AWS VPC 서브넷 경계에서 특정 IP의 트래픽을 차단할 때 네트워크 ACL을 검토하는 절차입니다. 원노트의 오래된 로그인 URL과 실제 VPC 이름은 제외했습니다. 보안 그룹과 네트워크 ACL은 적용 범위와 동작이 다릅니다.
대상 서브넷과 ACL 확인
AWS 콘솔의 VPC에서 대상 서브넷과 연결된 네트워크 ACL을 확인합니다. 기본 ACL을 수정하면 연결된 여러 서브넷이 함께 영향을 받을 수 있으므로 연결 목록과 현재 규칙을 먼저 기록합니다.
보안 그룹은 허용 규칙 중심이며 상태를 추적합니다. 네트워크 ACL은 허용·거부 규칙이 있고 상태 비저장 방식으로 인바운드·아웃바운드를 각각 평가합니다.
규칙 번호와 범위 계획
네트워크 ACL은 낮은 규칙 번호부터 평가해 처음 일치한 규칙을 적용합니다. 더 앞의 광범위한 허용 규칙이 있으면 뒤의 차단 규칙은 적용되지 않습니다. 예를 들어 문서용 주소 192.0.2.10/32의 특정 TCP 포트를 거부하려면 기존 허용보다 앞의 번호를 확보합니다.
대상 프로토콜·포트·출발지와 허용해야 하는 업무 트래픽을 확인합니다. IPv4와 IPv6는 별도 범위이며 양쪽을 쓰는 서비스는 둘 다 검토해야 합니다. 반환 트래픽과 임시 포트도 고려합니다.
원본 주소가 보이는 위치 선택
LB 뒤의 서버가 보는 주소와 서브넷 경계가 보는 주소는 LB 종류와 연결 경로에 따라 달라집니다. 원노트의 'LB를 타면 무조건 사설 IP'라는 단정 대신 실제 패킷·VPC Flow Logs·LB 로그를 확인해 차단 위치를 결정합니다. HTTP 요청 단위 제어는 WAF 등 다른 계층이 더 적절할 수 있습니다.
반영과 되돌리기
규칙을 저장한 뒤 차단 대상의 실패와 정상 사용자의 성공을 각각 확인합니다. 관리 접속이나 상태 확인 트래픽이 함께 차단되지 않았는지 점검하고, 이상이 생기면 신규 규칙만 되돌릴 수 있도록 원래 번호와 값을 보관합니다.
참고: https://docs.aws.amazon.com/vpc/latest/userguide/vpc-network-acls.html