VPC에서 BYOIP 구성 오류를 어떻게 해결합니까?

간략한 설명

참고: AWS Command Line Interface(AWS CLI) 명령을 실행할 때 오류가 발생하면 AWS CLI 오류 문제 해결을 참조하십시오. 또한 최신 AWS CLI 버전을 사용하고 있는지 확인하십시오.

VPC에서 BYOIP를 구성할 때 다음과 같은 문제가 발생합니다.

• Route Origin Authorization(ROA)이 CIDR(Classless Inter-Domain Routing) 블록 및 Autonomous System Number(ASN)에 대하여 잘못되었거나 존재하지 않습니다.
• WHOIS 비고에 X.509 인증서가 없습니다.
• IP 주소가 연결된 인터넷 레지스트리에서 허용되는 할당 유형을 사용하지 않습니다.
• AWS가 Regional Internet Registires(RIR) 레코드의 X.509 인증서를 사용해 CidrAuthorizationContext 서명을 확인할 수 없습니다.
• IP 주소가 pending-provision 상태로 멈췄습니다.

자세한 내용은 Amazon VPC FAQ에서 Amazon Elastic Compute Cloud(Amazon EC2)로 Bring Your Own IP Addresses(BYOIP) 및 Bring Your Own IP 섹션을 참조하십시오.

BYOIP 구성 문제를 해결하려면 발생한 오류의 종류에 따라 다음 작업을 완료합니다.

해결 방법

ROA가 CIDR 블록 및 Amazon ASN에 대하여 잘못되었거나 찾을 수 없는 문제 해결

ROA를 만들어 Amazon ASN 16509 및 14618이 주소 범위를 광고하도록 권한을 부여합니다. 자세한 내용은 RIR에서 ROA 객체 만들기를 참조하십시오.

중요: ROA가 다음 BYOIP 요구 사항을 충족해야 합니다.

• ROA가 사용 기간 동안 두 ASN에 모두 유효한지 확인하십시오.
• ROA는 AWS로 가져오는 주소 범위에만 해당해야 합니다.
• IPv4의 경우, ROA는 AWS로 가져오려는 주소 범위를 포함해야 하며 최대 길이를 /24로 설정해야 합니다. IPv6의 경우 가져올 수 있는 가장 구체적인 범위는 공개적으로 광고 가능한 CIDR의 경우 /48, 공개적으로 광고할 수 없는 CIDR 범위의 경우 /60입니다.
  중요: Amazon VPC IP Address Manager(IPAM)에 대하여 ROA 객체를 만들어야 하는 경우, 최대 IPv4 접두사 최대 길이를 /24로 설정하십시오. IPv6 CIDR 범위를 광고 가능한 풀에 추가해야 하는 경우, IP 주소 접두사의 최대 길이를 /48로 설정하십시오. IPAM에 대한 BYOIP 주소에 관한 자세한 내용은 자습서: IPAM에 IP 주소 가져오기를 참조하십시오.

ROA 요청 만들기에 관한 자세한 내용은 IP 주소 범위를 어디에 등록했는지에 따라 다음 리소스를 참조하십시오.

• ARIN: Route Origin Authorization(ROA) 개요
• RIPE: 호스팅 인증 기관 사용
• APNIC: 경로 관리

중요: AWS는 ARIN, RIPE 또는 APNIC으로 등록한 접두사만 지원합니다.

ROA가 ASN을 Amazon에서 사용할 수 있게 설정하려면 최대 24시간이 걸립니다. ROA를 만들고 나서 24시간을 기다렸다가 주소 범위를 프로비저닝 해제하고 다시 프로비저닝하십시오.

브라우저 또는 AWS CLI와 함께 Routinator를 사용하여 ROA를 만들었고 이를 ASN에 매핑했는지 확인하십시오. 자세한 내용은 공식 Routinator 웹 사이트에서 Routinator를 참조하십시오.

브라우저에 다음 URL을 입력합니다.

https://rpki-validator.ripe.net/json?select-prefix=example-public-IP/example-prefix-length

-또는-

AWS CLI에서 다음 curl 명령을 실행합니다.

curl https://rpki-validator.ripe.net/json?select-prefix=example-public-IP/example-prefix-length

참고: 이전 예시에서 example-public-IP/example-prefix-length를 주소 범위로 바꾸십시오.

다음 AWS CLI 출력 예시는 ASN AS13335 IP 주소 **1.1.1.0/24:**에 유효합니다.

{
"metadata": {
"generated": 1770933536,
"generatedTime": "2026-02-12T21:58:56Z"
},
"roas": [
{ "asn": "AS**13335**", "prefix": "**1.1.1.0/24**", "maxLength": 24, "ta": "apnic" }
],
"routerKeys": [],
"aspas": []
}

다음 출력 예시는 잘못되었습니다.

{
"metadata": {
"generated": 1685008305,
"generatedTime": "2023-05-25T09:51:45Z"
},
"roas": []
}

출력이 잘못된 경우, ROA가 이전의 요구 사항을 충족하는지 확인하십시오.

X.509 인증서가 WHOIS 비고에 없는 문제 해결

다음 문제가 있으면 잘못된 X.509 자체 서명 인증서 문제가 발생할 수 있습니다.

