Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich. # Arbeite mit AWS Site-to-Site VPN Sie können mit Site-to-Site VPN-Ressourcen über die Amazon VPC-Konsole oder die AWS CLI arbeiten. **Topics** + [VPN-Konzentratoren erstellen und verwalten](create-manage-vpn-concentrators.md) + [Eine VPN-Verbindung erstellen](create-vpn-connection.md) + [Eine VPN-Verbindung testen](HowToTestEndToEnd_Linux.md) + [Löschen Sie eine VPN-Verbindung und ein Gateway](delete-vpn.md) + [Das Ziel-Gateway für die VPN-Verbindung ändern](modify-vpn-target.md) + [VPN-Verbindungsoptionen ändern](modify-vpn-connection-options.md) + [VPN-Tunnel-Optionen ändern](modify-vpn-tunnel-options.md) + [Die statischen Routen für eine VPN-Verbindung bearbeiten](vpn-edit-static-routes.md) + [Das Kunden-Gateway für die VPN-Verbindung ändern](change-vpn-cgw.md) + [Kompromittierte Anmeldeinformationen ersetzen](CompromisedCredentials.md) + [VPN-Tunnelendpunkt-Zertifikate rotieren](rotate-vpn-certificate.md) + [Privates IP-VPN mit Direct Connect](private-ip-dx.md) # AWS Site-to-Site VPN Concentrators erstellen und verwalten Site-to-SiteVPN-Konzentratoren ermöglichen es Ihnen, mehrere VPN-Verbindungen von entfernten Standorten aus zu aggregieren und zu verwalten, sodass eine zentrale Verwaltung gewährleistet ist. Nachdem Sie Ihre Site-to-Site VPN Concentrators erstellt haben, können Sie sie auf der Site-to-Site VPN Concentrators-Hauptseite in der Amazon VPC-Konsole anzeigen und verwalten. In diesem Dashboard werden alle aktiven VPN-Konzentratoren angezeigt, die sichere Verbindungen zwischen AWS und Ihren Remote-Standorten verwalten. **Topics** + [Erstellen Sie einen VPN-Konzentrator](create-vpn-concentrator.md) + [VPN Concentrator-Tags verwalten](manage-vpn-concentrator-tags.md) + [Löschen Sie einen VPN-Konzentrator](delete-vpn-concentrator.md) # Einen AWS Site-to-Site VPN Konzentrator erstellen Erstellen Sie einen Concentrator entweder mit der Amazon VPC-Konsole APIs, dem oder dem. AWS CLI Bevor Sie einen Concentrator erstellen, müssen Sie zunächst ein Transit-Gateway erstellt haben, das Sie dem Concentrator zuordnen können. Weitere Informationen zum Erstellen von Transit-Gateways finden Sie unter [Erstellen eines Transit-Gateways](https://docs.aws.amazon.com/vpc/latest/tgw/create-tgw.html) im *Amazon VPC AWS Transit Gateway-Handbuch*. ## Erstellen Sie mithilfe der Site-to-Site Konsole einen VPN-Konzentrator Gehen Sie folgendermaßen vor, um mithilfe der AWS Management Console einen Site-to-Site VPN-Konzentrator zu erstellen: **So erstellen Sie einen Site-to-Site VPN-Konzentrator mithilfe der Konsole** 1. Öffnen Sie die Amazon-VPC-Konsole unter [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/). 1. Wählen Sie im Navigationsbereich **Site-to-Site VPN Concentrators** aus. 1. Wählen Sie **Create Site-to-Site VPN Concentrator** aus. 1. (Optional) Geben Sie als **Namenstag** einen Namen für Ihren Site-to-Site VPN Concentrator ein. 1. Wählen Sie für **Transit-Gateway** ein vorhandenes Transit-Gateway aus. 1. (Optional) Fügen Sie Tags hinzu, um Ihren Site-to-Site VPN Concentrator zu identifizieren und zu organisieren. 1. Wählen Sie **Neues Tag hinzufügen** aus. 1. Geben Sie unter **Schlüssel** einen Tag-Schlüssel ein (z. B.**Name**). 1. Geben Sie unter **Wert** einen Tag-Wert ein (z. B.**Production-VPN-Concentrator**). 1. Wiederholen Sie die vorherigen Schritte, um bei Bedarf weitere Tags hinzuzufügen. 1. Wählen Sie **Create Site-to-Site VPN Concentrator** aus. Nach der Erstellung befindet sich der Site-to-Site VPN-Konzentrator in einem `pending` Zustand, in dem er bereitgestellt wird. Sobald der Vorgang abgeschlossen ist, wechselt der Status zu `available` und Sie können mit der Erstellung von VPN-Verbindungen beginnen, die den Site-to-Site VPN Concentrator verwenden. ## Erstellen Sie einen Site-to-Site VPN-Konzentrator mit der CLI Bevor Sie einen Site-to-Site VPN-Konzentrator mit der CLI erstellen, stellen Sie sicher, dass Sie über Folgendes verfügen: + Ein vorhandenes Transit Gateway in Ihrem AWS Konto + Entsprechende IAM-Berechtigungen zum Erstellen von Site-to-Site VPN-Konzentratoren + Die ID des Transit Gateway, an das Sie den Concentrator anschließen möchten Im folgenden Beispiel wird ein Site-to-Site VPN-Konzentrator für das angegebene Transit-Gateway erstellt: ``` aws ec2 create-vpn-concentrator --transit-gateway-id tgw-123456789 ``` Das Folgende zeigt eine erfolgreiche Antwort: ``` { "VpnConcentrator": { "VpnConcentratorId": "vcn-0123456789abcdef0", "State": "pending", "TransitGatewayId": "tgw-123456789", "CreationTime": "2025-09-29T17:26:31.000Z", "Tags": [] } } ``` ## Erstellen Sie mithilfe der API einen Site-to-Site VPN-Konzentrator Sie können mithilfe der API einen Site-to-Site VPN-Konzentrator erstellen. CreateVpnConcentrators Die API akzeptiert die folgenden Schlüsselparameter: `TransitGatewayId` Die ID des Transit Gateway, an das der Site-to-Site VPN Concentrator angeschlossen werden soll. `TagSpecification` Tags, die dem Site-to-Site VPN Concentrator für die Ressourcenorganisation und Abrechnung zugewiesen werden sollen. Das folgende Beispiel zeigt, wie ein Site-to-Site VPN-Konzentrator erstellt wird, der an ein Transit Gateway angeschlossen ist: ``` POST / HTTP/1.1 Host: ec2.us-east-1.amazonaws.com Content-Type: application/x-www-form-urlencoded Authorization: AWS4-HMAC-SHA256 Credential=... Action=CreateVpnConcentrator &Version=2016-11-15 &TransitGatewayId=tgw-0123456789abcdef0 &TagSpecification.1.ResourceType=vpn-concentrator &TagSpecification.1.Tag.1.Key=Name &TagSpecification.1.Tag.1.Value=MyVpnConcentrator ``` Nach erfolgreicher Erstellung gibt die API Details zum neu erstellten Site-to-Site VPN Concentrator zurück: ``` 12345678-1234-1234-1234-123456789012 vcn-0123456789abcdef0 pending tgw-0123456789abcdef0 2024-01-15T10:30:00.000Z Name MyVpnConcentrator ``` # AWS Site-to-Site VPN Concentrator-Tags verwalten Tags sind Schlüssel-Wert-Paare, die Ihnen helfen, Ihre Site-to-Site VPN-Konzentratoren zu organisieren und zu verwalten. Sie können Tags verwenden, um Site-to-Site VPN Concentrators nach Zweck, Umgebung, Kostenstelle oder anderen Kriterien, die für Ihr Unternehmen sinnvoll sind, zu kategorisieren. ## Verwalten Sie Tags mithilfe der Konsole Mit der AWS Management Console können Sie Tags für einen Site-to-Site VPN Concentrator hinzufügen oder löschen. **Um einem Site-to-Site VPN Concentrator Tags hinzuzufügen** 1. Öffnen Sie die Amazon-VPC-Konsole unter [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/). 1. Wählen Sie im Navigationsbereich **Site-to-Site VPN Concentrators** aus. 1. Wählen Sie den Site-to-Site VPN Concentrator aus, den Sie taggen möchten. 1. Wählen Sie die Registerkarte **Tags** aus. 1. Wählen Sie **Tags verwalten** aus. 1. Wählen Sie **Neues Tag hinzufügen** aus. 1. Geben Sie unter **Schlüssel** einen Tag-Schlüssel ein (z. B.**Environment**). 1. Geben Sie unter **Wert** einen Tagwert ein (z. B.**Production**). 1. Wählen Sie **Änderungen speichern ** aus. **Um Tags aus einem Site-to-Site VPN Concentrator zu löschen** 1. Öffnen Sie die Amazon-VPC-Konsole unter [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/). 1. Wählen Sie im Navigationsbereich **Site-to-Site VPN Concentrators** aus. 1. Wählen Sie den Site-to-Site VPN Concentrator aus, aus dem Sie Tags entfernen möchten. 1. Wählen Sie die Registerkarte **Tags** aus. 1. Wählen Sie **Tags verwalten** aus. 1. Wählen Sie für jedes Tag, das Sie entfernen möchten, die Option **Entfernen** aus. 1. Wählen Sie **Änderungen speichern ** aus. ## Tags mit der CLI verwalten Sie können Tags mit dem hinzufügen, ändern oder entfernen AWS CLI. **Tags hinzufügen** Das folgende Beispiel fügt einem Site-to-Site VPN Concentrator Tags hinzu: ``` aws ec2 create-tags --resources vcn-0123456789abcdef0 --tags Key=Environment,Value=Production Key=Team,Value=NetworkOps ``` Dieser Befehl gibt bei Erfolg keine Ausgabe zurück. **Tags anzeigen** Das folgende Beispiel beschreibt die Tags für einen Site-to-Site VPN-Konzentrator: ``` aws ec2 describe-tags --filters "Name=resource-id,Values=vcn-0123456789abcdef0" ``` Die folgende Antwort wird ausgegeben: ``` { "Tags": [ { "Key": "Environment", "ResourceId": "vcn-0123456789abcdef0", "ResourceType": "vpn-concentrator", "Value": "Production" }, { "Key": "Team", "ResourceId": "vcn-0123456789abcdef0", "ResourceType": "vpn-concentrator", "Value": "NetworkOps" } ] } ``` **Tags entfernen** Im folgenden Beispiel werden Tags aus einem Site-to-Site VPN-Concentrator entfernt: ``` aws ec2 delete-tags --resources vcn-0123456789abcdef0 --tags Key=Environment Key=Team ``` Dieser Befehl gibt bei Erfolg keine Ausgabe zurück. ## Tags mithilfe der API verwalten Sie können Site-to-Site VPN Concentrator-Tags mithilfe der Amazon EC2 API-Operationen programmgesteuert verwalten. **CreateTags** Verwenden Sie den `CreateTags` Vorgang, um Tags hinzuzufügen oder zu aktualisieren: ``` POST / HTTP/1.1 Host: ec2.region.amazonaws.com Content-Type: application/x-www-form-urlencoded Action=CreateTags &ResourceId.1=vcn-0123456789abcdef0 &Tag.1.Key=Environment &Tag.1.Value=Production &Tag.2.Key=Team &Tag.2.Value=NetworkOps &Version=2016-11-15 ``` Die folgende Antwort wird ausgegeben: ``` 7a62c49f-347e-4fc4-9331-6e8eEXAMPLE true ``` **DescribeTags** Verwenden Sie den `DescribeTags` Vorgang, um Tags abzurufen: ``` POST / HTTP/1.1 Host: ec2.region.amazonaws.com Content-Type: application/x-www-form-urlencoded Action=DescribeTags &Filter.1.Name=resource-id &Filter.1.Value.1=vcn-0123456789abcdef0 &Version=2016-11-15 ``` Die folgende Antwort wird ausgegeben: ``` 7a62c49f-347e-4fc4-9331-6e8eEXAMPLE vcn-0123456789abcdef0 vpn-concentrator Environment Production vcn-0123456789abcdef0 vpn-concentrator Team NetworkOps ``` **DeleteTags** Verwenden Sie die `DeleteTags` Operation, um Tags zu entfernen: ``` POST / HTTP/1.1 Host: ec2.region.amazonaws.com Content-Type: application/x-www-form-urlencoded Action=DeleteTags &ResourceId.1=vcn-0123456789abcdef0 &Tag.1.Key=Environment &Tag.2.Key=Team &Version=2016-11-15 ``` Die folgende Antwort wird ausgegeben: ``` 7a62c49f-347e-4fc4-9331-6e8eEXAMPLE true ``` # Einen AWS Site-to-Site VPN Concentrator löschen Wenn Sie einen Site-to-Site VPN Concentrator nicht mehr benötigen, können Sie ihn löschen, damit keine Gebühren mehr anfallen. Wenn Sie einen Site-to-Site VPN Concentrator löschen, werden er und alle zugehörigen Konfigurationen dauerhaft entfernt. ## Voraussetzungen Stellen Sie vor dem Löschen eines Site-to-Site VPN-Konzentrators Folgendes sicher: + Alle VPN-Verbindungen, die dem Site-to-Site VPN Concentrator zugeordnet sind, werden gelöscht. + Sie haben die erforderlichen Berechtigungen, um Site-to-Site VPN Concentrators () `ec2:DeleteVpnConcentrator` zu löschen. ## Löschen Sie einen Site-to-Site VPN-Konzentrator mithilfe der Konsole **Um einen Site-to-Site VPN-Konzentrator zu löschen** 1. Öffnen Sie die Amazon-VPC-Konsole unter [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/). 