ヤマムギ

growing hard days.

*

AWS Client VPNを設定しました

      2021/07/07


ユーザーガイドのクライアント VPN の開始方法に沿ってやりました。

AWSクライアントVPNでは3つのタイプの認証が使用できます。
* Active Directory認証(ユーザーベース)
* シングルサインオン(SAMLベースのフェデレーション、ユーザーベース)
* 相互認証(証明書ベース)

このチュートリアルは、相互認証方式でした。

相互認証の準備

作業しているmacOSでサーバー証明書とクライアント証明書とキーを作成して、AWS Certificate Manager(ACM)にアップロードしました。

OpenVPN easy-rsa リポジトリのクローンをローカルに作成しました。

PKI環境の初期化

認証局(CA)の構築

サーバー証明書とキーを生成

クライアント証明書とキーを生成

ファイルの整理

ファイルの確認

ACMへサーバー証明書とキーをアップロード

ACMへクライアント証明書とキーをアップロード

マネジメントコンソールでACMを確認すると証明書が2つ作成されていました。

クライアントVPNエンドポイントの作成

クライアントIPv4CIDRは、VPC(10.0.0.0/16)と重複しないものを設定しました。
ACMにアップロードした証明書を選択しました。

VPCサブネットへの関連付け

作成したクライアントVPNエンドポイントを選択して[関連付け]ボタンを押下しました。

VPCとサブネットを選択しました。
高可用性を考慮するなら、もう1つですが、今回は検証目的なので1つにします。

クライアントのネットワークへのアクセスを承認

[認証]タブの[受信の承認]ボタンを押下しました。

アクセスを有効にする送信先ネットには、対象範囲を指定します。
今回はVPC全体にするので、VPCのCIDRをそのまま指定しました。

追加でインターネットに接続できるルートを設定する

これをやっておかないと、作業中のmacOSがインターネットに接続できなくなります。

[ルートテーブル]タブの[ルートの作成]ボタンを押下しました。

ルート送信先を指定しました。
関連付けしたサブネットIDを指定しました。
このサブネットはインターネットゲートウェイへのルートが関連付いています。

[認証]タブの[受信の承認]ボタンを押下しました。

送信先ネットに0.0.0.0/0を指定しました。

設定ファイルをダウンロードする

[クライアント設定のダウンロード]ボタンを押下して設定ファイルをダウンロードしました。

上記のような配置になるように、certとkeyの情報を、client1.domain.tld.crtとclient1.domain.tld.keyから取得して貼り付けました。

AWSクライアントVPNの使用

AWS Client VPN downloadからmacOS用のクライアントをダウンロードしてインストールして起動しました。

[ファイル]-[プロファイルを管理]からプロファイルを追加を選択しました。

設定ファイルを選択しました。

準備ができました。
マネジメントコンソールを見ると、クライアントVPNも使用可能になっていました。
[接続]ボタンを押下しました。

接続先VPCのプライベートサブネットにEC2インスタンスを起動してpingを実行したところ、返ってきました!

ping 10.0.11.106
PING 10.0.11.106 (10.0.11.106): 56 data bytes
64 bytes from 10.0.11.106: icmp_seq=0 ttl=254 time=204.618 ms
64 bytes from 10.0.11.106: icmp_seq=1 ttl=254 time=207.065 ms
64 bytes from 10.0.11.106: icmp_seq=2 ttl=254 time=232.293 ms
64 bytes from 10.0.11.106: icmp_seq=3 ttl=254 time=189.744 ms


最後までお読みいただきましてありがとうございました!

【PR】 「AWS認定試験対策 AWS クラウドプラクティショナー」という本を書きました。

【PR】 「AWSではじめるLinux入門ガイド」という本を書きました。

【PR】 「ポケットスタディ AWS認定 デベロッパーアソシエイト」という本を書きました。

【PR】 「AWS認定資格試験テキスト&問題集 AWS認定ソリューションアーキテクト - プロフェッショナル」という本を書きました。

 - AWS , ,

ad

ad

  関連記事

AWS Savings Plansを検討しました

今、個人でAWSアカウントを7つ使っています。 Savings Plansが使え …

Rocket.ChatにAPIで投稿するテスト(Postman)

トレーニング期間中で一時利用するチャットが欲しいなあと思い、Rocket.Cha …

AWS EC2 インスタンスステータスのチェックで失敗 原因はPHP-FPMのOOM-KILLER

先週に引き続きEC2のインスタンスステータスチェックで失敗 再起動するも失敗する …

AWS Transfer Family S3向けのSFTP対応サーバー

S3バケットは作成済です。 IAMロールの作成 [crayon-62908248 …

EFSのマウントターゲットがデフォルトで作成されるようになってました

ひさしぶりにAmazon EFSファイルシステムを作成しました。 作成手順がすご …

Amazon CloudWatch Anomaly Detectionをダッシュボードに設定

Amazon CloudWatch クロスリージョンクロスアカウントダッシュボー …

Amazon Data Lifecycle Manager(DLM)が東京リージョンで使えるようになったのでLambdaでAMI自動取得から乗り換えた

EBSのスナップショットを自動で作成してくれるAmazon Data Lifec …

S3署名付きURL(GetObject)生成後にオブジェクトを上書きアップロードしたら

ダウンロードリクエストを実行したタイミングのオブジェクトがダウンロードされるので …

API Gateway Lambdaプロキシ統合で渡されるリクエストを確認しました

API Gatewayの統合リクエストでLambdaを指定するときにプロキシ統合 …

S3バケットのデフォルト暗号化はデフォルトだったことを確認しました

S3バケットのデフォルト暗号化は名前のとおりだとデフォルトなので、暗号化を指定し …