AWS Client VPNの設定

タスク1: VPCの構築

1. cloudformation/vpc.ymlを使ってCloudFormationでVPCを構築します。

タスク2: 証明書の作成

開発コンテナ (DevContainer) で証明書を作成します。

2. GitHubからOpenVPN/easy-rsaをクローンします。

git clone https://github.com/OpenVPN/easy-rsa.git

3. 認証機関を初期化し作成します。

cd easy-rsa/easyrsa3
./easyrsa init-pki
./easyrsa build-ca nopass

4. サーバー証明書を作成します。

./easyrsa --san=DNS:server build-server-full server nopass

5. クライアント証明書を作成します。

./easyrsa build-client-full client.domain.tld nopass

6. キーと証明書をコピーします。

cd ../..
mkdir ssl
cp easy-rsa/easyrsa3/pki/ca.crt ssl
cp easy-rsa/easyrsa3/pki/issued/server.crt ssl
cp easy-rsa/easyrsa3/pki/private/server.key ssl
cp easy-rsa/easyrsa3/pki/issued/client.domain.tld.crt ssl
cp easy-rsa/easyrsa3/pki/private/client.domain.tld.key ssl

タスク3: 証明書のインポート

7. AWSマネジメントコンソールでACMにサーバー証明書をインポートします。

AWS Certificate Managerを開いて、証明書を一覧から、インポートを選択します。

7-1. 証明書の詳細の証明書本文にssl/server.crtの内容をコピーします。

7-2. 証明書の詳細の証明書のプライベートキーにssl/server.keyの内容をコピーします。

7-3. 証明書の詳細の証明書チェーン - オプションにssl/ca.crtの内容をコピーします。

7-4. 証明書をインポートのボタンをクリックします。

8. AWSマネジメントコンソールでACMにサーバー証明書をインポートします。

AWS Certificate Managerを開いて、証明書を一覧から、インポートを選択します。

8-1. 証明書の詳細の証明書本文にssl/client.domain.tld.crtの内容をコピーします。

8-2. 証明書の詳細の証明書のプライベートキーにssl/client.domain.tld.keyの内容をコピーします。

8-3. 証明書の詳細の証明書チェーン - オプションにssl/ca.crtの内容をコピーします。

8-4. 証明書をインポートのボタンをクリックします。

タスク4: クライアント VPN エンドポイント

9. クライアント VPN エンドポイントを構築します。

AWSマネジメントコンソールでVPCを開きます。

9-1. クライアント VPN エンドポイントを選択します。

9-2. クライアント VPN エンドポイントを作成のボタンをクリックします。

9-3. 名前タグ - オプションにclient-vpn-endpointを入力します。

9-4. Endpoint IP address typeは、Dual stackを選択します。

9-5. Traffic IP address typeは、IPv4を選択します。

9-6. クライアント IPv4 CIDRに10.0.16.0/20を入力します。

9-7. 認証情報のサーバー証明書 ARNにserverのARNを入力します。

9-8. 認証情報の認証オプションは、相互認証を選択します。

9-9. 認証情報のクライアント証明書 ARNにclient.domain.tldのARNを入力します。

9-10. DNS configuration - オプションのDNS サーバー 1 IP アドレスに10.0.0.2を入力します。

9-11. その他のパラメータ - オプションのスプリットトンネルを有効化をオンにします。

9-12. その他のパラメータ - オプションのVPC IDにCloudFormationで作成したVPCを入力します。

9-13. クライアント VPN エンドポイントを作成のボタンをクリックします。

10. クライアント VPN エンドポイントをターゲットネットワークに関連付ける

クライアント VPN エンドポイントで作成したclient-vpn-endpointを選択します。

10-1. ターゲットネットワークの関連付けのタブを選択します。

10-2. ターゲットネットワークに関連付けるボタンをクリックします。

10-3. VPCにCloudFormationで作成したVPCを選択します。

10-4. 関連付けるサブネットを選択にPrivateSubnet1を選択します。

10-5. ターゲットネットワークに関連付けるボタンをクリックします。

11. クライアント VPN エンドポイントに承認ルールを作成します。

クライアント VPN エンドポイントで作成したclient-vpn-endpointを選択します。

11-1. 承認ルールのタブを選択します。

11-2. 承認ルールを作成ボタンをクリックします。

11-3. アクセスを有効にする送信先ネットワークに10.0.0.0/16を入力します。

11-4. 認証ルールを追加ボタンをクリックします。

タスク5: クライアント設定

12. クライアント設定

クライアント VPN エンドポイントで作成したclient-vpn-endpointを選択します。

12-1. クライアント設定をダウンロードボタンをクリックします。

12-2. ダウンロードしたファイルの</ca>の後に、ssl/client.domain.tld.crtの内容を<cert>と</cert>の間に入力します。

12-3. </cert>の後に、ssl/client.domain.tld.keyの内容を<key>と</key>の間に入力します。