AWS 실습 11 - GSLB 구현

GSLB 구현

저번에 만든 상태 검사를 활용하자.

 

 

 

Route 53 - [호스팅 영역] 메뉴 > 내 도메인 클릭

[레코드 생성]을 클릭한다.

 

서울 도메인을 기본으로, 도쿄 도메인을 서브로 지정한다.

 

레코드 Id - tokyo

서브도메인이 레코드1과 똑같음

https://gslb.cloudywinter.shop 로 접속

 

만약 서울 리전에 장애가 발생했을 때 대처법?

moba Xterm에서 서울로 접속

sudo systemctl stop haproxy

를 해서 HAProxy를 멈추도록 해본다.

sudo systemctl status haproxy

를 해보면 HAProxy가 꺼진 것을 확인할 수 있다.

 

Route53 - 에서 확인해 보면 active가 비정상 상태가 되었다.

 

seoul.cloudywinter.shop에 들어가 보면 502 bad gateway가 된다.

 

moba Xterm에서 도쿄로 접속

sudo systemctl stop haproxy

를 해서 같은 방식으로 HAProxy를 멈추도록 한다.

 

그리고 다시 seoul을 복구시킨다

sudo systemctl start haproxy

 

gslb.cloudywinter.shop 로 다시 접속하면 잘 들어가진다.

 

- GCP에 DB서버를 만들어서 연결하는 방법?

- wordpress의 어떤 jpg - cloudfront로 연결하면 cloudfront의 주소가 나온다. - wordpress나 홈페이지를 구성할 때 jpg를 절대주소로 해서 이미지를 링크시키면 cloud의 주소로 링크를 걸 수 있다 - 더 빠른 페이지 뷰를 위해 cloudfront를 응용

 

 

VPN이란 무엇인가요? VPN을 사용하는 이유는 무엇이고, VPN은 어떻게 작동하나요? - Alibaba Cloud 기술 자료

VPN이란 무엇인가요? VPN을 사용하는 이유는 무엇이고, VPN은 어떻게 작동하나요? - Alibaba Cloud 기술

 

 

SERVER이름으로 인스턴스를 만든다.

https://garysummers.tistory.com/49

OpenStack 구축하기

유동 IP 연결한다.

 

 

라우터 만들었던 거 클릭> 정적 경로 메뉴

상대방의 경로를 수동으로 설정하는 방법 - 일종의 라우팅 테이블 역할을 한다.

 

각각 상대방의 사설 IP(몇비트인지), 라우터 아이피를 입력한다.

 

 

VPN 연결하기

VPN Gateway : VPN gateway와 같은데, 주로 VP Gateway라고 불린다.

 

- VPN을 거쳐야 EFS를 사용할 수 있다.

- EFS는 사설 IP로만 들어갈 수 있기 때문이다

만약 가운데에 선이 있으면 캡슐이 있다고 생각해 보자.

VPN 터널링 - 하나의 라인을 그대로 보내면 외부의 침입이 있을 수 있기 때문에, 그 부분을 볼 수 없도록 막을 씌운 것이다(Encapsulation)

터널링을 하게 되면, 데이터를 수집해 보면 출발지와 도착지의 IP가 바뀌어 있다(hiding) - 그래서 중간에 데이터를 보면 암호화되어있기 때문에, 읽을 수 없다. - 데이터 변조

복호화 하기 위해선 키가 필요하다.

 

- IP sec 프로토콜을 이용한다.

- VPN은 소프트웨어도 있지만, 하드웨어도 있다.

- 오픈스택이 설치된 centos8에 VPN s/w를 설치해야 한다. : libre swan(소프트웨어형 도구)

- Custom GW : 공유기의 IP

- 연결 정보들을 설정 파일에 저장 후 도구를 실행시키면 On premise의  와 연결이 되고 터널링 - 암호화가 되면서 사설 IP로 통신이 가능한 상태가 된다.

 

Openstack에 VPN S/W 설치하기

Openstack의 VM으로 접속한다.

 

dnf install -y libreswan
systemctl enable --now ipsec

 

vi /etc/sysctl.conf

net.ipv4.ip_forward = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.rp_filter = 0
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.conf.default.send_redirects = 0
net.ipv4.icmp_ignore_bogus_error_responses = 1
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1

sysctl.conf 파일에 위를 추가한다.

ip_forward=1부터

 

for vpn in /proc/sys/net/ipv4/conf/*;
do echo 0 > $vpn/accept_redirects;
echo 0 > $vpn/send_redirects;
done

 

 

VPN - 고객 게이트웨이 로 들어간다.

저번에 만들었던 고객 게이트웨이가 있다.

 

 

[가상 프라이빗 게이트웨이] 탭으로 들어간다.

VPC와 VPN Gateway가 attach 되어야 한다.

