Bastion host와 NAT gateway를 통한 private EC2 인스턴스 외부 통신 구성

private 영역에 EC2 인스턴스를 만들고 통신이 가능한 환경을 구성해보자

 

• EC2 인스턴스 생성하기

인스턴스 생성

이름 입력 후 AMI는 이전에 만들어두었던 AMI 선택

키페어 private ec2용으로 하나 생성하기

생성 완료

네트워크 설정은 vpc 선택하고, 서브넷은 private-subnet-a1, 보안그룹은 SSH, HTTP, HTTPS 모두 위치 무관으로 설정하여 생성

• 나머지는 이전 public ec2 만들 때와 동일한 옵션으로 생성한다.
• 다운로드 받았던 pem 키페어를 이용하여 인스턴스에 접근할 수 있었다.

 

• public-ec2-a1에 ec2-private-seoul.pem키를 생성하기

finder에서 해당 파일에 우클릭하기

텍스트 편집기로 열기

복사하기

pem키 직접 만들기

키 값 입력하기

400 권한은 최소한의 권한이다. 이 권한값으로 pem키를 설정한다.

 

• public-ec2-a1에서 private-ec2-a1에 SSH로 접근하기

private-ec2-a1의 프라이빗 ip 주소 복사

SSH로 private-ec2-a1에 접근하기

ip 주소를 보면 잘 접속 된 것을 볼 수 있다.

• public-ec2-a1을 통해서 private-ec2-a1에 접속하였다.
• public-ec2-a1은 private-ec2-a1에 접속하기 위한 중개 서버가 되는데 이를 Bastion host라고 한다.
• bastion이란? 수호자, 요새
• Bastion host는 내부 네트워크와 외부 네트워크를 연결해주는 일종의 Gateway 역할을 수행하는 호스트라는 의미를 갖고 있음

private-ec2-a1은 외부 네트워크와의 통신이 막혀 있음

• private-subnet에 위치한 ec2 인스턴스라도라도 patch나 upgrade 같은 소프트웨어 패키지를 다운 받거나 외부와의 통신 경로가 필요할 때가 있음
• NAT gateway를 사용해서 private subnet에 위치한 이 ec2 인스턴스가 외부와 통신이 가능한 환경임을 확인 받고 싶음

 

• NAT gateway 생성하기

VPC > NAT gateway

이름, 서브넷 입력하고 탄력적 IP는 새로 할당 받아서 설정 후 create 누르기

• NAT gateway에 연결된 네트워크 인터페이스에 통신을 하는 것이다.
• NAT gateway도 ip를 기반으로 통신을 한다.
• NAT gateway에 연결된 네트워크 인터페이스에 ip를 통해 통신한다.
• 특히 외부 인터넷과 통신하기 위해서는 public ip를 가져야 하는데 이를 위해 elastic ip를 통해 NAT gateway에 ip를 할당하게 해주는 메뉴이다.

생성중

• private-subnet의 Route table에 NAT gateway를 경로에 추가해서 ec2 인스턴스가 외부로 통신할 수 있는 경로를 만들어 보자

VPC > 라우팅 테이블 > private-subnet-a1 선택

대상은 0.0.0.0/0, NAT gateway

private-subnet-a1의 라우팅 테이블 설정 완료

• private-subnet-a1에서 트래픽이 외부로 나가게 될 때에는 public-subnet-a1의 NAT gateway로 보내지는 것을 확인할 수 있다.

라우팅 테이블에 있던 NAT gateway에 public-subnet-a1 연결된거 보임

EC2 > 탄력적 IP에 들어가 방금 할당한 IP에 NAT gateway 잘 연결되어 있는 건지 확인

 

• 외부와 통신이 가능한지 확인하기

ping google.com 스크립트를 통해 외부와 통신이 되는지 확인

• private-subnet-a1이 현재 외부와 통신이 가능한 것을 확인할 수 있다.
• private-subnet-a1에 위치한 ec2 인스턴스에서 외부로 향하는 트래픽이 public-subnet-a1의 NAT gateway로 보내지고 이 트래픽은 public-subnet-a1에 라우팅 테이블 설정에 따라서 인터넷 게이트웨이를 통해 외부로 나가게 되어 결론적으로 외부와의 통신이 가능하게 된 것이다.

 

• AZ 2c에도 private ec2 인스턴스를 추가로 생성하고, NAT gateway를 통해 외부와의 통신이 가능하도록 한다.

• private-ec2-c1 만들기

• public-subnet-c1에 NAT gateway를 생성하고 private-ec2-c1이 외부와 통신할 수 있는 환경을 구축해본다.

• Route table에 NAT gateway를 경로에 추가한다.
• 외부로 향하는 트래픽은 public-subnet-c1에 생성해 놓은 NAT gateway를 통해 나간다.

• public-ec2-a1에서 private-ec2-c1에 ssh로 접속하였다.

• private-ec2-c1도 NAT gateway를 통해서 외부와 통신이 잘 되고 있다.

 

Bastion host를 통해 외부와의 직접적인 통신이 제한되어 있는 private한 ec2 인스턴스에 접속을 하고 NAT gateway를 이용해서 private-ec2가 외부와 통신할 수 있는 환경을 구축해보았다.

 

 

https://www.inflearn.com/course/lecture?courseSlug=aws-%ED%81%B4%EB%9D%BC%EC%9A%B0%EB%93%9C-%EC%9D%B8%ED%94%84%EB%9D%BC-%EA%B8%B0%EB%B3%B8&unitId=111942 

학습 페이지