1. Wählen Sie im Navigationsbereich **Site-to-Site** Concentrators aus. 1. Wählen Sie den Site-to-Site VPN Concentrator aus, den Sie löschen möchten. 1. Wählen Sie **Aktionen** und dann ** Site-to-SiteVPN Concentrator löschen** aus. 1. Geben Sie im Bestätigungsdialogfeld ein, **delete** um den Löschvorgang zu bestätigen. 1. Wählen Sie **Löschen** aus. ## Löschen Sie einen Site-to-Site VPN-Konzentrator mit der CLI Verwenden Sie den `delete-vpn-concentrator` Befehl, um einen Site-to-Site VPN-Konzentrator zu löschen. Sie benötigen den, `vpn-concentrator-id` um ihn zu löschen. Das folgende Beispiel löscht einen Site-to-Site VPN-Konzentrator: ``` aws ec2 delete-vpn-concentrator --vpn-concentrator-id vcn-0123456789abcdef0 ``` Die folgende Antwort wird ausgegeben: ``` { "VpnConcentrator": { "VpnConcentratorId": "vcn-0123456789abcdef0", "State": "deleting", "Message": "The Site-to-Site VPN Concentrator vcn-0123456789abcdef0 is being deleted and will be removed from your account." } } ``` ## Löschen Sie einen Site-to-Site VPN-Konzentrator mithilfe der API Verwenden Sie den `DeleteVpnConcentrator` Vorgang, um einen Site-to-Site VPN-Konzentrator zu löschen. Sie benötigen den, `VpnConcentratorId` um ihn zu löschen. Das folgende Beispiel löscht einen Site-to-Site VPN-Konzentrator: ``` POST / HTTP/1.1 Host: ec2.region.amazonaws.com Content-Type: application/x-www-form-urlencoded Action=DeleteVpnConcentrator &VpnConcentratorId=vcn-0123456789abcdef0 &Version=2016-11-15 ``` Die folgende Antwort wird ausgegeben: ``` 7a62c49f-347e-4fc4-9331-6e8eEXAMPLE vcn-0123456789abcdef0 deleting The Site-to-Site VPN Concentrator vcn-0123456789abcdef0 is being deleted and will be removed from your account. ``` # Eine AWS Site-to-Site VPN Verbindung herstellen Sie können Site-to-Site VPN-Verbindungen erstellen, die an Transit-Gateways oder globale Cloud-WAN-Netzwerke angeschlossen sind. Beide Arten von Anhängen unterstützen IPv6 Protokolle IPv4 und können optional Site-to-Site VPN-Konzentratoren verwenden, um mehrere Remote-Standorte kostengünstig miteinander zu verbinden. ## Stellen Sie mithilfe der Konsole eine VPN-Verbindung her **Um eine VPN-Verbindung mit der Konsole herzustellen** 1. Öffnen Sie die Amazon-VPC-Konsole unter [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/). 1. Wählen Sie im Navigationsbereich **Site-to-Site VPN-Verbindungen** aus. 1. Wählen Sie **Create VPN connection (VPN-Verbindung erstellen)** aus. 1. (Optional) Geben Sie als **Name-Tag** einen Namen für die Verbindung ein. Auf diese Weise wird ein Tag mit dem Schlüssel `Name` und dem von Ihnen angegebenen Wert erstellt. 1. Wählen Sie als **Ziel-Gateway-Typ** eine der folgenden Optionen aus: + **Virtuelles privates Gateway** — Erstellen Sie eine neue VPN-Verbindung für ein virtuelles privates Gateway, indem Sie ein vorhandenes **virtuelles privates Gateway** auswählen. + **Transit-Gateway** — Erstellen Sie eine neue Transit-Gateway-VPN-Verbindung, indem Sie ein vorhandenes **Transit-Gateway** auswählen. Weitere Informationen zum Erstellen eines Transit-Gateways finden Sie unter [Transit-Gateways](https://docs.aws.amazon.com/vpc/latest/tgw/tgw-transit-gateways.html) in *Amazon VPC-Transit-Gateways*. + **Site-to-Site VPN Concentrator** — Erstellen Sie eine neue Site-to-Site VPN Concentrator-Verbindung, indem Sie einen vorhandenen Site-to-Site VPN Concentrator verwenden oder einen neuen erstellen. Wählen Sie eine der folgenden Optionen: + **Bestehend — Erstellen Sie eine neue Site-to-Site VPN-Concentrator-VPN-Verbindung mithilfe eines vorhandenen** Concentrators. + **Neu** — Geben Sie einen optionalen Namen für den Site-to-Site VPN Concentrator ein und wählen Sie dann das Transit-Gateway aus, das dem VPN zugeordnet werden soll. + **Nicht verknüpft** — Erstellen Sie eine unabhängige VPN-Verbindung, die später über die Network Manager-Konsole oder API mit Cloud WAN verknüpft werden kann. Weitere Informationen zu VPN-Anhängen und Cloud WAN finden Sie unter [Site-to-site VPN-Anlagen in AWS Cloud WAN](https://docs.aws.amazon.com/network-manager/latest/cloudwan/cloudwan-s2s-vpn-attachment.html) im *AWS Cloud WAN-Benutzerhandbuch*. 1. Wählen Sie bei **Customer gateway (Kunden-Gateway)** eine der folgenden Vorgehensweise: + Um ein vorhandenes Kunden-Gateway zu verwenden, wählen Sie **Existing** und dann die **Kunden-Gateway-ID** aus. + Um ein neues Kunden-Gateway zu erstellen, wählen Sie **Neu** und gehen Sie dann wie folgt vor: + Geben Sie für die **IP-Adresse** eine statische **IPv6**Adresse **IPv4**oder Adresse ein. + (Optional) Wählen Sie für **Certificate ARN** den ARN Ihres privaten Zertifikats aus (falls Sie die zertifikatsbasierte Authentifizierung verwenden). + Geben Sie unter **BGP ASN** die Border Gateway Protocol (BGP) Autonomous System Number (ASN) Ihres Kunden-Gateways ein. Weitere Informationen finden Sie unter [Kunden-Gateway-Optionen](cgw-options.md). 1. **Wählen Sie für **Routing-Optionen** **Dynamisch (erfordert BGP)** oder Statisch.** **Anmerkung** Cloud-WAN-VPN-Verbindungen und VPN-Verbindungen, die Concentrators verwenden, unterstützen nur BGP-Routing. Statisches Routing wird für diese Verbindungstypen nicht unterstützt. 1. Wählen Sie für **Pre-Shared Key Storage** entweder **Standard** oder **Secrets Manager**. Die Standardauswahl ist **Standard**. Weitere Informationen zur Verwendung von AWS Secrets Manager finden Sie unter [Sicherheit](security.md). 1. Wählen Sie für die **IP-Version „Tunnel innerhalb** von IP“ die Option **IPv4**oder **IPv6**. 1. (Optional) **Aktivieren Sie für Beschleunigung aktivieren** das Kontrollkästchen, um die Beschleunigung zu aktivieren. Weitere Informationen finden Sie unter [Beschleunigte VPN-Verbindungen](accelerated-vpn.md). Wenn Sie die Beschleunigung aktivieren, erstellen wir zwei Beschleuniger, die von Ihrer VPN-Verbindung verwendet werden. Es fallen zusätzliche Gebühren an. 1. (Optional) Je nachdem, welche Tunnel-In-IP-Version Sie ausgewählt haben, führen Sie einen der folgenden Schritte aus: + IPv4 — Geben Sie für **Local IPv4 Network CIDR** den IPv4 CIDR-Bereich auf der Kunden-Gateway-Seite (lokal) an, der über die VPN-Tunnel kommunizieren darf. Wählen Sie für **CIDR im IPv4 Remote-Netzwerk** den CIDR-Bereich auf der AWS Seite aus, die über VPN-Tunnel kommunizieren darf. Der Standardwert für beide Felder ist. `0.0.0.0/0` + IPv6 — Geben Sie für **CIDR im lokalen IPv6 Netzwerk** den IPv6 CIDR-Bereich auf dem Kunden-Gateway (lokal) an, der über die VPN-Tunnel kommunizieren darf. Wählen Sie für **CIDR im IPv6 Remote-Netzwerk** den CIDR-Bereich auf der AWS Seite aus, die über VPN-Tunnel kommunizieren darf. Der Standardwert für beide Felder ist `::/0` 1. Wählen Sie für den **Typ der externen IP-Adresse** eine der folgenden Optionen aus: + **Öffentlich IPv4** — (Standard) Verwenden Sie IPv4 Adressen für den Außentunnel IPs. + **Privat IPv4** — Verwenden Sie eine private IPv4 Adresse für die Verwendung in privaten Netzwerken. + **IPv6**- Verwenden Sie IPv6 Adressen für den Außentunnel IPs. Diese Option setzt voraus, dass Ihr Kunden-Gateway-Gerät die IPv6 Adressierung unterstützt. **Anmerkung** Wenn Sie **IPv6**den externen IP-Adresstyp wählen, müssen Sie ein Kunden-Gateway mit einer IPv6 Adresse erstellen 1. (Optional) Für die **Optionen für Tunnel 1** können Sie die folgenden Informationen für jeden Tunnel angeben: + Ein IPv4 CIDR-Block der Größe /30 aus dem `169.254.0.0/16` Bereich für die internen IPv4 Tunneladressen. + Wenn Sie **IPv6**für die **Version Tunnel inside IP** einen IPv6 CIDR-Block /126 aus dem `fd00::/8` Bereich für interne Tunneladressen angegeben haben. IPv6 + Den vorinstallierten IKE-Schlüssel (PSK). Die folgenden Versionen werden unterstützt: IKEv1 oder. IKEv2 + Um die erweiterten Optionen für Ihren Tunnel zu bearbeiten, wählen Sie **Tunneloptionen bearbeiten** aus. Weitere Informationen finden Sie unter [VPN-Tunneloptionen](VPNTunnels.md). + (Optional) Wählen Sie „**Aktivieren**“ für das **Tunnel-Aktivitätsprotokoll**, um Protokollnachrichten für IPsec Aktivitäten und DPD-Protokollnachrichten zu erfassen. + (Optional) Wählen Sie für den **Lebenszyklus von Tunnel-Endpunkten** die Option **Aktivieren** aus, um den Zeitplan für den Austausch von Endpunkten zu steuern. Weitere Informationen zum Lebenszyklus von Tunnelendpunkten finden Sie unter[Lebenszyklus eines Tunnelendpunkts](tunnel-endpoint-lifecycle.md). 