AWS VPN 무중단 운영: BGP와 Lifecycle Control로 장애 예방

AWS Site-to-Site VPN에서 Static 라우팅은 터널의 실제 상태를 인지하지 못해, 유지보수 시 터널 다운 시에도 경로가 변경되지 않아 블랙홀(Blackhole) 트래픽을 유발합니다. 반면 BGP(Border Gateway Protocol)는 동적 라우팅 프로토콜로서, 터널 장애 감지 시 BGP Hold Timer에 의해 최대 30초 이내에 경로를 자동 전환하여 서비스 연속성을 확보합니다. 특히 AWS 측에서 유지보수 시, BGP는 MED 속성을 활용하여 트래픽을 다른 가용 터널로 선제 전환한 후 유지보수를 진행하므로, 예정된 유지보수 중에도 서비스 중단 없는 전환이 가능합니다. 이는 Static 라우팅 환경에서는 기대하기 어려운 결과입니다.

기본적으로 AWS는 터널 엔드포인트 유지보수 시점을 임의로 결정하지만, Tunnel Endpoint Lifecycle Control 기능을 활성화하면 운영자가 유지보수 시점을 직접 제어할 수 있습니다. 이를 통해 업무 시간 외 또는 트래픽이 적은 시간대에 유지보수를 수행하여 서비스 영향을 최소화할 수 있습니다. 또한, AWS Health Dashboard를 통해 유지보수 알림을 사전에 수신하고, 필요시 Skip tunnel replacement 옵션을 사용하여 즉각적인 엔드포인트 교체를 연기할 수 있습니다. 이 기능은 BGP와 함께 사용될 때, 서비스 영향 없이 투명한 터널 교체를 가능하게 하는 핵심 요소입니다.

실제 테스트 결과, BGP와 Lifecycle Control을 함께 사용한 환경에서 터널 교체 시 총 패킷 손실 0회를 달성했습니다. AWS는 터널 교체 전 MED 값을 높여 트래픽을 다른 터널로 선제 전환한 뒤 엔드포인트를 교체하고, 완료 후 MED를 복원하는 과정을 거쳤습니다. 이 과정에서 터널 다운 및 BGP 세션 재설정까지 약 3~4분 소요되었으나, MED 기반의 선제 트래픽 전환 덕분에 서비스 중단 없이 완료되었습니다. 이는 두 터널을 순차적으로 교체하고 각 터널의 복구를 확인하는 절차를 준수했을 때 가능한 결과입니다.

AWS Site-to-Site VPN은 터널 유지보수 시 BGP MED(Multi-Exit Discriminator) 속성을 활용하여 트래픽 경로를 제어합니다. 유지보수가 필요한 터널의 MED 값을 높여, 고객 게이트웨이 라우터가 해당 터널보다 우선순위가 낮은 다른 가용 터널로 트래픽을 자동 전환하도록 유도합니다. 이 과정은 터널 엔드포인트가 실제로 교체되기 전에 발생하므로, 트래픽 손실 없이 경로 전환이 이루어집니다. 따라서 고객 게이트웨이에서는 BGP 설정 시 MED 값보다 높은 우선순위를 갖는 Weight, Local Preference, AS-Prepend 등의 속성 사용을 지양하는 것이 권장됩니다.

AWS Site-to-Site VPN 환경에서 BGP를 사용할 때, 고객 게이트웨이(CGW) 라우터 설정은 AWS의 MED 기반 경로 제어를 방해하지 않도록 구성해야 합니다. 특히, Local Preference, AS-Path Prepending, Weight와 같이 MED보다 우선순위가 높은 BGP 속성을 수정하면 AWS의 의도대로 트래픽이 전환되지 않아 예상치 못한 장애가 발생할 수 있습니다. 또한, 두 터널 간의 BGP Weight 또는 Local Preference 값을 동일하게 설정해야 AWS의 MED 시그널이 정상적으로 동작하여 Failover가 원활하게 이루어집니다. 이는 양방향 무중단 Failover 보장을 위한 필수적인 고려사항입니다.