시작하기 전에

VPN 연결을 설정하기 전에 다음 전제 조건이 충족되는지 확인하세요.

export SM_REGION="us-south"     # Secrets Manager region
export GW_REGION="us-south"     # Region where your VPC, VPE, and VPN live
export RG_NAME="Default"        # Resource Group
export SM_CRN="<secrets-manager-instance-crn>"              # Secrets Manager instance CRN
export SM_HOST="<secrets-manager-instance-host>"            # Secrets Manager instance host <instance_id.private.region.secrets-manager.appdomain.cloud>
export SM_PKI_ENDPOINT="<secrets-manager-pki-instance-url>" # Secrets Manager PKI instance endpoint URL <https://instance_id.region.secrets-manager.appdomain.cloud>
export VPC_ID="<existing-vpc-id>"       # Existing VPC ID in GW_REGION
export SUBNET_ID="<existing-subnet-id>" # Existing subnet ID in GW_REGION
export VPE_NAME="test-vpe-gw"     # Name for the VPE gateway
export SG_VPE_NAME="test-vpe-sg"  # Security Group to attach to the VPE
export VPN_NAME="test-vpn"          # Name for the Client-to-Site VPN
export SG_VPN_NAME="test-vpn-sg"    # Security Group to attach to the VPN
export CLIENT_POOL="10.241.0.0/22"  # VPN client IP pool

IBM Cloud 계정에 로그인하십시오.

ibmcloud login -r "$GW_REGION" --sso
ibmcloud target -g "$RG_NAME"

VPE 보안 그룹 생성

VPE에 대한 전용 보안 그룹을 만들고 ID를 캡처합니다.

ibmcloud is security-group-create "$SG_VPE_NAME" "$VPC_ID"
export VPE_SG_ID=$(ibmcloud is security-groups --output json | jq -r ".[] | select(.name==\"$SG_VPE_NAME\") | .id")

가상 사설 엔드포인트(VPE) 만들기

Secrets Manager 인스턴스(SM_REGION)를 대상으로 하는 VPC(GW_REGION)에 VPE를 생성하고 서브넷에서 예약된 IP를 할당합니다.

ibmcloud is endpoint-gateway-create \
  --name "$VPE_NAME" \
  --vpc "$VPC_ID" \
  --target "$SM_CRN" \
  --target-type provider_cloud_service \
  --new-reserved-ip "{\"subnet\":{\"id\":\"$SUBNET_ID\"}}" \
  --sg "$VPE_SG_ID" \
  --resource-group-name "$RG_NAME"
# Wait for the VPE to reach stable state
ibmcloud is endpoint-gateway "$VPE_NAME" --output json | jq -r '.lifecycle_state'
# Capture the VPE IP (used later for routing and hosts entry)
export VPE_IP=$(ibmcloud is endpoint-gateway "$VPE_NAME" --output json | jq -r '.ips[0].address')
### Verify the VPE
# Show security groups attached to the VPE (names and IDs)
ibmcloud is endpoint-gateway "$VPE_NAME" --output json | jq -r '.security_groups[]? | "\(.name) \(.id)"'
# Show the reserved IP address allocated to the VPE
ibmcloud is endpoint-gateway "$VPE_NAME" --output json | jq -r '.ips[0].address'

Secrets Manager 비공개 인증서 엔진

비공개 인증서 엔진을 사용하여 CA를 만들고 인증서를 발급합니다. Secrets Manager CLI를 구성합니다:

export SECRETS_MANAGER_URL="$SM_PKI_ENDPOINT"

ibmcloud secrets-manager configuration-create \
    --config-type "private_cert_configuration_root_ca" \
    --name "vpn-root-CA" \
    --certificate-common-name "vpn.root.ca" \
    --private-cert-max-ttl "3652d" \
    --private-cert-format "pem" \
    --private-cert-private-key-type "rsa" \
    --private-cert-private-key-bits 2048 \
    --private-cert-distribution-points-encoded true \
    --private-cert-issuing-certificate-urls-encoded true

ibmcloud secrets-manager configuration-create \
    --config-type "private_cert_configuration_intermediate_ca" \
    --name "vpn-intermediate-CA" \
    --certificate-common-name "vpn.int.com" \
    --private-cert-signing-method "internal" \
    --private-cert-issuer "vpn-root-CA" \
    --private-cert-max-ttl "2556d" \
    --private-cert-format "pem" \
    --private-cert-private-key-type "rsa" \
    --private-cert-private-key-bits 4096 \
    --private-cert-distribution-points-encoded true \
    --private-cert-issuing-certificate-urls-encoded true

ibmcloud secrets-manager configuration-action-create \
  --name "vpn-root-CA" \
  --config-action-action-type "private_cert_configuration_action_sign_intermediate" \
  --config-action-intermediate-certificate-authority "vpn-intermediate-CA"

