AWS Site-to-Site VPN · IPsec 하이브리드 연결

회선 공사 없이, 두 개의 IPsec 터널로 AWS에 연결하세요

온프레미스 라우터나 방화벽에서 AWS까지 IPsec 터널을 맺습니다. 연결 하나에 터널이 두 개씩 제공되고, Static 라우팅이나 BGP로 경로를 교환합니다. 인터넷 위에서 시작해 Direct Connect 위 암호화까지 같은 방식으로 다룹니다.

연결 절차 보기 아키텍처 보기
Tunnel optionsipsec.1
Tunnel 1IKE · IPsec
Tunnel 2IKE · IPsec
IKE version
ikev1ikev2
Encryption
AES128AES256AES128-GCM-16AES256-GCM-16
Integrity
SHA1SHA2-256SHA2-384SHA2-512
DH group P1
214–24
DH group P2
2514–24
Lifetime
P1 28800sP2 3600s
DPD
40sclearnonerestart
Startup action
addstart

터널마다 따로 지정합니다. 강조는 기본값입니다.

99.95%

VPN 연결별 월간 가동률 SLA

2

연결 하나에 제공되는 IPsec 터널 수

1.25 / 5 Gbps

터널당 최대 대역폭 · 표준 터널 1.25 Gbps, Large Bandwidth Tunnel 5 Gbps

1446

터널 MTU (bytes) · MSS 1406

Why Site-to-Site VPN

이미 있는 인터넷 회선으로 하이브리드 네트워크를 시작합니다

전용 회선을 준비하는 동안에도, 지사처럼 트래픽이 적은 거점에도 바로 쓸 수 있습니다. Direct Connect와 함께 쓰면 백업 경로가 되거나 전용 회선 위의 암호화 계층이 됩니다.

Ready

기존 장비로 연결

IPsec을 지원하는 라우터, 방화벽, 소프트웨어 어플라이언스를 고객 게이트웨이로 씁니다. 콘솔에서 장비별 설정 파일을 내려받을 수 있습니다.

HA

터널 이중화

연결마다 고가용성을 위한 터널 두 개가 제공됩니다. 두 터널을 모두 구성해 두면 한쪽 터널이 유지보수나 장애로 내려가도 연결이 유지됩니다.

Flexible

세 가지 종단 지점

VPC 하나에는 Virtual Private Gateway, 여러 VPC에는 Transit Gateway, 글로벌 네트워크에는 Cloud WAN으로 연결합니다.

Tunnel build-up

터널 하나가 올라오는 과정

각 터널은 IKE로 보안 연결을 만든 뒤 IPsec으로 트래픽을 감싸고, 터널 안쪽 주소로 경로를 교환합니다. 장애를 볼 때도 이 순서대로 확인합니다.

BGPRouting

터널 내부 주소와 경로 교환

터널마다 169.254.0.0/16 대역의 /30 내부 주소를 씁니다. Dynamic 연결은 이 주소로 BGP 세션을 맺고, Static 연결은 지정한 접두사만 전달합니다.

inside CIDR /30IPv6 /126 (fd00::/8)eBGPstatic routes
P2IPsec SA

IPsec 보안 연결

ESP로 실제 트래픽을 암호화합니다. Phase 2 수명은 900–3600초이며 Phase 1보다 짧아야 합니다. NAT 장비 뒤에 있는 고객 게이트웨이도 NAT-T로 연결합니다.

ESPNAT-Tlifetime ≤ 3600sreplay window 64–2048
P1IKE SA

IKE 협상

사전 공유 키나 인증서로 서로를 인증하고 키를 교환합니다. 기본값은 고객 게이트웨이가 협상을 시작하는 방식이며, Startup action을 start로 바꾸면 AWS가 먼저 시작합니다.

IKEv1 / IKEv2PSK 8–64자lifetime 900–28800sDPD ≥ 30s

Routing

Static 또는 BGP

라우팅 방식은 연결을 만들 때 정합니다. 같은 경로가 Virtual Private Gateway에 Static과 BGP로 함께 있으면 Static 경로가 우선합니다.

Dynamic

BGP 라우팅

BGP를 지원하는 장비라면 이 방식을 권장합니다. 경로가 자동으로 오가고, 터널 장애 시 다른 터널로 경로가 넘어갑니다.

