개요
이 글에서는 Oracle® Cloud Infrastructure(OCI) 네트워크를 구성하는 핵심 요소들을 하나씩 살펴봅니다.
OCI 네트워크는 다음과 같은 구성 요소로 이루어져 있습니다.
- 가상 클라우드 네트워크(Virtual Cloud Network)
- 서브넷(Subnet)
- 가상 네트워크 인터페이스 카드(VNIC)
- 보안 목록(Security List)
- 라우트 테이블(Route Table)
- 라우트 규칙(Route Rule)
가상 클라우드 네트워크(VCN)
OCI 네트워크에서 인스턴스를 실행하려면 먼저 가상 클라우드 네트워크(Virtual Cloud Network, VCN)를 생성해야 합니다. VCN은 기존 데이터 센터의 물리적 네트워크와 유사한 역할을 하며, 서브넷·라우트 테이블·게이트웨이 등을 포함합니다.
VCN은 하나의 리전(region) 내에 존재하지만 여러 가용성 도메인(Availability Domain, AD)에 걸쳐 배치될 수 있으며, 하나의 연속된 IPv4 CIDR(Classless Inter-Domain Routing) 블록을 사용합니다. VCN을 삭제할 때는 연결된 게이트웨이를 모두 제거하고, 서브넷이 비어 있는지 반드시 확인해야 합니다.
VCN 생성 시 다음과 같은 기본 구성 요소가 자동으로 만들어지며, 이들은 삭제할 수 없습니다.
- 규칙이 없는 라우트 테이블
- 기본 규칙이 포함된 보안 목록
- 기본값이 설정된 DHCP(Dynamic Host Configuration Protocol) 옵션
생성하는 각 서브넷에는 다음 구성 요소가 연결됩니다.
- 라우트 테이블 1개
- 보안 목록 1개 이상
- DHCP 옵션 세트 1개
별도로 지정하지 않으면 서브넷은 VCN의 기본 구성 요소를 자동으로 사용합니다.
서브넷(Subnet)
서브넷은 VCN의 하위 분할 단위로, 특정 AD에 종속되는 방식과 리전 전체에 걸치는 방식 중 하나로 만들 수 있습니다. 오라클은 더 유연한 운영이 가능한 리전 서브넷(regional subnet) 사용을 권장합니다.
동일한 라우트 테이블, 보안 목록, DHCP 옵션을 공유하는 여러 개의 서브넷을 하나의 AD 안에 둘 수 있습니다. 서브넷에는 인스턴스에 연결되는 VNIC들이 속하며, 각 서브넷은 연속적인 IP 범위를 가져야 하고 IP 범위는 서로 겹칠 수 없습니다.
서브넷은 다음 두 가지 유형으로 지정할 수 있습니다.
- 프라이빗(Private): 인스턴스의 VNIC에 프라이빗 IP 주소만 할당됩니다.
- 퍼블릭(Public): 인스턴스의 VNIC에 프라이빗 IP 주소와 퍼블릭 IP 주소가 모두 할당됩니다.
아래 다이어그램에서 볼 수 있듯이, 각 AD는 하나의 리전(지리적으로 인접한 영역) 내에 위치한 하나 이상의 데이터센터로 구성되며, 하나의 리전은 3개의 가용성 도메인으로 이루어집니다.
출처: https://docs.cloud.oracle.com/en-us/iaas/Content/Network/Tasks/managingVCNs.htm
가상 네트워크 인터페이스 카드(VNIC)
가상 네트워크 인터페이스 카드(VNIC)는 인스턴스가 VCN에 연결할 수 있게 해주며, VCN 내부 및 외부 엔드포인트와 통신하는 방식을 결정합니다.
기본(primary) VNIC는 인스턴스 생성 시 자동으로 연결되며 제거할 수 없습니다. 대신 기본 VNIC와 동일한 가용성 도메인에 있는 기존 인스턴스에 보조(secondary) VNIC를 추가하거나 제거할 수 있습니다.
보안 목록(Security List)
보안 목록은 VCN을 위한 가상 방화벽 규칙으로, 다음 두 가지 유형의 트래픽 정보를 관리합니다.
- 인바운드(Ingress): 들어오는 트래픽
- 아웃바운드(Egress): 나가는 트래픽
규칙은 두 가지 방식으로 동작합니다.
