네트워크 리소스와 서버 리소스

 📌 네트워크 리소스

---

 

여러 개의 리전으로 구성된 클라우드 환경에서는 각 리전마다 각각의 가상 네트워크가 독립적으로 만들어진다. 리전에서 가상 네트워크를 만들기 위해 필요한 컴포넌트에는 뭐가 있을까. (참고. 용어는 AWS기준)

 

✔  네트워크 리소스

1. 라우터
2. 스위치 (서브넷)
3. 공인 IP주소
4. 시큐리티 그룹

 

라우터

 

: AWS에서는 하나의 독립된 가상 네트워크를 가상 사설 클라우드 혹은 VPC (Virtual Private Cloud)라고 하는데 하나의 리전에 여러 개의 VPC를 둘 수 있다. 여기서 말하는 '독립된 가상 네트워크'는 가정에서 공유기로 구성한 LAN(Local Area Network)과 같이 외부 접근이 제한된 사설 네트워크이다. 테넌트 안의 가상 네트워크와 물리적인 외부 네트워크를 연결하기 위해서는 가상 '라우터'가 필요하다. 그래서 기본적으로 가상 네트워크 하나당 하나의 가상 라우터가 배치된다.

 

가상 네트워크에서 가정용 LAN과 같이 프라이빗 IP주소 혹은 사설 IP주소를 사용한다. 외부 네트워크와 통신할 때는 가상 라우터의 NAT(Network Address Translation)기능을 사용해서 퍼블릭 IP 혹은 공인 IP로 변환해서 사용한다.

 

 

스위치 (서브넷)

 

: 가상 스위치는 가상 라우터와 가상 머신 인스턴스의 가상 NIC(Network Interface Card)가 연결되는 접점이다. 하나의 가상 스위치에 하나의 서브넷이 할당되는데 여기서 말하는 서브넷은 가상 머신 인스턴스가 사용할 수 있는 사설 IP 주소의 범위를 의미한다. (AWS에서는 가상 스위치라는 가상의 장비에 해당하는 개념이 없고, 서브넷이라는 기능상의 개념을 사용함. 즉, 가상 스위치랑 서브넷을 하나의 통합 형태로 취급.)

 

서브넷은 VPC를 잘개 쪼개는 과정이다. 서브넷은 VPC보다 더 작은단위이기 때문에 서브넷 마스크는 더 높게 되고 아이피 범위는 더 작은 값을 갖게 된다. 서브넷을 이렇게 나누는 이유는 더 많은 네트워크망을 만들기 위해서다.

 

공인 IP주소

 

: 가상 네트워크에서 사용하는 사설 IP 주소는 네트워크 내부에서는 사용하는데 문제가 없으나, 외부에서는 접속할 수 없다는 제약이 있다. 그래서 외부와 통신할 때는 가상 라우터의 NAT기능을 사용하여 사설 IP를 공인 IP로 변환해준다. 이때 공인 IP로 변환하는 방법에는 두 가지가 있다.

 

✔ 공인 IP 변환 방법

1. IP 마스커레이딩 (IP Masquerading)
2. 엘라스틱 IP (Elastic IP)

 

1. IP 마스커레이딩

: 모든 사설 IP 주소를 같은 공인 IP주소로 변환하여 외부 네트워크랑 통신하는 방법. 가정용 LAN에 연결된 PC가 초고속 인터넷 라우터를 통해 인터넷에 접속하는 방식이 이에 해당한다.

 

2. 엘라스틱 IP

: 미리 개별적으로 확보해 둔 공인 IP 주소를 가상 머신 인스턴스에 할당한다. 즉, 각 테넌트마다 엘라스틱 IP로 사용할 수 있는 공인 IP 주소를 사전에 확보해두고 그 중 하나를 특정 가상 머신 인스턴스에 할당한다. 이렇게 하면 할당 받은 엘라스틱 IP를 통해 내부에서 외부로 나가는 통신은 물론, 외부에서 내부로 들어오는 통신도 가능해진다. 

 

시큐리티 그룹

 

: 시큐리티 그룹은 가상 머신 인스턴스가 주고 받을 네트워크 패킷에 대해 필터링 기능을 제공하는 역할을 한다. 통신을 허용할 패킷의 조건을 미리 정의한 다음, 이 규칙을 가상 머신 인스턴스에 적용하는 방식인데 여러 개의 가상 머신 인스턴스에 중복해서 적용할 수도 있다. 이러한 필터링 처리는 가상 머신 인스턴스와 가상 스위치의 접속 포트 사이에서 이루어 진다. 