1. (Optional) Wählen Sie die **Optionen für Tunnel 2** und folgen Sie den vorherigen Schritten, um einen zweiten Tunnel einzurichten. 1. Wählen Sie **Create VPN connection (VPN-Verbindung erstellen)** aus. # Erstellen Sie eine AWS Site-to-Site VPN Transit-Gateway-Verbindung mithilfe der CLI oder API ## Erstellen Sie mit der CLI eine VPN-Verbindung zu Transit Gateway Verwenden Sie den [create-vpn-connection](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/ec2/create-vpn-connection.html)Befehl und geben Sie die Transit-Gateway-ID für die `--transit-gateway-id` Option an. Das folgende Beispiel zeigt die Erstellung einer VPN-Verbindung mit IPv6 Außentunnel IPs und IPv6 Innentunnel IPs: ``` aws ec2 create-vpn-connection \ --type ipsec.1 \ --transit-gateway-id tgw-12312312312312312 \ --customer-gateway-id cgw-001122334455aabbc \ --options OutsideIPAddressType=Ipv6,TunnelInsideIpVersion=ipv6,TunnelOptions=[{StartupAction=start},{StartupAction=start}] ``` Beispielantwort: ``` { "VpnConnection": { "VpnConnectionId": "vpn-0abcdef1234567890", "State": "pending", "CustomerGatewayId": "cgw-001122334455aabbc", "Type": "ipsec.1", "TransitGatewayId": "tgw-12312312312312312", "Category": "VPN", "Routes": [], "Options": { "StaticRoutesOnly": false, "OutsideIPAddressType": "Ipv6", "TunnelInsideIpVersion": "ipv6" } } } ``` ## Erstellen Sie mithilfe der API eine VPN-Verbindung zu Transit Gateway Sie können mit der Amazon EC2 EC2-API eine VPN-Verbindung herstellen. Dieser Abschnitt enthält Beispielanforderungs- und Antwortnachrichten für die Erstellung einer Transit-Gateway-VPN-Verbindung mithilfe der API. ### Voraussetzungen Bevor Sie eine VPN-Verbindung mithilfe der API herstellen, stellen Sie sicher, dass Sie über Folgendes verfügen: + Ein Transit-Gateway wurde erstellt und ist verfügbar + Ein Kunden-Gateway, das mit Ihren Gerätedetails vor Ort konfiguriert ist Das folgende Beispiel zeigt, wie Sie mithilfe der `CreateVpnConnection` API-Aktion eine VPN-Verbindung herstellen: ``` POST / HTTP/1.1 Host: ec2.us-east-1.amazonaws.com Content-Type: application/x-www-form-urlencoded Action=CreateVpnConnection &Type=ipsec.1 &TransitGatewayId=tgw-12345678901234567 &CustomerGatewayId=cgw-12345678901234567 &Options.StaticRoutesOnly=false &Version=2016-11-15 ``` In diesem Beispiel wird eine VPN-Verbindung mit dynamischem Routing (BGP) zwischen dem angegebenen Transit-Gateway und dem Kunden-Gateway erstellt. Eine erfolgreiche API-Antwort gibt die VPN-Verbindungsdetails zurück: ``` 7a62c49f-347e-4fc4-9331-6e8eEXAMPLE vpn-1a2b3c4d5e6f78901 pending cgw-12345678901234567 ipsec.1 tgw-12345678901234567 VPN false ``` Die Antwort enthält die VPN-Verbindungs-ID, den aktuellen Status und Konfigurationsdetails. Die Verbindung befindet sich zunächst im Status „Ausstehend“, während AWS die VPN-Tunnel bereitstellt. # Erstellen Sie eine AWS Site-to-Site VPN Cloud-WAN-Verbindung mithilfe der CLI oder API Sie können Site-to-Site VPN-Verbindungen zwischen Ihrem lokalen und AWS Cloud-WAN herstellen, indem Sie wie folgt vorgehen. Weitere Informationen finden Sie unter [ Site-to-siteVPN-Anlagen in AWS Cloud WAN](https://docs.aws.amazon.com/network-manager/latest/cloudwan/cloudwan-s2s-vpn-attachment.html) im *AWS Cloud WAN-Benutzerhandbuch*. ## Erstellen Sie mit der CLI eine VPN-Verbindung zu Cloud WAN Verwenden Sie den [create-vpn-connection](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/ec2/create-vpn-connection.html)Befehl, um eine VPN-Verbindung herzustellen, die später mit einem globalen Cloud-WAN-Netzwerk verbunden wird. Dadurch wird eine unabhängige VPN-Verbindung erstellt, die anschließend über die Network Manager-Konsole oder API mit Cloud WAN verknüpft werden kann. **Voraussetzungen** Stellen Sie vor dem Erstellen einer Cloud-WAN-VPN-Verbindung sicher, dass Sie über Folgendes verfügen: + `customer-gateway-id`- Eine bestehende Kunden-Gateway-Ressource (`cgw-xxxxxxxxx`), die Ihr lokales VPN-Gerät darstellt. + **Globales Cloud-WAN-Netzwerk** — Ein globales Cloud-WAN-Netzwerk muss mit entsprechenden Netzwerksegmenten erstellt und konfiguriert werden. + **BGP-Konfiguration** — Cloud-WAN-VPN-Verbindungen erfordern BGP-Routing; statisches Routing wird nicht unterstützt. Sie müssen den `StaticRoutesOnly=false` Optionsparameter eingeben Dieser Befehl erstellt eine VPN-Verbindung, ohne ein Ziel-Gateway anzugeben. Die Verbindung befindet sich in einem Zustand ohne Verbindung und kann später über die Network Manager-Konsole oder API mit Ihrem globalen Cloud WAN-Netzwerk verknüpft werden. Die `StaticRoutesOnly=false` Option aktiviert BGP-Routing, das für Cloud WAN VPN-Anhänge obligatorisch ist, da statisches Routing nicht unterstützt wird. Das folgende Beispiel erstellt eine unabhängige VPN-Verbindung für Cloud WAN: ``` aws ec2 create-vpn-connection \ --type ipsec.1 \ --customer-gateway-id cgw-0123456789abcdef0 \ --options StaticRoutesOnly=false ``` Die Antwort gibt Folgendes zurück: ``` { "VpnConnection": { "VpnConnectionId": "vpn-0abcdef1234567890", "State": "pending", "CustomerGatewayId": "cgw-0123456789abcdef0", "Type": "ipsec.1", "Category": "VPN", "Routes": [], "Options": { "StaticRoutesOnly": false } } } ``` Nachdem Sie die VPN-Verbindung hergestellt haben, können Sie sie über die Network Manager-Konsole oder den `create-site-to-site-vpn-attachment` API-Aufruf mit Ihrem globalen Cloud WAN-Netzwerk verbinden. ## Erstellen Sie mithilfe der API eine VPN-Cloud-WAN-Verbindung Sie können die EC2-API verwenden, um eine VPN-Verbindung für die Cloud-WAN-Integration herzustellen. Dazu gehört ein `CreateVpnConnection` API-Aufruf, der eine unabhängige VPN-Verbindung herstellt, die dann mit Ihrem globalen Cloud WAN-Netzwerk verknüpft werden kann. Die API-Anfrage stellt eine VPN-Verbindung her, ohne ein Ziel-Gateway anzugeben, sodass das Gerät in einem Zustand ohne Verbindung bleibt, der für die Cloud-WAN-Integration bereit ist. Die Verbindung verwendet BGP-Routing, das für Cloud WAN VPN-Anhänge erforderlich ist. Das folgende Beispiel zeigt die HTTP-Anfrage zum Erstellen einer Cloud-WAN-VPN-Verbindung: ``` POST / HTTP/1.1 Host: ec2.us-east-1.amazonaws.com Content-Type: application/x-www-form-urlencoded Authorization: AWS4-HMAC-SHA256 Credential=... Action=CreateVpnConnection &Type=ipsec.1 &CustomerGatewayId=cgw-0123456789abcdef0 &Options.StaticRoutesOnly=false &Version=2016-11-15 ``` Die API gibt eine erfolgreiche Antwort zurück, die die VPN-Verbindungsdetails enthält. Die Verbindung befindet sich zunächst in einem `pending` Zustand, in dem die AWS VPN-Tunnel bereitgestellt werden. Zu diesem Zeitpunkt ändert sich der Status in`available`. ``` 12345678-1234-1234-1234-123456789012 vpn-0abcdef1234567890 pending cgw-0123456789abcdef0 ipsec.1 VPN false ``` **Einzelheiten zur Antwort** Die API-Antwort enthält die folgenden wichtigen Informationen: + **vpnConnectionId**- Die eindeutige Kennung für Ihre VPN-Verbindung (z. B.`vpn-0abcdef1234567890`), mit der Sie sie an Cloud WAN anhängen + **state** — Anfänglich „ausstehend“, während AWS die VPN-Tunnel bereitstellt, und wechselt dann zu „verfügbar“, wenn sie zum Anhängen bereit sind + **Kategorie** — Zeigt „VPN“ an, was darauf hinweist, dass es sich um eine unabhängige VPN-Verbindung handelt, die für die Cloud-WAN-Integration geeignet ist + **staticRoutesOnly**- Auf „false“ setzen, um BGP-Routing zu aktivieren, das für Cloud-WAN-VPN-Anhänge erforderlich ist Sobald die VPN-Verbindung den Status „verfügbar“ erreicht hat, können Sie sie mithilfe der Network `CreateSiteToSiteVpnAttachment` Manager-API oder über die AWS-Konsole mit Ihrem globalen Cloud WAN-Netzwerk verbinden. # Erstellen Sie eine AWS Site-to-Site VPN Concentrator-Verbindung mithilfe der CLI oder API ## Erstellen Sie mit der CLI eine Site-to-Site VPN Concentrator-Verbindung Nachdem Sie einen Site-to-Site VPN Concentrator erstellt haben, müssen Sie einzelne VPN-Verbindungen von Ihren Remote-Standorten zum Site-to-Site VPN Concentrator herstellen. Jeder Remote-Site benötigt eine eigene VPN-Verbindung, die auf die Site-to-Site VPN Concentrator-ID verweist. Auf diese Weise können mehrere Remote-Standorte dieselbe Site-to-Site VPN Concentrator-Infrastruktur gemeinsam nutzen und gleichzeitig separate, sichere Tunnel für jeden Standort aufrechterhalten. Um eine VPN-Verbindung mit einem Site-to-Site VPN Concentrator herzustellen, geben Sie beim Erstellen der Site-to-Site VPN-Verbindung den VPN Concentrator anstelle des Transit-Gateways an. Im folgenden Beispiel wird eine VPN-Verbindung mithilfe eines Site-to-Site VPN-Concentrators erstellt: ``` aws ec2 create-vpn-connection \ --type ipsec.1 \ --customer-gateway-id cgw-123456789 \ --vpn-concentrator-id vcn-0123456789abcdef0 ``` Eine erfolgreiche Antwort gibt Folgendes zurück: ``` { "VpnConnection": { "VpnConnectionId": "vpn-0abcdef1234567890", "State": "pending", "CustomerGatewayId": "cgw-123456789", "Type": "ipsec.1", "VpnConcentratorId": "vcn-0123456789abcdef0", "Category": "VPN", "Routes": [], "Options": { "StaticRoutesOnly": false } } } ``` ## Erstellen Sie mithilfe der Site-to-Site API eine VPN Concentrator-Verbindung Sie können mithilfe der Amazon EC2 EC2-API eine Site-to-Site VPN-Verbindung herstellen, die einen VPN Concentrator verwendet. Dieser Abschnitt enthält Beispielanforderungs- und Antwortnachrichten für die Erstellung einer VPN-Verbindung mit einem Site-to-Site VPN Concentrator. Bevor Sie mithilfe der API eine VPN-Verbindung mit einem Site-to-Site VPN Concentrator herstellen, stellen Sie sicher, dass Sie über Folgendes verfügen: + Ein Site-to-Site VPN-Konzentrator wurde erstellt und ist verfügbar + Ein Kunden-Gateway, das für Ihren Remote-Standort konfiguriert ist + Netzwerkkonfiguration, die den IPsec Verkehr zwischen Ihrer Site und AWS ermöglicht