클라우드로 데이터 센터 확장하기 : 하이브리드 환경을 위한 연결 옵션 및 고려사항::강동환::AWS Summit Seoul 2018
5 likes3,361 views
클라우드로 데이터 센터 확장하기 : 하이브리드 환경을 위한 연결 옵션 및 고려사항::강동환::AWS Summit Seoul 2018
- 1. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Donghwan Kang Solutions Architect, Amazon Web Services 클라우드로 데이터 센터 확장하기 : 하이브리드 환경을 위한 연결 옵션 및 고려사항
- 2. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. 발표 순서 1. Hybrid 환경 2. AWS 연결 옵션 3. VPN 연결 4. Direct Connect 연결 5. Direct Connect Gateway 6. VPN CloudHub/Transit VPC
- 3. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. 1. Hybrid 환경
- 4. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Hybrid 환경 여러분의 데이터센터 AWS 클라우드
- 5. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. 지난 CLOUD 2018에서는…
- 6. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Hybrid 환경에 적합한 시나리오 어플리케이션 서버 백업/Archiving Database Storage Gateway Amazon S3 Amazon Glacier Lifecycle 백업/장기보존/원격지 소산 “경제적인 Cloud기반의 스토리지를 On- Premise에 대한 백업 및 소산으로 활용”
- 7. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Hybrid 환경에 적합한 시나리오 어플리케이션 서버Amazon Workspaces (VDI as a Service) 사용자 인증 서버 (Active Directory) 1 2 “Cloud 기반의 VDI 서비스와 On-Premise환경을 연계” AWS Expo 전시 부스를 확인하세요!
- 8. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Hybrid 환경에 적합한 시나리오 데이터베이스 (ERP/CRM) Web Tier App Tier EC2 EC2 Autoscaling “Cloud 환경의 이점을 활용할 수 있는 서비스와 On-Premise환경을 연계”
- 9. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Hybrid 환경에 적합한 시나리오 Physical Server Web/App Tier EC2 Virtual Machine Elastic Load Balancer “점진적인 마이그레이션을 위해 On-Premise 자원과의 연계”
- 10. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. VMware Cloud on AWS vSphere Hypervisor EC2 Hosts vSphere Hypervisor (SDDC) VMware Cloud on AWS “On-Premise 가상화 환경과 AWS간의 Workload Mobility(Cold/Live Migration)”
- 11. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Hybrid 환경에 적합한 시나리오 EC2 EC2 EC2 EC2 EC2 EC2 EC2 EC2 “다양한 서비스의 연계가 가능한 Hybrid 환경을 구성할 수 있습니다!”
- 12. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. 2. 연결 옵션들
- 13. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. AWS 연결 옵션 Public Internet VPN AWS DirectConnect 인터넷 기반 (성능,품질 및 지연) 공인 IP 고정 IP Internet Data Out에 대한 비용 인터넷 기반(성능, 품질 및 지연) IPSec 인증 및 암호화 두가지 유형의 운영 방식 • AWS 완전 관리형 H/W VPN • Software VPN(EC2 기반) 2011년 부터 서비스 시작 인터넷과 분리된 전용의 연결(전용 회선, MPLS) 일관적인 성능 및 지연 전세계 80여개의 접속 지점(Locations) 1Gb/10Gb 또는 Sub-1Gb 속도 선택
- 14. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. AWS 관리형(Managed) VPN 인터넷
- 15. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. AWS 관리형(Managed) VPN 인터넷 VGW Virtual Private Gateway CGW Customer Gateway AES-256 암호화 알고리즘 사용 SHA-2 해싱 알고리즘 사용 Phase 1 DH Groups – 2,14-18,22,23, and 24 Phase 2 DH Groups – 1,2,5,14-18,22,23, and 24 NAT-T (NAT Traverse, UDP/4500)
- 16. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. AWS 관리형(Managed) VPN 인터넷 VGW Virtual Private Gateway CGW Customer Gateway T1: 23.22.66.xx T2: 50.16.172.yy VPN Tunnels VPN Connection
