기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Client VPN과 Transit Gateway 통합

Client VPN 엔드포인트를 기본적으로 Transit Gateway에 연결하여 여러 VPCs, 온프레미스 네트워크 및 Transit Gateway에 연결된 기타 리소스에 안전하게 원격 액세스할 수 있습니다. 따라서 각 VPC에 대해 별도의 VPN 엔드포인트를 생성하거나 중간 VPCs.

개요

Transit Gateway를 Client VPN 엔드포인트와 연결하면 Client VPN 엔드포인트에 적절한 경로 및 권한 부여 규칙이 구성된 경우 연결된 VPN 클라이언트가 Transit Gateway에 연결된 모든 리소스에 액세스할 수 있습니다.

Transit Gateway 관련 엔드포인트는 클라이언트 소스 IP 주소를 보존합니다. 소스 네트워크 주소 변환(SNAT)은 적용되지 않으므로 클라이언트 트래픽에 대한 가시성이 향상됩니다.

이점

Client VPN과의 Transit Gateway 통합은 다음과 같은 이점을 제공합니다.

Transit Gateway 통합 작동 방식

다음은 Client VPN이 Transit Gateway와 작동하는 방법을 설명합니다.

사전 조건

Transit Gateway 연결 Client VPN 엔드포인트를 생성하기 전에 다음 요구 사항을 확인합니다.

Transit Gateway Client VPN 엔드포인트 생성

콘솔 또는를 사용하여 Transit Gateway와 연결된 Client VPN 엔드포인트를 생성할 수 있습니다 AWS CLI.

Transit Gateway Client VPN 엔드포인트를 생성하려면(AWS CLI)

create-client-vpn-endpoint 명령을 --transit-gateway-id 파라미터와 함께 사용합니다.

다음 예시에서는 특정 가용 영역이 있는 Client VPN 엔드포인트를 생성합니다.

aws ec2 create-client-vpn-endpoint \
    --client-cidr-block 10.0.0.0/22 \
    --server-certificate-arn arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-11111EXAMPLE \
    --authentication-options Type=certificate-authentication,MutualAuthentication={ClientRootCertificateChainArn=arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE} \
    --connection-log-options Enabled=false \
    --transit-gateway-id tgw-0a1b2c3d4e5f6EXAMPLE \
    --availability-zone-list us-east-1a us-east-1b us-east-1c

출력 예시:

{
    "ClientVpnEndpointId": "cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE",
    "Status": {
        "Code": "pending-associate"
    },
    "DnsName": "cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE.prod.clientvpn.us-east-1.amazonaws.com"
}

가 2개의 가용 영역을 AWS 자동으로 선택하도록 하려면 --availability-zone-list 파라미터를 생략합니다.

aws ec2 create-client-vpn-endpoint \
    --client-cidr-block 10.0.0.0/22 \
    --server-certificate-arn arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-11111EXAMPLE \
    --authentication-options Type=certificate-authentication,MutualAuthentication={ClientRootCertificateChainArn=arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE} \
    --connection-log-options Enabled=false \
    --transit-gateway-id tgw-0a1b2c3d4e5f6EXAMPLE

Transit Gateway 연결 확인

엔드포인트를 생성한 후 Transit Gateway 연결이 생성되었는지 확인합니다.

Transit Gateway 연결을 확인하려면(AWS CLI)

describe-transit-gateway-attachments 명령을 사용합니다.

aws ec2 describe-transit-gateway-attachments \
    --filters Name=transit-gateway-id,Values=tgw-0a1b2c3d4e5f6EXAMPLE Name=resource-type,Values=client-vpn

엔드포인트에 대한 Transit Gateway 구성을 보려면 describe-client-vpn-endpoints 명령을 사용합니다.

aws ec2 describe-client-vpn-endpoints \
    --client-vpn-endpoint-ids cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE

출력에는 Transit Gateway ID 및 연결된 가용 영역이 있는 TransitGatewayConfiguration 객체가 포함됩니다.

경로 관리

경로를 추가하려면(AWS CLI)

--target-vpc-subnet-id 파라미터 없이 create-client-vpn-route 명령을 사용합니다.

aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.1.0.0/16

여러 경로를 추가하려면 각 대상 CIDR 범위에 대해 명령을 실행합니다.

# Route to VPC 1
aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.1.0.0/16

# Route to VPC 2
aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.2.0.0/16

# Route to on-premises network
aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 192.168.0.0/16

경로를 삭제하려면(AWS CLI)

delete-client-vpn-route 명령을 사용합니다.

aws ec2 delete-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.1.0.0/16

권한 부여 구성

권한 부여 규칙을 추가하려면(AWS CLI)

authorize-client-vpn-ingress 명령을 사용합니다.

다음 예제에서는 모든 사용자에게 10.1.0.0/16 네트워크에 액세스할 수 있는 권한을 부여합니다.

aws ec2 authorize-client-vpn-ingress \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --target-network-cidr 10.1.0.0/16 \
    --authorize-all-groups

다음 예시에서는 특정 Active Directory 그룹에 권한을 부여합니다.

aws ec2 authorize-client-vpn-ingress \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --target-network-cidr 10.1.0.0/16 \
    --access-group-id S-1-2-34-1234567890-1234567890-1234567890-1234

가용 영역 관리

생성 후 Transit Gateway 관련 Client VPN 엔드포인트의 가용 영역을 수정할 수 있습니다.

단일 가용 영역을 추가하려면(AWS CLI)

associate-client-vpn-target-network 명령을 --availability-zone 파라미터와 함께 사용합니다.

aws ec2 associate-client-vpn-target-network \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --availability-zone us-east-1c

단일 가용 영역을 제거하려면(AWS CLI)

먼저 describe-client-vpn-target-networks 명령을 사용하여 가용 영역의 연결 ID를 찾습니다.

aws ec2 describe-client-vpn-target-networks \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE

그런 다음 연결 ID와 함께 disassociate-client-vpn-target-network 명령을 사용합니다.

aws ec2 disassociate-client-vpn-target-network \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --association-id cvpn-assoc-0a1b2c3d4e5f6EXAMPLE

교차 계정 전송 게이트웨이 액세스

다른 AWS 계정이 소유한 Transit Gateway와 연결된 Client VPN 엔드포인트를 생성할 수 있습니다. 이렇게 하려면 Transit Gateway 소유자가 Transit Gateway를 계정과 공유해야 합니다 AWS Resource Access Manager.

Client VPN 엔드포인트 계정에서 AWS Resource Access Manager 콘솔에서 또는 accept-resource-share-invitation 명령을 사용하여 리소스 공유를 수락합니다. 공유를 수락하면 Client VPN 엔드포인트를 생성할 때 Transit Gateway ID 드롭다운에 Transit Gateway가 나타납니다.

고려 사항 및 제한 사항

Client VPN과 Transit Gateway 통합을 사용할 때는 다음 사항을 고려하세요.