 

 

연결한다.

 

VPC - Site-to-site VPN 연결 메뉴로 들어간다.

[VPN 연결 생성] 클릭

*VPN Connection은 과금 요소

 

 

동적 프로토콜 - 기업 내에서 사용함. 별도의 기업용 네트워크를 가입해서 사용해야 된다.

따라서 [정적]을 선택해야 한다.

 

고정 IP 접두사 - 강의실의 IP 범위를 넣어 준다.(장소가 어디냐에 따라 다르다)

로컬 IPv4 네트워크 CIDR - 기본값은 Anywhere,

로컬 - 강의실, 원격 - AWS

 

각각 왼쪽, 오른쪽 터널을 잇는 과정이다.

 

 

터널이 두개기 때문에 2개의 키가 필요하다.

 

Available 상태가 되면, [구성 다운로드] 클릭한다.

 

Openswan - Libre swan의 전 단계, Openswan은 CentOS7 전까지 사용되었다.

 

그러면 이런 txt 파일이 다운로드된다.

 

leftid 강의실 / right aws정보

 

leftsubnet : 강의실의 IP

rightsubnet: myvpc의 서브넷

 

https://www.findip.kr/

아이피 확인 - my ip address

 

 

PSK : Pre Shared Key

이 패스워드를 가지고 swan이 접속할 수 있게 된다.

 

이 정보값들을 터미널에 입력해야한다.

vi /etc/ipsec.d/aws.conf
conn Tunnel1
        authby=secret
        auto=start
        left=%defaultroute
	leftid=123.142.252.25
	right=13.124.173.9
        type=tunnel
        ikelifetime=8h
        keylife=1h
        phase2alg=aes128-sha1;modp1024
        ike=aes128-sha1;modp1024
        keyingtries=%forever
        keyexchange=ike
	leftsubnet=192.168.0.0/20
	rightsubnet=10.29.0.0/16
        dpddelay=10
        dpdtimeout=30
        dpdaction=restart_by_peer
        overlapip=yes

conn Tunnel2
        authby=secret
        auto=start
        left=%defaultroute
	leftid=123.142.252.25
	right=52.78.119.99
        type=tunnel
        ikelifetime=8h
        keylife=1h
        phase2alg=aes128-sha1;modp1024
        ike=aes128-sha1;modp1024
        keyingtries=%forever
        keyexchange=ike
	leftsubnet=192.168.0.0/20
	rightsubnet=10.29.0.0/16
        dpddelay=10
        dpdtimeout=30
        dpdaction=restart_by_peer
        overlapip=yes

vi /etc/ipsec.d/aws.secrets
123.142.252.25 13.124.173.9: PSK "Vhd7LiMfRfcubbXcAdi1qCxrYyBenTfl"
123.142.252.25 52.78.119.99: PSK "JbIhhacbjMunM7_ay56niQQbPgfp_vxS"

systemctl restart ipsec

터널 두개 다 Up상태임을 확인할 수 있다

 

라우팅 테이블 메뉴로 간다. 

[라우팅 편집] 클릭

가상 프라이빗 게이트웨이를 대상으로 라우팅 편집을 진행한다.

 

 

그 다음 MY-PRIVATE-SUBNET을 편집한다.

같은 방식으로 라우팅 편집한다.

 

다시 Openstack에 접속한다.

프로젝트 > 네트워크 > 라우터 에서 생성했던 라우터 클릭

 

next hop : Openstack의 IP(현재 링크)를 입력한다.

Openstack이 곧 VPN이 설치된 소프트웨어이기 때문이다

 

그리고 seoul 인스턴스를 Moba Xterm으로 접속한다.

 

AWS의 ec2-user에서 Openstack내 인스턴스인 centOS로 이 ip로 ping을 쳐본다. - 안 됨

VM에서 방화벽을 해제한다.

SG-WEB에서 ICMP를 인바운드 규칙으로 추가한다.

 

 

그러면 서로 ping이 간다.

 

 

1. 하이브리드 클라우드 - AWS 스토리지를 활용하는 방법
Public과 Private Cloud 연결
AWS - VPN - Openstack(On-Premise), 기업 내 네트워크
AWS - Storage Gateway - ESXi(On-Prem)

2. Route 53 (GSLB:Cross Region, VRRP:이중화, Fail Over:Active, Passive(inactive, standby)) - 무중단 서비스
AWS(Seoul), Azure(London), GCP(Oregon), Alibaba(HongKong)


상태 검사 - 이메일 생서

사설 ip - 라우팅 테이블을 건드린다 - next hop 정적 ip를 이용해서 라우팅 정보를 교환해서 사설 ip로 통신할 수 있도록 한다.

webserver 인스턴스 만든다 10GB

health check - seoul/tokyo