- 상태 저장(Stateful): 해당 규칙에 일치하는 트래픽에 대해 커넥션 추적(connection tracking)을 수행합니다.
- 상태 비저장(Stateless): 커넥션 추적 없이 규칙에 일치하는 트래픽을 처리합니다.
보안 규칙은 서브넷 수준에서 연결되지만, 실제 적용은 인스턴스 수준에서 이루어집니다.
라우트 테이블(Route Table)
라우트 테이블은 VCN 외부로 트래픽을 전송할 때 사용하며, 다음 요소로 구성된 라우트 규칙들을 포함합니다.
- 대상 CIDR(Destination CIDR)
- 해당 CIDR과 일치하는 트래픽이 향할 타깃(Target)
라우트 규칙(Route Rule)
VCN 내부 트래픽에는 라우트 규칙이 필요하지 않습니다. 라우트 규칙에서 허용되는 타깃 유형은 다음과 같습니다.
동적 라우팅 게이트웨이(DRG)
동적 라우팅 게이트웨이(Dynamic Routing Gateway)는 IPSec VPN, FastConnect 또는 다른 리전의 피어링된 VCN을 통해 VCN과 온프레미스 네트워크 간의 사설 트래픽을 라우팅합니다.
출처: https://docs.cloud.oracle.com/en-us/iaas/Content/Network/Tasks/overviewIPsec.htm
인터넷 게이트웨이(Internet Gateway)
인터넷 게이트웨이는 인터넷에 직접 접근하는 퍼블릭 서브넷에 사용합니다. 퍼블릭 서브넷에는 라우트 테이블이 있어야 하며, 리소스의 트래픽을 제어하기 위해 보안 목록을 사용해야 합니다. 인터넷 게이트웨이는 VCN 내부에서 시작된 연결과 웹 서버처럼 인터넷에서 시작된 연결을 모두 지원합니다.
출처: https://docs.cloud.oracle.com/en-us/iaas/Content/Network/Tasks/managingIGs.htm
NAT 게이트웨이(Network Address Translation Gateway)
NAT 게이트웨이는 다음과 같은 특성을 가진 리소스에 사용합니다.
- 퍼블릭 IP 주소가 없음
- 아웃바운드 인터넷 접근이 필요함
- 인터넷에서 시작된 인바운드 연결을 받을 수 없음
퍼블릭 IP는 NAT 게이트웨이에 자동으로 할당되며, 예약된 퍼블릭 IP 주소를 선택하거나 사용할 수 없습니다. 예를 들어 인터넷에서 패치를 다운로드해야 하는 데이터베이스 시스템에 NAT 게이트웨이를 활용할 수 있습니다.
출처: https://docs.cloud.oracle.com/en-us/iaas/Content/Network/Tasks/NATgateway.htm
서비스 게이트웨이(Service Gateway)
서비스 게이트웨이는 Autonomous Database와 같은 오라클 서비스에 대한 프라이빗 접근이 필요한 서브넷에 사용합니다.
출처: https://docs.cloud.oracle.com/en-us/iaas/Content/Network/Tasks/servicegateway.htm
로컬 피어링 게이트웨이(Local Peering Gateway)
같은 리전 내 피어링된 VCN에 프라이빗하게 접근해야 하는 서브넷은 프라이빗 IP 주소를 통해 통신합니다. 피어링되는 두 VCN의 CIDR은 서로 겹치면 안 됩니다.
출처: https://docs.cloud.oracle.com/en-us/iaas/Content/Network/Tasks/localVCNpeering.htm
결론
VCN, 서브넷, 인터넷 게이트웨이, NAT 게이트웨이, 서비스 게이트웨이를 생성하고 기본적인 보안 목록 규칙을 설정하면 OCI 네트워크 구축을 시작할 수 있습니다. Virtual Networking QuickStart 마법사 콘솔의 몇 단계 안내 과정만 거치면 이 글에서 설명한 VCN과 기타 구성 요소를 빠르게 만들 수 있습니다.
데이터베이스에 대해 더 알고 싶다면 관련 문서를 참고하세요. 의견이나 질문이 있다면 피드백 탭을 이용해 주세요. Sales Chat 버튼을 클릭하면 지금 바로 상담을 시작할 수 있습니다.