본문으로 건너뛰기
aws검색
네트워크

Transit Gateway, Direct Connect, VPN (VPC 간 연결과 하이브리드)

VPC 가 늘어날 때 피어링, Transit Gateway, Cloud WAN 중 무엇을 고르는지, 온프레미스와 잇는 Site-to-Site VPN 과 Direct Connect 의 구성과 이중화 수준, 하이브리드 DNS 를 위한 Route 53 Resolver 엔드포인트, 서울 리전 연결 요금을 정리합니다.

Transit GatewayDirect ConnectSite-to-Site VPNVPC 피어링Route 53 Resolver2026-10 기준, 약 7분상태 표시 설명

VPC 끼리 잇는 세 가지 방법

방법구조장점한계
VPC 피어링두 VPC 를 1:1 로 직접 연결시간 요금 없음, 지연 최소전이 라우팅 불가(A-B, B-C 가 있어도 A-C 는 안 됨). VPC 가 많으면 연결 수가 폭증
Transit Gateway (TGW)리전 허브에 VPC, VPN, Direct Connect 를 붙임허브 앤 스포크, 라우팅 테이블로 분리, 리전 간 TGW 피어링연결당 시간 요금 + 처리 GB 요금
AWS Cloud WAN여러 리전의 TGW 성격 허브를 정책 하나로 관리하는 전역 네트워크세그먼트(운영, 개발, 공유) 단위 정책, 리전 간 자동 라우팅규모가 클 때 맞음, 학습 비용

VPC 가 서너 개면 피어링도 충분합니다. 계정과 VPC 가 계속 늘어나는 조직, 온프레미스 연결을 여러 VPC 가 함께 써야 하는 조직은 처음부터 TGW 를 네트워크 계정에 두고 Resource Access Manager(RAM)로 다른 계정과 공유합니다.

Transit Gateway 설계

서울 리전 요금(2026-10 Price List 기준)은 연결(attachment) 하나에 시간당 0.07 USD, 처리 GB 당 0.02 USD 입니다. VPC 30 개를 붙이면 연결 요금만 한 달 약 1,533 USD 입니다. 트래픽이 많은 VPC 쌍은 피어링을 추가로 놓아 TGW 처리 요금을 줄이기도 합니다.

라우팅 테이블로 세그먼트 나누기

TGW 라우팅 테이블연결된 것전파(propagation)받는 경로
rt-prod운영 VPC 들공유 서비스 VPC, 온프레미스(DX)
rt-nonprod개발, 스테이징 VPC공유 서비스 VPC, 온프레미스
rt-shared공유 서비스, 검사(inspection) VPC모든 VPC
rt-onpremDX 게이트웨이, VPN모든 VPC

운영과 개발이 서로 경로를 모르게 하면 네트워크 수준에서 환경이 분리됩니다. 중앙에서 트래픽을 검사하려면 검사 VPC 에 AWS Network Firewall 이나 GWLB 기반 방화벽을 두고, TGW 의 어플라이언스 모드를 켜서 왕복 트래픽이 같은 AZ 의 방화벽을 지나게 합니다.

aws ec2 create-transit-gateway --description "hub-apne2" \
  --options AmazonSideAsn=64512,DefaultRouteTableAssociation=disable,DefaultRouteTablePropagation=disable,DnsSupport=enable
aws ec2 create-transit-gateway-vpc-attachment --transit-gateway-id tgw-0abc \
  --vpc-id vpc-0123 --subnet-ids subnet-a subnet-b subnet-c

기본 라우팅 테이블 연결과 전파를 끄고 시작하면, 새 VPC 가 붙자마자 모든 곳과 통하는 사고를 막을 수 있습니다. TGW 연결용 서브넷은 AZ 마다 작은 /28 을 따로 두는 것이 관례입니다.

Site-to-Site VPN

인터넷 위에 IPsec 터널을 만들어 온프레미스와 연결합니다. 연결 하나는 터널 두 개(서로 다른 AWS 쪽 엔드포인트)로 구성되고, 서울 리전에서 연결당 시간당 0.05 USD 입니다.

  • 빨리 만들 수 있어서 Direct Connect 의 백업 경로나 초기 연결로 씁니다.
  • 터널 하나의 대역폭에는 한계가 있습니다. 더 필요하면 TGW 에 VPN 을 여러 개 붙이고 ECMP 로 나눕니다.
  • 고객 장비(CGW)에서 두 터널을 모두 올려 두지 않으면, AWS 쪽 정기 유지 보수 때 연결이 끊깁니다. 두 터널 상태를 CloudWatch 의 TunnelState 로 감시합니다.
  • 지연과 품질이 인터넷에 좌우되므로, 꾸준한 대용량 트래픽에는 Direct Connect 가 맞습니다.