Das folgende Beispiel zeigt, wie Sie mithilfe eines VPN-Concentrators mit der `CreateVpnConnection` API-Aktion eine Site-to-Site VPN-Verbindung herstellen: ``` POST / HTTP/1.1 Host: ec2.us-east-1.amazonaws.com Content-Type: application/x-www-form-urlencoded Action=CreateVpnConnection &Type=ipsec.1 &VpnConcentratorId=vcn-0123456789abcdef0 &CustomerGatewayId=cgw-12345678901234567 &Options.StaticRoutesOnly=false &Version=2016-11-15 ``` In diesem Beispiel wird eine VPN-Verbindung zwischen dem angegebenen Site-to-Site VPN Concentrator und dem Kunden-Gateway erstellt. Der Site-to-Site VPN Concentrator fungiert als AWS seitlicher Endpunkt und ermöglicht es mehreren Remote-Standorten, sich über einen zentralen Hub zu verbinden. Bei einer erfolgreichen API-Antwort werden die VPN-Verbindungsdetails mit Site-to-Site VPN Concentrator-Informationen zurückgegeben: ``` 8b73d60f-458f-5gc5-a442-7f9fEXAMPLE vpn-9z8y7x6w5v4u32109 pending cgw-12345678901234567 ipsec.1 vcn-0123456789abcdef0 VPN false ``` Die Antwort enthält die VPN-Verbindungs-ID und verweist auf die Site-to-Site VPN Concentrator-ID anstelle einer Transit-Gateway-ID. Diese Verbindung ermöglicht es Ihrem Remote-Standort, mit anderen Standorten zu kommunizieren, die mit demselben Site-to-Site VPN Concentrator verbunden sind, wodurch hub-and-spoke Netzwerktopologien aktiviert werden. # AWS Site-to-Site VPN Verbindungen ansehen ## VPN-Verbindungen über die Konsole anzeigen Sie können Ihre VPN-Verbindungen und deren Details in der AWS-Managementkonsole einsehen. Dies bietet eine visuelle Oberfläche zur Überwachung des Verbindungsstatus, des Tunnelzustands und der Konfigurationsdetails. **So zeigen Sie VPN-Verbindungen mit der Konsole an** 1. Öffnen Sie die Amazon-VPC-Konsole unter [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/). 1. Wählen Sie im Navigationsbereich **Site-to-Site VPN Connections** aus. 1. Wählen Sie Ihre VPN-Verbindung aus, um detaillierte Informationen zu erhalten, darunter: + Verbindungsstatus und Status + Tunneldetails und Gesundheitszustand + Informationen zur Route + Konfigurationsparameter Die Konsole zeigt Statusinformationen in Echtzeit an und ermöglicht es Ihnen, die Tunnelkonnektivität zu überwachen, Routing-Tabellen anzuzeigen und auf Konfigurationsdetails zur Fehlerbehebung zuzugreifen. ## VPN-Verbindungen mit der CLI anzeigen Verwenden Sie die AWS-CLI, um detaillierte Informationen zu Ihren VPN-Verbindungen programmgesteuert abzufragen und abzurufen. Diese Methode ermöglicht Automatisierung, Skripterstellung und Integration mit Überwachungstools. Um alle VPN-Verbindungen in Ihrem aktuellen AWS-Konto und Ihrer Region abzufragen, führen Sie den `describe-vpn-connections` Befehl ohne Parameter aus. Wenn Sie jedoch die Details zu einer bestimmten VPN-Verbindung einsehen möchten, müssen Sie die VPN-Verbindungs-ID kennen. Um detaillierte Informationen für eine bestimmte VPN-Verbindung abzurufen, geben Sie die Verbindungs-ID als Parameter an. Das folgende Beispiel zeigt eine Anfrage zum Anzeigen von Details zu einer bestimmten VPN-Verbindung. ``` aws ec2 describe-vpn-connections --vpn-connection-ids vpn-1234567890abcdef0 ``` Die Antwort enthält umfassende Informationen über die VPN-Verbindung, einschließlich Tunneloptionen, Routing-Details und dem aktuellen Status. + `State`- Der aktuelle Status der VPN-Verbindung + `TunnelOptions`- Konfiguration und Status für jeden Tunnel + `OutsideIpAddress`- Die öffentlichen IP-Adressen der VPN-Tunnel + `Routes`- Routing-Informationen für die Verbindung Beispiel für einen Antwortauszug mit den wichtigsten Verbindungsdetails: ``` { "VpnConnections": [ { "VpnConnectionId": "vpn-1234567890abcdef0", "State": "available", "CustomerGatewayId": "cgw-1234567890abcdef0", "Type": "ipsec.1", "Options": { "StaticRoutesOnly": false, "TunnelOptions": [ { "OutsideIpAddress": "203.0.113.12", "TunnelInsideCidr": "169.254.10.0/30", "PreSharedKey": "example_key_1234567890abcdef0", "Phase1LifetimeSeconds": 28800, "Phase2LifetimeSeconds": 3600 }, { "OutsideIpAddress": "203.0.113.34", "TunnelInsideCidr": "169.254.11.0/30", "PreSharedKey": "example_key_0987654321fedcba0", "Phase1LifetimeSeconds": 28800, "Phase2LifetimeSeconds": 3600 } ] } } ] } ``` ## VPN-Verbindungen mithilfe der API anzeigen Führen Sie direkte API-Aufrufe an den EC2 Amazon-Service durch, um VPN-Verbindungsinformationen abzurufen. Dieser Ansatz bietet maximale Flexibilität für benutzerdefinierte Anwendungen und programmatische Integrationen. Die `DescribeVpnConnections` API-Aktion fragt detaillierte Informationen zu einer oder mehreren VPN-Verbindungen ab und gibt diese zurück. Sie können Filter nach Verbindungs-ID, Status oder anderen Attributen anwenden, um Ihre Ergebnisse einzugrenzen. Im Folgenden finden Sie ein Beispiel für eine Anfrage zur Angabe von Details zu einer einzelnen VPN-Verbindung. ``` POST / HTTP/1.1 Host: ec2.us-east-1.amazonaws.com Content-Type: application/x-www-form-urlencoded Authorization: AWS4-HMAC-SHA256 Credential=AKIAIOSFODNN7EXAMPLE/20230101/us-east-1/ec2/aws4_request, SignedHeaders=host;x-amz-date, Signature=example_signature Action=DescribeVpnConnections &VpnConnectionId.1=vpn-1234567890abcdef0 &Version=2016-11-15 ``` Die Antwort gibt Details zu dieser VPN-Verbindung zurück. ``` 12345678-1234-1234-1234-123456789012 vpn-1234567890abcdef0 available cgw-1234567890abcdef0 ipsec.1 false 203.0.113.12 169.254.10.0/30 example_key_1234567890abcdef0 203.0.113.34 169.254.11.0/30 example_key_0987654321fedcba0 ``` # Eine AWS Site-to-Site VPN Verbindung testen Nachdem Sie die AWS Site-to-Site VPN Verbindung hergestellt und das Kunden-Gateway konfiguriert haben, können Sie eine Instanz starten und die Verbindung testen, indem Sie die Instanz anpingen. Bevor Sie anfangen, prüfen Sie Folgendes: + Verwenden Sie ein AMI, das auf Ping-Anfragen reagiert. Wir empfehlen Ihnen, eines der Amazon Linux-Betriebssysteme zu verwenden AMIs. + Konfigurieren Sie in Ihrer VPC alle Sicherheitsgruppen oder Netzwerk-ACLs, die den Datenverkehr zur Instance filtern, damit sowohl eingehender als auch ausgehender ICMP-Datenverkehr zugelassen wird. Dadurch kann die Instance `ping`-Anfragen empfangen. + Wenn Sie Instances verwenden, auf denen Windows Server ausgeführt wird, stellen Sie eine Verbindung zur Instance her und aktivieren Sie Inbound ICMPv4 auf der Windows-Firewall, um die Instance zu pingen. + (Statisches Routing) Stellen Sie sicher, dass das Kunden-Gateway-Gerät eine statische Route zu Ihrer VPC besitzt und Ihre VPN-Verbindung über eine statische Route verfügt, damit der Netzwerkdatenverkehr zurück zum Kunden-Gateway-Gerät gelangen kann. + (Dynamisches Routing) Stellen Sie sicher, dass der BGP-Status auf Ihrem Kunden-Gateway-Gerät eingerichtet ist. Es dauert etwa 30 Sekunden, bis eine BGP-Peering-Sitzung aufgebaut ist. Stellen Sie sicher, dass Routen mit BGP ordnungsgemäß angekündigt und in der Routing-Tabelle gezeigt werden, sodass der Verkehr zu Ihrem Kunden-Gateway zurückgelangen kann. Stellen Sie sicher, dass beide Tunnel mit BGP-Routing konfiguriert sind. + Stellen Sie sicher, dass Sie das Routing in Ihren Subnetz-Routing-Tabellen für die VPN-Verbindung konfiguriert haben. **So testen Sie die Konnektivität** 1. Öffnen Sie die EC2 Amazon-Konsole unter [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. Wählen Sie auf dem Dashboard **Launch Instance** (Instance starten) aus. 1. (Optional) Geben Sie unter **Name** einen beschreibenden Namen für Ihre Instance ein. 1. Wählen Sie bei **Anwendungs- und Betriebssystem-Images (Amazon Machine Image)** die Option **Schnellstart** und dann das Betriebssystem für Ihre Instance aus. 1. Wählen Sie bei **Schlüsselpaarname** ein bestehendes Schlüsselpaar aus oder erstellen Sie ein neues. 1. Wählen Sie unter **Firewall** die Option **Vorhandene Sicherheitsgruppe auswählen** und dann die erstellte Sicherheitsgruppe aus. 1. Wählen Sie in der **Übersicht** **Launch instance (Instance starten)** aus. 1. Rufen Sie, sobald die Instance ausgeführt wird, die private IP-Adresse (z. B. 10.0.0.4) ab. Die EC2 Amazon-Konsole zeigt die Adresse als Teil der Instance-Details an. 1. Verwenden Sie auf einem Computer in Ihrem Netzwerk, der sich hinter dem Kunden-Gateway-Gerät befindet, den **ping**-Befehl mit der privaten IP-Adresse der Instance. ``` ping 10.0.0.4 ``` Eine erfolgreiche Antwort ähnelt dem folgenden Beispiel. ``` Pinging 10.0.0.4 with 32 bytes of data: Reply from 10.0.0.4: bytes=32 time<1ms TTL=128 Reply from 10.0.0.4: bytes=32 time<1ms TTL=128 Reply from 10.0.0.4: bytes=32 time<1ms TTL=128 Ping statistics for 10.0.0.4: Packets: Sent = 3, Received = 3, Lost = 0 (0% loss), Approximate round trip times in milliseconds: Minimum = 0ms, Maximum = 0ms, Average = 0ms ``` Um ein Tunnel-Failover zu testen, können Sie vorübergehend einen der Tunnel des Kunden-Gateway-Geräts deaktivieren und den Schritt dann wiederholen. Es ist nicht möglich, einen Tunnel auf der AWS -Seite der VPN-Verbindung zu deaktivieren. 