Bastion 호스트, VPC private 엔드포인트를 사용한 Amzon S3

Bastion 호스트는 VPC의 프라이빗 서브넷에 위치한 리소스에 대한 보안 액세스를 제공하는 데 사용됩니다. Bastion 호스트를 사용하여 private Node 에 접속하여 엔드포인트를 통해 S3로 접근 해보겠습니다.

 

VPC 엔드포인트를 사용하면 VPC 바깥으로 트래픽이 나가지 않고 AWS의 여러 서비스와 통신할 수 있습니다. 예를 들어 Amazon S3에 대한 VPC 엔드포인트를 설정하면 인스턴스에서 Amazon S3로 전송되는 트래픽이 엔드포인트 네트워크 인터페이스로 해결되고 VPC 엔드포인트를 사용하여 Amazon S3로 전송됩니다.

 

AS - IS

 

구축 환경

region: 버지니아 북부.
AZ: northeast 1a, northeast 1b 
1a - MyPubSubnet(Bastion, 10.0.0.0/24)
, MyPriSubnet(10.0.2.0/24)
1b - MyPubSubnet2(10.0.1.0/24)
, MyPriSubnet2(10.0.3.0/24)
internetGateWay : MypubSubnet, MypubSubnet2

 

버지니아 북부 리전에 있는 VPC를 나타냅니다. 이 VPC에는 두 개의 가용 영역이 있습니다: northeast 1a와 northeast 1b.

각 가용 영역에는 두 개의 서브넷이 있습니다. 1a 가용 영역에는 MyPubSubnet(Bastion, 10.0.0.0/24)과 MyPriSubnet(10.0.2.0/24)이 있습니다. 1b 가용 영역에는 MyPubSubnet2(10.0.1.0/24)와 MyPriSubnet2(10.0.3.0/24)가 있습니다.

MyPubSubnet과 MyPubSubnet2는 인터넷 게이트웨이와 연결되어 있습니다.

 

 

마이그레이션 목표

To-Be

인터페이스 VPC 엔드포인트를 구성하면 서브넷(10.0.2.0/24)에 프라이빗 IP 주소 가 있는 탄력적 네트워크 인터페이스(ENI)가 배포됩니다. VPC의 Amazon EC2 인스턴스는 ENI를 통해 Amazon S3 버킷과 통신할 수 있습니다.

1. 환경 구축 

다음과 같이 인스턴스를 생성하겠습니다. 

[priNode 인스턴스]

private Ipv4 : 10.0.2.82 

\

[BastionNode(public) 인스턴스]

private Ipv4 : 10.0.0.75 

 

 

이 때 키 페어를 저장하여 S3에 업로드 합니다.

버킷 : myBuc05026

내용 : BaseTeskey01.pem 

 

2. GateWay VPC 엔드포인트 생성

게이트웨이 VPC 엔드포인트는 VPC 라우팅 테이블에 지정된 지역별 S3 접두사 목록을 사용하여 통신합니다. 게이트웨이 엔드포인트를 생성할 때 활성화할 서브넷의 VPC 라우팅 테이블을 선택합니다

 

• 2-1.     VPC > 엔드포인트 > "엔드포인트 생성" 버튼을 클릭합니다.
•  
• 2-2.     “서비스 범주"에서 AWS 서비스를 선택합니다.
•  
• 2-3.     "서비스"에서 'com.amzon.aws.us-east-1(가용영역).s3' "유형"에서 'GateWay' 선택합니다.
•  
• 2-4.     "라우팅 테이블"에서 'PrivateRT(프라이빗 라우팅 테이블)'을 선택합니다. 
•  
• 2-5.     "엔드포인트 생성"버튼을 클릭합니다. 

 

2. GateWay VPC 엔드포인트 생성

• 2-1.    Bastion 호스트 "인스턴스"에 연결합니다.
• 2-2.     'aws configure' 명령어로 권한을 인증합니다.
  • 'aws s3 ls' 명령어로 S3와 연결되어 있음을 확인할 수 있습니다.
• 2-3.     'aws s3 cp s3://mybuc05026/BasTesKey01.pem .' 명령어는 s3있는 key를 현재 경로로 가져옵니다.
  • aws s3 cp s3://@'버킷명'/@'키페어명' .

• 2-4.     'sudo ssh -i BasTesKey01.pem ec2-user@10.0.2.82' 명령어는 private인스턴스에 연결합니다. 여기서 sshPriKeyFileName은 SSH 키 페어 파일의 이름이고 PriNodeIP는 인스턴스의 IP 주소입니다.
  • ssh -i sshPriKeyFileName ec2-user@PriNodeIP
  • 'aws s3 ls' 명령어로 S3와 연결되어 있음을 확인할 수 있습니다.