AWS VPC 학습 메모

시험에 아래와 같은 환경을 CloudFormation을 사용해 구축해 본다.



아래에서 만든 CloudFormation 템플릿.
htps : // 기주 b. 이 m / k 히라이와 / c ぉ うせ r chifu chichion s / b ぉ b / 1 ab33227b014 4dc0679291729b1 117420 5c / vpc / mp. yml

YAML 형식으로 해 보았다. 이것이라고 코멘트를 쓸 수 있다.

################################
#### VPC
################################
  VPC:
    Type: AWS::EC2::VPC
    Properties:
      CidrBlock:
        Ref: VpcCidrBlock
      EnableDnsSupport: 'true'
      EnableDnsHostnames: 'true'
      Tags:
      - Key: Name
        Value:
          Ref: VpcName

또 최근이라고 단축기법도 사용할 수 있게 되어 있다.

  SubnetPublic1a:
    Type: AWS::EC2::Subnet
    Properties:
      VpcId:
        Ref: VPC
      AvailabilityZone: !Sub
      - "${AWS::Region}${AZ}"
      - AZ: !Select [0, !Ref VpcAzs]
      CidrBlock:
        Ref: VpcSubnetCidrBlockPublic1a
      MapPublicIpOnLaunch: true
      Tags:
      - Key: Name
        Value:
          Ref: VpcSubnetNamePublic1a

Subnet에 설정하는 Network ACL에는 기본적으로 * 규칙이 있습니다.
추가한 규칙에 일치하는 것이 없으면 *의 규칙이 사용된다.
(즉, 거부됨)



참조 : htp // // cs. 아 ws. 아마존. 이 m / 그럼 _jp / 아마 존 VPC / 아 st / 우세 r 구이로 / VPC_ 아 CLs. html # CL 루 s

또한 Network Acl은 스테이트리스. 예를 들어 인바운드에서 tcp/22를 허가해도 아웃바운드는 통과하지 않는다. 리턴의 로컬 포트(1024-65535라든지)를 아웃바운드로 열 필요가 있다.
(역으로 SecurityGroup은 Stateful)

또, 아래의 그림과 같이, 어느 서브넷으로부터는 특정의 서브넷 밖에 통신할 수 없게 하려면 Network ACL로 제어한다(밖에 없는 것일까?)



VPC 페어링은 페어링한 VPC 밖에 통신할 수 없다. 예를 들면 하기의 경우, A로부터 C로는 갈 수 없다.