Site-to-Site VPN이 다운된 이유는 무엇인가요?

해결 방법

VPN 터널의 상태를 확인합니다. 인터넷 키 교환(IKE)/1단계와 인터넷 프로토콜 보안(IPsec)/2단계의 상태가 모두 UP인 경우에만 VPN 터널의 상태가 UP입니다. 동적 VPN의 경우 Border Gateway Protocol(BGP)의 상태도 UP이어야 합니다. VPN이 IKE/1단계 연결을 설정했더라도 IPsec/2단계 연결 상태가 DOWN이면 VPN 터널의 상태도 DOWN입니다.

터널 상태가 UP이지만 연결을 통해 트래픽이 전달되지 않는 경우 라우팅 문제를 해결하세요.

터널 상태가 DOWN인 경우 다음 단계를 수행하세요.

1. 고객 게이트웨이 디바이스의 원격 피어 IP 주소가 VPN 엔드포인트의 외부 퍼블릭 IP 주소와 일치하는지 확인하세요. 자세한 내용은 Site-to-Site VPN 터널 옵션 수정을 참조하세요.
2. NAT 디바이스를 사용하는 경우 AWS에 설정된 퍼블릭 IP 주소를 기록해 두세요. 그런 다음 해당 퍼블릭 IP 주소가 고객 게이트웨이 디바이스 또는 해당 디바이스의 광역 네트워크(WAN) 인터페이스의 퍼블릭 IP 주소와 일치하는지 확인하세요. 자세한 내용은 Site-to-Site VPN 연결을 위한 고객 게이트웨이 옵션을 참조하세요.
3. VPN 엔드포인트가 고객 게이트웨이 디바이스와 연결되는지 확인하세요. 그런 다음 고객 게이트웨이 디바이스에서 엔드포인트의 외부 퍼블릭 IP 주소 또는 WAN 인터페이스로 ping을 보냅니다.
4. 방화벽 정책이 UDP(사용자 데이터그램 프로토콜) 포트 500을 통해 AWS VPN 엔드포인트와 주고받는 아웃바운드 및 인바운드 트래픽을 허용하는지 확인하세요. 자세한 내용은 AWS Site-to-Site VPN 고객 게이트웨이 디바이스의 방화벽 규칙을 참조하세요.
   참고: 고객 게이트웨이가 NAT 디바이스 뒤에 있는 경우 이 정책은 UDP 포트 4500의 아웃바운드 및 인바운드 트래픽에 적용됩니다.
5. 네트워크 주소 변환(NAT) 트래버설을 사용하는 경우 경로상의 인터넷 서비스 제공업체(ISP)가 UDP 포트 500 또는 4500을 통한 트래픽을 허용하는지 확인하세요.
6. AWS 측과 고객 게이트웨이 디바이스에 구성된 IKE 버전이 일치하는지 확인하세요.
7. 고객 게이트웨이와 AWS에 설정된 1단계 및 2단계 파라미터가 일치하는지 확인하세요. 자세한 내용은 Site-to-Site VPN 연결을 위한 터널 옵션을 참조하세요.
8. AWS Management Console에서 VPC를 선택하세요.
9. VPN을 선택하세요. 그런 다음 Site-to-Site VPN 연결을 선택하세요.
10. 구성 다운로드를 선택한 다음 구성 파일에 있는 사전 공유 키를 기록해 두세요. 그런 다음 구성 파일을 사용하여 AWS와 고객 게이트웨이 디바이스의 키가 일치하는지 확인하세요. 자세한 내용은 AWS Site-to-Site VPN 고객 게이트웨이 디바이스의 정적 및 동적 구성 파일을 참조하세요.
11. Site-to-Site VPN 로그를 검토하여 연결을 방해하는 오류가 있는지 확인하세요. BGP를 사용하는 경우 AWS Site-to-Site VPN 로그 활성화의 기존 Site-to-Site VPN 연결에서 터널 BGP 로깅을 활성화하려면 섹션에 있는 단계를 수행하세요. 그런 다음 BGP 로그에서 확인한 내용을 바탕으로 Site-to-Site VPN 터널 오류를 해결하세요.
12. BGP를 사용하는 경우 BGP 연결 오류를 해결하세요.
13. VPN 연결이 인증서 기반인 경우 고객 게이트웨이에 유효하고 올바른 인증서가 있는지 확인하세요.
    참고: 인증서에는 프라이빗 인증서, 루트 인증 기관(CA) 인증서 및 하위 CA 인증서가 포함되어야 합니다.
14. 시작 동작이 Start로 설정되어 있고 인증서 기반 VPN을 사용하는지 확인하세요. 그런 다음 고객 게이트웨이의 퍼블릭 IP 주소가 AWS의 고객 게이트웨이 리소스에 정의된 퍼블릭 IP 주소와 일치하는지 확인하세요.
    참고: 이 구성에서는 AWS가 IKE 협상이나 키 갱신을 시작하지 않습니다. 대신 고객 게이트웨이가 IKE 협상과 키 갱신을 시작합니다. 자세한 내용은 규칙 및 제한을 참조하세요.
15. 인증서 기반 인증을 사용하는 가속 VPN을 사용하는 경우 고객 게이트웨이가 IKE 단편화를 지원하는지 확인하세요.
16. 동적 VPN을 사용하는 경우 고객 게이트웨이 디바이스에서 내부 IP 주소를 올바르게 구성했는지 확인하세요. 그런 다음 고객 게이트웨이 디바이스에서 IPsec과 BGP의 상태가 모두 UP인지 확인하세요.
17. Site-to-Site VPN 연결을 테스트하세요.