데브옵스
Centralized egress VPC를 향한 여정 - 1편
두줄요약
AWS에서 egress까지 통제하려는 centralized egress VPC 구성을 검토했습니다. 하지만 proxy, NAT, VPC peering을 엮는 과정에서 비용과 운영 복잡도가 커졌습니다.
문제 상황
- AWS 서비스에서 ingress는 막았지만 egress까지 제어해야 하는 보안 요구
- VPC, NAT Gateway, WAF만으로는 내부 트래픽 유출과 외부 통신 통제가 충분하지 않은 한계
- 여러 VPC에서 공통 outbound를 묶으려는 시도 속 IP 중복, 비용, 운영 복잡도 발생
원인 분석
- outbound 기본 허용 상태에서 악성코드나 RCE 발생 시 데이터 유출 위험 확대
- Security Group의 IP/포트 기반 제한만으로는 DNS 기반 서비스와 다수 IP 대상을 관리하기 어려움
- VPC별로 NAT, EIP, Proxy를 따로 두면 비용과 관리 포인트가 중복
해결 방법
- squid proxy로 외부 통신을 일원화하고, VPC Peering으로 centralized egress 구성을 시도
- Public/Private Subnet 배치, NLB와 EIP 활용으로 일부 IP 고정 및 연결 경로 보완
- OS 환경변수와 Docker build/run 설정까지 proxy 적용 범위 확장 시도
주의할 점
- Proxy를 거치지 않는 AWS 내부 통신은 제외 처리 필요
- Proxy 설정이 애플리케이션, CI/CD, 개발환경 전반에 퍼져 유지보수 부담 증가
- 네트워크 홉 증가와 복잡한 구성으로 성능 저하와 장애 대응 난도 상승
