Tutorial: Como configurar o acesso à rede privada usando um AWS Client VPN

1. Verifique as permissões do usuário. Certifique-se de que sua conta no AWS Identity and Access Management (IAM) tenha permissões suficientes para criar e gerenciar recursos de VPC.

2. Use sua VPC do Amazon MWAA. Este tutorial pressupõe que você esteja associando a VPN do cliente a uma VPC existente. A Amazon VPC deve estar na mesma Região da AWS de um ambiente do Amazon MWAA e ter duas sub-redes privadas. Se você não criou um Amazon VPC, use o modelo CloudFormation em Opção três: criar uma rede Amazon VPC sem acesso à internet.

1. Criar um endpoint AWS Client VPN usando um modelo CloudFormation para um Amazon VPC existente.

2. Gerar os certificados e as chaves de servidor e cliente e, em seguida, fazer upload do certificado e da chave de servidor para AWS Certificate Manager na mesma Região da AWS de um ambiente do Amazon MWAA.

3. Baixe e modifique um arquivo de configuração de endpoint do cliente VPN para sua VPN do cliente e use o arquivo para criar um perfil de VPN para se conectar usando a VPN do cliente para Desktop.

Para identificar o CIDR da sua VPN do cliente

1. Abra a página Suas Amazon VPCs no console do Amazon VPC.

2. Use o seletor de região na barra de navegação para escolher a mesma Região da AWS que a de um ambiente do Amazon MWAA.

3. Escolha sua Amazon VPC.

4. Supondo que os CIDRs de suas sub-redes privadas são:

   • Sub-rede privada 1: 10.192.10.0/24

   • Sub-rede privada 2: 10.192.11.0/24

   Se o CIDR para seu Amazon VPC for 10.192.0.0/16, o CIDR IPv4 do cliente que você especificaria para sua VPN do cliente seria 10.192.0.0/22.

5. Salve este valor de CIDR e o valor do seu ID de VPC para as etapas subsequentes.

Para identificar os grupos de segurança

1. Abra a página Grupo de segurança no console do Amazon VPC.

2. Use o seletor de região na barra de navegação para escolher a Região da AWS.

3. Procure a Amazon VPC na ID da VPC e identifique os grupos de segurança associados à VPC.

4. Salve a ID de seus grupos de segurança e da VPC para as etapas subsequentes.

Criar os certificados de cliente

1. Siga estas etapas rápidas para criar e fazer upload dos certificados no ACM por meio da AWS CLI em Autenticação e autorização do cliente: autenticação mútua.

2. Nestas etapas, você deve especificar a mesma Região da AWS de um ambiente do Amazon MWAA no comando AWS CLI ao fazer upload de seus certificados de servidor e cliente. Veja a seguir alguns exemplos de como especificar a região nestes comandos:

   1. exemplo região para certificado de servidor

      aws acm import-certificate --certificate fileb://server.crt --private-key fileb://server.key --certificate-chain fileb://ca.crt --region us-west-2

   2. exemplo região para certificado de cliente

      aws acm import-certificate --certificate fileb://client1.domain.tld.crt --private-key fileb://client1.domain.tld.key --certificate-chain fileb://ca.crt --region us-west-2

   3. Após essas etapas, salve o valor retornado na resposta AWS CLI para os ARNs do certificado do servidor e do certificado do cliente. Você especificará esses ARNs em seu modelo CloudFormation para criar a VPN do cliente.

3. Nestas etapas, um certificado de cliente e uma chave privada são salvos no seu computador. Veja a seguir um exemplo de onde encontrar essas credenciais:

   1. exemplo No macOS

      No macOS, o conteúdo é salvo em /Users/your-user/custom_folder. Se você listar todos os conteúdos (ls -a) deste diretório, deverá obter algo semelhante ao seguinte:

      .
      ..
      ca.crt
      client1.domain.tld.crt
      client1.domain.tld.key
      server.crt
      server.key

   2. Após estas etapas, salve o conteúdo ou anote a localização do certificado do cliente em client1.domain.tld.crt e a chave privada em client1.domain.tld.key. Você adicionará estes valores ao arquivo de configuração de sua VPN do cliente.

• Copie o conteúdo do modelo a seguir e salve localmente como mwaa_vpn_client.yaml. Também é possível baixar o modelo.

  Substitua os seguintes valores:

  • YOUR_CLIENT_ROOT_CERTIFICATE_ARN - o ARN do seu certificado client1.domain.tld em ClientRootCertificateChainArn.

  • YOUR_SERVER_CERTIFICATE_ARN - o ARN do seu certificado server em ServerCertificateArn.

  • A regra CIDR IPv4 do cliente em ClientCidrBlock. É fornecida uma regra CIDR de 10.192.0.0/22.

  • Seu ID da Amazon VPC está em VpcId. É fornecida uma VPC de vpc-010101010101.

  • Suas IDs de grupo de segurança da VPC em SecurityGroupIds. É fornecido um grupo de segurança de sg-0101010101.

