Site-to-Site 가속 VPN 연결 문제를 어떻게 해결합니까?

3분 분량

AWS Site-to-Site 가속 VPN 연결 문제를 해결하고 싶습니다.

해결 방법

참고: Site-to-Site VPN은 전송 게이트웨이에 연결하는 경우에만 가속화를 지원합니다. 가상 프라이빗 게이트웨이와 AWS Direct Connect 퍼블릭 가상 인터페이스는 VPN 가속 연결을 지원하지 않습니다.

방화벽 구성 요구 사항 확인

방화벽 구성이 모든 요구 사항을 충족하는지 확인합니다. 자세한 내용은 AWS Site-to-Site VPN 고객 게이트웨이 디바이스의 방화벽 규칙을 참조하십시오.

고객 게이트웨이 디바이스에서 NAT 탐색 활성화 확인

Site-to-Site 가속 VPN 연결을 위해서는 NAT 탐색이 필요합니다. 고객 게이트웨이 디바이스에는 NAT 탐색이 기본적으로 활성화됩니다. Amazon Virtual Private Cloud(Amazon VPC) 콘솔에서 구성 파일을 다운로드한 경우 고객 게이트웨이 디바이스의 NAT 탐색 설정을 확인하십시오. NAT 탐색이 활성화되지 않은 경우 활성화하십시오.

참고: 고객 게이트웨이 디바이스에서 NAT 탐색을 비활성화하면 터널이 연결을 설정합니다. 하지만 보안 페이로드를 캡슐화하면 트래픽이 감소하고 데이터가 터널을 통과하지 못합니다. 자세한 내용은 AWS Site-to-Site VPN 고객 게이트웨이 디바이스를 참조하십시오.

수명 파라미터가 일치하는지 확인

Site-to-Site VPN 연결을 가속화하려면 고객 게이트웨이 디바이스에서 Site-to-Site VPN 연결을 시작하고 키를 교환해야 합니다. AWS는 Site-to-Site 가속 VPN 엔드포인트에 대한 연결을 시작하지 않습니다.

키 교환 시 터널 중단을 방지하려면 인터넷 키 교환(IKE) 터널의 수명 파라미터가 Site-to-Site VPN 설정과 일치해야 합니다. 기본적으로 Site-to-Site VPN의 IKE 터널 설정은 다음과 같습니다.

1단계의 경우 28,800초(8시간)
2단계의 경우 3,600초(1시간)

파라미터가 일치하지 않는 경우 IKE 터널 파라미터와 일치하도록 Site-to-Site VPN 파라미터를 변경하십시오.

Global Accelerator와의 연결 호환성 확인

AWS Global Accelerator는 제한된 패킷 조각화를 지원합니다. Site-to-Site VPN 연결이 인증서 기반 인증을 사용하는 경우 Global Accelerator와 호환되지 않을 수 있습니다.

고객 게이트웨이 디바이스에서 최대 전송 단위(MTU) 값을 1,399바이트 이하로 설정하고 TCP 최대 세그먼트 크기(MSS) 클램핑을 구성합니다. 자세한 내용은 AWS Site-to-Site VPN 고객 게이트웨이 디바이스에 대한 모범 사례를 참조하십시오.

Site-to-Site 가속 VPN 연결이 인증서 기반 인증을 사용해야 하는 경우 고객 게이트웨이 디바이스가 IKE 조각화를 지원해야 합니다. 고객 게이트웨이 디바이스의 설명서를 검토하여 IKE 조각화를 지원하는지 확인하십시오. 설명서가 명확하지 않은 경우 고객 게이트웨이 디바이스 공급업체에 문의하십시오. 고객 게이트웨이 디바이스가 IKE 조각화를 지원하지 않는 경우 Site-to-Site VPN 연결에 대한 가속화를 활성화하지 마십시오. 자세한 내용은 AWS Global Accelerator 작동 방식을 참조하십시오.

올바른 Global Accelerator 엔드포인트를 사용하고 있는지 확인

Global Accelerator는 AWS 글로벌 네트워크 인프라를 통해 트래픽을 라우팅하고, AWS 엣지 네트워크가 고정 진입점으로 애니캐스트하는 고정 IP 주소를 제공합니다. 최적이 아닌 엔드포인트에 연결하면 지연 시간과 왕복 시간이 늘어납니다. 자세한 내용은 AWS Global Accelerator 구성 요소를 참조하십시오.

Global Accelerator 엔드포인트를 확인하려면 Site-to-Site VPN 연결에서 사용하는 퍼블릭 IP 주소에서 Global Accelerator 진단을 확인하십시오. Location(위치)을 검토합니다. 지리적으로 가까운 Location(위치)이 먼 위치보다 더 적합합니다. 엔드포인트가 최적이 아닌 경우 더 높은 트래픽 다이얼 비율을 사용하도록 엔드포인트 그룹을 업데이트하고 상태 확인을 올바르게 구성했는지 확인합니다.

Global Accelerator 엔드포인트에 대한 경로 세부 정보 확인

인터넷 서비스 제공업체(ISP)가 최적이 아닌 경로를 통해 트래픽을 라우팅하여 Global Accelerator 엔드포인트에 도달하는 경우 지연 시간이 발생합니다. traceroute 명령을 사용하여 엔드포인트에 대한 경로와 지연 시간을 확인합니다.

Windows의 경우:

tracert Example_VPN_Global_Accelerator_endpoint_IP_address

Linux의 경우:

traceroute Example_VPN_Global_Accelerator_endpoint_IP_address

참고: Example_VPN_Global_Accelerator_endpoint_IP_address를 Site-to-Site VPN 연결의 Global Accelerator 엔드포인트 IP 주소로 바꾸십시오.

출력에 경로 문제를 나타내는 예상치 못한 라우팅 또는 지연 시간이 긴 홉이 있는지 검토합니다.

가속화를 올바르게 구성했는지 확인

기존 Site-to-Site VPN 연결의 가속을 활성화하거나 비활성화할 수 없습니다. 가속을 활성화하려면 다음 단계를 완료하십시오.

요구 사항에 맞게 구성된 새 Site-to-Site VPN 연결을 만듭니다. 그런 다음 Enable acceleration(가속화 활성화)을 선택합니다.
새 Site-to-Site VPN 연결을 사용하도록 고객 게이트웨이 디바이스를 구성합니다.
이전 Site-to-Site VPN 연결을 삭제합니다.