NAT 게이트웨이 기본 사항 - Amazon Virtual Private Cloud

NAT 게이트웨이 기본 사항

각 NAT 게이트웨이는 특정 가용 영역에 생성되고 해당 영역에서 중복성을 통해 구현됩니다. 각 가용 영역에서 만들 수 있는 NAT 게이트웨이 개수에는 할당량이 있습니다. 자세한 내용은 게이트웨이 섹션을 참조하세요.

여러 가용 영역에 리소스가 있고 NAT 게이트웨이 하나를 공유하는 경우, NAT 게이트웨이의 가용 영역이 다운되면 다른 가용 영역의 리소스도 인터넷에 액세스할 수 없게 됩니다. 복원력 향상을 위해 각 가용 영역에 NAT 게이트웨이를 생성하고 리소스가 동일한 가용 영역의 NAT 게이트웨이를 사용하도록 라우팅을 구성합니다.

NAT 게이트웨이에 적용되는 특성 및 규칙은 다음과 같습니다.

  • NAT 게이트웨이는 TCP, UDP, ICMP 등의 프로토콜을 지원합니다.

  • NAT 게이트웨이는 IPv4 또는 IPv6 트래픽에 대해 지원됩니다. IPv6 트래픽의 경우 NAT 게이트웨이가 NAT64를 수행합니다. 이를 DNS64(Route 53 Resolver에서 사용 가능)와 함께 사용하면 Amazon VPC의 서브넷에 있는 IPv6 워크로드가 IPv4 리소스와 통신할 수 있습니다. 이러한 IPv4 서비스는 동일한 VPC(별도의 서브넷에 있음) 또는 다른 VPC, 온프레미스 환경 또는 인터넷에 존재할 수 있습니다.

  • NAT 게이트웨이는 5Gbps의 대역폭을 지원하며 최대 100Gbps까지 자동 확장합니다. 더 많은 대역폭이 필요한 경우 리소스를 여러 서브넷으로 분할하고 각 서브넷에 NAT 게이트웨이를 만들 수 있습니다.

  • NAT 게이트웨이는 초당 백만 개의 패킷을 처리할 수 있으며 초당 최대 천만 개의 패킷을 자동으로 확장할 수 있습니다. 이 제한을 초과하면 NAT 게이트웨이가 패킷을 삭제합니다. 패킷 손실을 방지하려면 리소스를 여러 서브넷으로 분할하고 각 서브넷에 대해 별도의 NAT 게이트웨이를 생성합니다.

  • 각 IPv4 주소는 각 고유 대상에 대해 55,000개까지 동시 연결을 지원할 수 있습니다. 고유 대상은 대상 IP 주소, 대상 포트 및 프로토콜(TCP/UDP/ICMP)의 고유한 조합으로 식별됩니다. 최대 8개의 IPv4 주소를 NAT 게이트웨이에 연결하여 이 제한을 늘릴 수 있습니다(기본 IPv4 주소 1개 및 보조 IPv4 주소 7개). 기본적으로 2개의 탄력적 IP 주소를 퍼블릭 NAT 게이트웨이에 연결하는 것으로 제한됩니다. 할당량 조정을 요청하여 이 제한을 늘릴 수 있습니다. 자세한 내용은 탄력적 IP 주소 섹션을 참조하세요.

  • NAT 게이트웨이를 생성할 때 NAT 게이트웨이에 할당된 기본 프라이빗 IPv4 주소를 선택할 수 있습니다. 그렇지 않으면 서브넷의 IPv4 주소 범위에서 사용자를 대신해 하나를 선택합니다. 기본 프라이빗 IPv4 주소는 변경하거나 제거할 수 없습니다. 필요에 따라 보조 프라이빗 IPv4 주소를 추가할 수 있습니다.

  • 보안 그룹을 NAT 게이트웨이와 연결할 수 없습니다. 보안 그룹을 인스턴스에 연결하여 인바운드 및 아웃바운드 트래픽을 제어할 수 있습니다.

  • NAT 게이트웨이에 대한 요청자 관리형 네트워크 인터페이스를 생성합니다. Amazon EC2 콘솔을 사용하여 이 네트워크 인터페이스를 볼 수 있습니다. 설명에서 NAT 게이트웨이의 ID를 검색합니다. 네트워크 인터페이스에 태그를 추가할 수 있지만 이 네트워크 인터페이스의 다른 속성은 수정할 수 없습니다.

  • 네트워크 ACL을 사용하여 NAT 게이트웨이에 대해 서브넷에서 주고받는 트래픽을 제어할 수 있습니다. NAT 게이트웨이는 포트 1024-65535를 사용합니다. 자세한 내용은 네트워크 ACL 섹션을 참조하세요.

  • VPC 피어링 연결을 통해 NAT 게이트웨이로 트래픽을 라우팅할 수 없습니다. 그러나 VPC 피어링을 통해 NAT 게이트웨이에서 피어링된 VPC의 대상으로 가는 트래픽은 '발신자에게 반환' 동작을 지원합니다. 반환 트래픽은 대상 VPC에 반환 경로가 구성되지 않은 경우에도 자동으로 원래 NAT 게이트웨이로 다시 라우팅됩니다. 이 동작은 NAT 게이트웨이에만 해당되며 표준 EC2 인스턴스에는 적용되지 않습니다. 이를 방지하려면 NACL을 사용하여 반환 트래픽을 차단합니다.

    지원되지 않음:

    Client → Peering → NAT → Internet

    지원됨:

    Client → NAT → Peering → Destination

  • 가상 프라이빗 게이트웨이를 사용하여 Site-to-Site VPN 또는 Direct Connect에서 NAT 게이트웨이로 트래픽을 라우팅할 수 없습니다. 가상 프라이빗 게이트웨이 대신 전송 게이트웨이를 사용하면 Site-to-Site VPN 또는 Direct Connect에서 NAT 게이트웨이로 트래픽을 라우팅할 수 있습니다.

  • NAT 게이트웨이에서 지원되는 트래픽의 최대 전송 단위(MTU)는 8,500이지만, 다음 사항에 유의해야 합니다.

    • 네트워크 연결의 MTU는 연결을 통해 전달할 수 있는 허용되는 최대 패킷의 크기(바이트)입니다. 연결의 MTU가 클수록 하나의 패킷으로 전달할 수 있는 데이터의 양이 늘어납니다.

    • NAT 게이트웨이에 도착하는 8,500바이트보다 큰 패킷은 삭제됩니다(또는 조각화가 가능한 경우 조각화됨).

    • 퍼블릭 NAT 게이트웨이를 사용하여 인터넷을 통해 리소스와 통신할 때 잠재적 패킷 손실을 방지하려면 EC2 인스턴스의 MTU 설정이 1,500바이트를 초과하지 않아야 합니다. 인스턴스의 MTU 확인 및 설정에 대한 자세한 내용은 Amazon EC2 사용 설명서의 EC2 인스턴스의 네트워크 MTU를 참조하세요.

    • NAT 게이트웨이에서는 FRAG_NEEDED ICMPv4 패킷 및 패킷이 너무 큼(PTB) ICMPv6 패킷을 통한 경로 MTU 검색(PMTUD)이 지원됩니다.

    • NAT 게이트웨이에서는 모든 패킷에 MSS(최대 세그먼트 크기) 클램핑이 강제로 적용됩니다. 자세한 내용은 RFC879를 참조하세요.