• Registration Data Access Protocol(RDAP) 레코드에 RIR에 대한 인증서가 없습니다.
• 인증서에 새 줄 문자가 있습니다.
• 인증서가 유효하지 않습니다.
• 인증서를 유효한 키 페어에서 생성하지 않았습니다.

중요: BYOIP을 설정할 때 X.509를 정확하게 만들어 업로드해야 합니다.

인증서를 등록하는 데 사용한 레지스트리에 따라 인증서가 유효한지 확인한 다음 오류를 해결하십시오.

ARIN, RIPE 및 APNIC의 경우

등록한 인증서가 유효한지 확인하려면 다음 WHOIS 명령 중 하나를 실행합니다.

whois -h whois.example-RIR.net example-public-IP

-또는-

whois -h whois.example-RIR.net example-address-range

참고: example-public-IP를 IP 주소로 바꾸십시오. example-public-IP/example-address-range를 CIDR 알림의 주소 범위로 바꾸십시오. whois.example-RIR.net을 사용 중인 RIR의 호스트 이름으로 바꾸십시오.

RIR에 따라 결과에서 다음 사항을 확인합니다.

• ARIN의 경우: 명령 출력에서 NetRange(네트워크 범위)의 Public Comments 섹션을 확인합니다. 인증서가 주소 범위의 Public Comments 섹션에 있는지 확인합니다.
• APNIC의 경우: 명령 출력에서 inetnum 객체(네트워크 범위)의 remarks 섹션을 확인합니다. 인증서가 주소 범위의 remarks 필드에 있는지 확인합니다.
• RIPE의 경우: 명령 출력에서 inetnum 객체(네트워크 범위)의 descr 섹션을 확인합니다. 인증서가 주소 범위의 descr 필드에 있는지 확인합니다.

오류 문제 해결

확인을 완료한 이후 다음 단계를 완료하십시오.

1. 인증서가 없는 경우, 새 인증서를 만들어 업로드합니다.
   -또는-
   인증서가 있는 경우, 해당 인증서에 새 줄이 포함되어 있지 않아야 합니다. 새 줄이 있으면 해당 줄을 제거하십시오. 다음 인증서 예시에는 새 줄이 포함되어 있지 않습니다.

   openssl req -new -x509 -key private-key.pem -days 365 | tr -d "\n" > certificate.pem

2. 인증서 내용을 새 파일로 복사하고 다음 명령을 실행하여 인증서가 유효한지 확인합니다.

   openssl x509 -in certificate.pem -text -noout

참고: ‘unable to load certificate’ 또는 ‘Could not find certificate’ 오류가 발생하는 경우, BEGIN CERTIFICATE 뒤, END CERTIFICATE 앞에 새 줄을 한 개 추가합니다.

그래도 오류가 발생하는 경우, 잘못된 키 페어를 사용해 인증서를 생성한 것입니다. 새 X.509 인증서를 만들어 업로드하십시오.

연결된 인터넷 레지스트리에서 허용되는 할당 유형이 아닌 IP 범위 문제 해결

이 오류는 다음 문제로 인해 발생합니다.

• 주소 범위의 RIR 할당 유형이 잘못되었습니다.
• AWS가 레지스트리를 지원하지 않습니다.

다음 WHOIS 명령 중 하나를 실행합니다.

whois -h whois.iana.org example-public-IP

-또는-

whois -h whois.iana.org example-public-IP/example-prefix-length

참고: example-public-IP를 IP 주소로 바꾸십시오. example-public-IP/example-address-range를 CIDR 알림의 주소 범위로 바꾸십시오.

출력에서 organization 섹션을 검토하고 AWS가 레지스트리를 지원하는지 확인합니다. inetnum 섹션의 주소 범위를 RIR로 등록했어야 합니다.

The CidrAuthorizationContext signature can't be verified with the X509 certificates in the RIR records’ 오류 해결

주소 범위를 프로비저닝할 때 AWS가 API 호출의 서명을 확인해야 합니다. AWS는 인증서에서 파생된 퍼블릭 키를 사용해 provision-byoip-cidr API 작업의 서명을 확인합니다. 이 오류는 AWS에서 서명을 확인할 수 없음을 나타냅니다.

이 오류는 다음 문제로 인해 발생합니다.

• 프로비저닝할 때 올바른 서명을 사용하지 않습니다.
• 메시지를 잘못된 프라이빗 키로 서명했습니다.
• RIR로 RDAP 레코드에 잘못된 인증서를 업로드했습니다.

이 오류를 해결하려면 새 X.509 인증서를 만들어 업로드하십시오.

‘pending-provision’ 상태로 멈춘 IP 주소 문제 해결

공개적으로 광고할 수 있는 범위에 대하여 프로비저닝 프로세스를 완료하려면 최대 일주일이 걸립니다.

describe-byoip-cidrs AWS CLI 명령을 실행하여 진행 상황을 모니터링하십시오.

aws ec2 describe-byoip-cidrs --max-items example-value --region example-region

참고: example-value를 명령의 출력에 표시되어야 하는 항목 전체 수로 바꾸십시오. example-region을 AWS 리전으로 바꾸십시오.

상태가 failed-provision으로 변경되는 경우, 승인 메시지를 올바로 작성하고 서명했는지 확인하십시오. 그런 다음 provision-byoip-cidr 명령을 다시 실행합니다. 자세한 정보는 AWS에서 공개적으로 광고 가능한 주소 범위 프로비저닝을 참조하십시오.