本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 的安全最佳實務 AWS Client VPN
<a name="security-best-practices"></a>

AWS Client VPN 提供許多安全功能，供您在開發和實作自己的安全政策時考慮。以下最佳實務為一般準則，並不代表完整的安全解決方案。這些最佳實務可能不適用或無法滿足您的環境需求，因此請將其視為實用建議就好，而不要當作是指示。

**授權規則**  
使用授權規則以限制可以存取您網路的使用者。如需詳細資訊，請參閱[授權規則](cvpn-working-rules.md)。

**Security groups (安全群組)**  
使用安全群組以控制使用者可在您 VPC 中存取的資源。如需詳細資訊，請參閱[安全群組](client-authorization.md#security-groups)。

**用戶端憑證撤銷清單**  
您可以使用用戶端憑證撤銷清單來撤銷特定用戶端憑證對 Client VPN 端點的存取權。例如，當使用者離職後。如需詳細資訊，請參閱[用戶端憑證撤銷清單](cvpn-working-certificates.md)。

**工作階段逾時時中斷連線**  
達到 Client VPN 工作階段時間上限時中斷連線工作階段，強制執行 VPN 工作階段持續時間上限。如需詳細資訊，請參閱[VPN 工作階段持續時間上限](cvpn-working-max-duration.md)。

**監控工具**  
使用監控工具來追蹤 Client VPN 端點的可用性和效能。如需詳細資訊，請參閱[監控 Client VPN](monitoring-overview.md)。

**身分與存取管理**  
使用 IAM 使用者和 IAM 角色的 IAM 政策來管理對 Client VPN 資源和 API 的存取。如需詳細資訊，請參閱[的身分和存取管理 AWS Client VPN](security-iam.md)。

**使用 AWS 提供的 VPN 用戶端**  
使用 AWS 提供的用戶端 AWS Client VPN，可從[AWS Client VPN 下載頁面](https://aws.amazon.com/vpn/client-vpn-download/)取得。

**使用匯出的用戶端組態**  
使用從 AWS Client VPN 端點匯出的用戶端組態檔案。如需詳細資訊，請參閱[匯出用戶端組態檔](export-client-config-file.md)。請勿修改組態檔案中的密碼或 TLS 設定。 AWS Client VPN 端點僅支援下列演算法：
+ TLS 1.3： `TLS_AES_256_GCM_SHA384`和 `TLS_AES_128_GCM_SHA256`
+ TLS 1.2：`TLS-ECDHE-RSA-WITH-AES-256-GCM-SHA384`、`TLS-ECDHE-ECDSA-WITH-AES-256-GCM-SHA384`、 `TLS-ECDHE-RSA-WITH-AES-128-GCM-SHA256`和 `TLS-ECDHE-ECDSA-WITH-AES-128-GCM-SHA256`
+ 資料管道： `AES-256-GCM`