 

 

📌 서버 리소스

---

서버 리소스인 가상 인스턴스를 기동하기 위해서는 사전에 필요한 설정 정보들을 정의해 두어야 한다. 설정 항목들을 살펴보자.

 

✔  서버 리소스

1. 템플릿 이미지
2. 인스턴스 유형
3. 네트워크 접속과 시큐리티 그룹
4. 로그인 인증과 키 페어

 

템플릿 이미지

 

: 가상 머신 인스턴스를 기동하려면 게스트 OS가 설치된 기동 디스크가 필요하다. 기동 디스크를 만들 땐 사전에 준비되어 있는 템플릿 이미지를 선택하면 된다. 선택된 템플릿 이미지는 다운로드 되어 가상 디스크 형태로 만들어지고 가상 머신 인스턴스가 이 가상 디스크를 연결하여 사용한다.

 

인스턴스 유형

 

: 인스턴스 유형은 가상 머신의 컴퓨팅 성능 및 용량을 결정한다. 각 타입별로 가상 CPU의 개수나 가상 메모리의 용량, 가상 디스크의 용량 등이 정해져 있다. 참고로 AWS에서는 클라우드 이용자가 새로운 인스턴스 유형을 사용자 정의로 직접 만들지는 못한다. 

 

✔  인스턴스 유형 항목

- 가상 CPU : 가상 CPU의 개수
- 메모리 : 가상 메모리의 용량
- 루트 디스크 : 기동 디스크의 크기
- 임시 디스크 : 임시 디스크의 크기
- 스왑 디스크 : 스왑 영역의 크기 

 

여기서 루트 디스트란 템플릿 이미지를 복제해서 만들어진 기동 디스크이다. 템플릿 이미지를 복제한 후, 각종 항목의 용량을 필요한 만큼 늘려서 사용하면 된다.

 

🔎  좀 더 알아보기

 

이렇게 이미지를 사용하여 인스턴스를 기동할 때는 '루트 디스크'와 '임시 디스크'가 '이페머럴(Ephemeral) 디스크'에 해당한다. 이페머럴이란 '수명이 짧은, 단명하는' 이라는 뜻인데 이렇게 부르는 이유는 가상 머신 인스턴스를 종료 하거나 파괴하면 이들 디스크 영역의 데이터도 함께 사라지기 때문이다. (재부팅은 예외) 그래서 영속적으로 보존 해야 하는 데이터는 별도의 '블록 스토리지' 혹은 '오브젝트 스토리지'에 보존해야 한다.

 

가상 인스턴스가 기동되면 루트 디스크 영역에 애플리케이션을 설치하고 각종 설정을 한 후에 사용하게 되는데 이렇게 작업된 내용을 보존하고 싶다면 가상 머신 인스턴스의 스냅샷을 만들어야 한다. 스냅샷은 루트 디스크를 복제한 후 그것을 새로운 템플릿 이미지로 사용할 수 있게 만들어 준다. 즉, 게스트 OS를 기동 할 때 템플릿 이미지가 아닌 블록 스토리지를 루트 디스크로 활용할 수 있다.

 

네트워크 접속과 시큐리티 그룹

 

: '가상 머신 인스턴스'의 '가상 NIC'가 '네트워크'에 연결되려면 '가상 스위치'와 연결되어야 하고 '시큐리티 그룹'이 '설정'되어야 한다. 여러개의 가상 스위치에 연결하고 싶다면 각 가상 스위치별로 가상 NIC도 여러개 준비되어야 한다. NIC에는 특정 IP주소를 할당할 수 있고 여러 NIC가 있을 경우 서로 다른 시큐리티 그룹을 적용할 수 있다.

 

로그인 인증과 키 페어

 

: 가상 머신 인스턴스의 게스트 OS에 로그인 할때는 사용자 인증이 필요하다. 이때 기본적으로 SSH의 공개 키 인증 방식이 사용된다. 각 테넌트 이용자는 전용 키 페어 (공개키 1 & 개인키 1 ) 를 만들어야 하며, 공개 키는 클라우드 환경에 미리 등록되고 개인 키는 사용자가 다운로드하게 된다. 이러한 인증 관련 설정 처리는 게스트 OS안에 작동 하는 'Cloud-init' 이라는 툴에서 이루어지기 때문에 (게스트 OS를 템플릿 이미지로 사용할 경우)미리 Cloud-init을 설치해 두어야 한다. 

 

 

 

 

References

- 그림으로 배우는 클라우드 인프라와 API의 구조