TLS 핸드셰이크 오류를 해결하기 위해 Client VPN 엔드포인트 인증서를 교체하려면 어떻게 해야 합니까?

해결 방법

참고: AWS Command Line Interface(AWS CLI) 명령을 실행할 때 오류가 발생하면 AWS CLI의 오류 해결을 참조하십시오. 또한 최신 AWS CLI 버전을 사용하고 있는지 확인하십시오.

VPN 클라이언트 엔드포인트 인증서가 만료되면 보안 TLS 세션이 엔드포인트와 일치하지 않아 클라이언트가 연결을 설정할 수 없습니다. 그러면 Client VPN에서 TLS 핸드셰이크 오류를 표시합니다.

만료된 엔드포인트 인증서 확인

AWS Certificate Manager(ACM) 콘솔을 엽니다. 현재 인증서를 검토하고 Client VPN 엔드포인트에서 사용하는 만료된 모든 인증서의 ID를 기록해 둡니다.

새 인증서 다시 생성

현재 퍼블릭 키 인프라(PKI) 환경에 액세스할 수 있는 경우 AWS Client VPN의 기존 서버 인증서를 갱신하십시오. PKI 환경에는 인증 기관, 서버 인증서 및 클라이언트 인증서가 포함되어야 합니다.

기존 PKI 환경에 액세스할 수 없는 경우 인증서를 다시 생성하여 새 인증 기관을 만드십시오. .crt로 끝나는 파일 형식에는 인증서 본문이 포함되고 키 파일에는 인증서 프라이빗 키가 포함되며, ca.crt 파일에는 인증서 체인이 포함됩니다.

인증서를 다시 생성하려면 AWS Client VPN의 상호 인증 활성화를 참조하십시오. 마지막 단계에서는 import-certificate AWS CLI 명령을 실행하여 재생성한 인증서를 다시 가져옵니다.

aws acm import-certificate \  
--certificate fileb://server.crt \  
--private-key fileb://server.key \  
--certificate-chain fileb://ca.crt \  
--certificate-arn arn:aws:acm:region:123456789012:certificate/12345678-1234-1234-1234-12345678901

Client VPN에서 사용하는 인증서를 업데이트하면 서비스가 새 인증서를 통해 Client VPN 엔드포인트를 자동으로 업데이트합니다. 이 프로세스는 최대 24시간이 걸릴 수 있습니다.

업데이트를 즉시 적용하려면 Client VPN 엔드포인트에서 대상 네트워크를 분리한 다음, 대상 네트워크를 다시 연결합니다. 대상 네트워크의 연결을 해제하면 수동으로 추가한 모든 경로가 엔드포인트의 라우팅 테이블에서 제거됩니다.

대상 네트워크를 다시 연결한 후에는 Client VPN 엔드포인트 경로를 다시 생성해야 합니다.

새 Client VPN 엔드포인트 구성 파일 다운로드

새 Client VPN 엔드포인트 구성 파일을 다운로드하려면 다음 단계를 완료하십시오.

1. Amazon Virtual Private Cloud(Amazon VPC) 또는 AWS CLI를 사용하여 AWS Client VPN 클라이언트 구성 파일을 내보냅니다.
2. 다운로드한 .ovpn 구성 파일에 AWS Client VPN 클라이언트 인증서와 키 정보를 추가합니다.

관련 정보

AWS Client VPN의 클라이언트 인증