Tutoriel : Configuration de l'accès au réseau privé à l'aide d'un AWS Client VPN

1. Vérifiez les autorisations des utilisateurs. Assurez-vous que votre compte dans Gestion des identités et des accès AWS (IAM) dispose des autorisations suffisantes pour créer et gérer des ressources VPC.

2. Utilisez votre Amazon MWAA VPC. Ce didacticiel part du principe que vous associez le VPN client à un VPC existant. L'Amazon VPC doit se trouver dans le même environnement Région AWS qu'un environnement Amazon MWAA et disposer de deux sous-réseaux privés. Si vous n'avez pas créé d'Amazon VPC, utilisez le CloudFormation modèle dansTroisième option : créer un réseau Amazon VPC sans accès internet.

1. Créez un AWS Client VPN point de terminaison à l'aide d'un CloudFormation modèle pour un Amazon VPC existant.

2. Générez des certificats et des clés de serveur et de client, puis chargez le certificat de serveur et la clé AWS Certificate Manager dans le même environnement Région AWS qu'un environnement Amazon MWAA.

3. Téléchargez et modifiez un fichier de configuration de point de terminaison VPN client pour votre VPN client, et utilisez ce fichier pour créer un profil VPN afin de vous connecter à l'aide du VPN client pour ordinateur de bureau.

Pour identifier le CIDR de votre VPN client

1. Ouvrez la page Vos Amazon VPC sur la console Amazon VPC.

2. Utilisez le sélecteur de région dans la barre de navigation pour choisir la même chose Région AWS qu'un environnement Amazon MWAA.

3. Choisissez votre Amazon VPC.

4. En supposant que les CIDR de vos sous-réseaux privés sont les suivants :

   • Sous-réseau privé 1 : 10.192.10.0 /24

   • Sous-réseau privé 2 : 10.192.11.0 /24

   Si l'adresse CIDR de votre Amazon VPC est 10.192.0.0/16, l'adresse CIDR IPv4 du client que vous spécifierez pour votre VPN client sera 172.16.0.0. /22

5. Enregistrez cette valeur CIDR et la valeur de votre ID VPC pour les étapes suivantes.

Pour identifier les groupes de sécurité

1. Ouvrez la page Groupes de sécurité sur la console Amazon VPC.

2. Utilisez le sélecteur de région dans la barre de navigation pour sélectionner. Région AWS

3. Recherchez l'Amazon VPC dans VPC ID et identifiez les groupes de sécurité associés au VPC.

4. Enregistrez l'ID de vos groupes de sécurité et de votre VPC pour les étapes suivantes.

Pour créer les certificats clients

1. Suivez ces étapes rapides pour créer et télécharger les certificats vers ACM via la section Authentification et autorisation intégrées AWS CLI au client : Authentification mutuelle.

2. Au cours de ces étapes, vous devez spécifier la même chose Région AWS qu'un environnement Amazon MWAA dans la AWS CLI commande lorsque vous chargez vos certificats de serveur et de client. Voici quelques exemples de la manière de spécifier la région dans ces commandes :

   1. Exemple région pour le certificat de serveur

      aws acm import-certificate --certificate fileb://server.crt --private-key fileb://server.key --certificate-chain fileb://ca.crt --region us-west-2

   2. Exemple région pour le certificat client

      aws acm import-certificate --certificate fileb://client1.domain.tld.crt --private-key fileb://client1.domain.tld.key --certificate-chain fileb://ca.crt --region us-west-2

   3. Après ces étapes, enregistrez la valeur renvoyée dans la AWS CLI réponse pour les ARN du certificat de serveur et du certificat client. Vous allez spécifier ces ARN dans votre CloudFormation modèle pour créer le VPN client.

3. Au cours de ces étapes, un certificat client et une clé privée sont enregistrés sur votre ordinateur. Voici un exemple de l'endroit où trouver ces informations d'identification :

   1. Exemple sur MacOS

      Sur macOS, le contenu est enregistré dans/Users/your-user/custom_folder. Si vous listez tout le contenu (ls -a) de ce répertoire, vous obtenez quelque chose de similaire à ce qui suit :

      .
      ..
      ca.crt
      client1.domain.tld.crt
      client1.domain.tld.key
      server.crt
      server.key

   2. Après ces étapes, enregistrez le contenu ou notez l'emplacement du certificat client et de la clé privéeclient1.domain.tld.key. client1.domain.tld.crt Vous allez ajouter ces valeurs au fichier de configuration de votre VPN client.

• Copiez le contenu du modèle suivant et enregistrez-le localement sousmwaa_vpn_client.yaml. Vous pouvez également télécharger le modèle.

  Remplacez les valeurs suivantes :

  • YOUR_CLIENT_ROOT_CERTIFICATE_ARN— L'ARN de votre certificat client1.domain.tld au format. ClientRootCertificateChainArn

  • YOUR_SERVER_CERTIFICATE_ARN— L'ARN de votre certificat de serveur au formatServerCertificateArn.

  • La règle CIDR IPv4 du client dans. ClientCidrBlock Une règle CIDR de 172.16.0.0/22 est fournie. Cette plage ne doit pas chevaucher votre CIDR Amazon VPC.

  • Votre identifiant Amazon VPC au format. VpcId Un VPC de vpc-010101010101 est fourni.

  • Les identifiants de votre groupe de sécurité VPC sont au format. SecurityGroupIds Un groupe de sécurité de sg-0101010101 est fourni.

