튜토리얼: AWS Client VPN을(를) 사용한 프라이빗 네트워크 액세스 구성

1. 사용자 권한을 확인합니다. AWS Identity and Access Management(IAM)의 사용자 계정에 VPC 리소스를 생성하고 관리할 수 있는 충분한 권한이 있는지 확인합니다.

2. Amazon MWAA VPC를 사용합니다. 이 튜토리얼에서는 Client VPN을 기존 VPC에 연결한다고 가정합니다. Amazon VPC는 Amazon MWAA 환경과 동일한 AWS 리전에 있어야 하며 두 개의 프라이빗 서브넷이 있어야 합니다. Amazon VPC를 생성하지 않은 경우 옵션 3: 인터넷에 액세스할 수 없는 Amazon VPC 네트워크 생성에서 AWS CloudFormation 템플릿을 사용합니다.

1. 기존 Amazon VPC용 AWS CloudFormation 템플릿을 사용하여 AWS Client VPN 엔드포인트를 생성합니다.

2. 서버와 클라이언트 인증서 및 키를 생성한 다음, 서버 인증서와 키를 Amazon MWAA 환경과 동일한 AWS 리전의 AWS Certificate Manager에 업로드합니다.

3. Client VPN용 Client VPN 엔드포인트 구성 파일을 다운로드 및 수정하고, 이 파일을 사용하여 데스크톱용 Client VPN을 이용해 연결할 VPN 프로필을 생성합니다.

Client VPN의 CIDR을 식별하려면

1. Amazon VPC 콘솔에서 내 Amazon VPC 페이지를 엽니다.

2. 내비게이션 바의 리전 선택기를 사용하여 Amazon MWAA 환경과 동일한 AWS 리전을 선택합니다.

3. Amazon VPC를 선택합니다.

4. 프라이빗 서브넷의 CIDR이 다음과 같다고 가정합니다.

   • 프라이빗 서브넷 1: 10.192.10.0/24

   • 프라이빗 서브넷 2: 10.192.11.0/24

   Amazon VPC의 CIDR이 10.192.0.0/16인 경우, Client VPN에 지정한 Client IPv4 CIDR은 10.192.0.0/22이(가) 됩니다.

5. 다음 단계를 위해 이 CIDR 값과 VPC ID의 값을 저장합니다.

보안 그룹을 식별하려면

1. Amazon VPC 콘솔에서 보안 그룹 페이지를 엽니다.

2. 내비게이션 바에서 리전 선택기를 사용하여 AWS 리전을 선택합니다.

3. VPC ID에서 Amazon VPC를 찾아 VPC와 관련된 보안 그룹을 식별합니다.

4. 후속 단계를 위해 보안 그룹 및 VPC의 ID를 저장합니다.

클라이언트 인증서를 생성하려면

1. 다음의 빠른 단계에 따라 클라이언트 인증 및 권한 부여: 상호 인증의 AWS CLI을(를) 통해 인증서를 생성하고 ACM에 업로드합니다.

2. 이 단계에서는 서버 및 클라이언트 인증서를 업로드할 때 AWS CLI 명령에 Amazon MWAA 환경과 동일한 AWS 리전을 반드시 지정해야 합니다. 다음은 이러한 명령에서 리전을 지정하는 방법을 몇 가지 예시로 보여줍니다.

   1. 예 서버 인증서 리전

      aws acm import-certificate --certificate fileb://server.crt --private-key fileb://server.key --certificate-chain fileb://ca.crt --region us-west-2

   2. 예 클라이언트 인증서 리전

      aws acm import-certificate --certificate fileb://client1.domain.tld.crt --private-key fileb://client1.domain.tld.key --certificate-chain fileb://ca.crt --region us-west-2

   3. 이 단계를 거친 후 서버 인증서 및 클라이언트 인증서 ARN에 대한 AWS CLI 응답에 반환된 값을 저장해야 합니다. AWS CloudFormation 템플릿에서 이러한 ARN을 지정하여 Client VPN을 생성합니다.

3. 이 단계에서는 클라이언트 인증서와 프라이빗 키가 컴퓨터에 저장됩니다. 다음은 이러한 보안 인증을 찾을 수 있는 방법을 보여주는 예시입니다.

   1. 예 macOS에서

      macOS에서는 콘텐츠가 /Users/youruser/custom_folder에 저장됩니다. 이 디렉터리의 모든 (ls -a) 콘텐츠를 나열하면 다음과 비슷한 내용이 표시됩니다.

      .
      ..
      ca.crt
      client1.domain.tld.crt
      client1.domain.tld.key
      server.crt
      server.key

   2. 이 단계를 수행한 후 내용을 저장하거나 client1.domain.tld.crt의 클라이언트 인증서와 client1.domain.tld.key의 프라이빗 키 위치를 메모해 둡니다. 이 값을 Client VPN의 구성 파일에 추가할 것입니다.

• 다음 템플릿의 내용을 복사하고 로컬에 mwaa_vpn_client.yaml로 저장합니다. 템플릿을 다운로드할 수도 있습니다.

  다음 값을 대체합니다.

  • YOUR_CLIENT_ROOT_CERTIFICATE_ARN – ClientRootCertificateChainArn의 client1.domain.tld 인증서에 대한 ARN.

  • YOUR_SERVER_CERTIFICATE_ARN – ServerCertificateArn의 server 인증서에 대한 ARN.

  • ClientCidrBlock의 Client IPv4 CIDR 규칙. 10.192.0.0/22의 CIDR 규칙이 제공되었습니다.

  • VpcId의 사용자 Amazon VPC ID. vpc-010101010101의 VPC가 제공되었습니다.

