VPC 설계, 서브넷을 나누는 기준은 접근 범위입니다

서브넷은 기능이 아니라 접근 범위로 나눕니다

서브넷을 '웹용, 앱용, 데이터베이스용'처럼 기능으로 나누는 것이 흔한 출발점이지만, 실제로 설계를 결정하는 기준은 접근 범위입니다. 인터넷에서 직접 닿아야 하는 자원과, 내부에서만 닿아야 하는 자원을 먼저 두 묶음으로 가릅니다. 그다음 내부 자원 중에서 외부로 나가는 통신이 필요한 것과 전혀 필요 없는 것을 또 나눕니다. 이렇게 하면 서브넷 종류가 세 가지로 정리되고, 각 종류에 붙일 경로 규칙이 자동으로 정해집니다. 기능으로 먼저 나누면 같은 기능 안에 외부 노출이 필요한 자원과 필요 없는 자원이 섞여, 결국 전체를 공개 서브넷으로 두게 됩니다.

주소 범위는 넓게 잡고 작게 쪼갭니다

주소 범위를 정할 때 흔한 실수는 지금 필요한 만큼만 잡는 것입니다. 나중에 늘리려면 범위를 바꿔야 하고, 그 작업은 서비스 중단을 요구할 수 있습니다. 그래서 전체 범위는 넉넉하게 잡고, 그 안에서 서브넷을 작게 쪼개 둡니다. 쪼갤 때는 가용 영역 수를 곱해 둡니다. 종류 3가지에 영역 3개면 서브넷 9개가 필요하므로, 처음부터 9개 몫의 자리를 비워 둡니다. 또 하나 피할 것은 사내 네트워크나 다른 계정 범위와 겹치는 주소를 쓰는 것입니다. 겹치면 나중에 두 네트워크를 연결할 수 없습니다. 그래서 설계 문서에 조직 전체의 범위 할당표를 먼저 둡니다.

경로 규칙을 적고 통신 비용을 확인합니다

학습용 가정으로 계산합니다. 가정값은 내부 서버가 외부로 나가는 통신이 월 500기가바이트이고, 중계 장치의 시간 요금이 월 40,000원, 처리 요금이 기가바이트당 60원이라고 두겠습니다. 처리 요금은 500 곱하기 60으로 30,000원이고 합계는 월 70,000원입니다. 이것이 중간 계산값입니다. 최종 금액은 영역 수를 곱해야 나옵니다. 가용 영역 3개에 각각 중계 장치를 두면 시간 요금만 120,000원이 되어 합계 150,000원입니다. 한 개만 두면 비용은 줄지만 그 영역에 장애가 생길 때 다른 영역의 외부 통신도 함께 끊어집니다. 그래서 금액과 장애 범위를 같은 표에 놓고 결정합니다.

외부 통신이 필요 없으면 중계 장치도 필요 없습니다

결론을 뒤집는 조건은 외부 통신의 실제 필요 여부입니다. 내부 서버가 외부로 나가는 이유가 패키지 업데이트와 특정 서비스 호출뿐이라면, 사설 연결 방식으로 그 서비스에 직접 닿게 하고 중계 장치를 없앨 수 있습니다. 그러면 위 가정의 월 150,000원 중 상당 부분이 사라집니다. 확인 순서는 나가는 통신의 목적지를 전수로 뽑고, 각 목적지가 사설 연결을 지원하는지 보고, 남은 목적지만 중계 장치로 처리하는 것입니다. 두 번째 조건은 규제입니다. 데이터가 외부 경로를 지나면 안 되는 요건이 있으면 비용과 무관하게 사설 연결이 전제가 됩니다.

클라우드 비교 실행 전 점검표

• 자원을 접근 범위 기준으로 세 종류로 나누었다
• 전체 주소 범위를 넓게 잡고 영역 수를 곱해 자리를 비웠다
• 사내·타 계정 범위와 겹치지 않는지 대조했다
• 나가는 통신의 목적지를 전수로 뽑아 사설 연결 가능성을 확인했다