- 17. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. AWS 관리형(Managed) VPN 인터넷 VGW Virtual Private Gateway CGW Customer Gateway T1: 23.22.66.xx T2: 50.16.172.yy AWS Management Console
- 18. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. AWS 관리형(Managed) VPN, 고객측 이중화 인터넷 VGW Virtual Private Gateway CGW #1 Tunnel 1 Tunnel 2 CGW #2 Tunnel 3 Tunnel 4 2개의 VPN Connection 4개의 VPN Tunnel
- 19. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. AWS 관리형(Managed) VPN, Multiple VPCs 인터넷 VGW Virtual Private Gateway CGW #1 CGW #2 VGW 4개의 VPN Connection 8개의 VPN Tunnel
- 20. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. VPN Monitoring - CloudWatch Metric 설 명 TunnelState • VPN 터널의 상태 • 0 = DOWN • 1 = UP TunnelDataIn • VPN 터널을 통해 수신된 데이터(Byte In) TunnelDataOut • VPN 터널을 통해 발신된 데이터(Byte Out)
- 21. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Managed VPN으로 사용 가능한 자원은? 사용 가능한 자원 • 사용자 VPC내 Private IP를 가지는 대부분의 자원 (불가능한 자원만 제외) • EC2, RDS, Amazon Redshift, Lambda 등 사용 불가능한 자원 • Network Load Balancer (NLB) • Elastic File System (EFS) • VPC Endpoint (S3/DynamoDB) • PrivateLink Endpoints • VPC DNS IP(.2) • AWS Public IP 범위 (2018년 4월 기준) 현재 직접 사용 불가능한 자원의 경우, Proxy Instance의 활용을 고려
- 22. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Amazon Managed VPN 손쉬운 구성과 설치 NAT-T, AES-256, SHA-2 및 최신의 DH Group 지원 Static(1 Prefix) 또는 BGP(<100 Prefixes) VPC별 구성 유연함 (Flexibility) 탄력적 (Resiliency) 비용 (Cost) 성능 (Performance) 하나의 VGW연결 내에서 Tunnel간 Failover (이중화) 고객측 CGW에 대한 이중화 구성 VPN이 연결되어 있는 시간당 0.05$의 비용 Data Transfer Out 비용 최대 1.25Gbps의 성능 (VGW 제한)
- 23. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Software VPN (EC2 인스턴스 기반) 인터넷 EC2 EC2 AWS Marketplace 제품 및 Open Source IGW VPN Tunnels
- 24. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Software VPN (EC2 인스턴스 기반) Open-Source 또는 상용 제품 상용 VPN 솔루션에서 제공되는 다양한 기능 HA 및 성능 확장에 대한 관리 필요 자동화 기능 활용 유연성 (Flexibility) 탄력성 (Resiliency) 비용 (Cost) 성능 (Performance) 다중 AZ를 활용하여 HA 구성 고려 고객 On- Premise에 대한 이중화 고려 VPN Software License 비용 EC2 인스턴스 사용 비용 이중화 구성 비용 Data Transfer Out 비용 EC2 인스턴스의 규격(Size, Type)에 따른 성능 하나의 VPC 내에 다수의 VPN 인스턴스를 구성하여 성능 확장
- 25. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. 3. Direct Connect (DX)
- 26. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connection Locations (접속 지점) KINX, 서울 가산 LG U+, 경기 평촌
- 27. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connect – 탄력성 있는 다중 경로 Colocation DX Location 1 (KNIX, 서울) Colocation DX Location 2 (LG U+, 평촌) AWS Direct Connect Routers 고객 Router AWS Direct Connect Routers 고객 Router 가용영역-1 (AZ-1) 가용영역-2 (AZ-2) 가용영역-3 (AZ-3) 가용영역-4 (AZ-4) Transit Center Transit Center AWS Seoul Region
- 28. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connect AWS Direct Connect Routers 고객 Router Colocation DX Location (KNIX, LG U+) AWS Backbone Network Cross Connect 고객 Router Access Circuit Customers Network Backbone Access Circuit AWS Cage 고객/파트너 상면 경계 지점 전용 회선 Ethernet Private Line Pseudo-Wire Point-to-Point Circuit LAN Extension MPLS/VPLS/IP-VPN/L3 VPN 고객 서버 및 보안장비 Customer Network 또는 ISP Network Home/Local Region
