subnet을 하나씩 둡니다. 사용자 요청은 internet gateway를 거쳐 public subnet의 Application Load Balancer로 들어오고, private subnet에서 Auto Scaling group으로 실행되는 서버로 전달됩니다. 서버의 인터넷 outbound 트래픽은 각 AZ의 NAT gateway로, S3 트래픽은 gateway VPC endpoint로 나갑니다.

출처

Regional NAT gateway로 단순화한 outbound 구성

AZ별 zonal NAT gateway 구성(A)과 regional NAT gateway 하나로 단순화한 구성(B) 비교
왼쪽(A)은 AZ마다 zonal NAT gateway를 두는 기존 구성, 오른쪽(B)은 regional NAT gateway 구성입니다. 출처: AWS 공식 문서

각 AZ에 zonal NAT gateway와 public subnet을 두는 대신, VPC에 regional 모드 NAT gateway 하나를 만듭니다. 모든 AZ의 private subnet route table이 같은 NAT gateway ID를 가리키고, NAT gateway는 자체 route table의 경로로 internet gateway에 트래픽을 보냅니다. 새 AZ에 리소스가 생기면 NAT gateway가 그 AZ로 자동 확장합니다.

출처

Customer stories

고객 사례

Carrier Global

제조 (HVAC·냉장·화재 안전)

Amazon VPC로 팀별 네트워크 환경을 구성하고 Transit Gateway로 VPC를 hub-and-spoke 방식으로 연결했습니다. 이후 Amazon VPC IPAM으로 새 계정에 표준 기준과 guardrail을 적용해 계정 생성 시간을 3일에서 몇 분으로 줄였습니다.

사례 보기

Q2

금융 소프트웨어 (디지털 뱅킹)

민감한 워크로드 리소스를 VPC의 private subnet에 배치해, inbound·outbound 트래픽 검사 없이 인터넷으로 바로 나가는 경로를 두지 않았습니다. VPC 내부 east-west 트래픽은 AWS Network Firewall 규칙으로 통제합니다.

사례 보기

Pricing

비용 항목

VPC 자체 사용에는 추가 요금이 없습니다. NAT gateway, public IPv4 주소, IPAM, Traffic Mirroring, Reachability Analyzer, Network Access Analyzer 같은 구성 요소에 요금이 부과됩니다.

NAT gateway
Gateway별(regional NAT gateway는 AZ별) 시간당 요금과 처리한 데이터량(GB)에 대한 요금, 표준 데이터 전송 요금이 부과됩니다.
Public IPv4 주소
사용 중인 주소와 유휴 주소에 각각 시간당 요금이 부과되며, 초 단위(최소 60초)로 과금됩니다. Private IPv4 주소는 과금되지 않습니다.
IPAM
Free Tier는 무료이고, Advanced Tier는 활성 IP 주소별 시간당 요금이 부과됩니다.
VPC Encryption Controls
Monitor 또는 enforce 모드로 동작하는 비어 있지 않은 VPC마다 시간당 고정 요금이 부과됩니다.
Traffic Mirroring / 분석 도구
Traffic Mirroring은 활성화한 network interface별 시간당, Reachability Analyzer는 분석 건당, Network Access Analyzer는 평가한 network interface별로 과금됩니다.
데이터 전송 (VPC Peering 등)
리전 내 VPC Peering은 AZ를 넘는 트래픽에 양방향 데이터 전송 요금이 부과됩니다. VPC Flow Logs는 CloudWatch vended logs 수집·보관 요금이 적용됩니다.

공식 요금 페이지

What's new

최근 업데이트

  • VPC Encryption Controls

    리전 내 VPC 안과 VPC 간 트래픽의 전송 중 암호화 상태를 모니터링하고 강제합니다. Monitor 모드에서 VPC Flow Logs의 encryption-status 필드로 평문 트래픽을 찾고, 정리한 뒤 enforce 모드로 전환합니다.

  • Regional NAT gateway

    하나의 NAT gateway가 워크로드가 있는 AZ를 따라 자동으로 확장·축소됩니다. Public subnet이 필요 없고, AZ가 늘어나도 route table을 고칠 필요가 없습니다. Private NAT 용도에는 zonal NAT gateway를 사용합니다.

Getting started

시작하기

  1. IP 대역을 계획합니다

    온프레미스와 다른 VPC와 겹치지 않는 RFC 1918 대역을 고릅니다. 기존 CIDR의 크기는 바꿀 수 없으므로 확장 여유를 두고, 여러 계정이라면 IPAM으로 할당을 관리합니다.

  2. AZ와 subnet 계층을 나눕니다

    최소 2개 AZ에 subnet을 만들고 web, application, database 계층을 subnet으로 분리합니다. 인터넷에서 직접 접근할 필요가 없는 리소스는 private subnet에 둡니다.

  3. 라우팅과 외부 연결을 정합니다

    Subnet별 route table에 필요한 최소 경로만 넣습니다. 인터넷 outbound는 NAT gateway로, S3·DynamoDB는 gateway endpoint로, 다른 VPC와 온프레미스는 Transit Gateway나 VPN·Direct Connect로 연결합니다.

  4. 보안 통제를 계층별로 적용합니다

    Security Group을 기본 통제 수단으로 쓰고, 필요한 경우 Network ACL을 보조로 둡니다. 인터넷 노출을 막아야 하는 계정에는 VPC Block Public Access를, 암호화 요구사항이 있으면 VPC Encryption Controls를 검토합니다.

  5. 가시성을 확보합니다

    VPC Flow Logs로 트래픽을 기록하고, 연결 문제는 Reachability Analyzer로 route table과 Security Group 설정을 점검합니다.

Next steps

다음 단계

아키텍처 리뷰와 PoC를 진행합니다

현재 온프레미스 IP 대역과 연결 요구사항을 공유해 주시면 VPC 구성안을 함께 검토합니다. 대표 워크로드 하나로 subnet, 라우팅, 보안 통제를 검증하는 PoC를 제안합니다.

Resources

참고 자료

이 페이지는 아래 AWS 공식 자료를 바탕으로 정리했습니다. 마지막 갱신 2026-10-17.