1. Um die Verbindung zu Ihrem lokalen Netzwerk AWS zu testen, können Sie SSH oder RDP verwenden, um von Ihrem Netzwerk aus eine Verbindung zu Ihrer Instance herzustellen. Anschließend können Sie den `ping`-Befehl mit der privaten IP-Adresse eines anderen Computers in Ihrem Netzwerk ausführen, um sicherzustellen, dass beide Seiten der Verbindung Anforderungen initiieren und empfangen können. Weitere Informationen zum Herstellen einer Verbindung mit einer Linux-Instance finden [Sie unter Connect to your Linux Instance](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/connect-to-linux-instance.html) im * EC2 Amazon-Benutzerhandbuch*. Weitere Informationen zum Herstellen einer Connect einer Windows-Instance finden Sie unter [Verbindung zu Ihrer Windows-Instance](https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/connecting_to_windows_instance.html) herstellen im * EC2 Amazon-Benutzerhandbuch*. # Eine AWS Site-to-Site VPN Verbindung und ein Gateway löschen Wenn Sie keine AWS Site-to-Site VPN Verbindung mehr benötigen, können Sie sie löschen. Wenn Sie eine Site-to-Site VPN-Verbindung löschen, löschen wir nicht das Kunden-Gateway oder das virtuelle private Gateway, das mit der Site-to-Site VPN-Verbindung verknüpft war. Wenn Sie das Kunden-Gateway und das Virtual Private Gateway nicht mehr benötigen, können Sie diese löschen. **Warnung** Wenn Sie Ihre Site-to-Site VPN-Verbindung löschen und dann eine neue erstellen, müssen Sie eine neue Konfigurationsdatei herunterladen und das Kunden-Gateway-Gerät neu konfigurieren. **Topics** + [Eine VPN-Verbindung löschen](delete-vpn-connection.md) + [Ein Kunden-Gateway löschen](delete-cgw.md) + [Ein Virtual Private Gateway trennen und löschen](delete-vgw.md) # Löschen Sie eine Verbindung AWS Site-to-Site VPN Nachdem Sie Ihre Site-to-Site VPN-Verbindung gelöscht haben, bleibt sie für kurze Zeit mit dem Status von `deleted` sichtbar. Danach wird der Eintrag automatisch entfernt. **So löschen Sie eine VPN-Verbindung mithilfe der Konsole** 1. Öffnen Sie die Amazon-VPC-Konsole unter [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/). 1. Wählen Sie im Navigationsbereich **Site-to-Site VPN-Verbindungen** aus. 1. Wählen Sie erst die VPN-Verbindung und dann **Aktionen** und **VPN-Verbindung löschen** aus. 1. Wenn Sie zur Bestätigung aufgefordert werden, geben Sie **delete** ein und wählen Sie dann **Löschen** aus. **So löschen Sie eine VPN-Verbindung über die Befehlszeile oder API** + [DeleteVpnConnection](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_DeleteVpnConnection.html)(Amazon EC2 Query API) + [delete-vpn-connection](https://docs.aws.amazon.com/cli/latest/reference/ec2/delete-vpn-connection.html) (AWS CLI) + [Remove-EC2VpnConnection](https://docs.aws.amazon.com/powershell/latest/reference/items/Remove-EC2VpnConnection.html) (AWS Tools for Windows PowerShell) # Löschen Sie ein AWS Site-to-Site VPN Kunden-Gateway Wenn Sie ein Kunden-Gateway nicht mehr benötigen, können Sie es löschen. Sie können kein Kunden-Gateway löschen, das in einer Site-to-Site VPN-Verbindung verwendet wird. **So löschen Sie ein Kunden-Gateway mithilfe der Konsole** 1. Wählen Sie im Navigationsbereich **Kunden-Gateways** aus. 1. Wählen Sie das Kunden-Gateway und **Aktionen**, **Kunden-Gateway löschen** aus. 1. Wenn Sie zur Bestätigung aufgefordert werden, geben Sie **delete** ein und wählen Sie dann **Löschen** aus. **So löschen Sie ein Kunden-Gateway über die Befehlszeile oder API** + [DeleteCustomerGateway](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_DeleteCustomerGateway.html)(Amazon EC2 Query API) + [delete-customer-gateway](https://docs.aws.amazon.com/cli/latest/reference/ec2/delete-customer-gateway.html) (AWS CLI) + [Remove-EC2CustomerGateway](https://docs.aws.amazon.com/powershell/latest/reference/items/Remove-EC2CustomerGateway.html) (AWS Tools for Windows PowerShell) # Trennen und löschen Sie ein virtuelles privates Gateway in AWS Site-to-Site VPN Wenn Sie ein Virtual Private Gateway in Ihrer VPC nicht mehr benötigen, können Sie es von der VPC trennen. **So trennen Sie ein Virtual Private Gateway mithilfe der Konsole** 1. Wählen Sie im Navigationsbereich **Virtual Private Gateways** aus. 1. Wählen Sie den Virtual Private Gateway und dann **Actions**, **Detach from VPC**. 1. Wählen Sie **Virtuelles privates Gateway trennen** aus. Wenn Sie ein Virtual Private Gateway, das getrennt wurde, nicht mehr benötigen, können Sie es löschen. Sie können ein Virtual Private Gateway, das noch immer einer VPC zugeordnet ist, nicht löschen. Nachdem Sie Ihr virtuelles privates Gateway gelöscht haben, bleibt es kurze Zeit mit dem Status `deleted` sichtbar und dann wird der Eintrag automatisch entfernt. **So löschen Sie ein Virtual Private Gateway mithilfe der Konsole** 1. Wählen Sie im Navigationsbereich **Virtual Private Gateways** aus. 1. Wählen Sie das Virtual Private Gateway und **Aktionen**, **Virtual Private Gateway löschen** aus. 1. Wenn Sie zur Bestätigung aufgefordert werden, geben Sie **delete** ein und wählen Sie dann **Löschen** aus. **So trennen Sie ein Virtual Private Gateway über die Befehlszeile oder API** + [DetachVpnGateway](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_DetachVpnGateway.html)(Amazon EC2 Query API) + [detach-vpn-gateway](https://docs.aws.amazon.com/cli/latest/reference/ec2/detach-vpn-gateway.html) (AWS CLI) + [Dismount-EC2VpnGateway](https://docs.aws.amazon.com/powershell/latest/reference/items/Dismount-EC2VpnGateway.html) (AWS Tools for Windows PowerShell) **So löschen Sie ein Virtual Private Gateway über die Befehlszeile oder API** + [DeleteVpnGateway](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_DeleteVpnGateway.html)(Amazon EC2 Query API) + [delete-vpn-gateway](https://docs.aws.amazon.com/cli/latest/reference/ec2/delete-vpn-gateway.html) (AWS CLI) + [Remove-EC2VpnGateway](https://docs.aws.amazon.com/powershell/latest/reference/items/Remove-EC2VpnGateway.html) (AWS Tools for Windows PowerShell) # Ändern Sie das Ziel-Gateway einer AWS Site-to-Site VPN Verbindung Sie können das Ziel-Gateway einer AWS Site-to-Site VPN Verbindung ändern. Die folgenden Migrationsoptionen sind verfügbar: + Ein vorhandenes Virtual Private Gateway zu einem Transit-Gateway + Ein vorhandenes Virtual Private Gateway zu einem anderen Virtual Private Gateway + Ein vorhandenes Transit-Gateway zu einem anderen Transit-Gateway + Ein vorhandenes Transit-Gateway zu einem Virtual Private Gateway Nachdem Sie das Ziel-Gateway geändert haben, ist Ihre Site-to-Site VPN-Verbindung vorübergehend für einen kurzen Zeitraum nicht verfügbar, solange wir die neuen Endpunkte bereitstellen. Die folgenden Aufgaben helfen Ihnen, die Migration zu einem neuen Gateway durchzuführen. **Topics** + [Schritt 1: Das neue Ziel-Gateway erstellen](#step-create-gateway) + [Schritt 2: Die statischen Routen löschen (bedingt)](#step-update-staic-route) + [Schritt 3: Migrieren zum neuen Gateway](#step-migrate-gateway) + [Schritt 4: Aktualisieren der VPC-Routing-Tabellen](#step-update-routing) + [Schritt 5: Ziel-Gateway-Routing aktualisieren (bedingt)](#step-update-transit-gateway-routing) + [Schritt 6: Kunden-Gateway-ASN aktualisieren (bedingt)](#step-update-customer-gateway-asn) ## Schritt 1: Das neue Ziel-Gateway erstellen Bevor Sie die Migration zu einem neuen Ziel-Gateway durchführen, müssen Sie das neue Gateway zunächst konfigurieren. Weitere Informationen zum Hinzufügen eines Virtual Private Gateway finden Sie unter [Erstellen eines Virtual Private Gateways](SetUpVPNConnections.md#vpn-create-vpg). Weitere Informationen zum Hinzufügen eines Transit-Gateways finden Sie unter [Erstellen eines Transit-Gateways](https://docs.aws.amazon.com/vpc/latest/tgw/tgw-transit-gateways.html#create-tgw) in *Amazon VPC Transit-Gateways*. Wenn das neue Ziel-Gateway ein Transit-Gateway ist, verbinden Sie es VPCs mit dem Transit-Gateway. Weitere Informationen zu VPC-Anhängen finden Sie auf der Seite über [Transit-Gateway-Verbindungen mit einer VPC](https://docs.aws.amazon.com/vpc/latest/tgw/tgw-vpc-attachments.html) in *Amazon VPC Transit-Gateways*. Wenn Sie das Ziel von einem Virtual Private Gateway zu einem Transit-Gateway ändern, können Sie optional die Transit Gateway-ASN auf denselben Wert wie die ASN des Virtual Private Gateways setzen. Wenn Sie sich für eine andere ASN entscheiden, müssen Sie die ASN auf Ihrem Kunden-Gateway-Gerät auf die Transit-Gateway-ASN festlegen. Weitere Informationen finden Sie unter [Schritt 6: Kunden-Gateway-ASN aktualisieren (bedingt)](#step-update-customer-gateway-asn). ## Schritt 2: Die statischen Routen löschen (bedingt) Dieser Schritt ist erforderlich, wenn Sie eine Migration von einem Virtual Private Gateway mit statischen Routen zu einem Transit-Gateway durchführen. Sie müssen die statischen Routen löschen, bevor Sie die Migration zum neuen Gateway durchführen können. **Tipp** Erstellen Sie eine Kopie der statischen Route, ehe Sie diese löschen. Sie müssen diese Routen wieder zum Transit-Gateway hinzufügen, wenn die Migration der VPN-Verbindung abgeschlossen ist. **So löschen Sie Routen aus einer Routing-Tabelle** 1. Öffnen Sie die Amazon-VPC-Konsole unter [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/). 1. Klicken Sie im Navigationsbereich auf **Route Tables** (Routing-Tabellen) und wählen Sie die Routing-Tabelle aus. 1. Klicken Sie auf der Registerkarte **Routes (Routen)** auf **Edit routes (Routen bearbeiten)**. 1. Wählen Sie bei der statischen Route zum Virtual Private Gateway **Entfernen** aus. 1. Wählen Sie **Änderungen speichern ** aus. ## Schritt 3: Migrieren zum neuen Gateway **So ändern Sie das Ziel-Gateway** 1. Öffnen Sie die Amazon-VPC-Konsole unter [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/). 