기준: SOA-C02 시험 가이드오류 제보
Week 8은 VPC라는 가상 데이터센터의 모든 레이어를 따라 내려왔다. 첫 글에선 VPC가 EC2-Classic을 대체하면서 등장한 배경과 SG·NACL의 stateful/stateless 분리를 봤고, 둘째 글에선 Flow Logs·Traffic Mirroring·Reachability Analyzer의 세 추상화로 트래픽을 들여다보는 방법을 봤다. 셋째 글에선 NAT GW·VPC Endpoint·PrivateLink로 외부와 만나는 세 가지 방식, 넷째 글에선 Transit Gateway·VPN·Direct Connect·Route 53으로 여러 VPC와 온프레미스를 묶는 큰 그림이었다.
이 글은 그 네 글을 다시 회상하는 게 아니라, 시험에서 등장하는 시나리오 결정 트리를 12문항으로 정리한다. 운영자가 실제로 마주치는 결정 — "지금 SG를 늘릴 것인가 NACL을 손볼 것인가", "NAT GW 비용이 폭증했는데 어디부터 끊을 것인가", "DR을 Active-Active로 갈 것인가 Pilot Light로 갈 것인가" — 이 결정들의 트리를 익히는 게 시험 합격과 실무 모두에 도움이 된다.
지난 네 글에서 등장한 사실 12가지를 한 줄씩 정리한다.
운영자가 시험에서 가장 자주 마주치는 비교 네 개를 다시 펼쳐둔다.
관측 도구 3종
| 항목 | Flow Logs | Traffic Mirroring | Reachability Analyzer |
|---|---|---|---|
| 데이터 | 메타데이터 5-tuple | 실제 패킷 (페이로드) | 정책 그래프 시뮬레이션 |
| 추상화 | L3/L4 | L7까지 | 정책 평가 |
| 비용 | 저장량 | 트래픽 복제 | 분석당 |
| 대상 | ENI/Subnet/VPC | Nitro ENI만 | 두 리소스 간 |
| 답하는 질문 | 누가 누구와 얼마 | 무엇이 흐르는가 | 닿을 수 있나 |
멀티 VPC 연결
| 항목 | VPC Peering | Transit Gateway |
|---|---|---|
| 토폴로지 | Mesh (N×N) | Hub-and-Spoke (N) |
| Transitive | X | O |
| 비용 | 데이터 전송만 | Attachment 시간당 + 데이터 |
| 관리 | N(N-1)/2 복잡 | N개 단순 |
| 적합 규모 | 2-5개 VPC | 5개 이상 |
VPC Endpoint 2종
| 항목 | Gateway | Interface (PrivateLink) |
|---|---|---|
| 서비스 | S3, DynamoDB만 | 거의 모든 AWS + 자사 |
| 비용 | 무료 | 시간당 + GB당 |
| 메커니즘 | 라우팅 테이블 prefix list | 사설 IP를 ENI에 부여 |
| 라우팅 | Route Table 항목 | DNS resolution |
| Cross-Account | X | O |
온프레미스 연결
| 항목 | Site-to-Site VPN | Direct Connect |
|---|---|---|
| 매체 | 인터넷 + IPsec | 전용 광케이블 |
| 대역폭 | 터널당 1.25 Gbps | 1/10/100 Gbps |
| 지연 | 변동 | 일관·낮음 |
| 설치 | 즉시 (수 시간) | 수 주~수 개월 |
| 암호화 | 내장 (IPsec) | 없음 (MACsec 별도) |
| 비용 | 저렴 | 비쌈 |
선택지를 클릭하면 정답·해설이 펼쳐집니다.
문제 1
Custom NACL에 80번 인바운드만 허용했더니 HTTP 요청은 들어오는데 응답이 안 나간다. 원인은?
문제 2
Private 서브넷의 EC2가 S3로 일 1TB 데이터를 보내면서 NAT GW 비용이 폭증한다. 가장 적절한 해결책은?
문제 3
사설 VPC(인터넷 차단)에서 SSM Session Manager를 사용하려 한다. 필요한 구성은?
문제 4
Private EC2가 외부 API 호출에 실패한다. 가장 먼저 사용할 도구는?
문제 5
회사가 20개 VPC + 온프레미스 통합 네트워크를 운영하려 한다. 가장 효율적인 도구는?
문제 6
Multi-Region 환경에서 사용자에게 가장 빠른(지연 최소) 리전 라우팅하려면?
문제 7
Multi-AZ Private 서브넷의 외부 통신을 HA로 구성하려면?
문제 8
보안팀이 의심스러운 인스턴스의 실제 HTTP 헤더와 본문을 IDS로 분석하려 한다. 어떤 도구?