ibmcloud secrets-manager configuration-create \
    --config-type "private_cert_configuration_template" \
    --name "vpn-certificate-template" \
    --private-cert-ca-name "vpn-intermediate-CA" \
    --private-cert-allowed-domains "vpn.ibm.com" \
    --private-cert-allowed-domains-template false \
    --private-cert-allow_subdomains true \
    --private-cert-server-flag true \
    --private-cert-client-flag true \
    --private-cert-key-type "rsa" \
    --private-cert-key-bits 2048 \
    --private-cert-max-ttl "365d"

ibmcloud secrets-manager secret-create \
  --secret-name "vpn-server-cert" \
  --secret-type "private_cert" \
  --secret-description "VPN server certificate" \
  --secret-ttl "365d" \
  --private-cert-certificate-template "vpn-certificate-template" \
  --certificate-common-name "server.vpn.ibm.com" \

ibmcloud secrets-manager secret-create \
  --secret-name "vpn-client-cert" \
  --secret-type "private_cert" \
  --secret-description "VPN client certificate" \
  --secret-ttl "365d" \
  --private-cert-certificate-template "vpn-certificate-template" \
  --certificate-common-name "client.vpn.ibm.com"

export VPN_SERVER_CERT_CRN="<CRN of VPN server certificate secret>"
export VPN_CLIENT_CERT_CRN="<CRN of VPN client certificate secret>"

VPN 서버용 보안 그룹

공개 IP 및 모든 아웃바운드에서 OpenVPN 을 허용합니다.

ibmcloud is security-group-create "$SG_VPN_NAME" "$VPC_ID"
export SG_ID=$(ibmcloud is security-groups --output json | jq -r ".[] | select(.name==\"$SG_VPN_NAME\") | .id")
# Find your public IPv4 and allow UDP 1194
curl -4 ifconfig.me
ibmcloud is security-group-rule-add "$SG_ID" inbound udp --port-min 1194 --port-max 1194 --remote x.x.x.x/32
# Allow all outbound
ibmcloud is security-group-rule-add "$SG_ID" outbound all --remote 0.0.0.0/0

클라이언트-사이트 VPN 서버 만들기

CA에 대한 인증서 기반 클라이언트 인증; 서버는 발급된 서버 인증서를 제시합니다.

ibmcloud is vpn-server-create \
  --name "$VPN_NAME" \
  --vpc "$VPC_ID" \
  --subnet "$SUBNET_ID" \
  --client-ip-pool "$CLIENT_POOL" \
  --protocol udp \
  --port 1194 \
  --enable-split-tunnel true \
  --client-auth-methods certificate \
  --client-ca "$VPN_CLIENT_CERT_CRN" \
  --cert "$VPN_SERVER_CERT_CRN" \
  --sg "$SG_ID" \
  --resource-group-name "$RG_NAME"
# Wait for the VPN server to reach stable status
ibmcloud is vpn-server "$VPN_NAME"
# Capture IDs and server private IP
export VPN_ID=$(ibmcloud is vpn-servers --output json | jq -r ".[] | select(.name==\"$VPN_NAME\") | .id")
export VPN_PRIV_IP=$(ibmcloud is vpn-server "$VPN_ID" --output json | jq -r '.private_ips[0].address')
### Allow TCP 443 from the translated source (VPN server private IP) to the VPE.
ibmcloud is security-group-rule-add "$VPE_SG_ID" inbound tcp --port-min 443 --port-max 443 --remote "$VPN_PRIV_IP/32"

호스트 경로를 VPE로 푸시

# Create a translated (SNAT) host route to the VPE IP
ibmcloud is vpn-server-route-create "$VPN_ID" --name vpe-host --action translate --destination "$VPE_IP/32"
# Verify for stable status
ibmcloud is vpn-server-routes "$VPN_ID"

이름 확인(예제만 해당)

Secrets Manager 호스트 이름을 로컬 컴퓨터의 VPE IP에 매핑합니다.

echo "$VPE_IP $SM_HOST" | sudo tee -a /etc/hosts
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

OpenVPN Connect 클라이언트 준비

서버 프로필을 다운로드합니다:

• IBM Cloud 콘솔 왼쪽 탐색 메뉴에서 인프라 > 네트워크 > VPN을 선택합니다.
• VPC용 VPN 페이지에서 클라이언트-사이트 서버 창을 선택하고 test-vpn 을 선택합니다.
• test-vpn 페이지에서 클라이언트 탭을 선택하고 All client profiles 버튼을 클릭하여 클라이언트 프로필.ovpn 파일을 ZIP 형식으로 다운로드합니다.
• ZIP 파일을 압축을 풀고 client.ovpn 을 OpenVPN 으로 가져와 연결합니다.

