本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

傳輸閘道與 Client VPN 整合

您可以將 Client VPN 端點原生連接至 Transit Gateway，以安全地遠端存取多個 VPCs、內部部署網路，以及連接到 Transit Gateway 的其他資源。這不需要為每個 VPC 建立單獨的 VPN 端點，或管理透過中繼 VPCs複雜路由。

概觀

當您將 Transit Gateway 與 Client VPN 端點建立關聯時，如果 Client VPN 端點中設定了適當的路由和授權規則，連線的 VPN 用戶端可以存取連線至 Transit Gateway 的所有資源。

Transit Gateway 相關端點會保留用戶端來源 IP 地址。來源網路地址轉譯 (SNAT) 不會套用，這可增強用戶端流量的可見性。

優勢

與 Client VPN 整合的 Transit Gateway 提供下列優點：

Transit Gateway 整合的運作方式

以下說明 Client VPN 如何與 Transit Gateway 搭配使用：

先決條件

建立 Transit Gateway 關聯的 Client VPN 端點之前，請確認下列需求。

建立 Transit Gateway Client VPN 端點

您可以使用 主控台或 建立與 Transit Gateway 相關聯的 Client VPN 端點 AWS CLI。

建立 Transit Gateway Client VPN 端點 (AWS CLI)

使用 create-client-vpn-endpoint 命令搭配 --transit-gateway-id 參數。

下列範例會建立具有特定可用區域的 Client VPN 端點：

aws ec2 create-client-vpn-endpoint \
    --client-cidr-block 10.0.0.0/22 \
    --server-certificate-arn arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-11111EXAMPLE \
    --authentication-options Type=certificate-authentication,MutualAuthentication={ClientRootCertificateChainArn=arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE} \
    --connection-log-options Enabled=false \
    --transit-gateway-id tgw-0a1b2c3d4e5f6EXAMPLE \
    --availability-zone-list us-east-1a us-east-1b us-east-1c

輸出範例：

{
    "ClientVpnEndpointId": "cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE",
    "Status": {
        "Code": "pending-associate"
    },
    "DnsName": "cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE.prod.clientvpn.us-east-1.amazonaws.com"
}

若要讓 AWS 自動選取 2 個可用區域，請省略 --availability-zone-list 參數：

aws ec2 create-client-vpn-endpoint \
    --client-cidr-block 10.0.0.0/22 \
    --server-certificate-arn arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-11111EXAMPLE \
    --authentication-options Type=certificate-authentication,MutualAuthentication={ClientRootCertificateChainArn=arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE} \
    --connection-log-options Enabled=false \
    --transit-gateway-id tgw-0a1b2c3d4e5f6EXAMPLE

驗證 Transit Gateway 連接

建立端點之後，請確認已建立 Transit Gateway 附件。

驗證 Transit Gateway 連接 (AWS CLI)

使用 describe-transit-gateway-attachments 命令。

aws ec2 describe-transit-gateway-attachments \
    --filters Name=transit-gateway-id,Values=tgw-0a1b2c3d4e5f6EXAMPLE Name=resource-type,Values=client-vpn

若要檢視端點的 Transit Gateway 組態，請使用 describe-client-vpn-endpoints 命令：

aws ec2 describe-client-vpn-endpoints \
    --client-vpn-endpoint-ids cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE

輸出包含具有 Transit Gateway ID 和相關聯可用區域的TransitGatewayConfiguration物件。

管理路由

新增路由 (AWS CLI)

使用 create-client-vpn-route 命令，而不使用 --target-vpc-subnet-id 參數。

aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.1.0.0/16

若要新增多個路由，請為每個目的地 CIDR 範圍執行 命令：

# Route to VPC 1
aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.1.0.0/16

# Route to VPC 2
aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.2.0.0/16

# Route to on-premises network
aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 192.168.0.0/16

刪除路由 (AWS CLI)

使用 delete-client-vpn-route 命令。

aws ec2 delete-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.1.0.0/16

設定授權

新增授權規則 (AWS CLI)

使用 authorize-client-vpn-ingress 命令。

下列範例授權所有使用者存取10.1.0.0/16網路：

aws ec2 authorize-client-vpn-ingress \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --target-network-cidr 10.1.0.0/16 \
    --authorize-all-groups

下列範例授權特定的 Active Directory 群組：

aws ec2 authorize-client-vpn-ingress \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --target-network-cidr 10.1.0.0/16 \
    --access-group-id S-1-2-34-1234567890-1234567890-1234567890-1234

管理可用區域

您可以在建立後修改 Transit Gateway 相關 Client VPN 端點的可用區域。

新增單一可用區域 (AWS CLI)

使用 associate-client-vpn-target-network 命令搭配 --availability-zone 參數。

aws ec2 associate-client-vpn-target-network \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --availability-zone us-east-1c

移除單一可用區域 (AWS CLI)

首先，使用 describe-client-vpn-target-networks 命令來尋找可用區域的關聯 ID。

aws ec2 describe-client-vpn-target-networks \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE

然後使用 disassociate-client-vpn-target-network 命令搭配關聯 ID。

aws ec2 disassociate-client-vpn-target-network \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --association-id cvpn-assoc-0a1b2c3d4e5f6EXAMPLE

跨帳戶傳輸閘道存取

您可以建立與不同 AWS 帳戶擁有的 Transit Gateway 相關聯的 Client VPN 端點。若要這樣做，傳輸閘道擁有者必須透過您的帳戶共用傳輸閘道 AWS Resource Access Manager。

在 Client VPN 端點帳戶中，使用 accept-resource-share-invitation 命令在 AWS Resource Access Manager 主控台中接受資源共用。接受共享後，當您建立 Client VPN 端點時，傳輸閘道 ID 下拉式清單中會顯示傳輸閘道。

考量和限制

當您使用 Transit Gateway 與 Client VPN 整合時，請考慮下列事項：