Site-to-Site VPN의 IPsec/Phase 2가 연결을 설정하지 못하는 이유는 무엇인가요?

2분 분량

AWS Site-to-Site VPN 연결을 설정하면 인터넷 프로토콜 보안(IPsec)/Phase 2가 실패합니다.

해결 방법

IPsec/Phase 2 연결이 실패하면 다음 작업을 실행하십시오.

고객 게이트웨이 디바이스의 Site-to-Site VPN Phase 2 파라미터가 VPN의 터널 설정과 일치해야 합니다.
참고: VPN의 구성 예시 파일을 다운로드한 다음 해당 파일을 고객 게이트웨이의 터널 설정과 비교해 볼 수 있습니다. 단, VPN 터널에 사용자 지정 설정이 있는 경우, 구성 예시 파일이 VPN 터널의 Phase 2 파라미터와 일치하지 않을 수 있습니다.
인터넷 키 교환(IKE) v1 및 IKEv2의 Phase 2 파라미터가 고객 게이트웨이 디바이스의 모범 사례를 따르는지 확인하십시오.
다음은 모범 사례를 따르는 파라미터의 예시입니다.
IKEv1 암호화: AES-128, AES-256, AES128-GCM-16, AES256-GCM-16
IKEv1 데이터 무결성: SHA-1, SHA2-256, SHA2-384, SHA2-512
IKEv1 DH 그룹: 2, 5 및 14-24
수명: 3,600초
Diffie-Hellman Perfect Forward Secrecy(PFS): 활성
AWS Phase 2 파라미터: AES128, SHA1, Diffie-Hellman group 2
AWS GovCloud(미국) Phase 2 파라미터: AES128, SHA2, Diffie-Hellman group 14
Diffie-Hellman PFS가 활성이고, 키 생성에 Diffie-Hellman 그룹을 사용해야 합니다. 자세한 내용은 Site-to-Site VPN 연결을 위한 터널 옵션을 참조하십시오.
보안 연결과 트래픽 선택기가 고객 게이트웨이 및 AWS에서 일치하는지 확인합니다. 자세한 내용은 AWS VPN 엔드포인트와 정책 기반 VPN 간의 연결 문제를 해결하려면 어떻게 해야 합니까?를 참조하십시오.
연결이 이니시에이터와 IDr 식별을 둘 다 사용하는 IKEv2 IDi 식별을 사용하는 경우, 응답자 파라미터를 올바로 구성해야 합니다. 자세한 내용은 Internet Engineering Task Force(IETF) 웹 사이트의 인터넷 키 교환 프로토콜 버전 2(IKEv2)를 참조하십시오.
원격 및 로컬 IP 주소 둘 모두에 대하여 구성된 Site-to-Site VPN 연결 옵션이 고객 게이트웨이의 보안 연결과 일치하는지 확인합니다. 자세한 내용은 AWS VPN 엔드포인트와 정책 기반 VPN 간의 연결 문제를 해결하려면 어떻게 해야 합니까?를 참조하십시오.
고객 게이트웨이가 인바운드 트래픽을 시작해야 합니다. 자세한 내용은 Site-to-Site VPN 터널 시작 옵션을 참조하십시오.
참고: 기본적으로 Site-to-Site VPN은 응답자 모드로 작동합니다.
Site-to-Site VPN 로그를 활성화한 다음, 로그에 연결 실패와 일치하는 오류가 있는지 검토하십시오. 검토한 이후 연결 오류 문제를 해결합니다.

Site-to-Site VPN의 IPsec/Phase 2가 연결을 설정하지 못하는 이유는 무엇인가요?

해결 방법

관련 정보

관련 콘텐츠