教程：使用 Amazon Client VPN 配置私有网络访问权限

1. 检查用户权限。请确保您在 Amazon Identity and Access Management（IAM）中的账户拥有足够的权限来创建和管理 VPC 资源。

2. 使用 Amazon MWAA VPC。本教程假设您正在将客户端 VPN 关联到现有 VPC。Amazon VPC 必须与 Amazon MWAA 环境位于同一 Amazon 区域，并且有两个私有子网。如果您尚未创建 Amazon VPC，请使用 Amazon CloudFormation 模板，如 选项三：创建不可互联网访问的 Amazon VPC 网络 所示。

1. 使用现有 Amazon VPC 的 Amazon CloudFormation 模板创建 Amazon Client VPN 端点。

2. 生成服务器和客户端证书和密钥，然后将服务器证书和密钥上传到与 Amazon MWAA 环境同一 Amazon 区域的 Amazon Certificate Manager。

3. 为客户端 VPN 下载并修改客户端 VPN 端点配置文件，然后使用该文件创建 VPN 配置文件，以便使用桌面版客户端 VPN 进行连接。

识别客户端 VPN 的 CIDR

1. 在 Amazon VPC 控制台，打开 Amazon VPC 页面。

2. 使用导航栏中的区域选择器选择与 Amazon MWAA 环境相同的 Amazon 区域。

3. 选择 Amazon VPC。

4. 假设私有子网的 CIDR 是：

   • 私有子网 1：10.192.10.0/24

   • 私有子网 2：10.192.10.0/24

   如果 Amazon VPC 的 CIDR 是 10.192.0.0/16，那么您为客户端 VPN 指定的客户端 IPv4 CIDR 将是 10.192.0.0/22。

5. 保存此 CIDR 值以及 VPC ID 的值以供后续步骤使用。

要识别安全组

1. 在 Amazon VPC 控制台打开安全组页面。

2. 在导航栏中，使用区域选择器来选择 Amazon 区域。

3. 在 VPC ID 中查找 Amazon VPC，并识别与 VPC 关联的安全组。

4. 保存安全组和 VPC 的 ID，以供后续步骤使用。

创建客户端证书

1. 按照以下快速步骤，通过在客户端身份验证和授权：相互身份验证中的 Amazon CLI 创建证书并将其上传到 ACM。

2. 在这些步骤中，在上传服务器和客户端证书时，您必须在 Amazon CLI 命令中指定与 Amazon MWAA 环境相同的 Amazon 区域。以下是有关如何在这些命令中指定区域的一些示例：

   1. 例 服务器证书的区域

      aws acm import-certificate --certificate fileb://server.crt --private-key fileb://server.key --certificate-chain fileb://ca.crt --region us-west-2

   2. 例 客户端证书的区域

      aws acm import-certificate --certificate fileb://client1.domain.tld.crt --private-key fileb://client1.domain.tld.key --certificate-chain fileb://ca.crt --region us-west-2

   3. 完成这些步骤后，保存在服务器证书和客户端证书 ARN 的 Amazon CLI 响应中返回的值。您将在 Amazon CloudFormation 模板中指定这些 ARN 来创建客户端 VPN。

3. 在这些步骤中，客户端证书和私钥将保存到计算机中。以下是有关在哪里可以找到这些凭证的示例：

   1. 例 在 macOS 上

      在 macOS 上，内容保存在 /Users/youruser/custom_folder。如果您列出此目录的所有（ls -a）内容，则应看到类似于以下内容的内容：

      .
      ..
      ca.crt
      client1.domain.tld.crt
      client1.domain.tld.key
      server.crt
      server.key

   2. 完成这些步骤后，保存内容或在 client1.domain.tld.crt 中记下客户端证书的位置，以及在 client1.domain.tld.key 中记下私钥的位置。您将把这些值添加到客户端 VPN 的配置文件中。

• 复制以下模板的内容并将其作为 mwaa_vpn_client.yaml 保存在本地中。您也可以使用下载模板。

  替换以下值：

  • YOUR_CLIENT_ROOT_CERTIFICATE_ARN— 在 ClientRootCertificateChainArn 中的 client1.domain.tld 证书的 ARN。

