AWS Site-to-Site VPN

1. 서비스 개요
2. 고객 과제
3. 주요 이점
4. 동작 방식
5. 주요 기능
6. 비교와 선택 기준
7. 사용 사례
8. 레퍼런스 아키텍처
9. 비용
10. 시작하기
11. 다음 단계

AWS Site-to-Site VPN은 데이터 센터 또는 지사와 AWS 리소스 간에 IPsec 터널을 통해 암호화된 연결을 생성하는 완전관리형 서비스입니다. Amazon VPC와 AWS Transit Gateway에 연결할 수 있으며, 연결당 두 개의 터널을 사용하여 이중화를 제공합니다.

1.25 Gbps

표준 터널당 최대 처리량

5 Gbps

대용량 대역폭 터널 최대 처리량

140,000 PPS

터널당 최대 초당 패킷 수

1. 1

   VPN 연결과 VPN 터널

   VPN 연결은 온프레미스 장비와 VPC 간의 보안 연결입니다. 각 VPN 연결에는 두 개의 암호화된 VPN 터널이 포함되어 고가용성을 제공합니다.

2. 2

   고객 게이트웨이와 대상 게이트웨이

   고객 게이트웨이는 온프레미스 측 VPN 장비 정보를 AWS에 제공하는 리소스입니다. 대상 게이트웨이는 AWS 측 VPN 엔드포인트로, 가상 프라이빗 게이트웨이 또는 Transit Gateway를 사용합니다.

3. 3

   Accelerated Site-to-Site VPN

   AWS Global Accelerator와 연동하여 VPN 트래픽을 가장 가까운 AWS 엣지 로케이션으로 라우팅합니다. 인터넷 구간을 줄이고 AWS 글로벌 파이버 네트워크를 활용하여 성능을 개선합니다.

4. 4

   Private IP VPN

   Direct Connect 위에 프라이빗 IP 주소를 사용하여 Site-to-Site VPN을 배포하는 기능입니다. 퍼블릭 IP 없이 DX 트래픽을 암호화하며, Transit Gateway를 통해 관리합니다.

여러 온프레미스 사이트의 고객 게이트웨이 디바이스가 각각 IPsec VPN 터널을 통해 AWS Transit Gateway에 연결됩니다. 각 VPN 연결은 두 개의 터널로 구성되어 이중화를 제공합니다. Transit Gateway는 중앙 허브 역할을 하며, 연결된 여러 Amazon VPC로 트래픽을 라우팅합니다. ECMP를 활성화하면 여러 VPN 연결에 걸쳐 트래픽을 분산하여 대역폭을 확장할 수 있습니다. CloudWatch를 통해 각 터널의 상태와 성능 지표를 모니터링합니다.

온프레미스 네트워크의 고객 게이트웨이 디바이스가 Direct Connect 전송 가상 인터페이스를 통해 AWS Transit Gateway에 연결됩니다. 이 DX 연결 위에 프라이빗 IP 주소를 사용하는 Site-to-Site VPN을 배포합니다. VPN 연결 생성 시 외부 터널 IP로 프라이빗 IP를 지정하고, Direct Connect 연결 ID를 설정합니다. Transit Gateway는 VPN 트래픽을 연결된 VPC로 라우팅하며, 퍼블릭 IP 없이 DX 트래픽의 IPsec 암호화를 제공합니다.

AWS Site-to-Site VPN은 VPN 연결 시간, 데이터 전송량, 그리고 선택한 연결 유형에 따라 과금됩니다. Accelerated VPN을 사용하면 Global Accelerator 시간당 요금과 Data Transfer Premium이 추가됩니다. VPN 로그에 대한 별도 VPN 서비스 요금은 없으며, CloudWatch 표준 요금이 적용됩니다.

VPN 연결 시간

VPN 연결이 'available' 상태인 시간 단위로 과금됩니다. 1.25 Gbps 연결과 5 Gbps 연결의 시간당 요금이 다릅니다.

데이터 전송 아웃

AWS에서 인터넷으로 나가는 데이터 전송량에 따라 과금됩니다. EC2 온디맨드 요금 페이지의 데이터 전송 요금이 적용됩니다.

Accelerated VPN 추가 요금

가속 옵션 활성화 시 VPN 연결당 두 개의 Global Accelerator 시간당 요금과 Data Transfer Premium(DT-Premium)이 추가됩니다.

VPN Concentrator 요금

VPN Concentrator 시간당 요금과 Concentrator를 통한 각 사이트 VPN 연결 시간당 요금이 별도로 과금됩니다.

단가는 리전마다 다릅니다. https://aws.amazon.com/vpn/pricing/

퍼블릭 IPv4 주소 요금

각 Site-to-Site VPN 연결의 터널에 사용되는 퍼블릭 IPv4 주소에 대해 표준 퍼블릭 IPv4 주소 요금이 부과됩니다.

단가는 리전마다 다릅니다. https://aws.amazon.com/vpn/pricing/

1. 1

   1단계: VPN 엔드포인트 유형 결정

   단일 VPC 연결이면 가상 프라이빗 게이트웨이를, 여러 VPC 상호 연결이나 ECMP, Private IP VPN, 5 Gbps 터널이 필요하면 Transit Gateway를 선택합니다.

2. 2

   2단계: 고객 게이트웨이 구성

   온프레미스 VPN 장비의 퍼블릭 IP 주소(또는 NAT 장비의 퍼블릭 IP)와 BGP ASN 정보를 사용하여 AWS에 고객 게이트웨이 리소스를 생성합니다. BGP 지원 장비 사용을 권장합니다.

3. 3

   3단계: VPN 연결 생성 및 터널 옵션 설정

   AWS Management Console, CLI, 또는 API를 통해 VPN 연결을 생성합니다. 터널 내부 IP, Pre-Shared Key, 암호화 알고리즘, IKE 버전 등 터널 옵션을 요구사항에 맞게 설정합니다. Accelerated VPN이 필요하면 가속 옵션을 활성화합니다.

4. 4

   4단계: 온프레미스 장비 구성 및 라우팅 설정

   AWS에서 제공하는 구성 파일을 다운로드하여 고객 게이트웨이 디바이스에 적용합니다. 정적 라우팅 또는 BGP 동적 라우팅을 설정하고, VPC CIDR과 온프레미스 네트워크 간 라우팅 테이블을 구성합니다.

5. 5

   5단계: 모니터링 및 이중화 검증

   Amazon CloudWatch에서 VPN 터널 상태 지표를 확인합니다. 두 터널이 모두 활성 상태인지 검증하고, 하나의 터널을 의도적으로 중단하여 장애 조치가 정상 동작하는지 테스트합니다.