기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

# AWS Site-to-Site VPN 고객 게이트웨이 디바이스에 대한 요구 사항
<a name="CGRequirements"></a>

 AWS 는 다운로드 가능한 구성 파일을 제공하는 여러 Site-to-Site VPN 고객 게이트웨이 디바이스를 지원합니다. 지원되는 디바이스 목록과 구성 파일을 다운로드하는 단계는 [정적 및 동적 라우팅 구성 파일](example-configuration-files.md) 섹션을 참조하세요.

지원 디바이스 목록에 없는 디바이스를 사용하는 경우, 다음 섹션에서는 Site-to-Site VPN 연결을 설정하기 위해 해당 디바이스가 충족해야 하는 요구 사항을 설명합니다.

고객 게이트웨이 디바이스의 구성을 위한 4가지 주요 파트가 있습니다. 다음 기호는 구성의 각 부분을 나타냅니다.


|  |  | 
| --- |--- |
|  ![\[인터넷 키 교환 기호\]](http://docs.aws.amazon.com/ko_kr/vpn/latest/s2svpn/images/IKE.png)  |  인터넷 키 교환(IKE) 보안 연결. IPsec 보안 연결 설정에 사용되는 키 교환에 필요합니다.  | 
|  ![\[인터넷 프로토콜 보안\]](http://docs.aws.amazon.com/ko_kr/vpn/latest/s2svpn/images/IPsec.png)  |  IPsec 보안 연결. 터널의 암호화, 인증 등을 처리합니다.  | 
|  ![\[터널 인터페이스 기호\]](http://docs.aws.amazon.com/ko_kr/vpn/latest/s2svpn/images/Tunnel.png)  |  터널 인터페이스. 터널과 주고받는 트래픽을 수신합니다.  | 
|  ![\[Border Gateway Protocol\]](http://docs.aws.amazon.com/ko_kr/vpn/latest/s2svpn/images/BGP.png)  |  (선택 사항) BGP(Border Gateway Protocol) 피어링. BGP를 사용하는 디바이스의 경우, 고객 게이트웨이 디바이스와 가상 프라이빗 게이트웨이 간에 라우팅을 교환합니다.  | 

다음 표에는 고객 게이트웨이 디바이스의 요구 사항, 관련 RFC(참조용) 및 요구 사항에 대한 설명이 나와 있습니다.

각 VPN 연결은 두 개의 별개 터널로 구성됩니다. 각 터널에는 IKE 보안 연결, IPsec 보안 연결 및 BGP 피어링이 포함되어 있습니다. 터널당 1개의 고유한 보안 연결(SA) 페어(인바운드 1개, 아웃바운드 1개)로 제한되며 따라서 2개의 터널에는 총 2개의 고유한 SA 페어(4개의 SA)로 제한됩니다. 일부 디바이스는 정책 기반 VPN을 사용하고 ACL 항목만큼 많은 SA를 만듭니다. 따라서 불필요한 트래픽은 허용하지 않도록 규칙을 통합한 다음 필터링해야 할 수도 있습니다.

기본적으로 VPN 터널은 트래픽이 생성되고 VPN 연결의 사용자 측에서 IKE 협상이 시작될 때 가동합니다. 대신 연결 AWS 측에서 IKE 협상을 시작하도록 VPN 연결을 구성할 수 있습니다. 자세한 내용은 [AWS Site-to-Site VPN 터널 시작 옵션](initiate-vpn-tunnels.md) 단원을 참조하십시오.

VPN 엔드포인트는 키 재지정을 지원하며, 고객 게이트웨이 디바이스가 재협상 트래픽을 전송하지 않은 경우, 1단계가 만료되려 할 때 재협상을 시작할 수 있습니다.


