AWS VPN vs Direct Connect: 온프레미스 연결 어떻게 선택할까?

핵심 요약 (BLUF)

빠른 구성과 저비용이 필요하면 Site-to-Site VPN, 안정적인 대역폭과 일관된 성능이 필요하면 Direct Connect를 선택합니다. Direct Connect의 백업으로 VPN을 함께 구성하는 것이 모범 사례입니다.

시험 팁

시험 핵심: "빠르고 저렴 = VPN", "안정적 대역폭 + 일관된 성능 = Direct Connect", "DX 백업 = VPN"

온프레미스-AWS 연결 옵션

옵션	경로	암호화	설정 시간
Site-to-Site VPN	인터넷	✅ IPsec	분 단위
Direct Connect	전용선	❌ (기본)	수 주~수 개월
Direct Connect + VPN	전용선	✅ IPsec	수 주~수 개월
Client VPN	인터넷	✅ TLS	분 단위

Site-to-Site VPN

구성 요소

[온프레미스]                              [AWS]
┌──────────────┐                  ┌──────────────────┐
│              │   IPsec 터널 1   │                  │
│  Customer    │ ═════════════════│  Virtual Private │
│  Gateway     │   IPsec 터널 2   │  Gateway (VGW)   │
│  (CGW)       │ ═════════════════│  또는             │
│              │     인터넷       │  Transit Gateway  │
└──────────────┘                  └──────────────────┘

구성 요소	설명
Customer Gateway (CGW)	온프레미스 측 VPN 디바이스 (또는 소프트웨어)
Virtual Private Gateway (VGW)	AWS 측 VPN 엔드포인트 (VPC에 연결)
Transit Gateway (TGW)	여러 VPC에 연결할 때 사용

VPN 특징

항목	내용
대역폭	터널당 최대 1.25 Gbps
터널 수	연결당 2개 (고가용성)
암호화	IPsec (자동)
비용	$0.05/연결-시간 + 데이터 전송
설정 시간	몇 분

Accelerated VPN

AWS Global Accelerator 네트워크를 통해 VPN 성능을 향상시킵니다.

일반 VPN:    [온프레미스] → 인터넷 → [AWS VGW]
Accelerated: [온프레미스] → 인터넷 → [가장 가까운 엣지] → AWS 백본 → [VGW]

Direct Connect (DX)

연결 유형

유형	대역폭	연결 방식
Dedicated Connection	1, 10, 100 Gbps	AWS Direct Connect 로케이션에서 전용 포트
Hosted Connection	50Mbps ~ 10Gbps	파트너를 통한 연결

구성 요소

[온프레미스]          [DX 로케이션]           [AWS]
┌──────────┐      ┌──────────────┐      ┌──────────┐
│ 데이터   │      │              │      │          │
│ 센터     │──────│ 교차 연결     │──────│  VGW     │
│          │ 전용선│ (Cross-      │ AWS  │  또는    │
│          │      │  Connect)    │ 네트워크│ DX GW  │
└──────────┘      └──────────────┘      └──────────┘

Virtual Interface (VIF)

VIF 유형	용도	연결 대상
Private VIF	VPC 리소스 접근	VGW 또는 Direct Connect Gateway
Public VIF	AWS 퍼블릭 서비스 접근	S3, DynamoDB 등 (퍼블릭 엔드포인트)
Transit VIF	Transit Gateway 연결	TGW (여러 VPC 연결)

시험 팁

Private VIF vs Public VIF: VPC 내부 리소스(EC2, RDS) 접근은 Private VIF, S3 같은 퍼블릭 서비스에 전용선으로 접근하려면 Public VIF

Direct Connect Gateway

여러 리전의 VPC에 하나의 DX 연결로 접근할 수 있게 합니다.

                    ┌─── VGW (ap-northeast-2) → VPC A
[DX 연결] → [DX Gateway] ─── VGW (us-east-1) → VPC B
                    └─── VGW (eu-west-1) → VPC C

VPN vs Direct Connect 상세 비교

비교 항목	Site-to-Site VPN	Direct Connect
경로	인터넷	전용 네트워크
대역폭	최대 1.25 Gbps/터널	최대 100 Gbps
지연 시간	가변적 (인터넷 경유)	일관적 (전용선)
암호화	✅ IPsec 자동	❌ 기본 미암호화
설정 시간	몇 분	수 주~수 개월
비용	낮음	높음
가용성	2개 터널	SLA 99.99% (이중화 시)
대용량 데이터	부적합	적합

선택 가이드

온프레미스-AWS 연결 선택:
        │
        ▼
대용량 데이터 전송 또는 일관된 성능 필요?
        │
       Yes → [Direct Connect]
        │      └── 암호화 필요? → DX + VPN 조합
        No
        │
        ▼
빠른 구성 또는 비용 절감?
        │
       Yes → [Site-to-Site VPN]
        │
        No
        │
        ▼
개별 사용자 원격 접속?
        │
       Yes → [Client VPN]

고가용성 구성

VPN 이중화

[온프레미스]             [AWS]
CGW 1 ════ 터널 2개 ════ VGW (AZ-a)
CGW 2 ════ 터널 2개 ════ VGW (AZ-b)
→ 총 4개 터널, 완전 이중화

Direct Connect 이중화

최대 복원력 (AWS 권장):
[온프레미스] ─── DX 연결 1 ─── [DX 로케이션 A] ─── [AWS]
[온프레미스] ─── DX 연결 2 ─── [DX 로케이션 B] ─── [AWS]
→ 2개 로케이션, 각 2개 연결 = SLA 99.99%

DX + VPN 백업

Primary:  [온프레미스] ═══ Direct Connect ═══ [AWS VPC]
Backup:   [온프레미스] ─── Site-to-Site VPN ── [AWS VPC]

DX 장애 시 → VPN으로 자동 페일오버

시험 팁

모범 사례: Direct Connect의 백업으로 Site-to-Site VPN을 구성하는 것이 비용 효율적인 이중화 방법입니다.

Client VPN

개별 사용자가 랩탑/PC에서 AWS VPC에 원격 접속하는 서비스입니다.

항목	Site-to-Site VPN	Client VPN
연결 주체	네트워크 대 네트워크	사용자 대 네트워크
사용 사례	데이터센터 ↔ VPC	재택근무자 → VPC
프로토콜	IPsec	TLS (OpenVPN)
인증	PSK 또는 인증서	AD, SAML, 인증서