허브 스포크, Azure Firewall, VPN Gateway, ExpressRoute (연결 설계)

허브 스포크

여러 워크로드가 온프레미스와 연결되고, 인터넷 출입을 중앙에서 통제해야 한다면 허브 스포크가 출발점입니다.

• 허브 VNet: 공유 네트워크 서비스(VPN, ExpressRoute 게이트웨이, Azure Firewall, DNS Private Resolver, Bastion)를 둡니다. 보통 connectivity 구독에 있습니다.
• 스포크 VNet: 워크로드마다 하나씩. 허브와만 피어링하고 스포크끼리는 피어링하지 않습니다.
• UDR: 스포크 서브넷의 0.0.0.0/0 과 다른 스포크 대역을 허브 방화벽의 사설 IP 로 보냅니다. 피어링은 전이되지 않으므로 이 경로가 스포크 간 통신의 길이 됩니다.
• 게이트웨이 전송: 허브 피어링에 "게이트웨이 전송 허용", 스포크에 "원격 게이트웨이 사용" 을 켜야 스포크가 온프레미스 경로를 받습니다.

관리할 허브가 많거나 지사가 많으면 Microsoft 가 허브를 관리하는 Virtual WAN 을 고려합니다. 라우팅 의도(routing intent)로 허브 방화벽 경유를 정책으로 정할 수 있습니다. 대신 허브 안을 세밀하게 손대기는 어렵습니다.

Azure Firewall

규칙은 방화벽 정책(Firewall Policy) 으로 관리합니다. 규칙 컬렉션 그룹 안에서 DNAT, 네트워크, 애플리케이션 규칙 순서로 처리되고, 같은 종류 안에서는 우선순위 숫자가 낮은 것부터 봅니다. 상위 정책(부모)을 두고 지역, 환경별 하위 정책이 상속받게 할 수 있습니다.

az network firewall policy rule-collection-group collection add-filter-collection \
  -g rg-conn-prod --policy-name fwp-hub-krc --rcg-name rcg-app --name allow-pkg \
  --collection-priority 200 --action Allow --rule-type ApplicationRule --rule-name ubuntu \
  --protocols Https=443 --source-addresses 10.1.0.0/20 \
  --target-fqdns "*.ubuntu.com" "packages.microsoft.com"

• FQDN 기반 네트워크 규칙은 방화벽의 DNS 프록시를 켜고, 클라이언트가 방화벽을 DNS 로 써야 정확합니다.
• 방화벽 서브넷 AzureFirewallSubnet 은 /26 이고 다른 리소스를 둘 수 없습니다.
• 영역 중복으로 배포하고, 진단 설정에서 리소스별 테이블(AZFWApplicationRule, AZFWNetworkRule)로 Log Analytics 에 보냅니다.
• 비용은 배포 시간당 요금 + 처리 GB 요금입니다. 개발 허브의 방화벽을 밤에 할당 해제(stop)하는 스크립트도 흔히 씁니다.

강제 터널링

인터넷으로 나가는 트래픽을 온프레미스 방화벽으로 보내야 하는 규제 환경은 강제 터널링 모드로 배포합니다. 이때 방화벽 관리 트래픽용 AzureFirewallManagementSubnet 과 관리용 공용 IP 가 추가로 필요합니다. 나중에 바꾸려면 재배포가 필요할 수 있으니 설계 단계에서 결정합니다.

VPN Gateway

SKU 변화 (2026-10 기준)

• 영역이 없는 non-AZ SKU(VpnGw15)는 2024-09 에 사용 중단이 발표되었고 2026-09-30 퇴역이 공지되었습니다. AZ SKU(VpnGw1AZ5AZ)로 SKU 를 바꿔야 하며, Microsoft 문서는 포털에서 다운타임 없이 바꿀 수 있다고 안내합니다.
• Basic 공용 IP 를 쓰는 게이트웨이는 Standard 공용 IP 로 옮기는 마이그레이션 기능이 2026년에 순차 GA 되었습니다. 기존 IP 는 유지되지만 최대 10분 정도 중단이 있을 수 있습니다.
• 예전 Standard, HighPerformance SKU 도 퇴역 일정에 있으므로 아직 쓰고 있다면 VPN Gateway 의 "What's new" 페이지에서 날짜를 확인합니다.

게이트웨이 서브넷 GatewaySubnet 은 /27 이상으로 만들고 NSG 를 붙이지 않습니다. BGP 를 켜면 경로가 자동으로 교환되어 UDR 관리가 쉬워집니다.

ExpressRoute

ExpressRoute 는 통신사(연결 공급자)를 통해 Microsoft 네트워크와 전용 회선으로 잇는 서비스입니다. 인터넷을 거치지 않아 대역폭과 지연이 안정적입니다.

• 회선은 두 개의 연결(기본, 보조)로 중복 구성되지만 같은 피어링 위치입니다. 위치 장애까지 대비하려면 다른 피어링 위치에 두 번째 회선을 둡니다(최대 복원력 구성).
• Local SKU 는 피어링 위치와 같은 지역의 Azure 리전에만 닿는 대신 아웃바운드 데이터 요금이 포함됩니다. 국내 리전만 쓰면 비용상 유리할 수 있으니 공급자와 확인합니다.
• ExpressRoute 는 기본적으로 암호화되지 않습니다. 필요하면 회선 위에 IPsec(VPN over ExpressRoute)이나 MACsec(Direct)을 씁니다.
• VPN 을 ExpressRoute 의 백업 경로로 같이 두는 구성이 흔합니다. BGP 로 ExpressRoute 경로가 우선되게 합니다.

흔한 실수

공식 문서

• Hub-spoke network topology in Azure
• Azure Firewall features by SKU
• What's new in Azure VPN Gateway?
• ExpressRoute overview