AWS Site-to-Site VPN으로 Foundry에 접속하기
VPN ingress는 AWS 호스팅 Foundry에서 AWS Site-to-Site VPN을 사용해 고객 네트워크와 IPsec 경로를 만드는 기능입니다. Beta이며 모든 플랫폼 인스턴스에 제공되는 것은 아닙니다. 정식 출시 전까지 일부 기능이 달라질 수 있습니다. 셀프서비스 활성화는 Palantir 담당자에게 요청합니다.
기본적으로 플랫폼 인스턴스당 VPN 인바운드 구성을 최대 3개 만들 수 있습니다. 한도 증가는 담당자에게 요청합니다.
VPN 생성
Control Panel의 Network ingress에서 VPNs 탭을 열고 + New VPN을 선택합니다.
게이트웨이와 라우팅
| 설정 | 입력 |
|---|---|
| VPN Name | 구성을 식별할 이름 |
| Public IP address of your VPN gateway | 고객 VPN gateway의 공개 IP. NAT를 사용하면 외부 주소 |
| Static routing | Allowed private CIDRs에 Foundry 접근을 허용할 사설 주소 범위 |
| Dynamic routing | Gateway의 BGP Autonomous System Number(ASN) |
Foundry 측 CIDR
제시된 CIDR 중 Foundry가 이 VPN을 위해 예약할 범위를 고릅니다. 고객 사설 네트워크의 CIDR과 겹치면 안 됩니다.
두 IPsec 터널
각 VPN에는 중복성을 위한 IPsec 터널 두 개가 있습니다. 기본값은 Use AWS defaults이며 고객 장비는 그 기본 지원 값의 부분집합으로 구성할 수 있습니다. 기본 범위를 벗어난 구성이 필요하면 Custom configuration을 선택합니다.
Tunnel 1이 AWS 기본값을 쓰면 Tunnel 2도 기본값을 사용합니다. Tunnel 1을 사용자 정의하면 Tunnel 2에서 Use tunnel 1 configuration으로 같은 설정을 쓰거나 별도의 Custom configuration을 지정할 수 있습니다.
Submit으로 생성을 시작하면 몇 분 걸릴 수 있으며 Foundry 측 VPN 구성이 끝나면 Creating에서 Ready로 바뀝니다.
고객 게이트웨이 구성
Ready가 되면 Download VPN configuration에서 자신의 장비에 맞는 예제 구성을 내려받아 해당 장비에 적용합니다. 장비가 만든 터널로 트래픽을 라우팅하도록 구성해야 합니다.
IPsec 터널이 성립하면 상태가 Up으로 표시됩니다.
인바운드 허용과 DNS
Network ingress에 VPN에서 들어올 사설 CIDR을 허용합니다. VPN 리소스를 만든 것만으로 기존 인바운드 허용 목록을 대신하지 않습니다.
구성 상세의 Frontdoor domain과 Frontdoor IPs를 확인합니다.
권장 방식은 조직 내부 DNS에서 기존 Foundry 호스트가 VPN의 Frontdoor domain을 CNAME으로 가리키도록 해석을 재정의하는 것입니다. 예를 들어 실제 테넌트의 palantirfoundry.com 호스트를 구성에 표시된 vpn-xxxx.palantircloud.com으로 연결합니다.
선택적으로 각 호스트의 /etc/hosts에서 기존 Foundry 이름을 Frontdoor IP로 직접 연결할 수 있지만 IP가 바뀔 수 있어 권장하지 않습니다. 파일 항목에는 실제 IP와 호스트 이름을 사용합니다. 다음은 항목의 형식을 보여 주는 예입니다.
10.20.30.40 foundry.example.com
Code Workspaces 같은 일부 서비스는 추가 전용 도메인을 사용하므로 그 도메인도 VPN으로 라우팅해야 합니다. 인스턴스의 전체 도메인 목록은 Palantir 담당자에게 확인합니다.
연결 확인 명령
실제 기본 URL을 FOUNDRY_URL 변수에 지정한 뒤 다음 명령으로 HTTP 도달 여부를 확인할 수 있습니다. HTTP 오류도 실패로 처리합니다.
if curl --fail --silent --show-error --output /dev/null \
"$FOUNDRY_URL/magritte-coordinator/api/ping"; then
printf 'pass\n'
else
printf 'fail\n' >&2
false
fi
이 명령의 성공은 해당 HTTP 엔드포인트에 도달했다는 뜻입니다. 실제 VPN 경로를 사용했는지는 DNS 해석과 터널 Up 상태도 함께 확인합니다. Public gateway 주소를 사용하는 IPsec 구성을 전용 물리 회선 보장으로 해석하지 않습니다.
상태 관리와 변경
VPN 목록의 Actions에서 Disable 또는 Delete를 선택할 수 있습니다. Ready인 연결은 비활성화 및 재활성화할 수 있습니다. 삭제 뒤에는 24시간의 복원 유예가 있습니다.
생성한 VPN의 구성은 수정할 수 없습니다. 구성 변경이 필요하면 삭제하고 새로 만들어야 하므로 연결 중단과 새 장비 설정의 영향을 고려합니다.
터널 로그
VPN 페이지에서 최대 10,000개의 터널 로그를 볼 수 있습니다. 터널 성립, IKE 협상과 DPD(Dead Peer Detection) 메시지 등이 포함됩니다.
Starting from 필터로 시작 시각을 정하며 기본적으로 최근 일주일을 가져옵니다.