Tutorial: Konfiguration des privaten Netzwerkzugriffs mit einem AWS Client VPN

1. Prüfen Sie die Benutzerberechtigungen. Stellen Sie sicher, dass Ihr Konto in AWS Identity and Access Management (IAM) über ausreichende Berechtigungen zum Erstellen und Verwalten von VPC-Ressourcen verfügt.

2. Verwenden Sie Ihre Amazon MWAA VPC. In diesem Tutorial wird davon ausgegangen, dass Sie das Client-VPN einer vorhandenen VPC zuordnen. Die Amazon VPC muss sich in derselben AWS-Region Amazon MWAA-Umgebung befinden und über zwei private Subnetze verfügen. Wenn Sie keine Amazon VPC erstellt haben, verwenden Sie die Vorlage in. CloudFormation Option drei: Erstellen eines Amazon VPC-Netzwerks ohne Internetzugang

1. Erstellen Sie einen AWS Client VPN Endpunkt mithilfe einer CloudFormation Vorlage für eine bestehende Amazon VPC.

2. Generieren Sie Server- und Client-Zertifikate und -Schlüssel und laden Sie dann das Serverzertifikat und den Schlüssel AWS Certificate Manager in dieselbe AWS-Region Amazon MWAA-Umgebung hoch.

3. Laden Sie eine Client-VPN-Endpunktkonfigurationsdatei für Ihr Client-VPN herunter, ändern Sie sie und verwenden Sie die Datei, um ein VPN-Profil für die Verbindung mit dem Client-VPN für Desktop zu erstellen.

Um den CIDR für Ihr Client-VPN zu identifizieren

1. Öffnen Sie die Seite „Ihre Amazon VPCs“ auf der Amazon VPC-Konsole.

2. Verwenden Sie die Regionsauswahl in der Navigationsleiste, um dieselbe AWS-Region wie eine Amazon MWAA-Umgebung auszuwählen.

3. Wählen Sie Ihre Amazon VPC.

4. Angenommen, die CIDRs für Ihre privaten Subnetze lauten wie folgt:

   • Privates Subnetz 1:10.192.10.0 /24

   • Privates Subnetz 2:10.192.11.0 /24

   Wenn der CIDR für Ihre Amazon-VPC 10.192.0.0 lautet, wäre der Client-IPv4-CIDR/16, den Sie für Ihr Client-VPN angeben würden, 172.16.0.0. /22

5. Speichern Sie diesen CIDR-Wert und den Wert Ihrer VPC-ID für nachfolgende Schritte.

Um die Sicherheitsgruppen zu identifizieren

1. Öffnen Sie die Seite „Sicherheitsgruppen“ auf der Amazon VPC-Konsole.

2. Verwenden Sie die Regionsauswahl in der Navigationsleiste, um die auszuwählen. AWS-Region

3. Suchen Sie in der VPC-ID nach der Amazon VPC und identifizieren Sie die Sicherheitsgruppen, die der VPC zugeordnet sind.

4. Speichern Sie die ID Ihrer Sicherheitsgruppen und Ihrer VPC für nachfolgende Schritte.

Um die Client-Zertifikate zu erstellen

1. Folgen Sie diesen schnellen Schritten, um die Zertifikate zu erstellen und über den AWS CLI Link Client-Authentifizierung und -Autorisierung: Gegenseitige Authentifizierung auf ACM hochzuladen.

2. In diesen Schritten müssen Sie beim Hochladen Ihrer Server- und Client-Zertifikate im AWS CLI Befehl dieselbe Umgebung AWS-Region wie eine Amazon MWAA-Umgebung angeben. Hier sind einige Beispiele dafür, wie Sie die Region in diesen Befehlen angeben:

   1. Beispiel Region für das Serverzertifikat

      aws acm import-certificate --certificate fileb://server.crt --private-key fileb://server.key --certificate-chain fileb://ca.crt --region us-west-2

   2. Beispiel Region für das Client-Zertifikat

      aws acm import-certificate --certificate fileb://client1.domain.tld.crt --private-key fileb://client1.domain.tld.key --certificate-chain fileb://ca.crt --region us-west-2

   3. Speichern Sie nach diesen Schritten den Wert, der in der AWS CLI Antwort für die ARNs des Serverzertifikats und des Clientzertifikats zurückgegeben wurde. Sie geben diese ARNs in Ihrer CloudFormation Vorlage an, um das Client-VPN zu erstellen.

