Tutorial: Configurazione dell'accesso alla rete privata utilizzando unAWS Client VPN

1. Verifica le autorizzazioni degli utenti. Assicurati che il tuo account inAWS Identity and Access Management (IAM) disponga di autorizzazioni sufficienti per creare e gestire le risorse VPC.

2. Usa il tuo Amazon MWAA VPC. Questo tutorial presuppone che tu stia associando Client VPN a un VPC esistente. Amazon VPC deve trovarsi nella stessaAWS regione di un ambiente Amazon MWAA e avere due sottoreti private. Se non hai creato un Amazon VPC, utilizza ilAWS CloudFormation modello inOpzione tre: creazione di una rete Amazon VPCsenzaaccesso a Internet.

1. Crea unAWS Client VPN endpoint utilizzando unAWS CloudFormation modello per un Amazon VPC esistente.

2. Generare i certificati e le chiavi server e client e caricare il certificato e la chiave serverAWS Certificate Manager nella stessaAWS regione in cui si trova un ambiente Amazon MWAA.

3. Scarica e modifica un file di configurazione dell'endpoint Client VPN per Client VPN e utilizza il file per creare un profilo VPN per connetterti utilizzando Client VPN for Desktop.

Per identificare il CIDR per il tuo Client VPN

1. Apri la pagina I tuoi Amazon VPC nella console Amazon VPC nella console Amazon VPC.

2. Utilizza il selettore di regione nella barra di navigazione per scegliere la stessaAWS regione di un ambiente Amazon MWAA.

3. Scegli Amazon VPC.

4. Supponendo che i CIDR per le tue sottoreti private siano:

   • Sottorete privata 1:10.192.10.0/24

   • Sottorete privata 2:10.192.11.0/24

   Se il CIDR per Amazon VPC è 10.192.0.0/16, il CIDR IPv4 del client che dovresti specificare per la tua Client VPN sarà 10.192.0.0/22.

5. Salva questo valore CIDR e il valore del tuo ID VPC per i passaggi successivi.

Per identificare il/i gruppo/i di sicurezza

1. Aprire la pagina Security Gruppi di sicurezza nella console Amazon VPC.

2. Utilizzare il selettore delle regioni nella barra di navigazione per scegliere laAWS regione.

3. Cerca Amazon VPC nell'ID VPC e identifica i gruppi di sicurezza associati al VPC.

4. Salva l'ID dei tuoi gruppi di sicurezza e del cloud privato VPC per i passaggi successivi.

Per creare i certificati client

1. Segui questi rapidi passaggi per creare e caricare i certificati su ACM tramite Autenticazione e autorizzazione del client: Autenticazione reciproca.AWS CLI

2. In questi passaggi, devi specificare la stessaAWS regione di un ambiente Amazon MWAA nelAWS CLI comando quando carichi i certificati server e client. Di seguito sono riportati alcuni esempi di come specificare la regione in questi comandi:

   1. Esempio regione per il certificato server server per server server

      aws acm import-certificate --certificate fileb://server.crt --private-key fileb://server.key --certificate-chain fileb://ca.crt --region us-west-2

   2. Esempio regione per il certificato client per il certificato client

      aws acm import-certificate --certificate fileb://client1.domain.tld.crt --private-key fileb://client1.domain.tld.key --certificate-chain fileb://ca.crt --region us-west-2

   3. Dopo questi passaggi, salva il valore restituito nellaAWS CLI risposta per gli ARN del certificato del server e del certificato client. Specificherai questi ARN nel tuoAWS CloudFormation modello per creare il Client VPN.

3. In questi passaggi, un certificato client e una chiave privata vengono salvati sul computer. Di seguito è riportato un esempio di dove trovare queste credenziali:

   1. Esempio in macOS OS OS OS OS

      Su macOS i contenuti vengono salvati in/Users/youruser/custom_folder. Se elenchi tutti i contenuti (ls -a) di questa directory, dovresti vedere qualcosa di simile al seguente:

      .
      ..
      ca.crt
      client1.domain.tld.crt
      client1.domain.tld.key
      server.crt
      server.key

   2. Dopo questi passaggi, salva il contenuto o annota la posizione del certificato client e la chiave privataclient1.domain.tld.key.client1.domain.tld.crt Aggiungerai questi valori al file di configurazione per il tuo Client VPN.

• Copiare il contenuto del seguente modello e salvare localmente comemwaa_vpn_client.yaml. Puoi anche scaricare il modello.

  Sostituisci i seguenti valori:

  • YOUR_CLIENT_ROOT_CERTIFICATE_ARN— L'ARN del tuo certificato client1.domain.tld inClientRootCertificateChainArn.

  • YOUR_SERVER_CERTIFICATE_ARN— L'ARN per il certificato del server inServerCertificateArn.

  • La regola CIDR IPv4 del client inClientCidrBlock. Viene fornita una regola CIDR di10.192.0.0/22.

  • Il tuo ID Amazon VPC è inseritoVpcId. Viene fornito un VPC divpc-010101010101.

  • I tuoi ID del gruppo di sicurezza VPC inSecurityGroupIds. Viene fornito un grupposg-0101010101 di sicurezza di.

