기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
# Juniper JunOS 고객 게이트웨이 디바이스와의 AWS Site-to-Site VPN 연결 문제 해결
Juniper 고객 게이트웨이 디바이스의 연결 문제를 해결할 때는 IKE, IPsec, 터널 및 BGP의 네 가지 사항을 고려하십시오. 이런 영역의 문제는 어떤 순서로든 해결할 수 있지만, (네트워크 스택의 맨 아래에 있는) IKE부터 시작해서 위로 올라가는 것이 좋습니다.
## IKE
다음 명령을 사용합니다. 응답에는 IKE가 올바로 구성된 고객 게이트웨이 디바이스가 표시됩니다.
```
user@router> show security ike security-associations
```
```
Index Remote Address State Initiator cookie Responder cookie Mode
4 72.21.209.225 UP c4cd953602568b74 0d6d194993328b02 Main
3 72.21.209.193 UP b8c8fb7dc68d9173 ca7cb0abaedeb4bb Main
```
터널에 지정된 원격 게이트웨이의 원격 주소가 포함된 줄이 한 개 이상 나타날 것입니다. `State`가 `UP`이어야 합니다. 항목이 없거나 또 다른 상태(예: `DOWN`)의 항목이 있다는 것은 IKE가 올바로 구성되지 않았음을 나타냅니다.
추가적인 문제 해결을 위해서는 예제 구성 파일에서 권장하는 대로 IKE 추적 옵션을 활성화하십시오. 그런 다음, 아래 명령을 실행하여 다양한 디버깅 메시지를 화면에 인쇄합니다.
```
user@router> monitor start kmd
```
외부 호스트에서 다음 명령으로 전체 로그 파일을 검색할 수 있습니다.
```
scp username@router.hostname:/var/log/kmd
```
## IPsec
다음 명령을 사용합니다. 응답에는 IPsec가 올바로 구성된 고객 게이트웨이 디바이스가 표시됩니다.
```
user@router> show security ipsec security-associations
```
```
Total active tunnels: 2
ID Gateway Port Algorithm SPI Life:sec/kb Mon vsys
<131073 72.21.209.225 500 ESP:aes-128/sha1 df27aae4 326/ unlim - 0
>131073 72.21.209.225 500 ESP:aes-128/sha1 5de29aa1 326/ unlim - 0
<131074 72.21.209.193 500 ESP:aes-128/sha1 dd16c453 300/ unlim - 0
>131074 72.21.209.193 500 ESP:aes-128/sha1 c1e0eb29 300/ unlim - 0
```
특히, (원격 게이트웨이에 해당하는) 게이트웨이 주소당 두 줄 이상 나타나야 합니다. 각 줄 시작 부분의 캐럿 기호(< >)는 특정 항목에 대한 트래픽의 방향을 나타냅니다. 출력에는 인바운드 트래픽("<", 가상 프라이빗 게이트웨이에서 고객 게이트웨이 디바이스로 흐르는 트래픽)과 아웃바운드 트래픽(">")이 별개의 줄로 표시됩니다.
추가적인 문제 해결을 위해서는 IKE 추적 옵션을 활성화하십시오(자세한 내용은 IKE에 대한 이전의 단원 참조).
## 터널
우선, 필요한 방화벽 규칙이 있는지 중복 확인합니다. 규칙 목록은 [AWS Site-to-Site VPN 고객 게이트웨이 디바이스에 대한 방화벽 규칙](FirewallRules.md) 단원을 참조하십시오.
방화벽 규칙이 올바로 설정되어 있으면 다음 명령으로 문제 해결을 계속합니다.
```
user@router> show interfaces st0.1
```
```
Logical interface st0.1 (Index 70) (SNMP ifIndex 126)
Flags: Point-To-Point SNMP-Traps Encapsulation: Secure-Tunnel
Input packets : 8719
Output packets: 41841
Security: Zone: Trust
Allowed host-inbound traffic : bgp ping ssh traceroute
Protocol inet, MTU: 9192
Flags: None
Addresses, Flags: Is-Preferred Is-Primary
Destination: 169.254.255.0/30, Local: 169.254.255.2
```
`Security: Zone`이 올바른지, `Local` 주소가 고객 게이트웨이 디바이스 터널 내부 주소와 일치하는지 확인합니다.