3. In diesen Schritten werden ein Client-Zertifikat und ein privater Schlüssel auf Ihrem Computer gespeichert. Hier ist ein Beispiel dafür, wo Sie diese Anmeldeinformationen finden:

   1. Beispiel auf macOS

      Auf macOS werden die Inhalte unter gespeichert/Users/your-user/custom_folder. Wenn du alle (ls -a) Inhalte dieses Verzeichnisses auflistest, erhältst du etwas Ähnliches wie das Folgende:

      .
      ..
      ca.crt
      client1.domain.tld.crt
      client1.domain.tld.key
      server.crt
      server.key

   2. Speichern Sie nach diesen Schritten den Inhalt oder notieren Sie sich den Speicherort des Client-Zertifikats in client1.domain.tld.crt und den privaten Schlüssel inclient1.domain.tld.key. Sie fügen diese Werte zur Konfigurationsdatei für Ihr Client-VPN hinzu.

• Kopieren Sie den Inhalt der folgenden Vorlage und speichern Sie sie lokal unter. mwaa_vpn_client.yaml Sie können die Vorlage auch herunterladen.

  Ersetzen Sie die folgenden Werte:

  • YOUR_CLIENT_ROOT_CERTIFICATE_ARN— Die ARN für Ihr client1.domain.tld Zertifikat in. ClientRootCertificateChainArn

  • YOUR_SERVER_CERTIFICATE_ARN— Die ARN für Ihr Serverzertifikat in. ServerCertificateArn

  • Die Client-IPv4-CIDR-Regel in. ClientCidrBlock Eine CIDR-Regel von wird bereitgestellt. 172.16.0.0/22 Dieser Bereich darf Ihren Amazon VPC-CIDR nicht überschneiden.

  • Ihre Amazon VPC-ID ist eingetroffen. VpcId Eine VPC von vpc-010101010101 wird bereitgestellt.

  • Ihre VPC-Sicherheitsgruppen-IDs sind in. SecurityGroupIds Eine Sicherheitsgruppe von sg-0101010101 wird bereitgestellt.

  AWSTemplateFormatVersion: 2010-09-09
  Description: This template deploys a VPN Client Endpoint.
  Resources:
    ClientVpnEndpoint:
      Type: 'AWS::EC2::ClientVpnEndpoint'
      Properties:
        AuthenticationOptions:
          - Type: "certificate-authentication"
            MutualAuthentication:
              ClientRootCertificateChainArn: "YOUR_CLIENT_ROOT_CERTIFICATE_ARN"
        ClientCidrBlock: 172.16.0.0/22
        ClientConnectOptions:
          Enabled: false
        ConnectionLogOptions:
          Enabled: false
        Description: "MWAA Client VPN"
        DnsServers: []
        SecurityGroupIds:
          - sg-0101010101
        SelfServicePortal: ''
        ServerCertificateArn: "YOUR_SERVER_CERTIFICATE_ARN"
        SplitTunnel: true
        TagSpecifications:
          - ResourceType: "client-vpn-endpoint"
            Tags:
            - Key: Name
              Value: MWAA-Client-VPN
        TransportProtocol: udp
        VpcId: vpc-010101010101
        VpnPort: 443

Um das zu erstellen AWS Client VPN

1. Öffnen Sie die AWS CloudFormation -Konsole.

2. Wählen Sie Vorlage ist fertig, Vorlagendatei hochladen.

3. Wählen Sie Datei auswählen und wählen Sie Ihre mwaa_vpn_client.yaml Datei aus.

4. Wählen Sie Weiter, Weiter aus.

5. Wählen Sie die Bestätigung aus und wählen Sie dann Stapel erstellen.

Um private Subnetze dem zuzuordnen AWS Client VPN

1. Öffnen Sie die Amazon VPC-Konsole.

2. Wählen Sie die Seite Client-VPN-Endpunkte.

3. Wählen Sie Ihr Client-VPN aus und wählen Sie dann auf der Registerkarte „Verknüpfungen“ die Option „Zuordnen“.

4. Wählen Sie in der Dropdownliste Folgendes aus:

   • Ihre Amazon VPC in VPC.

