AWS クライアントVPNでVPCに接続をしてみる

以前にFortigateとAWSをVPN接続する記事を掲載しましたが、今回はクライアントとAWSのエンドポイント対サイトのVPN接続方法を紹介します。

構成図は簡易的ですが、以下のような感じです。

クライアントはMacOS Catalinaで接続を行います。

クライアントソフトはオープンソースのVPNソフトウェアなどを予め準備する必要がありましたが、AWS公式のVPNクライアントがリリースされましたので利用もかなりしやすくなったと思います。

多分ですが、クライアント側の問題もAWSがサポートしてくれる・・・？？
OpenVPNとか使って問題あってもどこがサポートするのか、などの問題は解消されるかもしれませんね！

昨今コロナウイルスの影響でテレワークを急務で準備していらっしゃる企業様も多いと思いますので、AWSのクライアントVPN経由でサーバアクセスもありかもしれません。
DXや通常のVPNもクライアントVPN経由で接続できるので、オンプレへのアクセスも可能だと思います。

FortigateとAWSのサイト対サイト接続方法は以下の記事でご覧いただけます。

[nlink url=”https://www.ikura-oisii.com/?p=191″]

AWS Client VPN の料金

東京リージョンでの利用価格です。

	Price
AWS Client VPN endpoint association	0.15USD per hour
AWS Client VPN connection	0.05USD per hour

1時間あたりVPN設定を行っていると、16.5円ほどかかります。
クライアントを接続していると1台あたり別途5.5円ほどかかりますので、1台利用でも1時間22円ほどかかります。

接続の課金はわかりやすいですが、通常のVPNと同じように接続ポイントを作成するだけでも料金が発生しますのでご注意ください。
しかも、1ヶ月12,000円ほどかかりますので、通常のVPN接続より3倍近い価格に！

メンテナンス用に1台だけ繋ぐ、とかだと少し割高感があるかもしれません。

クライアントVPN接続の設定方法

それでは実際に設定方法を記載していきます。
接続は、MacOS Catalinaと接続を行いますので、Windows機の場合は適意読み替えを行ってください。

一部、証明書の作成などはWindows機ではできませんので、MacまたLinuxマシンをご準備ください。

接続設定の概要

設定方法の主な流れは以下のとおりです。

証明書の作成
ACMへの証明書インポート
クライアントエンドポイントの作成
VPNクライアントのインストール
接続

スムーズに設定できれば1時間もかからずVPN接続が可能です。

設定は、AWS公式などを参考にしました。

クライアントVPNの使用開始

AWS Client VPN Download

証明書の作成

AWSとクライアントの接続には、証明書を用いた相互認証を行います。
相互認証では、クライアント VPN は証明書を使用して、クライアントとサーバーの間で認証を実行します。

サーバーおよびクライアント証明書とキーの生成を以下の手順で作成します。

Macのターミナルで以下のコマンドを実行していきます。
Windowsでは証明書の作成ができませんので、EC2(AmazonLinux)で実行してください。

OpenVPN Easy-RSA レポジトリのクローンを作成します。

git clone https://github.com/OpenVPN/easy-rsa.git

ローカルリポジトリの easy-rsa/easyrsa3 フォルダに移動します。

cd easy-rsa/easyrsa3

新しい PKI 環境を初期化します。

./easyrsa init-pki

新しい認証機関 (CA) を構築します。

./easyrsa build-ca nopass

通名（Common Name）を入力する画面が表示されますので、任意の通名を入力してエンターを押してください。

サーバー証明書とキーを生成します。

./easyrsa build-server-full server nopass

クライアント証明書とキーを生成します。

./easyrsa build-client-full client1.domain.tld nopass

作成したサーバー証明書とキー、およびクライアント証明書とキーを任意のフォルダへコピーします。

cp pki/ca.crt /任意のフォルダパス/
cp pki/issued/server.crt /任意のフォルダパス/
cp pki/private/server.key /任意のフォルダパス/
cp pki/issued/client1.domain.tld.crt /任意のフォルダパス/
cp pki/private/client1.domain.tld.key /任意のフォルダパス/

以上で接続に必要な証明書、キーの作成が完了しました。

作成したフォルダへアクセスすると以下の5ファイルが作成されています。