문제 9
B2B SaaS 회사가 고객 VPC에 인터넷 거치지 않고 서비스를 노출하려 한다. 일부 고객의 VPC CIDR이 자사와 겹친다. 어떤 기술?
문제 10
Direct Connect만으로 운영 중인데 회선 장애 시 가용성을 높이려 한다. AWS 권장 패턴은?
문제 11
운영자가 NAT GW 비용 분석을 위해 Flow Logs에서 "어느 인스턴스가 외부로 가장 많은 데이터를 보내는가"를 찾으려 한다. 가장 효율적인 방법은?
문제 12
회사 정책상 "VPC 내 EC2는 회사 소유 S3 버킷에만 접근하고, 외부 계정 버킷에는 접근 못 하게" 강제하려 한다. 어떤 도구?
문제 13
회사가 Multi-Region Active-Passive DR을 구성했다. Primary 리전 ALB 장애 시 Route 53 Failover가 동작하는데, DNS TTL 300초 + 일부 ISP의 추가 캐싱으로 RTO가 7분 이상 걸린다. RTO를 1-2초로 줄이려면?
문제 14
운영자가 Transit Gateway에 Prod VPC와 Dev VPC를 attach했다. 정책상 "Prod는 Shared Services VPC와만 통신, Dev VPC와는 격리"가 필요하다. 어떻게 구성하는가?
운영 환경에서 자주 마주치는 결정을 트리로 정리한다. 시험 시나리오에서도 이 순서로 사고하면 답이 빠르다.
"외부와 통신해야 한다"
어디로 가는 트래픽인가?
├── 임의의 외부 URL (예: 외부 SaaS API)
│ └── NAT Gateway (AZ당 1개, 같은 AZ로 라우팅)
├── S3 또는 DynamoDB
│ └── Gateway Endpoint (무료)
├── 다른 AWS 서비스 (SSM, ECR, Logs 등)
│ └── Interface Endpoint (PrivateLink, 유료, Private DNS 활성)
└── 다른 VPC/계정의 자사·타사 서비스
└── PrivateLink Endpoint Service (NLB + Allowed Principals)
"연결성 문제다"
무엇을 알고 싶은가?
├── 닿을 수 있나? 어디서 막혔나? (1:1)
│ └── Reachability Analyzer (시뮬레이션, 30초)
├── 모든 인스턴스 중 외부 노출된 것은? (광역)
│ └── Network Access Analyzer + Access Scope
├── 누가 누구와 얼마나 통신하나? (트래픽 분석)
│ └── Flow Logs + Logs Insights/Athena
└── 실제 패킷 페이로드를 봐야 한다 (보안 분석)
└── Traffic Mirroring → Suricata/Zeek
"여러 VPC를 묶어야 한다"
VPC가 몇 개인가? 온프레미스 연결 필요?
├── 2-3개 VPC, 온프레미스 없음
│ └── VPC Peering (단, transitive 아님 — A↔B, B↔C 있어도 A→C 별도 필요)
├── 5개 이상 VPC 또는 온프레미스 통합
│ └── Transit Gateway (hub-and-spoke + RT 분리로 정책 통제)
└── B2B SaaS 형태 (CIDR 충돌 가능)
└── PrivateLink
"온프레미스와 연결"
요구 사항이 무엇인가?
├── 즉시 필요, 저렴, 임시·소규모
│ └── Site-to-Site VPN (인터넷 + IPsec, 약 1.25Gbps/터널)
├── 일관 대역폭, 낮은 지연, 대량 트래픽 (SLA)
│ └── Direct Connect (1/10/100Gbps, 설치 수 주, 비쌈)
├── DX 회선 1개의 SPOF 회피
│ └── High Resilience: 다른 location 2 회선
└── DX 비용 절감하면서도 장애 시 fallback
└── Hybrid: DX 1개 + VPN backup
"Multi-Region DR"
RTO와 비용의 trade-off?
├── RTO 0, 비용 2배 OK, 글로벌 사용자
│ └── Active-Active + Latency-based Routing + 데이터 양방향 복제
│ (DynamoDB Global Tables, S3 CRR, Aurora Global DB)
├── RTO 수 분 ~ 수십 분, 비용 절감
│ └── Active-Passive (Pilot Light/Warm Standby) + Failover Routing
│ + Health Check + 짧은 TTL(60s)
└── DNS TTL 영향 없는 빠른 페일오버 필요
└── Global Accelerator (BGP Anycast, 1-2초 페일오버)
Week 9는 보안 운영 — KMS · Secrets Manager · GuardDuty · Security Hub. 시험 가중치 16%인 보안·컴플라이언스 영역의 핵심이다.
이번 주 VPC가 "네트워크 경계"였다면, 다음 주는 "데이터·자격증명·위협의 경계"다. 두 주가 합쳐져야 운영 보안의 큰 그림이 완성된다.