Tutorial: Configurando o acesso à rede privada usando um AWS Client VPN

1. Verifique as permissões do usuário. Certifique-se de que sua conta no AWS Identity and Access Management (IAM) tenha permissões suficientes para criar e gerenciar recursos de VPC.

2. Use sua VPC do Amazon MWAA. Este tutorial pressupõe que você esteja associando a VPN do cliente a uma VPC existente. O Amazon VPC deve estar no mesmo Região da AWS ambiente do Amazon MWAA e ter duas sub-redes privadas. Se você não criou uma Amazon VPC, use o CloudFormation modelo em. Opção três: criar uma rede Amazon VPC sem acesso à internet

1. Crie um AWS Client VPN endpoint usando um CloudFormation modelo para uma Amazon VPC existente.

2. Gere certificados e chaves de servidor e cliente e, em seguida, carregue o certificado e a chave do servidor Gerenciador de certificados da AWS no Região da AWS mesmo ambiente do Amazon MWAA.

3. Baixe e modifique um arquivo de configuração de endpoint do cliente VPN para sua VPN do cliente e use o arquivo para criar um perfil de VPN para se conectar usando a VPN do cliente para Desktop.

Para identificar o CIDR da sua VPN do cliente

1. Abra a página Suas Amazon VPCs no console do Amazon VPC.

2. Use o seletor de região na barra de navegação para escolher o mesmo que um Região da AWS ambiente Amazon MWAA.

3. Escolha sua Amazon VPC.

4. Supondo que os CIDRs de suas sub-redes privadas são:

   • Sub-rede privada 1: 10.192.10.0/24

   • Sub-rede privada 2: 10.192.11.0/24

   Se o CIDR para seu Amazon VPC for 10.192.0.0/16, o CIDR IPv4 do cliente que você especificaria para sua VPN do cliente seria 10.192.0.0/22.

5. Salve este valor de CIDR e o valor do seu ID de VPC para as etapas subsequentes.

Para identificar os grupos de segurança

1. Abra a página Grupo de segurança no console do Amazon VPC.

2. Use o seletor de região na barra de navegação para escolher a Região da AWS.

3. Procure a Amazon VPC na ID da VPC e identifique os grupos de segurança associados à VPC.

4. Salve a ID de seus grupos de segurança e da VPC para as etapas subsequentes.

Criar os certificados de cliente

1. Siga estas etapas rápidas para criar e carregar os certificados no ACM por meio de Autenticação e autorização do cliente: Autenticação mútua. AWS CLI

2. Nessas etapas, você deve especificar o Região da AWS mesmo que um ambiente Amazon MWAA no AWS CLI comando ao carregar seus certificados de servidor e cliente. Veja a seguir alguns exemplos de como especificar a região nestes comandos:

   1. exemplo região para certificado de servidor

      aws acm import-certificate --certificate fileb://server.crt --private-key fileb://server.key --certificate-chain fileb://ca.crt --region us-west-2

   2. exemplo região para certificado de cliente

      aws acm import-certificate --certificate fileb://client1.domain.tld.crt --private-key fileb://client1.domain.tld.key --certificate-chain fileb://ca.crt --region us-west-2

   3. Após essas etapas, salve o valor retornado na AWS CLI resposta para os ARNs do certificado do servidor e do certificado do cliente. Você especificará esses ARNs em seu CloudFormation modelo para criar o Client VPN.

3. Nestas etapas, um certificado de cliente e uma chave privada são salvos no seu computador. Veja a seguir um exemplo de onde encontrar essas credenciais:

   1. exemplo No macOS

      No macOS, o conteúdo é salvo em /Users/your-user/custom_folder. Se você listar todos os conteúdos (ls -a) deste diretório, deverá obter algo semelhante ao seguinte:

      .
      ..
      ca.crt
      client1.domain.tld.crt
      client1.domain.tld.key
      server.crt
      server.key

   2. Após estas etapas, salve o conteúdo ou anote a localização do certificado do cliente em client1.domain.tld.crt e a chave privada em client1.domain.tld.key. Você adicionará estes valores ao arquivo de configuração de sua VPN do cliente.

• Copie o conteúdo do modelo a seguir e salve localmente como mwaa_vpn_client.yaml. Também é possível baixar o modelo.

  Substitua os seguintes valores:

  • YOUR_CLIENT_ROOT_CERTIFICATE_ARN - o ARN do seu certificado client1.domain.tld em ClientRootCertificateChainArn.

  • YOUR_SERVER_CERTIFICATE_ARN - o ARN do seu certificado server em ServerCertificateArn.

  • A regra CIDR IPv4 do cliente em ClientCidrBlock. É fornecida uma regra CIDR de 10.192.0.0/22.

  • Seu ID da Amazon VPC está em VpcId. É fornecida uma VPC de vpc-010101010101.

  • Suas IDs de grupo de segurança da VPC em SecurityGroupIds. É fornecido um grupo de segurança de sg-0101010101.

