[ AWS ] ENI / VPC flow

ENI(Elastic Network Interface)

- VPC에서 가상 네트워크 카드를 나타내는 논리적 네트워킹 구성 요소

- 가상의 랜카드

    - IP주소와 MAC주소를 보유

    - ENI 하나 당 하나 이상 Private IP + 하나의 Public IP

 

- EC2는 반드시 하나 이상의 ENI가 연결됨.

    - EC2 처음 생성할 때 Primary ENI가 생성되어 연결됨

    - EC2는 하나 이상의 ENI 보유 가능

    - 추가적인 ENI는 EC2와 같은 가용영역이면 다른 서브넷에도 설정이 가능함.

 

- EC2의 서브넷 위치, 보안 그룹 등 외부와 관련된 연결은 ENI단위에서 결정됨.

    - EC2는 subnet에 안에 있는 것이 아닌 ENI만 subnet에 위치해서 통신한다.

 

다중 ENI 아키텍처

- 하나의 인스턴스에 여러 ENI 연동 가능

- 하나의 EC2 인스턴스에 다양한 접근 경로를 설정할 때 사용( ex. public 서브넷에서 웹 서버 역할/80포트, private 서브넷에서 22번 포트 이용)

- MAC address에 종속된 라이선스 프로그램을 다양한 EC2에서 사용

 

 

ENI와 보안 그룹

- 보안그룹 적용은 ENI 단위

- 하나의 EC2인스턴스에 다양한 보안 그룹으로 구성된 경로를 적용 가능. ex) subnet A -> port 80번 허용 / subnet B에서 port 22번 허용

- NACL은 subnet 단위

 

ENI를 통한 EC2의 통신

 

EC2와 Public IP

- EC2 Public IP는 ENI가 갖지 않음.

- 가상의 Public IP <-> Private 테이블로 관리됨

- EC2 중지되면 Private IP는 변경 X, Public IP는 바뀜

- 인터넷에서 Public IP로 통신이 전달 되면 IGW가 테이블을 통해 변환함

- EC2의 OS는 Public IP를 알 수 없음.

- Private IP를 알 수는 있음.

- Public IP를 부여하려면 Elastic IP를 활용해야함.

 

 

 

Elastic IP

- Elastic IP를 이용하면 기존의 테이블에 등록되어있던 Public IP는 삭제

- 연결된 Private IP를 바꿔가면서 Elastic IP를 사용

 

 

 

Source / Destination Check

- ENI는 자신이 발생시켰거나, 자신이 대상이 아닌 트래픽은 무시한다.

- ENI 단위로 설정

- 중계만 하는 경우(자신이 발생시킨 트래픽이 아니고 자신이 받지 않는 경우) = NAT