|  요구 사항  |  RFC |  설명 | 
| --- | --- | --- | 
|  IKE 보안 연결 설정   ![\[IKE\]](http://docs.aws.amazon.com/ko_kr/vpn/latest/s2svpn/images/IKE.png)   |  [RFC 2409](https://datatracker.ietf.org/doc/html/rfc2409)  [RFC 7296](https://datatracker.ietf.org/doc/html/rfc7296)  |  IKE 보안 연결은 먼저를 AWS Private Certificate Authority 인증자로 사용하는 사전 공유 키 또는 프라이빗 인증서를 사용하여 가상 프라이빗 게이트웨이와 고객 게이트웨이 디바이스 간에 설정됩니다. 연결을 설정할 때 IKE에서 임시 키를 협상하여 이후의 IKE 메시지를 보호합니다. 암호화 및 인증 파라미터를 포함하여 파라미터 간에 완전한 동의가 있어야 합니다. 에서 VPN 연결을 생성할 때 각 터널에 대해 자체 사전 공유 키를 AWS지정하거나가 자동으로 VPN 연결을 AWS 생성하도록 할 수 있습니다. 또는를 사용하여 고객 게이트웨이 디바이스에 AWS Private Certificate Authority 사용할 프라이빗 인증서를 지정할 수 있습니다. VPN 터널 구성에 대한 자세한 내용은 [AWS Site-to-Site VPN 연결을 위한 터널 옵션](VPNTunnels.md) 단원을 참조하십시오. IKEv1 및 IKEv2 버전이 지원됩니다. IKEv1에서만 기본 모드를 지원합니다. Site-to-Site VPN 서비스는 경로 기반 솔루션입니다. 정책 기반 구성을 사용하는 경우 구성을 단일 보안 연결(SA)로 제한해야 합니다.  | 
|  터널 모드에서 IPsec 보안 연결을 설정합니다.  ![\[IPsec\]](http://docs.aws.amazon.com/ko_kr/vpn/latest/s2svpn/images/IPsec.png)   |   [RFC 4301](https://datatracker.ietf.org/doc/html/rfc4301)   |  IKE 휘발성 키를 사용하여 가상 프라이빗 게이트웨이와 고객 게이트웨이 디바이스 간에 IPsec 보안 연결(SA)을 형성하기 위한 키가 설정됩니다. 게이트웨이 간 트래픽은 이 SA를 사용하여 암호화되고 해독됩니다. IPsec SA 내에서 트래픽을 암호화하는 데 사용되는 휘발성 키는 통신의 기밀성 보장을 위해 IKE가 정기적으로 자동으로 순환하여 사용합니다.  | 
|  AES 128비트 암호화 또는 AES 256비트 암호화 기능을 사용합니다.  |   [RFC 3602](https://datatracker.ietf.org/doc/html/rfc3602)   |  이 암호화 기능은 IKE 및 IPsec 연결 보안의 개인 정보를 보호하는 데 사용됩니다.  | 
|  SHA-1 또는 SHA-2(256) 해싱 기능을 사용합니다.  |   [RFC 2404](https://datatracker.ietf.org/doc/html/rfc2404)   |  이 해시 기능은 IKE 및 IPsec 연결 보안을 모두 인증하는 데 사용됩니다.  | 
|  Diffie-Hellman Perfect Forward Secrecy를 사용합니다.  |   [RFC 2409](https://datatracker.ietf.org/doc/html/rfc2409)   |  IKE는 Diffie-Hellman을 사용하여 고객 게이트웨이 디바이스와 가상 프라이빗 게이트웨이 사이의 모든 통신을 보호하기 위한 휘발성 키를 설정합니다. 다음 그룹이 지원됩니다. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/vpn/latest/s2svpn/CGRequirements.html)  | 
|  (동적으로 라우팅된 VPN 연결) IPsec Dead Peer Detection 사용  |   [RFC 3706](https://datatracker.ietf.org/doc/html/rfc3706)   |  Dead Peer Detection은 VPN 디바이스가 네트워크 상태가 인터넷을 통한 패킷 전달을 막는 시점을 빠르게 식별할 수 있습니다. 이런 문제가 발생하면 게이트웨이가 보안 연결을 삭제하고 새 연결을 생성하려 시도합니다. 이 프로세스 중에 가능하면 대체 IPsec 터널이 사용됩니다.  | 
|  (동적으로 라우팅된 VPN 연결) 터널을 논리 인터페이스에 바인딩(라우팅 기반 VPN)  ![\[Tunnel\]](http://docs.aws.amazon.com/ko_kr/vpn/latest/s2svpn/images/Tunnel.png)   |   없음   |  디바이스에서 IPsec 터널을 논리적 인터페이스에 바인딩할 수 있어야 합니다. 논리적 인터페이스에는 가상 프라이빗 게이트웨이에 대한 BGP 피어링을 설정하는 데 사용되는 IP 주소가 있습니다. 이 논리적 인터페이스가 추가적인 캡슐화(예: GRE 또는 IP in IP)를 수행하면 안 됩니다. 인터페이스를 1399바이트의 최대 전송 단위(MTU)로 설정해야 합니다.  | 
|  (동적으로 라우팅된 VPN 연결) BGP 피어링 설정  ![\[BGP\]](http://docs.aws.amazon.com/ko_kr/vpn/latest/s2svpn/images/BGP.png)   |   [RFC 4271](https://datatracker.ietf.org/doc/html/rfc4271)   |  BGP는 BGP를 사용하는 디바이스에 대해 고객 게이트웨이 디바이스와 가상 프라이빗 게이트웨이 간에 라우팅을 교환하는 데 사용됩니다. 모든 BGP 트래픽이 암호화되어 IPsec 보안 연결을 통해 전송됩니다. BGP는 두 게이트웨이 모두 IPsec SA를 통해 도달 가능한 IP 접두사를 교환하는 데 필요합니다.  | 

 AWS VPN 연결은 경로 MTU 검색([RFC 1191](https://datatracker.ietf.org/doc/html/rfc1191))을 지원하지 않습니다.

고객 게이트웨이 디바이스와 인터넷 사이에 방화벽이 있는 경우 [AWS Site-to-Site VPN 고객 게이트웨이 디바이스에 대한 방화벽 규칙](FirewallRules.md) 단원을 참조하십시오.