아키텍처
중복된 CIDR 환경에서 효과적인 Egress 트래픽 제어를 위한 아키텍처 설계
두줄요약
중복 CIDR 환경에서 TGW 라우팅 충돌과 Egress 제어 문제를 해결하는 AWS 아키텍처를 정리했습니다. Private NAT Gateway, 보조 CIDR, DNS Firewall, AWS Network Firewall을 조합한 중앙 집중형 보안검사 허브가 비용과 운영 측면에서 유리했습니다.
문제 상황
- AWS Organizations 환경에서 중복된 VPC CIDR로 인해 Transit Gateway 기반 라우팅과 중앙 Egress 제어가 어려운 구조
- 보안 그룹, NACL만으로는 FQDN 기반 제어, DNS 우회 방지, 심층 검사까지 충분히 대응하기 어려움
원인 분석
- TGW가 동일 목적지 CIDR에 대해 중복 경로를 전파하지 못하는 라우팅 제약
- DNS 트래픽이 표준 Egress 경로를 우회할 수 있어 보안 경계만으로는 통제 공백 발생
- 분산형 방화벽 구성은 운영 복잡성과 비용을 크게 증가시킴
해결 방법
- Private NAT Gateway와 보조 CIDR로 중복 CIDR을 라우팅 가능한 고유 주소로 변환
- Route 53 DNS Firewall, NACL, AWS Network Firewall, Security Group을 계층적으로 배치해 심층 방어 구성
- 중앙 Inspection VPC를 두는 보안검사 허브 모델을 중심으로 대칭 라우팅과 자동화 적용