VNet, 서브넷, NSG (주소 계획과 트래픽 제어)

VNet 기본

VNet 은 한 리전, 한 구독 안의 사설 네트워크입니다. 주소 공간(예: 10.10.0.0/16)을 정하고 서브넷으로 나눕니다.

• VNet 안의 서브넷끼리는 기본으로 서로 통신합니다. 막으려면 NSG 를 씁니다.
• 주소 공간은 온프레미스, 다른 VNet 과 겹치지 않게 회사 전체 IP 계획에서 받습니다. 겹치면 피어링과 VPN 연결을 할 수 없습니다.
• VNet 은 리전을 넘지 못합니다. 리전 간 연결은 피어링(전역 피어링)이나 Virtual WAN 으로 합니다.

서브넷과 예약 IP

모든 서브넷에서 Azure 가 5개 IP 를 예약합니다. 첫 번째 주소(네트워크), 다음 3개(게이트웨이와 Azure DNS 용), 마지막 주소(브로드캐스트)입니다. /29 서브넷은 8개 중 3개만 쓸 수 있습니다.

전용 서브넷이 필요한 서비스가 많습니다.

서브넷 크기는 나중에 키우기 어려운 경우가 많습니다(사용 중인 서브넷은 주소 변경 제약). 처음부터 여유 있게, 하지만 회사 IP 계획을 낭비하지 않게 잡습니다.

VNet 피어링

피어링은 두 VNet 을 Microsoft 백본으로 직접 잇습니다. 지연이 낮고 같은 리전 안 피어링 트래픽도 GB 당 요금이 붙습니다.

• 전이되지 않습니다. A 와 B, B 와 C 가 피어링되어도 A 와 C 는 통신하지 않습니다. 허브 스포크에서는 허브의 방화벽(또는 NVA)과 UDR 로 스포크끼리 이어 줍니다 (허브 스포크).
• 허브의 VPN 게이트웨이를 스포크가 쓰려면 허브 쪽에 "게이트웨이 전송 허용", 스포크 쪽에 "원격 게이트웨이 사용" 을 켭니다.

NSG (네트워크 보안 그룹)

NSG 는 서브넷이나 NIC 에 붙이는 상태 저장(stateful) L4 방화벽입니다.

• 규칙은 우선순위 숫자가 낮은 것부터 평가되고, 처음 맞는 규칙에서 멈춥니다(100~4096).
• 기본 규칙(65000 대)이 있습니다. 인바운드는 VNet 내부와 Azure Load Balancer 프로브를 허용하고 나머지는 거부, 아웃바운드는 VNet 내부와 인터넷을 허용합니다.
• 서브넷과 NIC 둘 다 NSG 가 있으면 둘 다 통과해야 합니다. 인바운드는 서브넷 NSG 다음 NIC NSG, 아웃바운드는 반대 순서입니다.
• 상태 저장이므로 허용된 연결의 응답 트래픽은 따로 규칙이 필요 없습니다.

az network nsg rule create -g rg-shop-prod --nsg-name nsg-snet-web -n allow-https-from-agw \
  --priority 200 --direction Inbound --access Allow --protocol Tcp \
  --source-address-prefixes 10.10.10.0/24 --destination-port-ranges 443

# 인터넷으로 나가는 것을 막고 Azure 서비스 일부만 허용 (서비스 태그)
az network nsg rule create -g rg-shop-prod --nsg-name nsg-snet-web -n allow-storage-krc \
  --priority 300 --direction Outbound --access Allow --protocol Tcp \
  --destination-address-prefixes Storage.KoreaCentral --destination-port-ranges 443

서비스 태그(Storage.KoreaCentral, AzureMonitor, AzureActiveDirectory)는 Microsoft 가 관리하는 IP 목록이고, ASG(애플리케이션 보안 그룹) 는 "웹 서버들" 같은 VM 묶음 이름입니다. IP 대신 이름으로 규칙을 쓰면 VM 이 늘어도 규칙을 안 고쳐도 됩니다.

NSG 흐름 로그는 VNet 흐름 로그로 넘어가는 중이므로, 새 구성은 VNet 흐름 로그와 트래픽 분석을 씁니다.

경로: 시스템 경로와 UDR

Azure 는 VNet 내부, 피어링, 게이트웨이, 인터넷(0.0.0.0/0)으로 가는 시스템 경로를 자동으로 만듭니다. 바꾸려면 경로 테이블(UDR) 을 서브넷에 붙입니다.

az network route-table route create -g rg-shop-prod --route-table-name rt-spoke -n default-to-fw \
  --address-prefix 0.0.0.0/0 --next-hop-type VirtualAppliance --next-hop-ip-address 10.0.0.4

• 가장 구체적인(접두사가 긴) 경로가 이깁니다. 같은 길이면 UDR, BGP, 시스템 경로 순입니다.
• NIC 의 유효 경로(Effective routes) 를 보면 실제로 어떤 경로가 적용되는지 알 수 있습니다. 통신 문제의 첫 확인 항목입니다.
• 방화벽으로 보내는 UDR 을 Private Endpoint 서브넷에도 적용하려면 서브넷의 Private Endpoint 네트워크 정책을 켭니다.

아웃바운드와 프라이빗 서브넷

2026-03-31 이후 API 버전부터 새 VNet 의 서브넷은 기본이 프라이빗(defaultOutboundAccess: false)이어서 VM 이 몰래 받던 기본 아웃바운드 IP 가 없습니다. 인터넷으로 나가야 하면 다음 중 하나를 명시합니다.

프라이빗 서브넷에서는 다음 홉이 Internet 인 UDR 도 동작하지 않으므로 기존 템플릿을 새 API 버전으로 올릴 때 확인합니다. 자세한 영향은 VM 문서에 있습니다.

진단 도구

공식 문서

• Azure Virtual Network overview
• Network security groups
• Virtual network traffic routing