# AWS CLI 설치 확인
aws --version
# aws-cli/2.x.x Python/3.x.x ...

# 자격 증명 설정 확인
aws sts get-caller-identity
# {
#   "Account": "123456789012",
#   "Arn": "arn:aws:iam::123456789012:user/myuser"
# }

# 리전 설정 (서울)
export AWS_DEFAULT_REGION=ap-northeast-2

# 현재 계정의 모든 VPC 조회
aws ec2 describe-vpcs \
  --query 'Vpcs[*].{VpcId:VpcId,CIDR:CidrBlock,Name:Tags[?Key==`Name`]|[0].Value,Default:IsDefault}' \
  --output table

# 출력 예시:
# ---------------------------------------------------------------
# |                       DescribeVpcs                          |
# +---------------+-----------------+-----------------+---------+
# |     CIDR      |    Default      |      Name       |  VpcId  |
# +---------------+-----------------+-----------------+---------+
# |  10.0.0.0/16  |  False          |  prod-vpc       |  vpc-abc|
# |  172.31.0.0/16|  True           |  None           |  vpc-xyz|
# +---------------+-----------------+-----------------+---------+

# VPC_ID 변수 설정
VPC_ID="vpc-0abc1234def56789"

# 해당 VPC의 서브넷 목록
aws ec2 describe-subnets \
  --filters "Name=vpc-id,Values=${VPC_ID}" \
  --query 'Subnets[*].{SubnetId:SubnetId,CIDR:CidrBlock,AZ:AvailabilityZone,Name:Tags[?Key==`Name`]|[0].Value,MapPublicIP:MapPublicIpOnLaunch}' \
  --output table

# MapPublicIpOnLaunch=True이면 Public Subnet 가능성 높음
# (Route Table 확인이 최종 판단 기준)

# 서브넷별 Route Table 연결 확인
aws ec2 describe-route-tables \
  --filters "Name=vpc-id,Values=${VPC_ID}" \
  --query 'RouteTables[*].{RTId:RouteTableId,Routes:Routes[*].{Dest:DestinationCidrBlock,Target:GatewayId || NatGatewayId}}' \
  --output json

# IGW 경로 있는 Route Table → Public
# NAT GW 경로 있는 Route Table → Private (아웃바운드 가능)
# 0.0.0.0/0 경로 없는 Route Table → 완전 격리 Private

# 특정 서브넷의 Route Table 직접 확인
SUBNET_ID="subnet-0abc1234"
aws ec2 describe-route-tables \
  --filters "Name=association.subnet-id,Values=${SUBNET_ID}" \
  --query 'RouteTables[*].Routes'

# 특정 Security Group 규칙 상세 조회
SG_ID="sg-0abc1234def56789"
aws ec2 describe-security-groups \
  --group-ids ${SG_ID} \
  --query 'SecurityGroups[0].{
    Name:GroupName,
    Inbound:IpPermissions[*].{
      Protocol:IpProtocol,
      FromPort:FromPort,
      ToPort:ToPort,
      CIDR:IpRanges[*].CidrIp
    },
    Outbound:IpPermissionsEgress[*].{
      Protocol:IpProtocol,
      FromPort:FromPort,
      ToPort:ToPort,
      CIDR:IpRanges[*].CidrIp
    }
  }' \
  --output json

# 인스턴스의 VPC/서브넷/SG/IP 정보 한번에 확인
INSTANCE_ID="i-0abc1234def56789"
aws ec2 describe-instances \
  --instance-ids ${INSTANCE_ID} \
  --query 'Reservations[0].Instances[0].{
    InstanceId:InstanceId,
    State:State.Name,
    PrivateIP:PrivateIpAddress,
    PublicIP:PublicIpAddress,
    VpcId:VpcId,
    SubnetId:SubnetId,
    SecurityGroups:SecurityGroups[*].GroupId
  }' \
  --output json

# PublicIP가 null이고 SubnetId가 Private Subnet이면
# 이 인스턴스는 인터넷에서 직접 접근 불가

# 1. Public Subnet ID 확인 (NAT GW는 여기에 배치)
aws ec2 describe-subnets \
  --filters "Name=vpc-id,Values=${VPC_ID}" \
            "Name=tag:Name,Values=*public*" \
  --query 'Subnets[*].{SubnetId:SubnetId,Name:Tags[?Key==`Name`]|[0].Value}'

# 2. Elastic IP 할당 (NAT GW에 연결할 공인 IP)
aws ec2 allocate-address --domain vpc
# {
#   "AllocationId": "eipalloc-0abc1234",
#   "PublicIp": "3.34.xx.xx"
# }
EIP_ALLOC_ID="eipalloc-0abc1234"
PUBLIC_SUBNET_ID="subnet-0abc1234"

