CloudFront가 AWS 워크로드에 트래픽을 전달하는 방법
Source: Dev.to
Overview
AWS에서 트래픽 전달은 보통 엣지에서 시작해 애플리케이션 리소스로 내부로 이동합니다. 많은 아키텍처에서 Amazon CloudFront가 진입점 역할을 하며, 클라이언트 요청을 VPC에 도달하기 전에 처리합니다. CloudFront가 백엔드 서비스와 어떻게 연결되는지, 그리고 그 경로에서 네트워킹이 어떤 역할을 하는지 이해하는 것은 견고한 구성을 설계하는 데 필수적입니다.
Origin Types and Their Networking Implications
CloudFront는 VPC 외부에서 동작하는 글로벌 콘텐츠 전송 네트워크입니다. 사용자의 요청은 엣지 로케이션에서 받아진 뒤 필요에 따라 오리진으로 전달됩니다. 오리진은 다음과 같습니다:
- 객체 스토리지(예: Amazon S3) – CloudFront가 지역 엔드포인트에서 콘텐츠를 가져와 엣지에 캐시합니다. 이 모델은 정적 자산에 적합하며, 전달 트래픽을 처리할 컴퓨팅 리소스가 필요 없게 합니다.
- 로드 밸런서 – CloudFront가 로드 밸런서로 요청을 전달하고, 로드 밸런서는 이를 EC2 인스턴스나 컨테이너 기반 워크로드와 같은 백엔드 서비스에 분산합니다.
- 기타 AWS 관리형 엔드포인트 – API Gateway, AWS Lambda@Edge 등 포함.
핵심은 CloudFront가 프라이빗 인스턴스로 직접 트래픽을 전달하지 않으며, 항상 CloudFront가 접근 가능한 중간 오리진 엔드포인트가 존재한다는 점입니다.
Load Balancer–Based Architectures
로드 밸런서를 오리진으로 사용할 때:
- CloudFront가 공용 엔드포인트인 로드 밸런서로 요청을 전달합니다.
- 로드 밸런서는 라우팅 로직을 적용해 트래픽을 프라이빗 서브넷 내부의 백엔드 서비스로 보냅니다.
- 인바운드 접근은 여러 계층에서 제어됩니다:
- 보안 그룹은 어떤 소스가 오리진에 도달할 수 있는지를 제한합니다.
- 애플리케이션 라우팅은 트래픽이 VPC 내부에 들어왔을 때 어떻게 처리되는지를 결정합니다.
- CloudFront의 IP 범위는 종종 명시적으로 허용되어 노출을 최소화하고 접근 경로를 예측 가능하게 유지합니다.
CloudFront를 VPC 외부에 두면 확장성과 보안 모두가 단순해집니다. 엣지 레이어가 트래픽 급증을 흡수하고, 응답을 캐시하며, 요청이 네트워크에 도달하기 전에 보호 기능을 적용할 수 있습니다.
Networking Perspective
네트워킹 관점에서 보면, 이 분리는 VPC 설계를 일관되게 유지합니다:
- 서브넷, 라우트 테이블, 게이트웨이는 트래픽이 CloudFront에서 시작되든 다른 외부 클라이언트에서 시작되든 동일하게 동작합니다.
- 차이는 트래픽이 도착하기 전에 어떻게 필터링되고 제어되는가에 있습니다.
CloudFront VPC Origins
최근 AWS는 CloudFront VPC Origins를 도입했습니다. 이 기능을 사용하면 CloudFront가 프라이빗 서브넷에 위치한 리소스에 공개 인터넷에 노출되지 않고 사설 연결을 통해 접근할 수 있습니다.
“Dengan CloudFront VPC Origins, CloudFront dapat terhubung secara privat ke sumber yang berada di subnet privat tanpa perlu mengeksposnya ke internet publik.”
“CloudFront VPC Origins를 사용하면 CloudFront가 프라이빗 서브넷에 있는 소스에 사설 방식으로 연결할 수 있어, 공개 인터넷에 노출할 필요가 없습니다.”
이 모델에서:
- CloudFront는 여전히 VPC 외부에서 동작하지만, AWS가 관리하는 연결을 통해 선택된 프라이빗 리소스로 트래픽을 전달합니다.
- 이는 인터넷을 통해 노출되는 오리진의 필요성을 줄이고, 민감한 워크로드에 대한 접근 제어를 강화합니다.
- VPC 오리진은 CloudFront의 엣지 서비스 역할을 바꾸지는 않으며, 특히 프라이빗 접근 경로를 우선시하는 아키텍처에서 백엔드 연결성을 보다 유연하게 제공합니다.
Conclusion
CloudFront는 엣지 전달을 담당하고, VPC 내부로 들어가는 명확히 정의된 오리진 경로에 의존함으로써 AWS 네트워킹에서 독특한 역할을 수행합니다. 트래픽이 공개 엔드포인트를 통해 흐르든 최신 VPC 오리진 통합을 통해 흐르든, 기본 원칙은 동일합니다:
- CloudFront는 제어된 진입점으로 요청을 전달합니다.
- VPC가 그 다음에 일어나는 일을 관리합니다.
후속 기사에서는 CloudFront VPC Origins를 더 깊이 탐구하고, 기존의 공개 오리진 설계와 비교하여 AWS 아키텍처에서의 차이점을 살펴볼 예정입니다.