- 29. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connect – 1 DX + 1 VPN Colocation DX Location (KNIX, LG U+) Customer Network 또는 ISP Network 인터넷 (VPN 백업)
- 30. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connect – Link Aggregation Group(LAG) Colocation DX Location (KNIX, LG U+) Link Aggregation Group 4 X 10Gb = 40Gb AWS Direct Connect Routers 고객 Router 40 Gbps
- 31. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connect, 2 DX Routers Colocation DX Location (KNIX, 서울) Customer Network 또는 ISP Network 물리적으로 다른 Router로 연결 AWS Direct Connect Routers 고객 Router
- 32. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connect, 2 DX Locations Colocation DX Location (KNIX, 서울) Colocation DX Location (LG U+, 평촌) Customer Network 또는 ISP Network AWS Direct Connect Routers 고객 Router AWS Direct Connect Routers 고객 Router Egress Traffic AS-PATH Ingress Traffic Local Preference
- 33. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connect, 2 DX/2 Customer Routers Colocation DX Location (KNIX, 서울) Colocation DX Location (LG U+, 평촌) Customer Network 또는 ISP Network Customer Network 또는 ISP Network AWS Direct Connect Routers 고객 Router AWS Direct Connect Routers 고객 Router
- 34. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. 10.1.0.0/16 DX Connection (1Gbps or 10Gbps) Public Services 169.254.100.6/30169.254.100.5/30 GiE1 ••• On-Premise Network (192.168.0.0/16) ••• dxvif-fgvwwzou dxvif-abcdefdh dxvif-nnnnnnnn dxvif-12345678 GiE1.200 GiE1.300 GiE1.500 GiE1.800 Direct Connect 상세 구성 10.2.0.0/16 10.10.0.0/16 하나의 Dedicated DX Connection(1Gb/10Gb)당 최대 50개의 가상 인터페이스 구성 가능 (Private 또는 Public VIF) BGP 구성 및 고객 AS Number 필요 (2 Byte/4Byte, Private 또는 Public AS 모두 가능) Public 서비스를 위해 /31의 고객 소유 공인 IP 필요 (미 보유시 Support Case로 요청) Direct Connect Router Cross Connect 고객 Router BGP BGP BGP VLAN 200 VLAN 300 VLAN 500 VLAN 800 BGP 계정-A 계정-B dxconn-ffrennph
- 35. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. 10.1.0.0/16 DX Connection (1Gbps or 10Gbps) Public Services dxconn-ffrennph 169.254.100.6/30169.254.100.5/30 GiE1 ••• On-Premise Network (192.168.0.0/16) ••• dxvif-fgvwwzou dxvif-abcdefdh dxvif-nnnnnnnn dxvif-12345678 GiE1.200 GiE1.300 GiE1.500 GiE1.800 Direct Connect 상세 구성 10.2.0.0/16 10.10.0.0/16 Download 받은 Router 구성 적용 (VIF 별) VLAN별 인터페이스 VPC별 Private 가상 인터페이스(VIF) 하나의 Dedicated DX Connection(1Gb/10Gb)당 최대 50개의 가상 인터페이스 구성 가능 (Private 또는 Public VIF) BGP 구성 및 고객 AS Number 필요 (2 Byte/4Byte, Private 또는 Public AS 모두 가능) Public 서비스를 위해 /31의 고객 소유 공인 IP 필요 (미 보유시 Support Case로 요청) Direct Connect Router Cross Connect 고객 Router BGP BGP BGP VLAN 200 VLAN 300 VLAN 500 VLAN 800 Public 서비스를 위한 Public 가상 인터페이스(VIF) BGP 계정-A 계정-B
