AWS Client VPN 문제 해결: VPC에 대한 터널 연결 문제

AWS CLI를 사용하여 Client VPN 엔드포인트의 상태를 확인합니다.

aws ec2 describe-client-vpn-endpoints --region your-region

출력에서 엔드포인트 상태를 찾습니다. 상태는 available이어야 합니다.

엔드포인트에 연결된 대상 네트워크(서브넷)가 있는지 확인합니다.

상태가 available이 아닌 경우, 구성 문제를 나타낼 수 있는 오류 메시지 또는 보류 중 상태가 있는지 확인합니다.

활성 클라이언트 연결 확인:

aws ec2 describe-client-vpn-connections --client-vpn-endpoint-id cvpn-endpoint-id --region your-region

출력의 연결 상태 및 오류 메시지를 검토합니다.

클라이언트 인증 로그에 실패한 인증 시도가 있는지 확인합니다.

클라이언트가 구성된 클라이언트 CIDR 블록에서 IP 주소를 수신하고 있는지 확인합니다.

현재 권한 부여 규칙 나열:

aws ec2 describe-client-vpn-authorization-rules --client-vpn-endpoint-id cvpn-endpoint-id --region your-region

클라이언트가 액세스해야 하는 대상 네트워크에 대한 규칙이 있는지 확인합니다.

규칙이 올바른 Active Directory 그룹을 지정하는지 확인합니다(AD 인증을 사용하는 경우).

권한 부여 규칙이 active 상태인지 확인합니다.

Client VPN 엔드포인트 라우팅 확인:

aws ec2 describe-client-vpn-routes --client-vpn-endpoint-id cvpn-endpoint-id --region your-region

클라이언트가 액세스해야 하는 대상 네트워크에 경로가 있는지 확인합니다.

Amazon VPC 라우팅 테이블을 확인하여 반환 트래픽이 Client VPN 엔드포인트에 도달할 수 있는지 확인합니다.

aws ec2 describe-route-tables --filters "Name=vpc-id,Values=vpc-id" --region your-region

대상 네트워크 연결이 올바르게 구성되었는지 확인합니다.

대상 EC2 인스턴스의 보안 그룹을 확인합니다.

aws ec2 describe-security-groups --group-ids sg-xxxxxxxxx --region your-region

인바운드 규칙이 Client VPN CIDR 블록의 트래픽을 허용하는지 확인합니다.

Client VPN 엔드포인트 보안 그룹(해당하는 경우)에서 다음을 허용하는지 확인합니다.

네트워크 ACL 트래픽을 차단하지 않는지 확인합니다. 네트워크 ACL은 상태 비저장이므로 인바운드 및 아웃바운드 규칙을 모두 구성해야 합니다.

전송하려는 특정 트래픽에 대한 인바운드 및 아웃바운드 규칙을 모두 확인합니다.

연결된 Client VPN 클라이언트에서 Amazon VPC 리소스에 대한 연결을 테스트합니다.

ping vpc-resource-ip
traceroute vpc-resource-ip

지정된 애플리케이션 연결성 테스트:

telnet vpc-resource-ip port

프라이빗 DNS 이름을 사용하는 경우 DNS 확인을 확인합니다.

nslookup private-dns-name

분할 터널링이 활성화된 경우 인터넷 리소스에 대한 연결을 테스트합니다.

클라이언트 구성 파일(.ovpn)에 올바른 설정이 포함되어 있는지 확인합니다.

클라이언트 로그에서 연결 오류를 확인합니다.

클라이언트의 기본 네트워크 연결을 테스트합니다.

ping 8.8.8.8
nslookup cvpn-endpoint-id.cvpn.region.amazonaws.com

Client VPN 엔드포인트에 DNS 서버가 구성되어 있는지 확인합니다.

aws ec2 describe-client-vpn-endpoints --client-vpn-endpoint-ids cvpn-endpoint-id --query 'ClientVpnEndpoints[0].DnsServers'

클라이언트에서 DNS 확인을 테스트합니다.

nslookup private-resource.internal
dig private-resource.internal

사용자 지정 DNS 확인을 사용하는 경우 Route 53 Resolver 규칙을 확인합니다.

보안 그룹이 Client VPN CIDR에서 DNS 서버로의 DNS 트래픽(UDP/TCP 포트 53)을 허용하는지 확인합니다.

활성 연결 지표 확인:

aws cloudwatch get-metric-statistics \
  --namespace AWS/ClientVPN \
  --metric-name ActiveConnectionsCount \
  --dimensions Name=Endpoint,Value=cvpn-endpoint-id \
  --start-time start-time \
  --end-time end-time \
  --period 300 \
  --statistics Average

인증 실패 지표 검토:

aws cloudwatch get-metric-statistics \
  --namespace AWS/ClientVPN \
  --metric-name AuthenticationFailures \
  --dimensions Name=Endpoint,Value=cvpn-endpoint-id \
  --start-time start-time \
  --end-time end-time \
  --period 300 \
  --statistics Sum

수신/송신 바이트 및 패킷과 같은 기타 사용 가능한 지표를 검토합니다.