[AWS] Site-to-site VPN

[AWS] Site-to-site VPN 

AWS Site-to-site VPN을 이용하면 on premise의 데이터 센터 혹은 지점과 AWS 클라우드 리소스 사이에서 안전한 네트워크 연결을 생성할 수 있다. 

 

AWS S2S VPN은 2개의 터널을 사용하여 고가용성을 지원하고,

IPsec 및 TLS 터널과의 안전한 프라이빗 세션을 설정할 수 있다.

 

Site-to-Site VPN 구성 요소

Site-to-Site VPN 연결은 AWS측의 가상 프라이빗 게이트웨이 또는 Transit Gateway와 on-prem측의

고객 게이트웨이 사이에 두 개의 VPN 터널을 제공한다.

 

1. 가상 프라이빗 게이트웨이 혹은 Transit Gateway

AWS 환경을 VPN으로 연결 할 Endpoint

가상 프라이빗 게이트웨이는 VPC하나 당 하나의 설정이 필요하지만, 

TGW의 경우 하나의 TGW에 여러 개의 VPC 및 VPN 연결 설정이 가능하다.

 

2. 고객 게이트웨이 디바이스

Site-to-Site VPN 연결을 위해 고객 측에 설치된 물리적 디바이스 또는 소프트웨어 애플리케이션

실제로 고객의 On-premise에서 VPN 연결을 활성화 할 어플라이언스

 

3. 고객 게이트웨이 (Customer Gateway, CGW)

온프레미스 네트워크의 고객 게이트웨이 디바이스를 나타내는 AWS에서 생성하는 리소스

고객 게이트웨이를 생성할 때 디바이스에 대한 정보를 제공하여 생성

 

VPN 터널의 Fault Tolerance

각 사이트 간 1개의 VPN 연결에 2개의 터널이 있으며, 각 터널은 고유의 퍼블릭 IP주소를 사용한다.

 

중복성을 위해 두 터널 모두 구성되어있으며, 터널 하나가 사용 불가능하게 되면,

네트워크 트래픽은 해당 특정 Site-to-Site VPN 연결에 사용 가능한 터널로 자동으로 라우팅된다.

 

각 터널과 CGW는 2개의 주소를 사용한다. 

Outside IP는 퍼블릭 IP이며, 퍼블릭 인터넷을 통해 서로 인식하고 IPsec 암호화를 설정하는 데 사용된다.

Inside IP는 말 그대로 내부의 Private IP다.

 

AWS와 CGW간 실제 data 및 동적 라우팅(BGP) 정보는 inside IP를 이용하여 전송된다.

 

참고

https://docs.aws.amazon.com/ko_kr/vpn/latest/s2svpn/VPC_VPN.html

https://docs.aws.amazon.com/ko_kr/vpn/latest/s2svpn/how_it_works.html