- 36. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connect 구성 절차 Dedicated Connection AWS Management Console에서 연결 생성 LOA-CFA 다운로드 Cross-Connection 요청 가상인터페이스(VIF) 생성 최대 72시간 이내 승인 90일간 유효
- 37. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connect 구성 절차 Dedicated Connection AWS Management Console에서 연결 생성 LOA-CFA 다운로드 Cross-Connection 요청 가상인터페이스(VIF) 생성 최대 72시간 이내 승인 90일간 유효
- 38. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connect 구성 절차 Dedicated Connection AWS Management Console에서 연결 생성 LOA-CFA 다운로드 Cross-Connection 요청 가상인터페이스(VIF) 생성 최대 72시간 이내 승인 90일간 유효
- 39. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connect 구성 절차 Dedicated Connection 연결 생성 LOA-CFA 다운로드 Cross- Connection 요청 가상인터페이스(VIF) 생성(Public/Private) 최대 72시간 이내 승인 90일간 유효 라우터 구성 다운로드 VIF 할당 Hosted Connection APN 파트너에 요청 (Sub-1Gb) VIF 생성 확인 완료 연결 필요시 마다 파트너에 요청
- 40. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connect Partners Direct Connect 파트너 https://aws.amazon.com/ko/directconnect/partners/#apac Direct Connect 파트너를 통하여 Sub-1Gb(50~500Mbps) 회선 사용 가능 + 기타 회선 공급이 가능한 통신 사업자
- 41. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connect Monitoring - CloudWatch ConnectionBpsEgress ConnectionBpsIngress ConnectionPpsEgress ConnectionPpsIngress ConnectionCRCErrorCount ConnectionState ConnectionLightLevelTx ConnectionLightLevelRx 전송량 (Ingress/Egress) 링크 상태 및 오류
- 42. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connect 전세계 16개 리전, 80여개의 접속 지점(Location, PoP) 최대 72시간 이내에 LOA 다운로드 가능 회선/장비 수급에 따라 소요시간 상이 BGP만 지원 유연성 (Flexibility) 탄력성 (Resiliency) 비용 (Cost) 성능 (Performance) DX DX+VPN 2xDX / 1DX 로케이션 2xDX / 2개의 DX 로케이션 2xDX / 2개의 DX 로케이션 모든 구성에 대한 VPN 백업 구성 가능 시간당 포트 사용 비용 데이터 전송 비용(Transfer Out) 회선 (전용회선/MPLS) 비용 로케이션 상면 임대비용 (필요시) 1Gbps 또는 10Gbps 포트 DX 파트너를 통해 50, 100, 200, 300, 400 또는 500Mbps 포트 사용 가능 LAG당 4개의 포트 구성(10Gb x 4 = 40Gb)
- 43. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Routing 우선 순위 짧은 AS가 우선 (AS PATH-PREPEND) Dynamic Routes (BGP) Static Route Table (Dynamic Route Table보다 우선) Longest Prefix Match (가장 상세한 경로가 선택) VPC의 Local Route (어떠한 구체적인 다른 라우팅 보다 우선) Direct Connect(DX)에서 받은 경로 동일한 경우 Flow 기반 Balancing VPN Connection에 정의된 Static 경로 VPN에서 받은 BGP 경로 VPC 라우팅 우선 순위
- 44. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. 4. Direct Connect Gateway (DX-GW)
- 45. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connect Gateway (DX-GW) AWS BackboneDX Gateway 하나의 Direct Connect 연결 및 Direct Connect Gateway를 통해 모든 AWS Public Region과 연결
- 46. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connect Gateway AWS Direct Connect Router 고객 Router Colocation DX Location (KNIX, LG U+) EC2EC2 EC2EC2 EC2EC2 Region – (Seoul) Region – (US West) Direct Connect Gateway VPC Peering Private VIF BGP AWS Backbone 하나의 Direct Connect Gateway를 이용하여 모든 AWS Region과 통신
- 47. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connect Gateway AWS Direct Connect Router 고객 Router Colocation DX Location (KNIX, LG U+) EC2EC2 EC2EC2 EC2EC2 Region – (Seoul) Region – (US West) Direct Connect Gateway VPC Peering Private VIF BGP AWS Backbone 하나의 Direct Connect Gateway를 이용하여 모든 AWS Region과 통신