  AWSTemplateFormatVersion: 2010-09-09
  Description: This template deploys a VPN Client Endpoint.
  Resources:
    ClientVpnEndpoint:
      Type: 'AWS::EC2::ClientVpnEndpoint'
      Properties:
        AuthenticationOptions:
          - Type: "certificate-authentication"
            MutualAuthentication:
              ClientRootCertificateChainArn: "YOUR_CLIENT_ROOT_CERTIFICATE_ARN"
        ClientCidrBlock: 10.192.0.0/22
        ClientConnectOptions:
          Enabled: false
        ConnectionLogOptions:
          Enabled: false
        Description: "MWAA Client VPN"
        DnsServers: []
        SecurityGroupIds:
          - sg-0101010101
        SelfServicePortal: ''
        ServerCertificateArn: "YOUR_SERVER_CERTIFICATE_ARN"
        SplitTunnel: true
        TagSpecifications:
          - ResourceType: "client-vpn-endpoint"
            Tags:
            - Key: Name
              Value: MWAA-Client-VPN
        TransportProtocol: udp
        VpcId: vpc-010101010101
        VpnPort: 443

Per creare il AWS Client VPN

1. Aprire la console AWS CloudFormation.

2. Scegli il modello è pronto, carica un file modello.

3. Scegli Scegli file e seleziona il tuomwaa_vpn_client.yaml file.

5. Scegli Avanti, Avanti.

6. Seleziona il riconoscimento, quindi scegli Crea pila.

Per associare sottoreti private aAWS Client VPN

1. Apri la console Amazon VPC.

2. Scegli la pagina Client VPN Endpoints.

3. Seleziona il tuo Client VPN, quindi scegli la scheda Associazioni, Associa.

4. Scegli quanto segue nell'elenco a discesa:

   • Il tuo Amazon VPC in VPC.

   • Una delle tue sottoreti private in Scegli una sottorete da associare.

5. Selezionare Associate (Associa).

Per aggiungere il CIDR alAWS Client VPN

1. Apri la console Amazon VPC.

2. Scegli la pagina Client VPN Endpoints.

3. Seleziona il tuo Client VPN, quindi scegli la scheda Autorizzazione, Autorizza l'ingresso.

4. Specificare le impostazioni seguenti:

   • La regola CIDR di Amazon VPC nella rete di destinazione da abilitare. Ad esempio:

     10.192.0.0/16

   • Scegli Consenti l'accesso a tutti gli utenti in Concedi accesso a.

   • Inserire un nome descrittivo in Descrizione.

5. Scegli Aggiungi regola di autorizzazione.

Per scaricare il file di configurazione

1. Segui questi rapidi passaggi per scaricare il file di configurazione Client VPN all'indirizzo Scarica il file di configurazione dell'endpoint Client VPN.

2. In questi passaggi, ti viene chiesto di aggiungere una stringa al nome DNS dell'endpoint Client VPN. Ecco un esempio:

   1. Esempio nome DNS dell'endpoint

      Se il nome DNS dell'endpoint Client VPN ha il seguente aspetto:

      remote cvpn-endpoint-0909091212aaee1.prod.clientvpn.us-west-1.amazonaws.com 443

      Puoi aggiungere una stringa per identificare il tuo endpoint Client VPN in questo modo:

      remote mwaavpn.cvpn-endpoint-0909091212aaee1.prod.clientvpn.us-west-1.amazonaws.com 443

3. In questi passaggi ti viene chiesto di aggiungere il contenuto del certificato client tra un nuovo set di<cert></cert> tag e il contenuto della chiave privata tra un nuovo set di<key></key> tag. Ecco un esempio:

   1. Apri un prompt dei comandi e modifica le directory nella posizione del certificato client e della chiave privata.

   2. Esempio Client macOS 1.domain.tld.crt

      Per mostrare il contenuto delclient1.domain.tld.crt file su macOS, puoi usarecat client1.domain.tld.crt.

      Copia il valore dal terminale e incollalo indownloaded-client-config.ovpn questo modo:

      ZZZ1111dddaBBB
      -----END CERTIFICATE-----
      </ca>
      <cert>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.crt
      -----END CERTIFICATE-----                
      </cert>

   3. Esempio client1.domain.tld.key per macOS

      Per mostrare il contenuto diclient1.domain.tld.key, puoi usarecat client1.domain.tld.key.

      Copia il valore dal terminale e incollalo indownloaded-client-config.ovpn questo modo:

      ZZZ1111dddaBBB
      -----END CERTIFICATE-----
      </ca>
      <cert>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.crt
      -----END CERTIFICATE-----                
      </cert>
      <key>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.key
      -----END CERTIFICATE-----                
      </key>

Per connettersi alla Client VPN Client VPN Client VPN

1. Scarica e installa la versioneAWS Client VPN per desktop.

2. Aprire AWS Client VPN.

3. Scegli File, Profili gestiti nel menu del client VPN.

4. Scegli Aggiungi profilo, quindi scegli ildownloaded-client-config.ovpn.

5. Immettete un nome descrittivo in Nome visualizzato.

6. Scegli Aggiungi profilo, Fine.

7. Scegli Connect (Connetti).