  AWSTemplateFormatVersion: 2010-09-09
  Description: This template deploys a VPN Client Endpoint.
  Resources:
    ClientVpnEndpoint:
      Type: 'AWS::EC2::ClientVpnEndpoint'
      Properties:
        AuthenticationOptions:
          - Type: "certificate-authentication"
            MutualAuthentication:
              ClientRootCertificateChainArn: "YOUR_CLIENT_ROOT_CERTIFICATE_ARN"
        ClientCidrBlock: 10.192.0.0/22
        ClientConnectOptions:
          Enabled: false
        ConnectionLogOptions:
          Enabled: false
        Description: "MWAA Client VPN"
        DnsServers: []
        SecurityGroupIds:
          - sg-0101010101
        SelfServicePortal: ''
        ServerCertificateArn: "YOUR_SERVER_CERTIFICATE_ARN"
        SplitTunnel: true
        TagSpecifications:
          - ResourceType: "client-vpn-endpoint"
            Tags:
            - Key: Name
              Value: MWAA-Client-VPN
        TransportProtocol: udp
        VpcId: vpc-010101010101
        VpnPort: 443

Para criar o AWS Client VPN

1. Abra o console de AWS CloudFormation.

2. Escolha O modelo está pronto e Fazer upload de um arquivo de modelo.

3. Selecione Escolher arquivo e selecione seu arquivo mwaa_vpn_client.yaml.

4. Escolha Avançar, Avançar.

5. Selecione a confirmação e então escolha Criar pilha.

Para associar sub-redes privadas à AWS Client VPN

1. Abra Console do Amazon VPC.

2. Escolha a página Endpoint do cliente VPN.

3. Selecione sua VPN do cliente e, em seguida, escolha a guia Associações, Associar.

4. Na lista suspensa, escolha:

   • Seu Amazon VPC em VPC.

   • Uma de suas sub-redes privadas em Escolha uma sub-rede para associar.

5. Selecione Associar.

Para adicionar o CIDR à AWS Client VPN

1. Abra Console do Amazon VPC.

2. Escolha a página Endpoint do cliente VPN.

3. Selecione sua VPN do cliente e, em seguida, escolha a guia Autorização, Autorizar entrada.

4. Especifique o seguinte:

   • A regra CIDR do Amazon VPC na Rede de destino para habilitação. Por exemplo:

     10.192.0.0/16

   • Para Conceder acesso a, escolha Permitir acesso a todos os usuários.

   • Para Descrição, insira um nome descritivo.

5. Escolha Adicionar regra de autorização.

Para fazer download do arquivo de configuração

1. Siga estas etapas rápidas para baixar o arquivo de configuração do Client VPN em Baixar o arquivo de configuração do endpoint do Client VPN.

2. Nestas etapas, você deverá acrescentar uma string ao nome DNS do endpoint do cliente VPN. Veja um exemplo abaixo:

   1. exemplo nome DNS do endpoint

      Se o nome DNS do endpoint da VPN do cliente for:

      remote cvpn-endpoint-0909091212aaee1.prod.clientvpn.us-west-1.amazonaws.com 443

      Você pode adicionar uma string para identificar seu endpoint do cliente VPN da seguinte forma:

      remote mwaavpn.cvpn-endpoint-0909091212aaee1.prod.clientvpn.us-west-1.amazonaws.com 443

3. Nestas etapas, você deve adicionar o conteúdo do certificado do cliente entre um novo conjunto de etiquetas <cert></cert> e o conteúdo da chave privada entre um novo conjunto de etiquetas <key></key>. Veja um exemplo abaixo:

   1. Abra um prompt de comando e altere os diretórios para o local do certificado do cliente e da chave privada.

   2. exemplo client1.domain.tld.crt do macOS

      Para mostrar o conteúdo do arquivo client1.domain.tld.crt no macOS, você pode usar cat client1.domain.tld.crt.

      Copie o valor do terminal e cole em downloaded-client-config.ovpn, desta forma:

      ZZZ1111dddaBBB
      -----END CERTIFICATE-----
      </ca>
      <cert>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.crt
      -----END CERTIFICATE-----                
      </cert>

   3. exemplo client1.domain.tld.key do macOS

      Para mostrar o conteúdo de client1.domain.tld.key, você pode usar cat client1.domain.tld.key.

      Copie o valor do terminal e cole em downloaded-client-config.ovpn, desta forma:

      ZZZ1111dddaBBB
      -----END CERTIFICATE-----
      </ca>
      <cert>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.crt
      -----END CERTIFICATE-----                
      </cert>
      <key>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.key
      -----END CERTIFICATE-----                
      </key>

Para se conectar à VPN do cliente

1. Baixe e instale AWS Client VPN for Desktop.

2. Abra a AWS Client VPN.

3. Escolha Arquivo, Perfis gerenciados no menu do cliente VPN.

4. Escolha Adicionar perfil e, em seguida, escolha downloaded-client-config.ovpn.

5. Insira um nome descritivo em Nome de exibição.

6. Escolha Adicionar perfil e Concluído.

7. Selecione Conectar.