1. Wählen Sie im Navigationsbereich **Site-to-Site VPN-Verbindungen** aus. 1. Wählen Sie die VPN-Verbindung und **Aktionen**, **VPN-Verbindung ändern** aus. 1. Wählen Sie als **Zieltyp** den Gateway-Typ aus. 1. Wenn das neue Ziel-Gateway ein virtuelles privates Gateway ist, wählen Sie **VPN-Gateway** aus. 1. Wenn das neue Ziel-Gateway ein Transit-Gateway ist, wählen Sie **Transit-Gateway** aus. 1. Wählen Sie **Änderungen speichern ** aus. **Um eine Site-to-Site VPN-Verbindung über die Befehlszeile oder API zu ändern** + [ModifyVpnConnection](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_ModifyVpnConnection.html)(Amazon EC2 EC2-Abfrage-API) + [modify-vpn-connection](https://docs.aws.amazon.com/cli/latest/reference/ec2/modify-vpn-connection.html) (AWS CLI) ## Schritt 4: Aktualisieren der VPC-Routing-Tabellen Nach der Migration zum neuen Gateway müssen Sie möglicherweise Ihre VPC-Routing-Tabelle ändern. Weitere Informationen finden Sie unter [Routing-Tabellen](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Route_Tables.html) im *Amazon VPC-Benutzerhandbuch*. Die folgende Tabelle enthält Informationen zu den Aktualisierungen der VPC-Routentabelle, die nach dem Ändern des VPN-Gateway-Ziels vorgenommen werden sollen. | Vorhandenes Gateway | Neues Gateway | Änderung der VPC-Routing-Tabelle | | --- | --- | --- | | Virtual Private Gateway mit verbreiteten Routen | Transit Gateway | Fügen Sie eine Route hinzu, in der die ID des Transit-Gateway enthalten ist. | | Virtual Private Gateway mit verbreiteten Routen | Virtual Private Gateway mit verbreiteten Routen | Es ist keine Aktion erforderlich. | | Virtual Private Gateway mit verbreiteten Routen | Virtual Private Gateway mit statischer Route | Fügen Sie eine Route hinzu, in der die ID des neuen Virtual Private Gateway enthalten ist. | | Virtual Private Gateway mit statischen Routen | Transit Gateway | Aktualisieren Sie die Route, in der die ID des Virtual Private Gateway enthalten ist, auf die ID des Transit-Gateway. | | Virtual Private Gateway mit statischen Routen | Virtual Private Gateway mit statischen Routen | Aktualisieren Sie die Route, in der die ID des Virtual Private Gateway enthalten ist, auf die ID des neuen Virtual Private Gateway. | | Virtual Private Gateway mit statischen Routen | Virtual Private Gateway mit verbreiteten Routen | Löschen Sie die Route, in der die ID des Virtual Private Gateway enthalten ist. | | Transit Gateway | Virtual Private Gateway mit statischen Routen | Aktualisieren Sie die Route, in der die ID des Transit Gateway enthalten ist, auf die ID des Virtual Private Gateway. | | Transit Gateway | Virtual Private Gateway mit verbreiteten Routen | Löschen Sie die Route, in der die ID des Transit-Gateway enthalten ist. | | Transit Gateway | Transit Gateway | Aktualisieren Sie die Route, in der die ID des Transit Gateway enthalten ist, auf die ID des neuen Transit-Gateway. | ## Schritt 5: Ziel-Gateway-Routing aktualisieren (bedingt) Wenn es sich bei dem neuen Gateway um ein Transit-Gateway handelt, ändern Sie die Routentabelle des Transit-Gateways, um den Verkehr zwischen der VPC und dem Site-to-Site VPN zuzulassen. Weitere Informationen finden Sie unter [Transit-Gateway-Routing-Tabellen](https://docs.aws.amazon.com/vpc/latest/tgw/tgw-route-tables.html) in *Amazon-VPC-Transit-Gateways*. Wenn Sie statische VPN-Routen gelöscht haben, müssen Sie die statischen Routen zur Transit-Gateway-Routing-Tabelle hinzufügen. Im Gegensatz zu einem virtuellen privaten Gateway legt ein Transit-Gateway den gleichen Wert für den Multi-Exit-Diskriminator (MED) in allen Tunneln eines VPN-Anhangs fest. Wenn Sie von einem virtuellen privaten Gateway zu einem Transit-Gateway migrieren und sich bei der Tunnelauswahl auf den MED-Wert verlassen, empfehlen wir Ihnen, Routing-Änderungen vorzunehmen, um Verbindungsprobleme zu vermeiden. Sie können beispielsweise spezifischere Routen auf Ihrem Transit-Gateway bewerben. Weitere Informationen finden Sie unter [Routentabellen und AWS Site-to-Site VPN Routenpriorität](vpn-route-priority.md). ## Schritt 6: Kunden-Gateway-ASN aktualisieren (bedingt) Wenn das neue Gateway eine andere ASN als das alte Gateway hat, müssen Sie die ASN auf Ihrem Kunden-Gateway-Gerät aktualisieren, um auf die neue ASN zu verweisen. Weitere Informationen finden Sie unter [Kunden-Gateway-Optionen für Ihre AWS Site-to-Site VPN Verbindung](cgw-options.md). # AWS Site-to-Site VPN Verbindungsoptionen ändern Sie können die Verbindungsoptionen für Ihre Site-to-Site VPN-Verbindung ändern. Sie können die folgenden Optionen ändern: + Der IPv4 CIDR erstreckt sich auf der lokalen Seite (Kunden-Gateway) und der Remote-Seite (AWS) der VPN-Verbindung, die über die VPN-Tunnel kommunizieren kann. Der Standardwert für beide Bereiche lautet „`0.0.0.0/0`“. + Der IPv6 CIDR erstreckt sich auf der lokalen (Kunden-Gateway) und der Remote-Seite (AWS) der VPN-Verbindung, die über die VPN-Tunnel kommunizieren kann. Der Standardwert für beide Bereiche lautet „`::/0`“. Wenn Sie die VPN-Verbindungsoptionen ändern, ändern sich die IP-Adressen der VPN-Endpunkte auf der AWS Seite nicht, und die Tunneloptionen ändern sich nicht. Ihre VPN-Verbindung ist für einen kurzen Zeitraum nicht verfügbar, während die VPN-Verbindung aktualisiert wird. **So ändern Sie die VPN-Verbindungsoptionen über die Konsole** 1. Öffnen Sie die Amazon-VPC-Konsole unter [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/). 1. Wählen Sie im Navigationsbereich **Site-to-Site VPN-Verbindungen** aus. 1. Wählen Sie Ihre VPN-Verbindung und **Aktionen**, **VPN-Verbindungsoptionen ändern** aus. 1. Geben Sie nach Bedarf neue CIDR-Bereiche ein. 1. Wählen Sie **Änderungen speichern ** aus. **So ändern Sie die VPN-Verbindungsoptionen über die Befehlszeile oder API** + [modify-vpn-connection-options](https://docs.aws.amazon.com/cli/latest/reference/ec2/modify-vpn-connection-options.html) (AWS CLI) + [ModifyVpnConnectionOptions](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_ModifyVpnConnectionOptions.html)(Amazon EC2 Query API) # AWS Site-to-Site VPN Tunneloptionen ändern Sie können die Tunneloptionen für die VPN-Tunnel in Ihrer Site-to-Site VPN-Verbindung ändern. Sie können nur jeweils einen VPN-Tunnel ändern. **Wichtig** Wenn Sie einen VPN-Tunnel ändern, wird die Konnektivität über den Tunnel unter Umständen für mehrere Minuten unterbrochen. Planen Sie die erwartete Ausfallzeit unbedingt ein. **So ändern Sie die VPN-Tunneloptionen über die Konsole** 1. Öffnen Sie die Amazon-VPC-Konsole unter [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/). 1. Wählen Sie im Navigationsbereich **Site-to-Site VPN-Verbindungen** aus. 1. Wählen Sie die Site-to-Site VPN-Verbindung und dann **Aktionen**, **VPN-Tunneloptionen ändern** aus. 1. Wählen Sie bei **Externe IP-Adresse des VPN-Tunnels** die Tunnelendpunkt-IP des VPN-Tunnels aus. 1. Wählen Sie bei Bedarf neue Werte für die Tunnel-Optionen aus oder geben Sie sie ein. Weitere Informationen zu den Tunneloptionen finden Sie unter[VPN-Tunneloptionen](VPNTunnels.md). **Anmerkung** Einige Tunneloptionen haben mehrere Standardwerte. Klicken Sie hier, um einen beliebigen Standardwert zu entfernen. Dieser Standardwert wird dann aus der Tunneloption entfernt. 1. Wählen Sie **Änderungen speichern ** aus. **So ändern Sie die VPN-Tunneloptionen über die Befehlszeile oder API** + (AWS CLI) Wird verwendet [describe-vpn-connections](https://docs.aws.amazon.com/cli/latest/reference/ec2/describe-vpn-connections.html), um die aktuellen Tunneloptionen anzuzeigen und die Tunneloptionen [modify-vpn-tunnel-options](https://docs.aws.amazon.com/cli/latest/reference/ec2/modify-vpn-tunnel-options.html)zu ändern. + (Amazon EC2 Query API) Wird verwendet [DescribeVpnConnections](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_DescribeVpnConnections.html), um die aktuellen Tunneloptionen anzuzeigen und die Tunneloptionen [ModifyVpnTunnelOptions](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_ModifyVpnTunnelOptions.html)zu ändern. # Statische Routen für eine AWS Site-to-Site VPN Verbindung bearbeiten Für eine Site-to-Site VPN-Verbindung auf einem virtuellen privaten Gateway, das für statisches Routing konfiguriert ist, können Sie statische Routen zu Ihrer VPN-Konfiguration hinzufügen oder daraus entfernen. **So können Sie eine statische Route mithilfe der Konsole hinzufügen oder entfernen** 1. Öffnen Sie die Amazon-VPC-Konsole unter [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/). 1. Wählen Sie im Navigationsbereich **Site-to-Site VPN-Verbindungen** aus. 1. Wählen Sie die VPN-Verbindung aus. 1. Wählen Sie **Statische Routen bearbeiten** aus. 1. Fügen Sie Routen nach Bedarf hinzu oder entfernen Sie sie. 1. Wählen Sie **Änderungen speichern ** aus. 1. Wenn Sie die Routing-Verbreitung für Ihre Routing-Tabelle nicht aktiviert haben, müssen Sie die Routen in der Routing-Tabelle manuell aktualisieren, um die aktualisierten statischen IP-Präfixe in Ihrer VPN-Verbindung widerzuspiegeln. Weitere Informationen finden Sie unter [(Virtual Private Gateway) Aktivieren Sie die Routenverbreitung in Ihrer Routing-Tabelle](SetUpVPNConnections.md#vpn-configure-routing). 1. Verwenden Sie bei einer VPN-Verbindung auf einem Transit-Gateway die Transit-Gateway-Routing-Tabelle zum Hinzufügen, Ändern oder Entfernen der statischen Routen. Weitere Informationen finden Sie unter [Transit-Gateway-Routing-Tabellen](https://docs.aws.amazon.com/vpc/latest/tgw/tgw-route-tables.html) in *Amazon-VPC-Transit-Gateways*. **So fügen Sie eine statische Route über die Befehlszeile oder API hinzu** + [CreateVpnConnectionRoute](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_CreateVpnConnectionRoute.html)(Amazon EC2 Query API) + [create-vpn-connection-route](https://docs.aws.amazon.com/cli/latest/reference/ec2/create-vpn-connection-route.html) (AWS CLI) + [New-EC2VpnConnectionRoute](https://docs.aws.amazon.com/powershell/latest/reference/items/New-EC2VpnConnectionRoute.html) (AWS Tools for Windows PowerShell) **So löschen Sie eine statische Route über die Befehlszeile oder API** + [DeleteVpnConnectionRoute](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_DeleteVpnConnectionRoute.html)(Amazon EC2 Query API) + [delete-vpn-connection-route](https://docs.aws.amazon.com/cli/latest/reference/ec2/delete-vpn-connection-route.html) (AWS CLI) + [Remove-EC2VpnConnectionRoute](https://docs.aws.amazon.com/powershell/latest/reference/items/Remove-EC2VpnConnectionRoute.html) (AWS Tools for Windows PowerShell) # Das Kunden-Gateway für eine AWS Site-to-Site VPN Verbindung ändern Sie können das Kunden-Gateway Ihrer Site-to-Site VPN-Verbindung mithilfe der Amazon VPC-Konsole oder eines Befehlszeilentools ändern. Nachdem Sie das Kunden-Gateway geändert haben, ist Ihre VPN-Verbindung für einen kurzen Zeitraum vorübergehend nicht verfügbar, während wir die neuen Endpunkte bereitstellen. **So ändern Sie das Kunden-Gateway mithilfe der Konsole:** 1. Öffnen Sie die Amazon-VPC-Konsole unter [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/). 