  AWSTemplateFormatVersion: 2010-09-09
  Description: This template deploys a VPN Client Endpoint.
  Resources:
    ClientVpnEndpoint:
      Type: 'AWS::EC2::ClientVpnEndpoint'
      Properties:
        AuthenticationOptions:
          - Type: "certificate-authentication"
            MutualAuthentication:
              ClientRootCertificateChainArn: "YOUR_CLIENT_ROOT_CERTIFICATE_ARN"
        ClientCidrBlock: 172.16.0.0/22
        ClientConnectOptions:
          Enabled: false
        ConnectionLogOptions:
          Enabled: false
        Description: "MWAA Client VPN"
        DnsServers: []
        SecurityGroupIds:
          - sg-0101010101
        SelfServicePortal: ''
        ServerCertificateArn: "YOUR_SERVER_CERTIFICATE_ARN"
        SplitTunnel: true
        TagSpecifications:
          - ResourceType: "client-vpn-endpoint"
            Tags:
            - Key: Name
              Value: MWAA-Client-VPN
        TransportProtocol: udp
        VpcId: vpc-010101010101
        VpnPort: 443

Pour créer le AWS Client VPN

1. Ouvrez la console AWS CloudFormation.

2. Choisissez Le modèle est prêt, puis Téléchargez un fichier modèle.

3. Choisissez Choisir un fichier, puis sélectionnez votre mwaa_vpn_client.yaml fichier.

4. Appuyez sur Suivant, Suivant.

5. Sélectionnez l'accusé de réception, puis choisissez Créer une pile.

Pour associer des sous-réseaux privés au AWS Client VPN

1. Ouvrez la console VPC Amazon.

2. Choisissez la page Points de terminaison du VPN client.

3. Sélectionnez votre VPN client, puis choisissez l'onglet Associations, Associer.

4. Choisissez ce qui suit dans la liste déroulante :

   • Votre Amazon VPC dans VPC.

   • L'un de vos sous-réseaux privés dans Choisissez un sous-réseau à associer.

5. Choisissez Associer.

Pour ajouter le CIDR au AWS Client VPN

1. Ouvrez la console VPC Amazon.

2. Choisissez la page Points de terminaison du VPN client.

3. Sélectionnez votre VPN client, puis choisissez l'onglet Autorisation, Autoriser l'entrée.

4. Spécifiez les paramètres suivants :

   • La règle CIDR de votre Amazon VPC dans le réseau de destination doit être activée. Par exemple :

     10.192.0.0/16

   • Choisissez Autoriser l'accès à tous les utilisateurs dans Autoriser l'accès à.

   • Entrez un nom descriptif dans Description.

5. Choisissez Ajouter une règle d'autorisation.

Pour télécharger le fichier de configuration :

1. Suivez ces étapes rapides pour télécharger le fichier de configuration du VPN client sur Télécharger le fichier de configuration du point de terminaison du VPN client.

2. Au cours de ces étapes, il vous est demandé d'ajouter une chaîne au début du nom DNS de votre point de terminaison VPN client. Voici un exemple :

   1. Exemple nom DNS du point de terminaison

      Si le nom DNS de votre point de terminaison VPN client est :

      remote cvpn-endpoint-0909091212aaee1.prod.clientvpn.us-west-1.amazonaws.com 443

      Vous pouvez ajouter une chaîne pour identifier votre point de terminaison VPN client comme suit :

      remote mwaavpn.cvpn-endpoint-0909091212aaee1.prod.clientvpn.us-west-1.amazonaws.com 443

3. Au cours de ces étapes, il vous est demandé d'ajouter le contenu du certificat client entre un nouvel ensemble de <cert></cert> balises et le contenu de la clé privée entre un nouvel ensemble de <key></key> balises. Voici un exemple :

   1. Ouvrez une invite de commande et remplacez les répertoires par l'emplacement de votre certificat client et de votre clé privée.

   2. Exemple MacOS Client1.domain.tld.crt

      Pour afficher le contenu du client1.domain.tld.crt fichier sur macOS, vous pouvez utilisercat client1.domain.tld.crt.

      Copiez la valeur depuis le terminal et collez-la downloaded-client-config.ovpn comme suit :

      ZZZ1111dddaBBB
      -----END CERTIFICATE-----
      </ca>
      <cert>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.crt
      -----END CERTIFICATE-----                
      </cert>

   3. Exemple MacOS Client1.domain.tld.key

      Pour afficher le contenu duclient1.domain.tld.key, vous pouvez utilisercat client1.domain.tld.key.

      Copiez la valeur depuis le terminal et collez-la downloaded-client-config.ovpn comme suit :

      ZZZ1111dddaBBB
      -----END CERTIFICATE-----
      </ca>
      <cert>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.crt
      -----END CERTIFICATE-----                
      </cert>
      <key>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.key
      -----END CERTIFICATE-----                
      </key>

Pour vous connecter au VPN client

1. Téléchargez et installez le AWS Client VPN pour ordinateur de bureau.

2. Ouvrez le AWS Client VPN.

3. Choisissez Fichier, Profils gérés dans le menu du client VPN.

4. Choisissez Ajouter un profil, puis choisissez ledownloaded-client-config.ovpn.

5. Entrez un nom descriptif dans Nom d'affichage.

6. Choisissez Ajouter un profil, puis OK.

7. Choisissez Se connecter.