깡민쓰~IT Story

Azure Public Cloud에 상당한 입지를 가진 대규모 조직은 Public Cloud에서 두 개 이상의 VNET에 리소스를 배포했을 수 있습니다. 그리고 이러한 설정에서는 항상 한 VNET의 리소스가 다른 VNET의 리소스와 통신해야 할 필요가 있을 수 있습니다. 이 VNET 간 연결을 활성화하기 위해 Azure Cloud의 Virtual Network Peering Service를 사용할 수 있습니다.

가상 네트워크 피어링이란?

Azure Virtual Network Peering을 사용하면 최적의 네트워크 성능으로 VNET을 원활하게 연결할 수 있습니다. 이러한 피어링된 VNET은 동일한 Azure 지역에 있거나 다른 Azure 지역의 일부일 수 있습니다(Global VNET Peering). 피어링된 VNET의 가상 머신 간 트래픽은 고속 Microsoft Backbone 네트워크만 통과하므로 인터넷을 통과할 필요가 없으므로 암호화와 같은 추가 보안 조치가 필요하지 않습니다.

Azure VNET 피어링 유형

VNET 피어링에는 주로 두 가지 유형이 있습니다.

• 지역 VNET 피어링: 동일 지역의 VNET이 서로 피어링됩니다.
• 글로벌 VNET 피어링: 이 VNET에서는 두 개의 다른 지역에 있는 VNET이 서로 피어링합니다. 글로벌 피어링을 만들 때 피어링된 가상 네트워크는 모든 Azure 퍼블릭 클라우드 지역 또는 중국 클라우드 지역에 존재할 수 있지만, 정부 클라우드 지역에는 존재할 수 없습니다.

가상 네트워크 피어링의 이점

이제 VNET Peering의 몇 가지 이점을 살펴보겠습니다. 

• Microsoft Backbone Network를 사용하여 매우 낮은 지연 시간과 높은 대역폭을 제공합니다.
• Azure 구독 및 Azure 지역을 통해 VNET 간에 데이터를 전송할 수 있습니다.
• VNET 피어링은 피어링 생성 중/후에 리소스 가동 중단이 필요하지 않습니다.

Azure VNET 피어링 고려 사항: 

• 피어링된 VNET에는 겹치는 주소 공간이 없어야 합니다.
• VNET은 본질적으로 전이적이지 않습니다. 아래 토폴로지에 따라 연결이 있는 경우를 의미합니다. 

VNET1 <-피어-> VNET2 <-피어-> VNET3

위의 토폴로지에서 VNET1의 VM은 VNET2를 통해 VNET3의 VM과 통신할 수 없습니다. 이러한 유형의 통신을 허용하려면 사용자 정의 라우팅이 있는 NVA를 사용하여 VNET2를 통한 트랜짓 라우팅을 활성화해야 합니다. 

VNET 피어링을 만드는 방법은?

높은 수준에서 VNET 피어링을 만드는 데는 아래의 4단계가 포함됩니다. 

• 두 개의 VNET 생성 
• 각 VNET 내에서 가상 머신 생성
• 각 VNET에서 가상 네트워크 피어링 생성
• VNET 전반의 VM 간 통신을 테스트합니다.

하나의 가상 네트워크에 피어링을 추가하면 두 번째 가상 네트워크 구성이 자동으로 추가됩니다.

생성된 VNET 리소스의 피어링 탭에서 아래와 같이 입력을 제공해야 합니다. 

게이트웨이 트랜짓:

VNET 피어에서 이 기능을 사용하면 피어링된 VNET이 다른 VNET에 배포된 VPN 게이트웨이를 사용하여 원격 리소스에 액세스할 수 있습니다. 

이해하기 위해 예를 들어보겠습니다. 

• Site2Site/Point2Site VPN 게이트웨이를 통해 VNET1이 온프레미스 사이트 에 연결되어 있고 온프레미스 리소스에 액세스할 수 있다고 가정해 보겠습니다. 
• VNET1에 VNET 피어링이 설정되어 있고 VNET2의 리소스도 온프레미스 리소스에 액세스해야 하는 또 다른 VNET2가 있습니다. VNET2는 원격 사이트에 대한 VPN 게이트웨이 연결이 없으므로 기본적으로 온프레미스 리소스에 액세스할 수 없습니다. 
• 하지만 VNET2의 VNET 피어링 페이지에서 기능을 켜서 원격 VNET 게이트웨이를 사용하여 이러한 연결을 허용할 수 있습니다.

주의할 핵심 사항

• 각 VNET은 VPN 게이트웨이를 하나만 가질 수 있습니다. VNET이 원격 VNET 게이트웨이를 사용하는 경우 로컬 VNET 게이트웨이를 가질 수 없습니다.
• 네트워크 보안 그룹은 피어링된 VNET 간의 통신을 허용하거나 거부하는 데 적용될 수 있습니다.
• 게이트웨이 전송은 지역 및 글로벌 VNET 피어링 모두에서 지원됩니다.