  • SecurityGroupIds의 사용자 VPC 보안 그룹 ID. sg-0101010101의 보안 그룹이 제공되었습니다.

  AWSTemplateFormatVersion: 2010-09-09
  Description: This template deploys a VPN Client Endpoint.
  Resources:
    ClientVpnEndpoint:
      Type: 'AWS::EC2::ClientVpnEndpoint'
      Properties:
        AuthenticationOptions:
          - Type: "certificate-authentication"
            MutualAuthentication:
              ClientRootCertificateChainArn: "YOUR_CLIENT_ROOT_CERTIFICATE_ARN"
        ClientCidrBlock: 10.192.0.0/22
        ClientConnectOptions:
          Enabled: false
        ConnectionLogOptions:
          Enabled: false
        Description: "MWAA Client VPN"
        DnsServers: []
        SecurityGroupIds:
          - sg-0101010101
        SelfServicePortal: ''
        ServerCertificateArn: "YOUR_SERVER_CERTIFICATE_ARN"
        SplitTunnel: true
        TagSpecifications:
          - ResourceType: "client-vpn-endpoint"
            Tags:
            - Key: Name
              Value: MWAA-Client-VPN
        TransportProtocol: udp
        VpcId: vpc-010101010101
        VpnPort: 443

AWS Client VPN를 생성하려면

1. AWS CloudFormation 콘솔을 엽니다.

2. 템플릿이 준비됨을 선택하고 템플릿 파일 업로드를 선택합니다.

3. 파일 선택을 선택하고 mwaa_vpn_client.yaml 파일을 선택합니다.

5. 다음, 다음을 선택합니다.

6. 승인을 선택한 다음 스택 생성을 선택합니다.

프라이빗 서브넷을 AWS Client VPN에 연결하려면

1. Amazon VPC 콘솔을 엽니다.

2. Client VPN 엔드포인트 페이지를 선택합니다.

3. Client VPN을 선택한 다음 연결 탭에서 연결을 선택합니다.

4. 드롭다운 목록에서 다음을 선택합니다.

   • VPC의 사용자 Amazon VPC.

   • 연결할 서브넷 선택에 있는 프라이빗 서브넷 중 하나.

5. 연결을 선택합니다.

AWS Client VPN에 CIDR을 추가하려면

1. Amazon VPC 콘솔을 엽니다.

2. Client VPN 엔드포인트 페이지를 선택합니다.

3. Client VPN을 선택한 다음 권한 부여 탭의 수신 승인을 선택합니다.

4. 다음을 지정합니다.

   • 대상 네트워크 활성화의 사용자 Amazon VPC CIDR 규칙. 예:

     10.192.0.0/16

   • 액세스 권한 부여에서 모든 사용자에게 액세스 허용을 선택합니다.

   • 설명에 설명 이름을 입력합니다.

5. 권한 부여 규칙 추가를 선택합니다.

구성 파일을 다운로드하려면

1. Client VPN 엔드포인트 구성 파일 다운로드에서 다음 빠른 단계에 따라 Client VPN 구성 파일을 다운로드합니다.

2. 이 단계에서는 Client VPN 엔드포인트 DNS 이름 앞에 문자열을 추가하라는 메시지가 표시됩니다. 다음은 그 예입니다.

   1. 예 엔드포인트 DNS 이름

      Client VPN 엔드포인트 DNS 이름이 다음과 같은 경우:

      remote cvpn-endpoint-0909091212aaee1.prod.clientvpn.us-west-1.amazonaws.com 443

      다음과 같이 Client VPN 엔드포인트를 식별하는 문자열을 추가할 수 있습니다.

      remote mwaavpn.cvpn-endpoint-0909091212aaee1.prod.clientvpn.us-west-1.amazonaws.com 443

3. 이 단계에서 새 <cert></cert> 태그 세트 사이에 클라이언트 인증서의 내용을 추가하고 새 <key></key> 태그 세트 사이에 프라이빗 키의 내용을 추가하라는 메시지가 표시됩니다. 다음은 그 예입니다.

   1. 명령 프롬프트를 열고 디렉터리를 클라이언트 인증서 및 프라이빗 키가 있는 위치로 변경합니다.

   2. 예 macOS client1.domain.tld.crt

      macOS에서 client1.domain.tld.crt 파일 내용을 표시하려면 cat client1.domain.tld.crt을(를) 사용할 수 있습니다.

      터미널에서 값을 복사하고 downloaded-client-config.ovpn을(를) 다음과 같이 붙여넣습니다.

      ZZZ1111dddaBBB
      -----END CERTIFICATE-----
      </ca>
      <cert>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.crt
      -----END CERTIFICATE-----                
      </cert>

   3. 예 macOS client1.domain.tld.key

      client1.domain.tld.key의 내용을 표시하려면 cat client1.domain.tld.key을(를) 사용할 수 있습니다.

      터미널에서 값을 복사하고 downloaded-client-config.ovpn을(를) 다음과 같이 붙여넣습니다.

      ZZZ1111dddaBBB
      -----END CERTIFICATE-----
      </ca>
      <cert>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.crt
      -----END CERTIFICATE-----                
      </cert>
      <key>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.key
      -----END CERTIFICATE-----                
      </key>

Client VPN에 연결하려면

1. 데스크톱용 AWS Client VPN 다운로드 및 설치

2. AWS Client VPN을 엽니다.

3. VPN 클라이언트 메뉴에서 파일, 관리 프로필을 선택합니다.

4. 프로필 추가를 선택한 다음 downloaded-client-config.ovpn을(를) 선택합니다.

5. 이름 표시에 설명이 포함된 이름을 입력합니다.

6. 프로필 추가, 완료를 선택합니다.

7. 연결(을 선택합니다.