AWS 2024年9月22日 mikiya

ClientVPN設定（相互認証）を導入してみる~1~【AWS】

・ClientVPNを導入してみたい

ClientVPNを使用して、ClientVPNエンドポイントを経由してwindowsサーバーに接続してみようと思います。

今回は練習もあるので、パブリックサブネット上のEC2にVPN接続経路を作成していますが、最終的には内部IPでRDP接続をできるようにしたいと思います。

記事の目次

1 今回の作業概要
2 ステップ１：サーバーおよびクライアント証明書とキーの生成（どこの環境でも大丈夫です！）
3 サーバー証明書とキー、およびクライアント証明書とキーをACMにアップロード
- 3.1 サーバー証明書とキーのインポート
- 3.2 クライアント証明書とキーのインポート
4 ステップ２：クライアントVPNエンドポイントを作成する
5 ClientVPNの認可ルールを設定する
6 ターゲットネットワークの選択

今回の作業概要

今回の作業範囲は赤枠内が作業範囲となります。
ClientVPNを使用して接続するEC2については、既に接続済みです。

ステップ１：サーバーおよびクライアント証明書とキーの生成（どこの環境でも大丈夫です！）

証明書さえ作ればどこのサーバーでも問題ありませんが、今回はwindowsサーバーにパブリックIPでRDP接続し作業を行いました。

下記リンクより、zipファイルをインストール。資材の転送はS3等を用いて転送します。（今回はデスクトップに移動）

https://github.com/OpenVPN/easy-rsa/releases

右上の「code→Doenload.ZIP」をクリック

EasyRSA-3.xのファイルを開き、該当のフォルダをcmdで開きます。（エクスプローラーの上部にPowerShellと入力すれば該当ディレクトリまで移動できます。）

下記コマンドを実行

.\EasyRSA-Start.bat

入力を求められた際は、easyrsaを入力

新しいPKI環境を初期化します。

./easyrsa init-pki

新しい認証局（CA）を構築

./easyrsa build-ca nopass

入力値は適当に（test, windows-test）としました。

サーバー証明書とキーを作成します。（入力を求められた場合は yes と入力）

./easyrsa --san=DNS:server build-server-full server nopass

クライアント証明書とキーを作成します。（入力を求められた場合は yes と入力）
本作業はクライアントごとに作成してください。

./easyrsa build-client-full client1.domain.tld nopass

終了したら、下記コマンドを実行

exit

証明書を格納するフォルダを作成し、サーバー証明書とキー、およびクライアント証明書とキーをカスタムフォルダにコピーしてから、カスタムフォルダに移動します。

mkdir C:\custom_folder
copy pki\ca.crt C:\custom_folder
copy pki\issued\server.crt C:\custom_folder
copy pki\private\server.key C:\custom_folder
copy pki\issued\client1.domain.tld.crt C:\custom_folder
copy pki\private\client1.domain.tld.key C:\custom_folder