다음으로, `169.254.255.1`을 가상 프라이빗 게이트웨이의 내부 IP 주소로 바꾸는 다음 명령을 사용합니다. 결과는 아래에 표시된 응답과 같은 내용이어야 합니다.
```
user@router> ping 169.254.255.1 size 1382 do-not-fragment
```
```
PING 169.254.255.1 (169.254.255.1): 1410 data bytes
64 bytes from 169.254.255.1: icmp_seq=0 ttl=64 time=71.080 ms
64 bytes from 169.254.255.1: icmp_seq=1 ttl=64 time=70.585 ms
```
자세한 문제 해결 정보는 구성을 검토하십시오.
## BGP
다음 명령을 실행합니다.
```
user@router> show bgp summary
```
```
Groups: 1 Peers: 2 Down peers: 0
Table Tot Paths Act Paths Suppressed History Damp State Pending
inet.0 2 1 0 0 0 0
Peer AS InPkt OutPkt OutQ Flaps Last Up/Dwn State|#Active/Received/Accepted/Damped...
169.254.255.1 7224 9 10 0 0 1:00 1/1/1/0 0/0/0/0
169.254.255.5 7224 8 9 0 0 56 0/1/1/0 0/0/0/0
```
추가적인 문제 해결을 위해, `169.254.255.1`을 가상 프라이빗 게이트웨이의 내부 IP 주소로 바꾸는 다음 명령을 사용합니다.
```
user@router> show bgp neighbor 169.254.255.1
```
```
Peer: 169.254.255.1+179 AS 7224 Local: 169.254.255.2+57175 AS 65000
Type: External State: Established Flags:
Last State: OpenConfirm Last Event: RecvKeepAlive
Last Error: None
Export: [ EXPORT-DEFAULT ]
Options:
Holdtime: 30 Preference: 170 Local AS: 65000 Local System AS: 0
Number of flaps: 0
Peer ID: 169.254.255.1 Local ID: 10.50.0.10 Active Holdtime: 30
Keepalive Interval: 10 Peer index: 0
BFD: disabled, down
Local Interface: st0.1
NLRI for restart configured on peer: inet-unicast
NLRI advertised by peer: inet-unicast
NLRI for this session: inet-unicast
Peer supports Refresh capability (2)
Restart time configured on the peer: 120
Stale routes from peer are kept for: 300
Restart time requested by this peer: 120
NLRI that peer supports restart for: inet-unicast
NLRI that restart is negotiated for: inet-unicast
NLRI of received end-of-rib markers: inet-unicast
NLRI of all end-of-rib markers sent: inet-unicast
Peer supports 4 byte AS extension (peer-as 7224)
Table inet.0 Bit: 10000
RIB State: BGP restart is complete
Send state: in sync
Active prefixes: 1
Received prefixes: 1
Accepted prefixes: 1
Suppressed due to damping: 0
Advertised prefixes: 1
Last traffic (seconds): Received 4 Sent 8 Checked 4
Input messages: Total 24 Updates 2 Refreshes 0 Octets 505
Output messages: Total 26 Updates 1 Refreshes 0 Octets 582
Output Queue[0]: 0
```
이때 `Received prefixes`와 `Advertised prefixes`가 각각 1에 나열되어야 합니다. 이것은 `Table inet.0` 단원 내에 있어야 합니다.
`State`가 `Established`가 아닌 경우 문제를 정정하는 데 필요한 사항에 대한 세부 정보는 `Last State` 및 `Last Error`를 확인하십시오.
BGP 피어링이 가동되면 고객 게이트웨이 디바이스가 VPC에 기본 경로(0.0.0.0/0)를 알리는지 확인합니다.
```
user@router> show route advertising-protocol bgp 169.254.255.1
```
```
inet.0: 10 destinations, 11 routes (10 active, 0 holddown, 0 hidden)
Prefix Nexthop MED Lclpref AS path
* 0.0.0.0/0 Self I
```
그 밖에도, 가상 프라이빗 게이트웨이에서 VPC에 해당하는 접두사를 받아야 합니다.
```
user@router> show route receive-protocol bgp 169.254.255.1
```
```
inet.0: 10 destinations, 11 routes (10 active, 0 holddown, 0 hidden)
Prefix Nexthop MED Lclpref AS path
* 10.110.0.0/16 169.254.255.1 100 7224 I
```