  AWSTemplateFormatVersion: 2010-09-09
  Description: This template deploys a VPN Client Endpoint.
  Resources:
    ClientVpnEndpoint:
      Type: 'AWS::EC2::ClientVpnEndpoint'
      Properties:
        AuthenticationOptions:
          - Type: "certificate-authentication"
            MutualAuthentication:
              ClientRootCertificateChainArn: "YOUR_CLIENT_ROOT_CERTIFICATE_ARN"
        ClientCidrBlock: 10.192.0.0/22
        ClientConnectOptions:
          Enabled: false
        ConnectionLogOptions:
          Enabled: false
        Description: "MWAA Client VPN"
        DnsServers: []
        SecurityGroupIds:
          - sg-0101010101
        SelfServicePortal: ''
        ServerCertificateArn: "YOUR_SERVER_CERTIFICATE_ARN"
        SplitTunnel: true
        TagSpecifications:
          - ResourceType: "client-vpn-endpoint"
            Tags:
            - Key: Name
              Value: MWAA-Client-VPN
        TransportProtocol: udp
        VpcId: vpc-010101010101
        VpnPort: 443

Para criar o AWS Client VPN

1. Abra o console do AWS CloudFormation.

2. Escolha O modelo está pronto e Fazer upload de um arquivo de modelo.

3. Selecione Escolher arquivo e selecione seu arquivo mwaa_vpn_client.yaml.

4. Escolha Avançar, Avançar.

5. Selecione a confirmação e então escolha Criar pilha.

Para associar sub-redes privadas ao AWS Client VPN

1. Abra Console do Amazon VPC.

2. Escolha a página Endpoint do cliente VPN.

3. Selecione sua VPN do cliente e, em seguida, escolha a guia Associações, Associar.

4. Na lista suspensa, escolha:

   • Seu Amazon VPC em VPC.

   • Uma de suas sub-redes privadas em Escolha uma sub-rede para associar.

5. Selecione Associar .

Para adicionar o CIDR ao AWS Client VPN

1. Abra Console do Amazon VPC.

2. Escolha a página Endpoint do cliente VPN.

3. Selecione sua VPN do cliente e, em seguida, escolha a guia Autorização, Autorizar entrada.

4. Especifique o seguinte:

   • A regra CIDR do Amazon VPC na Rede de destino para habilitação. Por exemplo:

     10.192.0.0/16

   • Para Conceder acesso a, escolha Permitir acesso a todos os usuários.

   • Para Descrição, insira um nome descritivo.

5. Escolha Adicionar regra de autorização.

Para fazer download do arquivo de configuração

1. Siga estas etapas rápidas para baixar o arquivo de configuração do Client VPN em Baixar o arquivo de configuração do endpoint do Client VPN.

2. Nestas etapas, você deverá acrescentar uma string ao nome DNS do endpoint do cliente VPN. Veja um exemplo abaixo:

   1. exemplo nome DNS do endpoint

      Se o nome DNS do endpoint da VPN do cliente for:

      remote cvpn-endpoint-0909091212aaee1.prod.clientvpn.us-west-1.amazonaws.com 443

      Você pode adicionar uma string para identificar seu endpoint do cliente VPN da seguinte forma:

      remote mwaavpn.cvpn-endpoint-0909091212aaee1.prod.clientvpn.us-west-1.amazonaws.com 443

3. Nestas etapas, você deve adicionar o conteúdo do certificado do cliente entre um novo conjunto de etiquetas <cert></cert> e o conteúdo da chave privada entre um novo conjunto de etiquetas <key></key>. Veja um exemplo abaixo:

   1. Abra um prompt de comando e altere os diretórios para o local do certificado do cliente e da chave privada.

   2. exemplo client1.domain.tld.crt do macOS

      Para mostrar o conteúdo do arquivo client1.domain.tld.crt no macOS, você pode usar cat client1.domain.tld.crt.

      Copie o valor do terminal e cole em downloaded-client-config.ovpn, desta forma:

      ZZZ1111dddaBBB
      -----END CERTIFICATE-----
      </ca>
      <cert>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.crt
      -----END CERTIFICATE-----                
      </cert>

   3. exemplo client1.domain.tld.key do macOS

      Para mostrar o conteúdo de client1.domain.tld.key, você pode usar cat client1.domain.tld.key.

      Copie o valor do terminal e cole em downloaded-client-config.ovpn, desta forma:

      ZZZ1111dddaBBB
      -----END CERTIFICATE-----
      </ca>
      <cert>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.crt
      -----END CERTIFICATE-----                
      </cert>
      <key>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.key
      -----END CERTIFICATE-----                
      </key>

Para se conectar à VPN do cliente

1. Baixe e instale AWS Client VPN for Desktop.

2. Abra AWS Client VPN o.

3. Escolha Arquivo, Perfis gerenciados no menu do cliente VPN.

4. Escolha Adicionar perfil e, em seguida, escolha downloaded-client-config.ovpn.

5. Insira um nome descritivo em Nome de exibição.

6. Escolha Adicionar perfil e Concluído.

7. Selecione Conectar.