   • Eines Ihrer privaten Subnetze unter Wählen Sie ein Subnetz zum Zuordnen aus.

5. Wählen Sie Associate aus.

Um den CIDR dem hinzuzufügen AWS Client VPN

1. Öffnen Sie die Amazon VPC-Konsole.

2. Wählen Sie die Seite Client-VPN-Endpunkte.

3. Wählen Sie Ihr Client-VPN aus und wählen Sie dann auf der Registerkarte Autorisierung Ingress autorisieren.

4. Machen Sie folgende Angaben:

   • Aktivieren Sie die CIDR-Regel Ihrer Amazon VPC im Zielnetzwerk. Beispiel:

     10.192.0.0/16

   • Wählen Sie unter Zugriff gewähren auf die Option Allen Benutzern Zugriff gewähren aus.

   • Geben Sie im Feld Beschreibung einen aussagekräftigen Namen ein.

5. Wählen Sie Autorisierungsregel hinzufügen.

So laden Sie die Konfigurationsdatei herunter

1. Folgen Sie diesen kurzen Schritten, um die Client-VPN-Konfigurationsdatei unter Laden Sie die Client-VPN-Endpunktkonfigurationsdatei herunter.

2. In diesen Schritten werden Sie aufgefordert, dem DNS-Namen Ihres Client-VPN-Endpunkts eine Zeichenfolge voranzustellen. Hier ein Beispiel:

   1. Beispiel DNS-Name des Endpunkts

      Wenn der DNS-Name Ihres Client-VPN-Endpunkts lautet:

      remote cvpn-endpoint-0909091212aaee1.prod.clientvpn.us-west-1.amazonaws.com 443

      Sie können eine Zeichenfolge hinzufügen, um Ihren Client-VPN-Endpunkt wie folgt zu identifizieren:

      remote mwaavpn.cvpn-endpoint-0909091212aaee1.prod.clientvpn.us-west-1.amazonaws.com 443

3. In diesen Schritten werden Sie aufgefordert, den Inhalt des Client-Zertifikats zwischen einem neuen Satz von <cert></cert> Tags und den Inhalt des privaten Schlüssels zwischen einem neuen Satz von <key></key> Tags hinzuzufügen. Hier ein Beispiel:

   1. Öffnen Sie eine Eingabeaufforderung und wechseln Sie in das Verzeichnis, in dem sich Ihr Client-Zertifikat und Ihr privater Schlüssel befinden.

   2. Beispiel macOS client1.domain.tld.crt

      Um den Inhalt der client1.domain.tld.crt Datei auf macOS anzuzeigen, können Sie verwenden. cat client1.domain.tld.crt

      Kopieren Sie den Wert vom Terminal und fügen Sie ihn downloaded-client-config.ovpn wie folgt ein:

      ZZZ1111dddaBBB
      -----END CERTIFICATE-----
      </ca>
      <cert>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.crt
      -----END CERTIFICATE-----                
      </cert>

   3. Beispiel macOS client1.domain.tld.key

      Um den Inhalt von anzuzeigen, können Sie verwenden. client1.domain.tld.key cat client1.domain.tld.key

      Kopieren Sie den Wert aus dem Terminal und fügen Sie ihn downloaded-client-config.ovpn wie folgt ein:

      ZZZ1111dddaBBB
      -----END CERTIFICATE-----
      </ca>
      <cert>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.crt
      -----END CERTIFICATE-----                
      </cert>
      <key>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.key
      -----END CERTIFICATE-----                
      </key>

Um eine Verbindung zum Client-VPN herzustellen

1. Laden Sie das AWS Client VPN für Desktop herunter und installieren Sie es.

2. Öffnen Sie die AWS Client VPN.

3. Wählen Sie im VPN-Client-Menü Datei, Verwaltete Profile.

4. Wählen Sie Profil hinzufügen und wählen Sie dann diedownloaded-client-config.ovpn.

5. Geben Sie im Feld Anzeigename einen beschreibenden Namen ein.

6. Wählen Sie Profil hinzufügen, Fertig.

7. Wählen Sie Connect aus.