  • YOUR_SERVER_CERTIFICATE_ARN— 在 ServerCertificateArn 中的服务器证书的 ARN。

  • 在 ClientCidrBlock 中的客户端 IPv4 CIDR 规则。提供 10.192.0.0/22 的 CIDR 规则。

  • Amazon VPC ID，如 VpcId 所示。提供 vpc-010101010101 的 VPC。

  • VPC 安全组 ID，如 SecurityGroupIds 所示。提供了 sg-0101010101 的安全组。

  AWSTemplateFormatVersion: 2010-09-09
  Description: This template deploys a VPN Client Endpoint.
  Resources:
    ClientVpnEndpoint:
      Type: 'AWS::EC2::ClientVpnEndpoint'
      Properties:
        AuthenticationOptions:
          - Type: "certificate-authentication"
            MutualAuthentication:
              ClientRootCertificateChainArn: "YOUR_CLIENT_ROOT_CERTIFICATE_ARN"
        ClientCidrBlock: 10.192.0.0/22
        ClientConnectOptions:
          Enabled: false
        ConnectionLogOptions:
          Enabled: false
        Description: "MWAA Client VPN"
        DnsServers: []
        SecurityGroupIds:
          - sg-0101010101
        SelfServicePortal: ''
        ServerCertificateArn: "YOUR_SERVER_CERTIFICATE_ARN"
        SplitTunnel: true
        TagSpecifications:
          - ResourceType: "client-vpn-endpoint"
            Tags:
            - Key: Name
              Value: MWAA-Client-VPN
        TransportProtocol: udp
        VpcId: vpc-010101010101
        VpnPort: 443

创建 Amazon Client VPN

1. 打开 Amazon CloudFormation 控制台。

2. 选择模板已准备就绪，然后选择上传模板文件。

3. 选择选择文件，然后选择 mwaa_vpn_client.yaml 文件。

5. 选择下一步、下一步。

6. 选择堆栈，然后选择创建堆栈。

要将私有子网关联到 Amazon Client VPN，请执行以下操作

1. 打开 Amazon VPC 控制台。

2. 选择客户端 VPN 端点页面。

3. 选择客户端 VPN，然后选择关联选项卡、关联。

4. 在下拉列表中选择以下内容：

   • Amazon VPC，如 VPC 所示。

   • 在选择要关联的子网中的一个私有子网。

5. 选择 Associate。

要将 CIDR 添加到 Amazon Client VPN，请执行以下操作

1. 打开 Amazon VPC 控制台。

2. 选择客户端 VPN 端点页面。

3. 选择客户端 VPN，然后选择授权选项卡、授权入口。

4. 指定以下内容：

   • 要在目标网络中启用 Amazon VPC 的 CIDR 规则。例如：

     10.192.0.0/16

   • 在授予访问权限中，选择允许所有用户访问。

   • 在描述中，输入一个描述性名称。

5. 选择添加授权规则。

下载配置文件

1. 按照以下快速步骤在下载客户端 VPN 端点配置文件中下载客户端 VPN 配置文件。

2. 在这些步骤中，系统会要求您在客户端 VPN 端点 DNS 名称前面加一个字符串。示例如下：

   1. 例 端点 DNS 名称

      如果客户端 VPN 端点 DNS 名称如下所示：

      remote cvpn-endpoint-0909091212aaee1.prod.clientvpn.us-west-1.amazonaws.com 443

      您可以添加一个字符串来识别客户端 VPN 端点，如下所示：

      remote mwaavpn.cvpn-endpoint-0909091212aaee1.prod.clientvpn.us-west-1.amazonaws.com 443

3. 在这些步骤中，系统会要求您在一组新 <cert></cert> 标签之间添加客户端证书的内容，而在一组新 <key></key> 标签之间添加私有密钥的内容。示例如下：

   1. 打开命令提示符并将目录更改为客户端证书和私钥的位置。

   2. 例 macOS client1.domain.tld.crt

      要在 macOS 上显示 client1.domain.tld.crt 文件内容，您可以使用 cat client1.domain.tld.crt。

      从终端复制值并粘贴在 downloaded-client-config.ovpn 中，如下所示：

      ZZZ1111dddaBBB
      -----END CERTIFICATE-----
      </ca>
      <cert>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.crt
      -----END CERTIFICATE-----                
      </cert>

   3. 例 macOS client1.domain.tld.key

      要显示 client1.domain.tld.key 文件内容，您可以使用 cat client1.domain.tld.key。

      从终端复制值并粘贴在 downloaded-client-config.ovpn 中，如下所示：

      ZZZ1111dddaBBB
      -----END CERTIFICATE-----
      </ca>
      <cert>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.crt
      -----END CERTIFICATE-----                
      </cert>
      <key>
      -----BEGIN CERTIFICATE-----
      YOUR client1.domain.tld.key
      -----END CERTIFICATE-----                
      </key>

连接到客户端 VPN

1. 下载并安装桌面版 Amazon Client VPN。

2. 打开 Amazon Client VPN。

3. 在 VPN 客户端菜单中选择文件、托管配置文件。

4. 选择添加配置文件，然后选择 downloaded-client-config.ovpn。

5. 在显示名称中输入描述性名称。

6. 选择添加配置文件，完成。

7. 选择连接。