[network] Direct Connect (DX)

One-Line Summary

Direct Connect(DX)는 온프레미스(또는 콜로케이션)와 AWS를 인터넷을 거치지 않고 이어주는 전용 물리 회선이다. AWS Direct Connect 위치(DX Location)에서 크로스커넥트로 연결해 일관된 낮은 지연시간, 안정적인 대역폭, 사설(private) 경로를 얻는다. 단, 회선 자체는 사설일 뿐 암호화되지 않으며, 설치에 수 주~수 개월이 걸린다. 빠르게/암호화가 필요하면 Site-to-Site VPN을 함께 쓴다.

Why It Exists

온프레미스와 AWS를 잇는 가장 쉬운 방법은 인터넷 VPN이다. 하지만 인터넷은 경로가 매번 바뀌고, 지연시간·대역폭이 들쭉날쭉하며 혼잡할 수 있다. 대용량 전송·지연시간 민감 워크로드·컴플라이언스(사설 경로 요구) 상황에서는 인터넷을 거치지 않는 전용 회선이 필요하다.

Direct Connect가 이 역할을 한다.

인터넷 VPN으로 온프레미스 ↔ AWS
  -> 공용 인터넷 경유(경로 매번 바뀜)
  -> 지연시간/대역폭 변동, 혼잡 가능
  -> 트래픽은 암호화되지만 성능 예측 어려움

Direct Connect(전용 회선)
  -> DX Location에서 AWS 백본으로 사설 물리 연결
  -> 인터넷 미경유 => 일관된 지연시간, 안정적 대역폭
  -> 사설 경로(보안↑)지만 회선 자체는 "암호화 아님"

시험 감각:

"consistent/predictable performance, dedicated private line to AWS" = Direct Connect. "빠르게 지금 당장" 또는 "암호화" 키워드면 DX가 아니라(또는 DX+VPN) VPN 쪽을 먼저 의심.

Abbreviations

Direct Connect의 핵심 성질 (빈출)

DX가 "무엇을 주고 무엇을 안 주는지"를 정확히 아는 게 시험 포인트다.

[오해] DX면 트래픽이 암호화된다  ← 아님!
[사실] DX = 사설 경로일 뿐, 페이로드는 평문
        암호화 필요 => Direct Connect + IPsec VPN (VPN over DX)
                       => 사설 경로(DX) + 암호화(VPN) 둘 다 확보

시험 감각:

"encryption in transit over Direct Connect" = DX 위에 Site-to-Site VPN(IPsec)을 실행. DX 단독으로는 암호화가 안 된다는 게 함정.

포트/연결 종류 — Dedicated vs Hosted (간단히)

어소시에이트에서 세부 스펙까지 묻는 경우는 드물다. "전용은 1/10/100G, 호스티드는 1G 미만도 가능" 정도만.

Virtual Interface (VIF) — DX 위의 논리 인터페이스 (빈출)

물리 DX 하나 위에 용도별 VIF를 만들어 트래픽을 나눈다. 세 종류를 구분하는 게 핵심이다.

                         ┌── Private VIF ──► VGW ──► VPC (사설 IP)
온프레미스 라우터 ─ DX ─┼── Public VIF  ──► AWS 퍼블릭 서비스(S3 등, 공용 IP)
                         └── Transit VIF ──► DXGW ──► TGW ──► 여러 VPC

시험 감각:

"온프레미스에서 S3로 인터넷 안 거치고" = Public VIF. "여러 VPC를 하나의 DX로/여러 리전" = Direct Connect Gateway(+ Private/Transit VIF). "TGW로 묶기" = Transit VIF + DXGW.

Direct Connect Gateway — 여러 VPC·여러 리전 묶기

Direct Connect Gateway(DXGW)는 하나의 DX(정확히는 Private/Transit VIF)를 여러 리전의 여러 VPC에 연결하게 해주는 글로벌 리소스다. DX 위치와 다른 리전의 VPC도 하나의 DX로 도달할 수 있다.

[DXGW 없이]  DX → VGW → VPC 1개(같은 리전)만

[DXGW 사용]
온프레미스 ─ DX ─ Private/Transit VIF ─ DXGW ┬─ (us-east-1) VGW → VPC-A
                                              ├─ (us-west-2) VGW → VPC-B
                                              └─ TGW ──────────────► 여러 VPC

라우팅은 Route Table에서 온프레미스 대역을 vgw로 향하게 하고, VGW의 Route Propagation으로 BGP 경로를 자동 반영하는 흐름을 함께 떠올리면 좋다.

이중화 / 고가용성 (HA) (빈출)

단일 DX는 회선·장비·DX 위치가 한 점이라 그 자체로 이중화가 없다. 회선/위치 장애 시 온프레미스가 통째로 끊긴다. 그래서 시험은 "DX를 어떻게 HA로 만드느냐"를 자주 묻는다.

[나쁨 - 단일 DX]
온프레미스 ── DX 1개 ──► AWS      ← 회선/위치 장애 시 전면 단절

[좋음 - DX 이중화]
온프레미스 ─┬─ DX (Location A) ─┐
            └─ DX (Location B) ─┴─► AWS   ← 위치까지 분리하면 최고 수준

[비용 효율 - DX + VPN 백업]
온프레미스 ─┬─ DX (평상시, 고성능/사설) ──────► AWS
            └─ Site-to-Site VPN (백업, 인터넷) ─► AWS  ← DX 끊기면 VPN으로 페일오버

시험 감각:

"DX 있는데 저렴하게 백업/페일오버" = Site-to-Site VPN as backup. "maximum resiliency / 절대 안 끊기게" = 서로 다른 DX 위치에 이중 DX. "빠른 임시/즉시 연결" = 물리 설치가 오래 걸리는 DX 대신 VPN(또는 DX 완성 전까지 VPN 임시 사용).

Direct Connect vs Site-to-Site VPN (빈출 비교)

"일관된 고성능 사설 연결"  => Direct Connect
"지금 당장/암호화/저렴"    => Site-to-Site VPN
"둘 다(성능 + 암호화)"     => DX 위에 VPN (VPN over DX)
"DX의 저렴한 백업"         => Site-to-Site VPN backup

비용 감각

"온프레미스로 대량 데이터가 상시 나가서 인터넷 전송비가 크다" = DX로 옮기면 데이터 전송 요금이 낮아 규모가 클수록 유리. 단 소량·단기면 초기 구축비 때문에 오히려 손해.

대표 사용 사례

Common Wrong Directions

Exam Triggers

Memory Sentence

Direct Connect = 온프레미스 ↔ AWS 전용 사설 회선(인터넷 미경유)로 일관된 성능을 주지만, 암호화는 안 되고(필요하면 VPN을 얹는다) 설치에 수 주~개월이 걸린다. VPC 접근은 Private VIF, S3 등 퍼블릭 서비스는 Public VIF, TGW는 Transit VIF, 여러 VPC·리전은 Direct Connect Gateway로 묶는다. 단일 DX는 SPOF라 HA는 이중 DX(다른 위치가 최고) 또는 저렴하게는 Site-to-Site VPN 백업으로.

References

• What is AWS Direct Connect?
• AWS Direct Connect virtual interfaces
• Direct Connect gateways
• Direct Connect Resiliency Recommendations
• Encryption in transit (VPN over Direct Connect)