AWS 기초 (AMI, VPN 연결)

AMI(Amazon Machine Image)

동일한 인스턴스를 여러 개 만들 때, 새로 여러 개를 만들면 손이 많이 가기 때문에 먼저 구성된 이미지로 인스턴스를 만들 때 사용 하는 것이 AMI 이다.

AMI 생성

 

---

VPN

VPN을 사용하는 이유는 사설망끼리 인터넷을 통하여 연결이 되지 않기 때문에 VPN을 사용하면 인터넷을 통하여 사설망끼리 연결을 할 수 있다.

시방서
온프레미스 환경을 버지니아에 구축하고, VPN을 사용하여 서울 리전과 통신이 되도록 한다.

VPC 및 인스턴스 정보

 

VPN 설정

VPC -> 왼쪽 메뉴의 "가상 사설 네트워크(VPN)" 선택 -> 고객 게이트웨이

시방서에 보면 OpenSwan 서버를 고객 게이트웨이 디바이스로 설정하여 OpenSwan 서버의 퍼블릭 IP를 넣어주었다.

VPC -> 왼쪽 메뉴의 "가상 사설 네트워크(VPN)" 선택 -> 가상 프라이빗 게이트웨이

VPC -> 왼쪽 메뉴의 "가상 사설 네트워크(VPN)" 선택 -> site-to-site VPN 연결

대상 게이트웨이 유형 = 가상 프라이빗 게이트웨이
고객 게이트웨이 ID = 위에서 만들어 놓은 고객 게이트웨이 선택
라우팅 옵션 = 정적
고정 IP 접두사에 On-Premise VPC(IP/CIDR), 서울 리전 VPC(IP/CIDR)
로컬 IPv4 네트워크 CIDR = On-Premise VPC(IP/CIDR)
원격 IPv4 네트워크 CIDR = 서울 리전 VPC(IP/CIDR)

VPN 구성 다운로드

 

VPN 서버 구성

1. openswan 패키지 다운

yum install -y openswan

1. sysctl.conf 파일 편집

vi /etc/sysctl.conf
맨 마지막 줄에 아래 3줄 추가
net.ipv4.ip_forward = 1
net.ipv4.conf.default.rp_filter = 0
net.ipv4.conf.default.accept_source_route = 0

1. sysctl -p 로 구문 추가 확인
2. /etc/ipsec.conf 파일의 주석 확인

include /etc/ipsec.d/*.conf <= 이 구문 주석으로 되어있는지 확인

1. /etc/ipsec.d/aws.conf 파일에 터널 정보 입력
   VPN 구성 다운로드로 받은 파일안에 터널의 정보가 있다.

ex)
vi /etc/ipsec.d/aws.conf
	conn Tunnel1
		authby=secret
		auto=start
		left=%defaultroute
		leftid=54.89.96.27
		right=13.209.141.233
		type=tunnel
		ikelifetime=8h
		keylife=1h
		phase2alg=aes128-sha1;modp1024
		ike=aes128-sha1;modp1024
		auth=esp <= 이 부분 삭제 안해주면 ispec 서비스가 실행이 안된다.
		keyingtries=%forever
		keyexchange=ike
		leftsubnet=LOCAL NETWORK <= On-premise VPC IP/CIDR
		rightsubnet=REMOTE NETWORK <= 서울 리전 VPC IP/CIDR
		dpddelay=10
		dpdtimeout=30
		dpdaction=restart_by_peer

1. /etc/ipsec.d/aws.secrets 파일에 정보 입력

ex)
vi /etc/ipsec.d/aws.secrets
	54.89.96.27 13.209.141.233: PSK "niDmJr0tEG5p.HBOUgxMzmo6jsWbOrKt"

1. 서비스 시작

systemctl start ipsec

1. 버지니아 리전의 On-Premise 환경의 라우팅 테이블에 openswan 인스턴스를 넣어준다.

첫번째 대상에 서울 리전의 VPC IP/CIDR, 두 번째 대상에 OpenSwan 인스턴스를 넣어주어야 On-Premise 환경의 Server 인스턴스도 서울 리전과 ping 통신을 할 수 있다.

 

---

ps. 라우팅 전파 체크