1. Wählen Sie im Navigationsbereich **Site-to-Site VPN-Verbindungen** aus. 1. Wählen Sie die VPN-Verbindung aus. 1. Wählen Sie **Aktionen**, **VPN-Verbindung ändern** aus. 1. Wählen Sie unter **Zieltyp** die Option **Kunden-Gateway** aus. 1. Wählen Sie unter **Ziel-Kunden-Gateway** das neue Kunden-Gateway aus. 1. Wählen Sie **Änderungen speichern ** aus. **So ändern Sie das Kunden-Gateway über die Befehlszeile oder API** + [ModifyVpnConnection](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_ModifyVpnConnection.html)(Amazon EC2 Query API) + [modify-vpn-connection](https://docs.aws.amazon.com/cli/latest/reference/ec2/modify-vpn-connection.html) (AWS CLI) # Kompromittierte Anmeldeinformationen für eine AWS Site-to-Site VPN Verbindung ersetzen Wenn Sie glauben, dass die Tunnelanmeldedaten für Ihre Site-to-Site VPN-Verbindung kompromittiert wurden, können Sie den IKE-Pre-Shared-Schlüssel oder das ACM-Zertifikat ändern. Welche Methode Sie verwenden, hängt von der Authentifizierungsoption ab, die Sie für Ihre VPN-Tunnel verwendet haben. Weitere Informationen finden Sie unter [AWS Site-to-Site VPN Optionen für die Tunnelauthentifizierung](vpn-tunnel-authentication-options.md). **So ändern Sie den vorinstallierten IKE-Schlüssel** Sie können die Tunneloptionen für die VPN-Verbindung ändern und einen neuen vorinstallierten IKE-Schlüssel für jeden Tunnel angeben. Weitere Informationen finden Sie unter [AWS Site-to-Site VPN Tunneloptionen ändern](modify-vpn-tunnel-options.md). Alternativ können Sie die VPN-Verbindung löschen. Weitere Informationen finden Sie unter [Löschen Sie eine VPN-Verbindung und ein Gateway](delete-vpn.md). Sie müssen die VPC oder das Virtual Private Gateway nicht löschen. Erstellen Sie mit demselben Virtual Private Gateway eine neue VPN-Verbindung und konfiguriere Sie die neuen Schlüssel auf Ihrem Kunden-Gateway. Sie können Ihre eigenen Pre-Shared Keys für die Tunnel angeben oder sich neue Pre-Shared Keys AWS generieren lassen. Weitere Informationen finden Sie unter [Eine VPN-Verbindung erstellen](SetUpVPNConnections.md#vpn-create-vpn-connection). Die internen und externen Adressen des Tunnels ändern sich möglicherweise, wenn Sie die VPN-Verbindung neu erstellen. **Um das Zertifikat für die AWS Seite des Tunnelendpunkts zu ändern** Rotieren des Zertifikats. Weitere Informationen finden Sie unter [VPN-Tunnelendpunkt-Zertifikate rotieren](rotate-vpn-certificate.md). **So ändern Sie das Zertifikat auf dem Kunden-Gateway-Gerät** 1. Erstellen Sie ein neues Zertifikat. Informationen finden Sie unter [Ausstellen und Verwalten von Zertifikaten](https://docs.aws.amazon.com/acm/latest/userguide/gs.html) im *AWS Certificate Manager -Benutzerhandbuch*. 1. Fügen Sie das Zertifikat zum Kunden-Gateway-Gerät hinzu. # AWS Site-to-Site VPN Tunnelendpunkt-Zertifikate rotieren Mithilfe der Amazon VPC-Konsole können Sie die Zertifikate auf den Tunnelendpunkten auf der AWS Seite rotieren. Wenn das Zertifikat eines Tunnelendpunkts kurz vor dem Ablauf steht, wird das Zertifikat mithilfe der serviceverknüpften Rolle AWS automatisch rotiert. Weitere Informationen finden Sie unter [Mit Diensten verknüpfte Rollen für VPN Site-to-Site](security_iam_service-with-iam.md#security_iam_service-with-iam-roles-service-linked). **Um das Zertifikat für den Site-to-Site VPN-Tunnelendpunkt mithilfe der Konsole zu rotieren** 1. Öffnen Sie die Amazon-VPC-Konsole unter [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/). 1. Wählen Sie im Navigationsbereich **Site-to-Site VPN-Verbindungen** aus. 1. Wählen Sie die Site-to-Site VPN-Verbindung und dann **Aktionen**, **VPN-Tunnelzertifikat ändern** aus. 1. Wählen Sie den Tunnelendpunkt aus. 1. Wählen Sie **Speichern**. **Um das Site-to-Site VPN-Tunnel-Endpunktzertifikat zu rotieren, verwenden Sie AWS CLI** Verwenden Sie den [modify-vpn-tunnel-certificate](https://docs.aws.amazon.com/cli/latest/reference/ec2/modify-vpn-tunnel-certificate.html)-Befehl. # Private IP AWS Site-to-Site VPN mit Direct Connect Mit Private IP VPN können Sie IPsec VPN über Direct Connect bereitstellen und dabei den Datenverkehr zwischen Ihrem lokalen Netzwerk verschlüsseln AWS, ohne öffentliche IP-Adressen oder zusätzliche VPN-Geräte von Drittanbietern verwenden zu müssen. Einer der Hauptanwendungsfälle für privates IP-VPN Direct Connect ist die Unterstützung von Kunden in der Finanz-, Gesundheits- und Bundesbranche bei der Einhaltung gesetzlicher Vorschriften und Compliance-Ziele. Private IP VPN Over Direct Connect stellt sicher, dass der Datenverkehr zwischen AWS und lokalen Netzwerken sowohl sicher als auch privat ist, sodass Kunden ihre regulatorischen und sicherheitstechnischen Anforderungen einhalten können. ## Vorteile von privatem IP-VPN + **Vereinfachtes Netzwerkmanagement und -betrieb:** Ohne privates IP-VPN müssen Kunden VPNs und Router von Drittanbietern einsetzen, um private VPNs Netzwerke zu implementieren.Direct Connect Mit der Funktion für privates IP-VPN müssen Kunden keine eigene VPN-Infrastruktur bereitstellen und verwalten. Das Ergebnis ist ein vereinfachter Netzwerkbetrieb zu geringeren Kosten. + **Verbesserter Sicherheitsstatus:** Bisher mussten Kunden eine öffentliche Direct Connect virtuelle Schnittstelle (VIF) für die Verschlüsselung des Datenverkehrs verwenden Direct Connect, wofür öffentliche IP-Adressen für VPN-Endpunkte erforderlich waren. Die Nutzung öffentlicher IPs Netzwerke erhöht die Wahrscheinlichkeit von externen Angriffen (DOS), was wiederum Kunden dazu zwingt, zusätzliche Sicherheitsausrüstung für den Netzwerkschutz einzusetzen. Darüber hinaus ermöglicht ein öffentliches VIF den Zugang zwischen allen AWSöffentlichen Diensten und den Netzwerken der Kunden vor Ort, was die Schwere des Risikos erhöht. Die private IP-VPN-Funktion ermöglicht die Verschlüsselung über die Direct ConnectÜbertragung VIFs (statt über die öffentliche Verbindung VIFs) und bietet zudem die Möglichkeit, private Verbindungen zu konfigurieren. IPs Dies bietet zusätzlich zur Verschlüsselung end-to-end private Konnektivität und verbessert so die allgemeine Sicherheitslage. + **Höherer Routenumfang:** Private IP-VPN-Verbindungen bieten höhere Routenlimits (5000 ausgehende Routen und 1000 eingehende Routen) im Vergleich zu Direct Connect reinen Verbindungen, bei denen derzeit ein Limit von 200 ausgehenden und 100 eingehenden Routen gilt. ## Funktionsweise von privatem IP-VPN Privates Site-to-Site IP-VPN funktioniert über eine virtuelle Direct Connect Transitschnittstelle (VIF). Es verwendet ein Direct Connect Gateway und ein Transit-Gateway, um Ihre lokalen Netzwerke miteinander zu verbinden.AWS VPCs Eine private IP-VPN-Verbindung hat Endpunkte am Transit-Gateway auf der AWS Seite und an Ihrem Kunden-Gateway-Gerät auf der lokalen Seite. Sie müssen sowohl dem Transit-Gateway als auch dem Kunden-Gateway-Geräteende der IPsec Tunnel private IP-Adressen zuweisen. Sie können private IP-Adressen aus einem RFC1918 oder RFC6598 privaten IPv4 Adressbereichen verwenden. Sie hängen eine private IP-VPN-Verbindung an ein Transit Gateway an. Anschließend leiten Sie den Verkehr zwischen der VPN-Verbindung und allen VPCs (oder anderen Netzwerken) weiter, die ebenfalls an das Transit-Gateway angeschlossen sind. Dazu ordnen Sie dem VPN-Anhang eine Routing-Tabelle zu. In umgekehrter Richtung können Sie den Verkehr von Ihrem VPCs zum privaten IP-VPN-Anhang weiterleiten, indem Sie Routentabellen verwenden, die dem zugeordnet sind VPCs. Die Routing-Tabelle, die der VPN-Anlage zugeordnet ist, kann dieselbe oder eine andere sein als die Routing-Tabelle, die der zugrunde liegenden Direct Connect Anlage zugeordnet ist. Auf diese Weise können Sie sowohl verschlüsselten als auch unverschlüsselten Datenverkehr gleichzeitig zwischen Ihren VPCs und Ihren lokalen Netzwerken weiterleiten. Weitere Informationen zum Datenverkehrspfad, der das VPN verlässt, finden Sie unter [Routing-Richtlinien für private virtuelle Schnittstellen und virtuelle Transitschnittstellen](https://docs.aws.amazon.com/directconnect/latest/UserGuide/routing-and-bgp.html#private-routing-policies) im *Direct Connect Benutzerhandbuch*. ## Voraussetzungen In der folgenden Tabelle werden die Voraussetzungen beschrieben, bevor Sie ein privates IP-VPN über Direct Connect einrichten. | Item | Schritte | Informationen | | --- | --- | --- | | Bereiten Sie das Transit-Gateway für Site-to-Site VPN vor. | Erstellen Sie das Transit-Gateway mithilfe der Amazon Virtual Private Cloud(VPC-) Konsole oder mithilfe der Befehlszeile oder API. Weitere Informationen finden Sie unter [Transit-Gateways](https://docs.aws.amazon.com/vpc/latest/tgw/tgw-transit-gateways.html) im *Amazon VPC Transit Gateways-Handbuch*. | Ein Transit-Gateway ist ein Netzwerk-Transit-Hub, über den Sie Ihre Netzwerke und Ihre VPCs lokalen Netzwerke miteinander verbinden können. Sie können ein neues Transit Gateway erstellen oder ein vorhandenes für die private IP-VPN-Verbindung verwenden. Wenn Sie das Transit Gateway erstellen oder ein vorhandenes Transit Gateway