Direct Connect

AWS Direct Connect 는 데이터센터나 사무실과 AWS 사이를 전용선으로 잇습니다. 서울에도 여러 Direct Connect 로케이션이 있습니다.

개념뜻
전용(dedicated) 연결AWS 와 직접 맺는 포트. 1, 10, 100, 400 Gbps
호스팅(hosted) 연결파트너가 쪼개 주는 회선. 50 Mbps 부터 25 Gbps 까지
가상 인터페이스(VIF)private VIF(VPC), transit VIF(TGW), public VIF(S3 같은 퍼블릭 엔드포인트)
Direct Connect 게이트웨이한 연결로 여러 리전의 VPC, TGW 에 닿게 하는 전역 객체
MACsec10 Gbps 이상 전용 연결에서 2 계층 암호화

이중화 수준

AWS 는 복원력 권장안을 세 단계로 설명합니다.

수준구성견디는 장애
개발, 테스트한 로케이션에 연결 하나 + VPN 백업거의 없음
높은 복원력서로 다른 두 로케이션에 연결 하나씩로케이션 하나 장애
최대 복원력두 로케이션에 각각 연결 두 개씩, 서로 다른 장비로케이션과 장비 장애 동시

운영 금융 시스템처럼 끊기면 안 되는 곳은 최대 복원력을, 일반 기업 시스템은 높은 복원력에 VPN 백업을 더하는 구성이 흔합니다. Direct Connect Resiliency Toolkit 으로 장애 조치 테스트를 정기적으로 돌립니다.

요금 구조

포트 시간 요금과 Direct Connect 를 통한 송신 데이터 요금이 붙습니다. Direct Connect 송신 단가는 인터넷 송신보다 낮아서, 온프레미스로 대량의 데이터를 내려받는 구조라면 회선 비용을 송신 절감으로 회수하기도 합니다. 들어오는 데이터는 무료입니다.

하이브리드 DNS

온프레미스와 VPC 가 서로의 사설 도메인 이름을 풀어야 하면 Route 53 Resolver 엔드포인트를 씁니다.

  • 인바운드 엔드포인트: 온프레미스 DNS 서버가 AWS 의 프라이빗 호스팅 영역(svc.internal)을 물어볼 수 있게 VPC 에 IP 를 열어 줍니다.
  • 아웃바운드 엔드포인트와 전달 규칙: VPC 의 리소스가 corp.example.local 같은 사내 도메인을 온프레미스 DNS 로 물어보게 합니다.
  • 전달 규칙을 RAM 으로 공유하면 모든 계정의 VPC 가 같은 규칙을 씁니다.

Route 53 Global Resolver 는 인증된 클라이언트(사무실, 원격 근무자 등)가 인터넷 어디서나 애니캐스트로 접근하는 DNS 리졸버입니다. 퍼블릭 도메인과 Route 53 프라이빗 호스팅 영역을 함께 풀고, 악성 도메인, DNS 터널링 차단과 중앙 질의 로그를 제공합니다. re:Invent 2025 에서 Preview 로 발표되어 2026-03-09 에 30 개 리전에서 GA 됐습니다. 사내 DNS 서버를 줄이거나 원격 근무자 DNS 보안을 일원화할 때 검토합니다. 지원 리전은 문서의 리전 표에서 확인합니다.

자주 하는 실수

  • CIDR 겹침: 온프레미스와 VPC, VPC 끼리 대역이 겹치면 TGW 와 피어링 모두 해결이 어렵습니다. 처음부터 IPAM 으로 관리합니다.
  • TGW 라우팅 테이블 전파를 기본값으로 둠: 개발 VPC 가 운영 DB 대역을 알게 됩니다.
  • 비대칭 라우팅: 방화벽 VPC 를 지날 때 들어온 AZ 와 나가는 AZ 가 달라 연결이 끊깁니다. 어플라이언스 모드를 켭니다.
  • VPN 터널 하나만 올림: 유지 보수 공지 때마다 장애가 납니다.
  • Direct Connect 와 VPN 의 경로 우선순위를 안 맞춤: BGP 의 AS 경로 길이, 로컬 선호도로 의도한 경로가 주 경로가 되게 맞추고, 장애 조치를 실제로 시험합니다.

이 문서에서