# NAT Gateway 생성 (Public Subnet에)
aws ec2 create-nat-gateway \
  --subnet-id ${PUBLIC_SUBNET_ID} \
  --allocation-id ${EIP_ALLOC_ID} \
  --tag-specifications 'ResourceType=natgateway,Tags=[{Key=Name,Value=prod-nat-gw}]'

# 출력에서 NatGatewayId 저장
NAT_GW_ID="nat-0abc1234def56789"

# NAT Gateway 상태 확인 (available 될 때까지 대기, 약 1-2분 소요)
aws ec2 describe-nat-gateways \
  --nat-gateway-ids ${NAT_GW_ID} \
  --query 'NatGateways[0].State'
# "available"

# Private Subnet Route Table에 NAT GW 경로 추가
PRIVATE_RT_ID="rtb-private0abc1234"
aws ec2 create-route \
  --route-table-id ${PRIVATE_RT_ID} \
  --destination-cidr-block 0.0.0.0/0 \
  --nat-gateway-id ${NAT_GW_ID}
# { "Return": true }

# Private 인스턴스에 Bastion Host를 통해 접속 후
# (또는 SSM Session Manager 사용)

# 인터넷 연결 테스트
ping -c 3 8.8.8.8
# PING 8.8.8.8: 56 bytes of data.
# 64 bytes from 8.8.8.8: icmp_seq=1 ttl=117 time=1.5 ms

# DNS 해석 테스트
ping -c 3 google.com
# PING google.com (142.250.x.x)

# yum 업데이트 테스트
sudo yum update -y
# Loaded plugins: amazon-id, instance-id
# Resolving Dependencies...

# curl로 외부 연결 테스트
curl -I https://aws.amazon.com
# HTTP/2 200

# 로컬 PC에서 Bastion Host를 통해 Private 인스턴스로 SSH 점프
# ~/.ssh/config 설정
cat >> ~/.ssh/config << 'EOF'
Host bastion
  HostName 3.34.xx.xx        # Bastion Host 공인 IP
  User ec2-user
  IdentityFile ~/.ssh/my-key.pem

Host private-app
  HostName 10.0.11.10        # Private 인스턴스 사설 IP
  User ec2-user
  IdentityFile ~/.ssh/my-key.pem
  ProxyJump bastion
EOF

# SSH 접속 (자동으로 Bastion 경유)
ssh private-app

# CloudWatch Logs 그룹 생성
aws logs create-log-group --log-group-name /vpc/flow-logs

# IAM 역할 ARN 확인 (Flow Logs용)
FLOW_LOG_ROLE_ARN="arn:aws:iam::123456789012:role/VPCFlowLogsRole"

# VPC Flow Logs 활성화
aws ec2 create-flow-logs \
  --resource-type VPC \
  --resource-ids ${VPC_ID} \
  --traffic-type ALL \
  --log-destination-type cloud-watch-logs \
  --log-group-name /vpc/flow-logs \
  --deliver-logs-permission-arn ${FLOW_LOG_ROLE_ARN}

# Flow Log 레코드 형식:
# version account-id interface-id srcaddr dstaddr srcport dstport protocol packets bytes start end action log-status

# 예시 레코드 해석:
# 2 123456789012 eni-abc123 203.0.113.1 10.0.1.10 54321 443 6 10 4096 1620000000 1620000060 ACCEPT OK
#   ↑ ACCEPT: Security Group/NACL에서 허용된 트래픽

# 2 123456789012 eni-abc123 192.168.1.1 10.0.1.10 12345 22  6 5  2048 1620000000 1620000060 REJECT OK
#   ↑ REJECT: Security Group/NACL에서 차단된 트래픽

# CloudWatch Insights 쿼리로 거부된 트래픽 분석
aws logs start-query \
  --log-group-name /vpc/flow-logs \
  --start-time $(date -d '1 hour ago' +%s) \
  --end-time $(date +%s) \
  --query-string 'fields @timestamp, srcAddr, dstAddr, dstPort, action
    | filter action = "REJECT"
    | stats count(*) as rejectCount by srcAddr, dstPort
    | sort rejectCount desc
    | limit 20'

# 8080 포트로 들어오는 트래픽이 거부되는지 확인
aws logs filter-log-events \
  --log-group-name /vpc/flow-logs \
  --filter-pattern '[version, accountId, interfaceId, srcAddr, dstAddr, srcPort, dstPort="8080", protocol, packets, bytes, startTime, endTime, action="REJECT", logStatus]' \
  --start-time $(($(date +%s) - 3600))000 \
  --query 'events[*].message'