- 48. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Direct Connect Gateway AWS Direct Connect Router 고객 Router Colocation DX Location (KNIX, LG U+) EC2EC2 EC2EC2 EC2EC2 Region – (Seoul) Region – (US West) Direct Connect Gateway VPC Peering Private VIF BGP AWS Backbone 하나의 Direct Connect Gateway를 이용하여 모든 AWS Region과 통신
- 49. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. 5. CloudHub/Transit VPC
- 50. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. 인터넷 인터넷 인터넷 AWS VPN CloudHub AS 65002 AS 65003 VGW Seoul Region 한국내 지점/지사 AS 65001 한국내 지점/지사 해외 지점/지사 AWS VGW(Virtual Private Gateway)를 VPN에 대한 Hub로 구성하여 모든 지점/지사가 BGP를 통하여 연동 Internet 기반의 IPSec VPN eBGP Peer/BGP Routing BGP
- 51. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. 인터넷 인터넷 인터넷 AWS VPN CloudHub AS 65002 AS 65003 VGW Seoul Region 한국내 지점/지사 AS 65001 한국내 지점/지사 해외 지점/지사 AWS VGW(Virtual Private Gateway)를 VPN에 대한 Hub로 구성하여 모든 지점/지사가 BGP를 통하여 연동 Internet 기반의 IPSec VPN eBGP Peer/BGP Routing BGP
- 52. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. 인터넷 인터넷 인터넷 AWS VPN CloudHub AS 65002 AS 65003 VGW Seoul Region 한국내 지점/지사 해외 지점/지사 AWS VGW(Virtual Private Gateway)를 VPN에 대한 Hub로 구성하여 모든 지점/지사가 BGP를 통하여 연동 Internet 기반의 IPSec VPN eBGP Peer/BGP Routing BGP AS 65001 US Region VPN
- 53. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Transit VPC (Hub and Spoke) Spoke VPC Spoke VPC Spoke VPC Spoke VPC EC2 Public Subnet-1 가용영역(AZ)-1 EC2 Public Subnet-2 가용영역(AZ)-2 Transit VPC IGW VPC Peering VPC Peering의 한계를 넘어 연결된 모든 VPC, On-Premise 간 자유로운 통신이 가능(IPSec VPN/BGP Routing 기반) Spoke VPC Spoke VPC On-Premise On-Premise
- 54. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Global Transit VPC Spoke VPC Spoke VPC Spoke VPC Spoke VPC Spoke VPC Spoke VPC Spoke VPC Spoke VPC Spoke VPC EC2 Transit VPC EC2 유럽 (Europe) 아시아 (Asia) 북미 (North America) 하나의 Transit VPC에서 전세계 모든 VPC의 Traffic을 Routing Spoke-Transit 간 Round-Trip Latency에 대한 고려 필요
- 55. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Global Transit VPC Spoke VPC Spoke VPC Spoke VPC Spoke VPC Spoke VPC Spoke VPC 유럽 (Europe) 아시아 (Asia) 북미 (North America) Spoke VPC Spoke VPC Spoke VPC EC2 Transit VPC EC2 EC2 Transit VPC EC2 EC2 Transit VPC EC2 각 대륙별 Transit을 통해 Spoke-Transit간 Latency 최소화 동일 리전내 VPC Peering 활용 고려 대륙간 통신이 필요한 경우에만 대상 Transit으로 Routing
- 56. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. Partner Solutions https://aws.amazon.com/ko/answers/networking/aws-global- transit-network/ 자동 구성 및 HA기능이 적용된 다양한 파트너 솔루션
- 57. © 2018, Amazon Web Services, Inc. or Its Affiliates. All rights reserved. AWS Summit 모바일 앱과 QR코드를 통해 강연 평가 및 설문 조사에 참여해 주시기 바랍니다. 내년 Summit을 만들 여러분의 소중한 의견 부탁 드립니다. #AWSSummit 해시태그로 소셜 미디어에 여러분의 행사 소감을 올려주세요. 발표 자료 및 녹화 동영상은 AWS Korea 공식 소셜 채널로 공유될 예정입니다. 여러분의 피드백을 기다립니다!
- 58. 감사합니다