  • Transit Gateway에서 ECMP로 여러 터널 대역폭을 합칠 수 있습니다.
  • 고객 게이트웨이에서 받는 경로: VGW 100개, Transit Gateway 1,000개
Static

Static 라우팅

BGP를 지원하지 않는 장비에서 씁니다. 온프레미스 접두사를 연결에 직접 등록합니다.

  • ECMP는 지원하지 않습니다.
  • Cloud WAN 연결과 VPN Concentrator에서는 쓸 수 없습니다.
  • VGW 연결에 등록할 수 있는 Static 경로: 100개

Features

주요 기능

Acceleration

Accelerated VPN

AWS Global Accelerator로 고객 게이트웨이에서 가장 가까운 엣지 로케이션에 트래픽을 받아 AWS 글로벌 네트워크로 전달합니다. Transit Gateway 연결에서 사용하며(VGW 미지원), 연결을 만들 때만 켤 수 있습니다.

Over Direct Connect

Private IP VPN

Transit VIF와 DX Gateway 위에서 사설 IP로 IPsec 터널을 맺습니다. 공인 IP 없이 전용 회선 트래픽을 암호화합니다.

Bandwidth

Large Bandwidth Tunnel

Transit Gateway나 Cloud WAN 연결에서 터널당 최대 5 Gbps를 씁니다. 두 터널은 같은 대역폭으로 맞추며, Accelerated VPN과 함께 쓸 수 없습니다. 기존 연결도 터널 IP와 설정을 유지한 채 표준과 Large 사이에서 바꿀 수 있습니다.

Observability

터널 로그

IKE·IPsec·DPD 활동 로그와 BGP 상태·경로 변경 로그를 Amazon CloudWatch Logs로 보냅니다. 협상 실패 원인을 장비 로그 없이도 확인할 수 있습니다.

Dual stack

IPv6 터널

Transit Gateway와 Cloud WAN에서 외부 터널과 내부 트래픽을 IPv4, IPv6 조합으로 구성합니다. Virtual Private Gateway는 IPv4만 지원합니다.

Many sites

VPN Concentrator

최대 100 Mbps의 소규모 거점을 Concentrator 하나로 최대 100개까지 Transit Gateway에 연결합니다. Concentrator는 Transit Gateway 어태치먼트 하나로 보이며 총 5 Gbps를 거점들이 나눠 씁니다. BGP 라우팅만 지원합니다.

Termination

AWS 쪽 종단 지점 비교

연결할 네트워크 규모와 필요한 기능에 따라 VPN 연결을 붙일 곳을 고릅니다.

Virtual Private Gateway, Transit Gateway, Cloud WAN 종단 비교
종단 지점연결 범위터널 대역폭IPv6 · 가속어떤 경우에 맞나
Virtual Private Gateway
VGW		 VPC 1개에 연결 1.25 Gbps (표준) IPv4만 지원 · Accelerated VPN 미지원 VPC 하나를 온프레미스와 간단히 연결하는 경우
Transit Gateway
TGW		 리전 안의 여러 VPC와 온프레미스 1.25 · 5 Gbps, ECMP로 합산 IPv4 · IPv6 · Accelerated VPN 지원 여러 VPC를 허브에서 라우팅하고, 대역폭을 늘려야 하는 경우
AWS Cloud WAN
Core network		 여러 리전에 걸친 코어 네트워크 세그먼트 (BGP 라우팅만 지원) 1.25 · 5 Gbps IPv4 · IPv6 지원 정책 기반으로 관리하는 글로벌 네트워크에 거점을 붙이는 경우

Reference architecture

인터넷 VPN과 Direct Connect 위 VPN

지사는 인터넷으로 두 터널을 Transit Gateway에 맺고 BGP로 경로를 교환합니다. 데이터센터는 Transit VIF와 DX Gateway를 거쳐 같은 Transit Gateway에 닿고, 그 위에 Private IP VPN으로 암호화를 더합니다.