ändern, geben Sie einen privaten IP-CIDR-Block für die Verbindung an. Wenn Sie den CIDR-Block des Transit Gateways angeben, der mit Ihrem privaten IP-VPN verknüpft werden soll, stellen Sie sicher, dass sich der CIDR-Block nicht mit IP-Adressen für andere Netzwerkanhänge auf dem Transit Gateway überschneidet. Wenn sich IP-CIDR-Blöcke überschneiden, kann dies zu Problemen bei der Konfiguration Ihres Kunden-Gateway-Geräts führen. | | Erstellen Sie das Direct Connect Gateway für Site-to-Site VPN. | Erstellen Sie das Direct Connect-Gateway mithilfe der Direct Connect-Konsole oder mithilfe der Befehlszeile oder API. Weitere Informationen finden [Sie unter Erstellen eines AWS Direct Connect-Gateways](https://docs.aws.amazon.com/directconnect/latest/UserGuide/create-direct-connect-gateway.html) im *Direct Connect Benutzerhandbuch*. | Ein Direct Connect-Gateway ermöglicht es Ihnen, virtuelle Schnittstellen (VIFs) über mehrere AWS Regionen hinweg zu verbinden. Dieses Gateway wird verwendet, um eine Verbindung zu Ihrer VIF herzustellen. | | Erstellen Sie die Transit-Gateway-Zuordnung für Site-to-Site VPN. | Erstellen Sie die Zuordnung zwischen dem Direct Connect-Gateway und dem Transit-Gateway mithilfe der Direct Connect-Konsole oder mithilfe der Befehlszeile oder API. *Weitere Informationen finden Sie im Benutzerhandbuch unter [Zuordnen oder Direct Connect Aufheben der Verbindung zu einem Transit-Gateway](https://docs.aws.amazon.com/directconnect/latest/UserGuide/associate-tgw-with-direct-connect-gateway.html).Direct Connect* | Nachdem Sie das Direct Connect Gateway erstellt haben, erstellen Sie eine Transit-Gateway-Zuordnung für das Direct Connect Gateway. Geben Sie das private IP-CIDR für das Transit Gateway an, das zuvor in der Liste zulässiger Präfixe identifiziert wurde. | **Topics** + [Vorteile von privatem IP-VPN](#private-ip-dx-features) + [Funktionsweise von privatem IP-VPN](#private-ip-dx-how) + [Voraussetzungen](#private-ip-dx-prereqs) + [Erstellen Sie ein privates IP-VPN über Direct Connect](private-ip-dx-steps.md) # Erstellen Sie eine private IP AWS Site-to-Site VPN über Direct Connect Gehen Sie Direct Connect folgendermaßen vor, um ein privates IP-VPN mit zu erstellen. Bevor Sie das private IP-VPN über Direct Connect erstellen, müssen Sie sicherstellen, dass zuerst ein Transit-Gateway und ein Direct Connect-Gateway erstellt werden. Nachdem Sie die beiden Gateways erstellt haben, müssen Sie dann eine Zuordnung zwischen den beiden erstellen. Diese Voraussetzungen werden in der folgenden Tabelle beschrieben. Nachdem Sie die beiden Gateways erstellt und verknüpft haben, erstellen Sie mithilfe dieser Zuordnung ein VPN-Kundenportal und eine VPN-Verbindung. ## Voraussetzungen In der folgenden Tabelle werden die Voraussetzungen beschrieben, bevor Sie ein privates IP-VPN über Direct Connect einrichten. | Item | Schritte | Informationen | | --- | --- | --- | | Bereiten Sie das Transit-Gateway für Site-to-Site VPN vor. | Erstellen Sie das Transit-Gateway mithilfe der Amazon Virtual Private Cloud (VPC-) Konsole oder mithilfe der Befehlszeile oder API. Weitere Informationen finden Sie unter [Transit-Gateways](https://docs.aws.amazon.com/vpc/latest/tgw/tgw-transit-gateways.html) im *Amazon VPC Transit Gateways-Handbuch*. | Ein Transit-Gateway ist ein Netzwerk-Transit-Hub, über den Sie Ihre Netzwerke und Ihre VPCs lokalen Netzwerke miteinander verbinden können. Sie können ein neues Transit Gateway erstellen oder ein vorhandenes für die private IP-VPN-Verbindung verwenden. Wenn Sie das Transit Gateway erstellen oder ein vorhandenes Transit Gateway ändern, geben Sie einen privaten IP-CIDR-Block für die Verbindung an. Wenn Sie den CIDR-Block des Transit Gateways angeben, der mit Ihrem privaten IP-VPN verknüpft werden soll, stellen Sie sicher, dass sich der CIDR-Block nicht mit IP-Adressen für andere Netzwerkanhänge auf dem Transit Gateway überschneidet. Wenn sich IP-CIDR-Blöcke überschneiden, kann dies zu Problemen bei der Konfiguration Ihres Kunden-Gateway-Geräts führen. | | Erstellen Sie das Direct Connect Gateway für Site-to-Site VPN. | Erstellen Sie das Direct Connect-Gateway mithilfe der Direct Connect-Konsole oder mithilfe der Befehlszeile oder API. Weitere Informationen finden [Sie unter Erstellen eines AWS Direct Connect-Gateways](https://docs.aws.amazon.com/directconnect/latest/UserGuide/create-direct-connect-gateway.html) im *Direct Connect Benutzerhandbuch*. | Ein Direct Connect-Gateway ermöglicht es Ihnen, virtuelle Schnittstellen (VIFs) über mehrere AWS Regionen hinweg zu verbinden. Dieses Gateway wird verwendet, um eine Verbindung zu Ihrer VIF herzustellen. | | Erstellen Sie die Transit-Gateway-Zuordnung für Site-to-Site VPN. | Erstellen Sie die Zuordnung zwischen dem Direct Connect-Gateway und dem Transit-Gateway mithilfe der Direct Connect-Konsole oder mithilfe der Befehlszeile oder API. *Weitere Informationen finden Sie im Benutzerhandbuch unter [Zuordnen oder Direct Connect Aufheben der Verbindung zu einem Transit-Gateway](https://docs.aws.amazon.com/directconnect/latest/UserGuide/associate-tgw-with-direct-connect-gateway.html).Direct Connect * | Nachdem Sie das Direct Connect Gateway erstellt haben, erstellen Sie eine Transit-Gateway-Zuordnung für das Direct Connect Gateway. Geben Sie das private IP-CIDR für das Transit Gateway an, das zuvor in der Liste zulässiger Präfixe identifiziert wurde. | ## Erstellen Sie das Kunden-Gateway und die Verbindung für Site-to-Site VPN Ein Kunden-Gateway ist eine Ressource, die Sie in erstellen AWS. Es stellt das Kunden-Gateway-Gerät in Ihrem On-Premises-Netzwerk dar. Wenn Sie ein Kunden-Gateway erstellen, geben Sie Informationen über Ihr Gerät an AWS. Weitere Details finden Sie unter [Kunden-Gateway](how_it_works.md#CustomerGateway). **So erstellen Sie ein Kunden-Gateway mithilfe der Konsole** 1. Öffnen Sie die Amazon-VPC-Konsole unter [https://console.aws.amazon.com/vpc/](https://console.aws.amazon.com/vpc/). 1. Wählen Sie im Navigationsbereich **Kunden-Gateways** aus. 1. Wählen Sie **Kunden-Gateway erstellen** aus. 1. (Optional) Geben Sie bei **Name tag (Name-Tag)** einen Namen für Ihr Kunden-Gateway ein. Auf diese Weise wird ein Tag mit dem Schlüssel `Name` und dem von Ihnen angegebenen Wert erstellt. 1. Geben Sie unter **BGP ASN** eine Border Gateway Protocol (BGP) Autonomous System Number (ASN) für Ihr Kunden-Gateway ein. 1. Geben Sie unter **IP address** (IP-Adresse) die private IP-Adresse für Ihr Kunden-Gateway-Gerät ein. **Wichtig** Bei der Konfiguration von AWS Private IP AWS Site-to-Site VPN müssen Sie Ihre eigenen IP-Adressen für Tunnelendpunkte mithilfe von RFC 1918-Adressen angeben. Verwenden Sie die point-to-point IP-Adressen nicht für das eBGP-Peering zwischen Ihrem Kunden-Gateway-Router und dem Endpunkt. Direct Connect AWS empfiehlt, anstelle von Verbindungen eine Loopback- oder LAN-Schnittstelle auf Ihrem Kunden-Gateway-Router als Quell- oder Zieladresse zu verwenden. point-to-point Weitere Informationen zu RFC 1918 finden Sie unter [Adresszuweisung für private Internets](https://datatracker.ietf.org/doc/html/rfc1918). 1. (Optional) Geben Sie bei **Device (Gerät)** einen Namen für das Gerät ein, das dieses Kunden-Gateway hostet. 1. Wählen Sie **Kunden-Gateway erstellen** aus. 1. Wählen Sie im Navigationsbereich **Site-to-Site VPN-Verbindungen** aus. 1. Wählen Sie **Create VPN connection (VPN-Verbindung erstellen)** aus. 1. (Optional) Geben Sie **unter Namensschild** einen Namen für Ihre Site-to-Site VPN-Verbindung ein. Auf diese Weise wird ein Tag mit dem Schlüssel `Name` und dem von Ihnen angegebenen Wert erstellt. 1. Wählen Sie für **Target gateway type** (Typ des Ziel-Gateways) die Option **Transit gateway** (Transit Gateway) aus. Wählen Sie dann das zuvor identifizierte Transit-Gateway aus. 1. Wählen Sie für **Customer gateway** (Kunden-Gateway) die Option **Existing** (Vorhanden) aus. Wählen Sie dann das zuvor identifizierte Kunden-Gateway aus. 1. Wählen Sie eine der Routing-Optionen aus, je nachdem, ob Ihr Kunden-Gateway-Gerät das Border Gateway Protocol (BGP) unterstützt: + Wenn Ihr Kunden-Gateway-Gerät BGP unterstützt, wählen Sie **Dynamic (requires BGP) (Dynamisch (erfordert BGP))** aus. + Wenn Ihr Kunden-Gateway-Gerät BGP nicht unterstützt, wählen Sie **Static (Statisch)** aus. 1. Geben Sie für die **IP-Version „Tunnel innerhalb** von IP“ an, ob die VPN-Tunnel IPv6 Datenverkehr unterstützen IPv4 . 1. (Optional) Wenn Sie die Option **Tunnel inside IP Version** angegeben **IPv4**haben, können Sie optional die IPv4 CIDR-Bereiche für das Kunden-Gateway und die AWS Seiten angeben, die über die VPN-Tunnel kommunizieren dürfen. Der Standardwert ist `0.0.0.0/0`. Wenn Sie die **IP-Version **IPv6**für Tunnel** angegeben haben, können Sie optional die IPv6 CIDR-Bereiche für das Kunden-Gateway und die AWS Seiten angeben, die über die VPN-Tunnel kommunizieren dürfen. Die Standardeinstellung für beide Bereiche lautet `::/0`. 1. Wählen Sie für den **Typ der externen IP-Adresse** die Option **PrivateIpv4.** 1. Wählen Sie **unter Transport Attachment ID** den Transit-Gateway-Anhang für das entsprechende Direct Connect Gateway aus. 1. Wählen Sie **Create VPN connection (VPN-Verbindung erstellen)** aus. **Anmerkung** Die Option **Enable acceleration** (Beschleunigung aktivieren) ist für VPN-Verbindungen über Direct Connect nicht anwendbar. **So erstellen Sie ein Kunden-Gateway über die Befehlszeile oder API** + [CreateCustomerGateway](https://docs.aws.amazon.com/AWSEC2/latest/APIReference/API_CreateCustomerGateway.html)(Amazon EC2 EC2-Abfrage-API) + [create-customer-gateway](https://docs.aws.amazon.com/cli/latest/reference/ec2/create-customer-gateway.html) (AWS CLI)