네트워크 ACL과 Transit Gateway를 함께 사용하는 방법

네트워크 액세스 제어 목록(NACL)은 선택적 보안 계층입니다.

네트워크 액세스 제어 목록(NACL) 규칙은 시나리오에 따라 다르게 적용됩니다.

• EC2 인스턴스 및 Transit Gateway 연결에 동일한 서브넷 사용

• EC2 인스턴스 및 Transit Gateway 연결에 다른 서브넷 사용

EC2 인스턴스 및 Transit Gateway 연결에 동일한 서브넷 사용

동일한 서브넷을 이용하는 EC2 인스턴스 및 Transit Gateway 연결 구성을 고려합니다. EC2 인스턴스에서 Transit Gateway로 이동하는 트래픽과 Transit Gateway에서 인스턴스로 이동하는 트래픽 모두에 동일한 네트워크 ACL이 사용됩니다.

NACL 규칙은 인스턴스에서 Transit Gateway로 이동하는 트래픽에 대해 다음과 같이 적용됩니다.

• 아웃바운드 규칙은 평가를 위해 대상 IP 주소를 사용합니다.

• 인바운드 규칙은 평가를 위해 소스 IP 주소를 사용합니다.

NACL 규칙은 Transit Gateway에서 인스턴스로 이동하는 트래픽에 대해 다음과 같이 적용됩니다.

• 아웃바운드 규칙은 평가되지 않습니다.

• 인바운드 규칙은 평가되지 않습니다.

EC2 인스턴스 및 Transit Gateway 연결에 다른 서브넷 사용

한 서브넷에 EC2 인스턴스가 있고 다른 서브넷에 Transit Gateway 연결이 있으며 각 서브넷이 다른 네트워크 ACL과 연결된 구성을 고려합니다.

네트워크 ACL 규칙은 EC2 인스턴스 서브넷에 대해 다음과 같이 적용됩니다.

• 아웃바운드 규칙은 대상 IP 주소를 사용하여 인스턴스에서 Transit Gateway로 이동하는 트래픽을 평가합니다.

• 인바운드 규칙은 소스 IP 주소를 사용하여 Transit Gateway에서 인스턴스로 이동하는 트래픽을 평가합니다.

NACL 규칙은 Transit Gateway 서브넷에 대해 다음과 같이 적용됩니다.

• 아웃바운드 규칙은 대상 IP 주소를 사용하여 Transit Gateway에서 인스턴스로 이동하는 트래픽을 평가합니다.

• 아웃바운드 규칙은 인스턴스에서 Transit Gateway로의 트래픽을 평가하는 데 사용되지 않습니다.

• 인바운드 규칙은 소스 IP 주소를 사용하여 인스턴스에서 Transit Gateway로 이동하는 트래픽을 평가합니다.

• 인바운드 규칙은 Transit Gateway에서 인스턴스로 이동하는 트래픽을 평가하는 데 사용되지 않습니다.

모범 사례

각 Transit Gateway VPC 첨부 파일에 대해 별도의 서브넷을 사용합니다. 서브넷별로 작은 CIDR(예: /28)을 사용하여 EC2 리소스를 위한 주소를 더 많이 확보하십시오. 별도의 서브넷을 사용하는 경우 다음을 구성할 수 있습니다.

• Transit Gateway 서브넷과 연결된 인바운드 및 아웃바운드 NACL을 그대로 열어 둡니다.

• 트래픽 흐름에 따라 NACL을 워크로드 서브넷에 적용할 수 있습니다.

VPC 연결의 작동 방식에 대한 자세한 내용은 리소스 연결 단원을 참조하세요.