Site-to-Site VPN 레퍼런스 아키텍처 지사의 고객 게이트웨이가 인터넷을 거쳐 Tunnel 1과 Tunnel 2로 서울 리전 Transit Gateway에 연결됩니다. 데이터센터 라우터는 Direct Connect 로케이션의 크로스커넥트와 Transit VIF를 거쳐 DX Gateway로, DX Gateway는 Transit Gateway로 이어집니다. 데이터센터와 Transit Gateway 사이에는 Private IP VPN 터널이 Direct Connect 위로 지나갑니다. Transit Gateway는 VPC A와 VPC B에 연결됩니다. ON-PREMISES TRANSPORT AWS · SEOUL REGION 지사Customer gateway 데이터센터Customer gateway INTERNET DX 로케이션AWS DX endpoint Transit GatewayVPN · DXGW 어태치먼트 DX Gateway글로벌 리소스 VPC A10.0.0.0/16 VPC B10.1.0.0/16 Tunnel 1 Tunnel 2 BGP · 169.254.x.x/30 Transit VIF TGW 라우팅 테이블 Private IP VPN (IPsec over DX)
IPsec 터널 (인터넷) DX 크로스커넥트 Private IP VPN 어태치먼트 · 라우팅

좁은 화면에서는 다이어그램을 좌우로 밀어서 보세요.

Getting started

VPN 연결을 여는 순서

  1. STEP 1

    고객 게이트웨이

    온프레미스 장비의 공인 IP(또는 인증서)와 BGP ASN으로 Customer gateway를 만듭니다.

  2. STEP 2

    종단 지점 준비

    Virtual Private Gateway를 VPC에 붙이거나, Transit Gateway나 Cloud WAN을 준비합니다.

  3. STEP 3

    VPN 연결 생성

    라우팅 방식과 터널 옵션, 필요하면 가속과 터널 대역폭을 정합니다.

  4. STEP 4

    장비 설정

    장비 벤더에 맞는 설정 파일을 내려받아 두 터널을 모두 구성합니다.

  5. STEP 5

    라우팅 확인

    라우팅 테이블 전파를 켜고 터널 상태, BGP 세션, 수신 경로를 확인합니다.

Pricing

비용 항목

VPN 연결이 프로비저닝되어 있는 시간과 연결을 지나는 데이터 전송량이 기본 비용입니다. 가속, 종단 지점, 로그에 따라 다른 서비스 요금이 더해집니다.

AWS Site-to-Site VPN 과금 항목
과금 항목과금 기준참고
VPN 연결 시간VPN 연결이 프로비저닝되어 사용 가능한 시간당트래픽이 없어도 과금됩니다. 5 Gbps(Large Bandwidth Tunnel) 연결은 별도 단가가 적용됩니다.
VPN ConcentratorConcentrator 시간당, 그리고 연결된 거점마다 VPN 연결 시간당거점별 연결 요금은 일반 VPN 연결과 다른 단가입니다.
Accelerated VPN연결마다 Global Accelerator 2개의 시간 요금과 DT-Premium(GB당)가속하지 않은 연결에는 Global Accelerator 요금이 없습니다.
데이터 전송VPN 연결로 전송한 데이터에 AWS 표준 데이터 전송 요금EC2 데이터 전송 요금 체계를 따릅니다.
퍼블릭 IPv4 주소터널에 쓰이는 퍼블릭 IPv4 주소연결마다 고유 퍼블릭 IPv4 주소를 쓰며 표준 퍼블릭 IPv4 요금이 적용됩니다.
Transit Gateway · Cloud WAN어태치먼트 시간당, 그리고 GB당 데이터 처리각 서비스 요금으로 따로 청구됩니다. Private IP VPN 트래픽에는 기반 DX 어태치먼트 요금 외의 TGW 데이터 처리 요금이 붙지 않습니다.
터널 로그CloudWatch Logs 수집·저장량로그를 켜는 데 따른 VPN 자체 추가 요금은 없습니다.

요금 단가는 리전과 사용량에 따라 다릅니다. 최신 단가는 AWS VPN 요금 페이지에서 확인하세요.

Next step

우리 거점에 맞는 VPN 구성을 설계해 보세요

거점 수, 필요한 대역폭, 사용 중인 장비와 Direct Connect 여부를 정리해 오시면 종단 지점과 라우팅 설계를 함께 검토합니다.

서비스 페이지 열기 사용 설명서 읽기