VPN 경로를 수정할 때 업데이트된 경로 구성을 받으려면 VPN 클라이언트의 연결을 끊었다가 다시 연결하세요.

다음에서 유효성 검사 macOS

• curl -v https://$SM_HOST
• 시간이 초과된 경우:
  • 클라이언트에 $VPE_IP/32 경로가 있고 VPN이 연결되었는지 확인합니다.
  • 경로 동작이 번역이고 VPE 보안 그룹이 TCP 443(또는 선택한 소스)에서 $VPN_PRIV_IP/32 -> $VPE_IP/32 을 허용하는지 확인합니다.
  • VPN 서버 및 VPE 수명 주기 상태 확인은 stable/ok.
• 브라우저를 사용하여 Secrets Manager 비공개 전용 UI를 엽니다.

macOS (라우팅 및 VPN)에서 문제 해결하기

Mac의 일반적인 증상:

• curl -v https://$SM_HOST 매달려서 시간을 보냅니다.
• curl $VPE_IP 에 연결하려고 할 때 Network is down 또는 Cannot allocate memory 과 같은 오류와 함께 즉시 실패합니다.

진단 및 수정 단계

1. IBM C2S VPN만 활성화되어 있는지 확인
   • Mac에서 다른 VPN 클라이언트(회사, 개인 등)의 연결을 해제합니다.
   • test-vpn 프로필을 OpenVPN 에 연결하고 연결됨으로 표시될 때까지 기다립니다.
2. VPE IP 경로 확인

route -n get "$VPE_IP"

건강한 설정을 기대합니다:

• interface 는 utun 장치입니다(예: utun5).
• gateway 는 터널 피어 주소입니다(예: 10.241.x.y 또는 172.30.x.y).
• interface 이 utunX 대신 en0/en4 과 같은 경우 트래픽이 VPN을 우회하는 것입니다.

경로가 잘못된 경우, IBM VPN 에 연결하고 다른 VPN을 비활성화한 상태에서 VPN 터널을 사용하도록 경로를 재정의하세요:

# Remove any existing host route for the VPE IP
sudo route delete "$VPE_IP" 2>/dev/null || true
# Add a host route via the VPN tunnel interface (replace utun5 with your actual utun)
sudo route add -host "$VPE_IP" -interface utun5
# Verify
route -n get "$VPE_IP"

interface: utun5 (또는 이와 유사)가 표시되면 다시 시도하세요:

curl -v --max-time 10 "https://$SM_HOST"

curl 그래도 시간이 초과되면

• VPN 서버와 VPE가 stable 상태인지 다시 확인하세요:

  ibmcloud is vpn-server "$VPN_ID" --output json | jq -r '.lifecycle_state'
  ibmcloud is endpoint-gateway "$VPE_NAME" --output json | jq -r '.lifecycle_state'
  

• VPE 보안 그룹에 $VPN_PRIV_IP/32 에서 인바운드 TCP 443 규칙이 여전히 있는지 확인합니다:

  ibmcloud is security-group-rules "$VPE_SG_ID"
  

다음 단계

프로덕션용으로 이 구성을 개선하려면 다음과 같은 개선 사항을 고려하세요:

• 적절한 DNS 확인을 위해 /etc/hosts 을 IBM Cloud DNS Services 개인 영역으로 바꾸세요
• 두 번째 서브넷과 영역을 추가하여 고가용성 구현하기
• 클라이언트 인증서에 대한 CRL(인증서 해지 목록) 처리 구성하기
• 최소 권한 원칙을 따르도록 보안 그룹 규칙을 강화하세요
• 추가 보안을 위해 MFA(다단계 인증) 사용
• 클라이언트 인증서 해지 정책 설정

보안 고려사항

이 VPN 솔루션을 구현할 때 다음 보안 모범 사례를 염두에 두세요:

• 인증서 관리: VPN 인증서를 정기적으로 교체하고 자동화된 갱신 프로세스를 구현합니다
• 액세스 제어: VPN 액세스를 필요한 IP 주소와 사용자로만 제한하세요
• 모니터링: VPN 연결 및 액세스 시도에 대한 로깅 및 모니터링 활성화
• 네트워크 세분화: 보안 그룹을 사용하여 엄격한 네트워크 세분화 적용
• 암호화: 모든 트래픽이 강력한 암호화 프로토콜( TLS 1.2 이상)을 사용하도록 합니다

관련 링크

• 클라이언트 대 사이트 간 VPN 서버 정보
• VPN 서버 만들기
• Virtual Private Endpoint for VPC
• Secrets Manager 비공개 인증서
• IBM Cloud DNS Services