[network] Transit Gateway

One-Line Summary

Transit Gateway(TGW)는 여러 VPC와 온프레미스(VPN/Direct Connect)를 하나의 허브에 연결해, 복잡한 full-mesh 피어링 없이 서로 통신하게 해 주는 리전 단위 네트워크 허브다. VPC 피어링이 전이(transitive) 라우팅이 안 되고 연결 수가 폭발하는 문제를, "가운데 허브 하나에 각자 붙는" hub-and-spoke로 풀어 준다. 붙는 것마다 attachment이고, TGW Route Table로 어떤 attachment끼리 통신할지(격리/세그먼트)를 통제한다.

Why It Exists

VPC가 3개면 서로 통신시키려고 피어링 3개, 5개면 10개, 10개면 45개다. 게다가 피어링은 전이가 안 되므로(A-B, B-C가 있어도 A는 C와 통신 못 함) 결국 모든 쌍을 직접 이어야 하고 연결 수는 N*(N-1)/2로 폭발한다. 온프레미스 VPN·DX까지 각 VPC마다 따로 엮으면 라우팅과 운영이 감당이 안 된다.

Transit Gateway가 이 mesh 폭발을 없앤다.

[full-mesh VPC Peering]  전이 X, 연결 N*(N-1)/2 개로 폭발
   VPC-A ── VPC-B
     │  ╲  ╱  │
     │   ╳    │       ← VPC 5개면 피어링 10개, 10개면 45개
     │  ╱  ╲  │       ← A-B, B-C 있어도 A는 C와 못 감(비전이)
   VPC-C ── VPC-D
        ╲   ╱
        VPC-E

[hub-and-spoke Transit Gateway]  전이 O, 각 VPC는 허브에 1개만 연결
┌─────────────┐   ┌─────────────┐   ┌──────────┐
│ VPC-A       │   │ VPC-B       │   │ On-prem  │
│ 10.1.0.0/16 │   │ 10.2.0.0/16 │   │ (VPN/DX) │
└──────┬──────┘   └──────┬──────┘   └────┬─────┘
       │                 │               │
       └────────┬────────┴───────────────┘
        ┌───────▼────────────────────────┐
        │      Transit Gateway  (hub)     │   ← 새 VPC는 attachment 1개만 추가
        └────────────────────────────────┘

시험 감각:

"VPC가 많아지며 피어링 mesh가 감당 안 됨 / 중앙에서 라우팅 관리 / 온프레미스까지 한 번에" = Transit Gateway.

Abbreviations

Attachment — TGW에 무엇을 붙이나 (빈출)

TGW에 연결되는 모든 것은 attachment 단위다. 각 attachment이 시간당 요금의 기준이 되고, TGW Route Table과의 연결(association) 대상이 된다.

                 ┌──────────── Transit Gateway (리전 허브) ────────────┐
   VPC-A attach ─┤                                                    │
   VPC-B attach ─┤   [ TGW Route Table(s) 로 attachment 간 라우팅 통제 ]│
   VPN attach   ─┤                                                    │
   DX GW attach ─┤                                                    │
   TGW peering  ─┤── 다른 리전 TGW로                                    │
                 └────────────────────────────────────────────────────┘

시험 감각: 온프레미스를 여러 VPC와 한 번에 엮어야 하면 각 VPC에 VGW를 다는 대신 TGW에 VPN/DX GW attachment 하나를 붙이고 VPC들을 TGW에 연결한다.

전이 라우팅(Transitive Routing) — 피어링과의 결정적 차이 (빈출)

VPC 피어링의 핵심 한계는 **비전이(non-transitive)**다. TGW는 허브를 거쳐 전이 라우팅을 지원해, 허브에 붙은 attachment끼리는 (라우트 테이블이 허용하는 한) 서로 통신한다.

