일반 고려사항

VPN 게이트웨이를 만들기 전에 다음과 같은 일반적인 고려 사항을 검토하세요:

• 게이트웨이의 서브넷에 충분한 공간이 있는지 확인하십시오. VPN 관리 및 장애 복구 기능이 올바르게 작동할 수 있도록 하려면 다른 VPC 리소스 없이 서브넷에서 VPN 게이트웨이를 작성하십시오. 이 프로세스를 통해 게이트웨이에 충분한 사설 IP 주소를 사용할 수 있도록 보장합니다. 고가용성과 롤링 업그레이드를 수용하려면 VPN 게이트웨이에 네 개의 사설 IP 주소가 필요합니다. 서브넷에 최대 5개의 사설 IP 주소가 예약되어 있으므로, VPN 게이트웨이 호스팅에 사용할 수 있는 최소 서브넷 크기는 /28 (16개의 IP 주소 또는 넷마스크 255.255.255.240)입니다.
• 기본적으로 VPC용 IBM Cloud VPN 에 대해서는 PFS(완전 전달 비밀)가 비활성화되어 있습니다. 일부 공급업체의 경우 2단계를 위해 PFS 인에이블먼트가 필요합니다. 공급업체의 지침을 확인하고 PFS가 필요한 경우 사용자 지정 정책을 사용하세요.
• IBM VPN 게이트웨이는 공용 IP 주소를 IKE 로컬 ID로 사용하고 기본적으로 피어의 공용 IP 주소를 IKE 피어 ID로 지정합니다. VPN 연결을 작성할 때 이 디폴트 작동을 대체하기 위해 로컬 및 피어 IKE ID를 지정할 수 있습니다. 피어 VPN 게이트웨이가 NAT 방화벽 뒤에 있고 피어의 공용 IP 주소가 피어 VPN 게이트웨이 인터페이스와 연결되어 있지 않은 경우, 피어 VPN 게이트웨이의 구성을 조정할 수 있습니다. 이 구성은 피어의 공용 IP 주소가 IKE ID로 사용되도록 합니다. 피어 VPN 게이트웨이의 실제 IKE ID를 사용하기 위해 VPN 연결을 작성할 때 피어 IKE ID를 지정할 수도 있습니다.
• 피어 VPN 게이트웨이가 NAT 장치 뒤에 있고 공용 IP가 없는 경우, NAT된 IP 주소와 FQDN을 연결할 수 있습니다. 그런 다음 VPN 연결을 생성할 때 IP 주소 대신 이 FQDN을 사용할 수 있습니다. 이러한 방식으로 디폴트 피어 IKE ID는 FQDN입니다. 기본값이 피어 VPN 게이트웨이의 실제 IKE ID와 일치하지 않는 경우, VPN 연결을 생성할 때 이 기본값을 재정의하도록 피어 IKE ID를 지정할 수 있습니다.
• VPN 연결을 생성할 때 설정 모드(양방향 또는 피어 전용)를 선택할 수 있습니다. VPN 연결을 작성할 때 피어 VPN 게이트웨이에 공용 IP 주소가 없는 경우 VPN 게이트웨이를 피어 전용 모드로 설정해야 합니다. 이 경우, 피어 VPN 게이트웨이가 연결이 끊어지면 연결을 복구할 책임이 있습니다.
• VPN 연결을 프로비저닝한 후에는 피어 게이트웨이 주소 유형을 IP 주소에서 FQDN으로 또는 FQDN에서 IP 주소로 변경할 수 없습니다.
• IBM Cloud VPC DNS Services 통해 FQDN 확인을 지원합니다. VPN 게이트웨이가 상주하는 VPC가 개인 DNS 인스턴스의 허용된 네트워크에 있는 경우, 이 개인 DNS에 추가된 DNS 레코드는 VPN 게이트웨이에서 확인할 수 있습니다.

정책 기반 VPN 게이트웨이 고려 사항

정책 기반 VPN 게이트웨이를 만들기 전에 다음 고려 사항을 검토하세요:

• 정책 기반 VPN 게이트웨이는 선택한 서브넷과 연결된 영역에 만들어집니다. VPN 게이트웨이는 이 구역의 가상 서버 인스턴스에만 연결할 수 있습니다. 따라서 다른 영역에 있는 인스턴스는 이 VPN 게이트웨이를 사용하여 다른 네트워크와 통신할 수 없습니다. 구역 결함 허용의 경우 구역별로 하나의 VPN 게이트웨이를 배치하십시오.
• 정책 기반 VPN 게이트웨이의 경우 경로는 자동으로 탐지되지 않습니다. 라우팅 테이블은 VPN 게이트웨이로부터의 경로를 수락하도록 구성되어야 하며, 전파되는 경로는 VPN 정책에 정의된 CIDR 접두사로 제한됩니다. 광고 경로를 참조하십시오.

라우트 기반 VPN 게이트웨이 고려 사항

경로 기반 VPN 게이트웨이를 만들기 전에 다음 고려 사항을 검토하세요:

IBM Power Virtual Servers 업무 공간 배포 자동화하기

사이트 간 VPN 게이트웨이를 작성하기 위한 Terraform 모듈을 제공하는 사이트 간 VPN 자동화 프로젝트를 사용할 수 있습니다. 또한 로컬 온프레미스 네트워크에서 Power Virtual Server 워크스페이스의 비공개 리소스로 인터넷을 통해 안전하게 연결할 수 있습니다. 이 테라폼 코드형 인프라( IaC ) 모듈은 정책 기반 VPN 게이트웨이를 생성하고 로컬 및 피어 정책과 연결합니다. Transit Gateway 및 IBM Power Virtual Server 워크스페이스가 기본적으로 생성되지만, 기존 워크스페이스를 지정하여 기본값을 재정의할 수 있습니다.

이 자동화 프로젝트의 GitHub 리포지토리는 IBM /에 있습니다 power-vpn-gateway GitHub 저장소. 프로젝트의 README 파일은 VPN 게이트웨이를 생성하고 이를 신규 또는 기존 Power Virtual Server 워크스페이스에 연결하여 IBM Cloud Power 인프라에 안전하게 액세스할 수 있도록 합니다.

관련 링크

VPN 게이트웨이의 알려진 문제