Azure VPN 연결 끊김

안녕 형규 손,

이 글은 영어에서 한국어로 번역한 것이므로 문법적인 오류가 있더라도 양해 부탁드립니다.

마이크로소프트 Q&A 포럼에 문의해 주셔서 감사합니다.

현재 설정과 매일 발생하는 연결 끊김 현상을 고려할 때, DH 그룹 구성에 문제가 있는 것으로 보이며, 이것이 근본적인 원인일 가능성이 매우 높습니다.

DH 그룹 2가 연결 끊김의 원인입니다:

현재 설정된 DH 그룹 2(1024비트)는 구형 기술로 보안이 취약합니다. Azure와 Naver Cloud Platform(OCP)과 같은 클라우드 간 VPN 환경에서 DH 그룹 2는 키 재설정 협상 실패를 빈번하게 발생시킵니다. 연결이 매일 끊기는 이유가 바로 이것일 가능성이 매우 높습니다. Azure의 공식 권장 사항은 DH 그룹 2를 사용하지 않고 DH 그룹 14 이상을 사용하는 것입니다. AWS, GCP, NCP, OCI와의 클라우드 간 VPN은 DH 그룹 14에서 훨씬 더 안정적입니다.

실제로 설정하신 수명 시간은 올바릅니다:

27,000초는 Azure의 기본 IPsec 2단계 수명이므로 문제가 아닙니다. Azure는 설계상 IKE 1단계 수명을 28,800초로 더 길게 설정합니다. 일일 연결 끊김은 수명 값 자체가 아니라 DH2 협상 불안정 및 재키 제안 불일치로 인해 발생합니다.

IKEv2가 필요합니다:

현재 연결은 IKEv1을 사용하고 있을 가능성이 높습니다. IKEv1은 메인 모드 재설정 중에 터널을 재설정하여 24시간마다 짧은 시간 동안 연결을 끊습니다. 이는 일일 연결 끊김 패턴과 일치합니다. IKEv2는 연결 끊김 없이 제자리 재설정을 지원하므로 Azure는 Basic SKU를 제외한 모든 SKU에 IKEv2 사용을 권장합니다.

안정적인 Azure VPN 게이트웨이와 네이버 클라우드 플랫폼 연결을 위해 양쪽에서 다음 설정을 구성하십시오.

• IKE 버전: IKEv2
• IKE 암호화: AES256
• IKE 무결성(해시): SHA256
• DH 그룹(1단계): DHGroup14(2048비트)
• IPsec 암호화: AES256
• IPsec 무결성(해시): SHA256
• PFS 그룹(2단계): PFS14 또는 PFS2048
• IPsec 수명: 27,000초(NCP에서 정확히 일치하는 경우 28,800초)
• DPD(Dead Peer Detection): 30~45초

Azure CLI를 사용하여 수정 사항을 적용합니다.

az network vpn-connection ipsec-policy add \
  --resource-group <your-resource-group> \
  --connection-name <your-connection-name> \
  --ike-encryption AES256 \
  --ike-integrity SHA256 \
  --dh-group DHGroup14 \
  --ipsec-encryption AES256 \
  --ipsec-integrity SHA256 \
  --pfs-group PFS14 \
  --sa-lifetime 27000 \
  --sa-max-size 102400000

공식 Microsoft 문서

• VPN 게이트웨이에 대한 암호화 요구 사항 - Azure VPN Gateway | Microsoft Learn
• S2S VPN 및 VNet-VNet에 대한 사용자 지정 IPsec/IKE 연결 정책 구성: Azure Portal - Azure VPN Gateway | Microsoft Learn
• Azure 사이트 간 문제를 오류 코드를 사용하여 해결 - Azure VPN Gateway | Microsoft Learn

위 내용이 도움이 되었는지, 아니면 추가적인 도움이 필요하신지 알려주시기 바랍니다.

제공된 정보가 도움이 되었다면 "답변 채택"과 "추천"을 눌러주세요. 다른 커뮤니티 회원들에게도 도움이 될 수 있습니다.