[Peering] A-B, B-C 두 피어링이 있어도
   A ──► B ──► C  :  A가 C로는 못 감(비전이). A-C 피어링을 또 만들어야 함

[TGW] A, B, C 모두 TGW에 붙으면
   A ──► TGW ──► C  :  허브 경유로 A↔C 통신 가능(전이). 라우트만 열면 됨

시험 감각: "A와 C가 B를 경유해 통신해야 한다 / 피어링인데 통신이 안 된다(전이 기대)" = 피어링으로는 안 됨 → TGW(또는 A-C 직접 피어링).

TGW Route Table — 세그먼트/격리의 핵심 (빈출)

TGW는 내부에 자체 라우트 테이블을 가진다. 각 attachment을 어떤 TGW RT에 **연결(association)**하고, 어떤 경로를 **전파(propagation)**받게 하느냐로 "누가 누구와 통신하는가"를 통제한다. 기본 TGW RT 하나만 쓰면 모두 서로 통신하지만, 여러 RT로 나누면 격리가 된다.

[dev / prod 격리 예]
   Dev-VPC   ─assoc─► TGW-RT-Dev   (prod 경로 전파 안 받음 → prod와 단절)
   Prod-VPC  ─assoc─► TGW-RT-Prod  (dev 경로 전파 안 받음 → dev와 단절)
   Shared-VPC─assoc─► 양쪽 RT에 전파 → dev·prod 둘 다와 통신 가능(공유 서비스)

[중앙 검사(inspection) 예]
   Spoke VPC들 ──► TGW ──► 모든 경로를 Inspection VPC(방화벽)로
                              └─► 검사 후 목적지 VPC로 전달

시험 감각: "dev와 prod는 서로 못 보게, 공유 서비스만 양쪽과 통신 / 모든 VPC 간 트래픽을 중앙 방화벽으로 검사" = TGW Route Table 분리(세그먼테이션). 참고로 각 VPC의 서브넷 Route Table에는 tgw-xxxx 대상 경로가 필요하다.

리전 간 연결(Inter-Region Peering)

[Region A]                         [Region B]
 VPC들 ─► TGW-A ── peering(백본) ── TGW-B ◄─ VPC들

시험 감각: "여러 리전의 VPC를 서로 연결" = 각 리전 TGW + 리전 간 TGW peering.

규모·운영 감각

규모가 커질수록 mesh 대비 운영 단순화 이득이 커진다. "관리 오버헤드 최소화 + VPC 다수" = TGW의 전형적 정답 근거.

VPC Peering vs Transit Gateway (빈출 비교)

둘 다 VPC를 잇지만 성격이 다르다. 소수(2개)면 피어링, 다수/하이브리드/중앙 라우팅이면 TGW.

비용 직관:
  VPC 2~3개  → 피어링(시간당 요금 없음) 이 더 쌀 수 있음
  VPC 다수/온프렘 혼합 → TGW(운영 단순화·전이 라우팅) 이 이득

시험 감각: "단 두 개의 VPC를 최저 비용으로 연결" = 피어링(TGW는 attachment 시간당 요금이 붙음). "VPC가 계속 늘어나는데 중앙에서 관리 / 온프레미스도 함께" = TGW. 자세한 피어링 특성은 VPC Peering 참고.

언제 무엇을 고르나 (정리)

Common Wrong Directions

Exam Triggers

Memory Sentence

Transit Gateway는 리전 단위 hub-and-spoke 네트워크 허브다. 피어링의 비전이 + N*(N-1)/2 mesh 폭발을 없애고, VPC·VPN·DX GW·다른 리전 TGW를 attachment로 붙여 전이 라우팅한다. TGW Route Table을 나눠 dev/prod 격리나 중앙 검사(inspection VPC)를 만들고, 수천 VPC를 attachment 하나씩으로 확장한다. 비용은 attachment 시간당 + 데이터 처리료라, VPC 2개 정도면 시간당 요금 없는 피어링이 더 싸고, 다수/하이브리드/중앙 라우팅이면 TGW가 이긴다.

References

• What is a transit gateway?
• Transit gateway attachments
• Transit gateway route tables
• Transit gateway peering attachments (inter-region)
• Transit gateway pricing
• VPC peering vs Transit Gateway design considerations