クライアントVPN 設定してみた

2024.04.04

この記事をシェアする

こんにちは！スカイアーチHRソリューションズのKotaroです。

今回はクライアントVPN 設定をして接続する設定を行っていきます。

クライアントVPNは、リモートアクセスを可能にし、通信を暗号化することで安全なアクセスを提供します。またユーザー認証機能により不正アクセスを防ぐことが出来ます。EC2をパブリックサブネットに置きながらセキュリティグループで通信を制限して、VPN経由でサーバにアクセスすることでセキュリティを高めることが出来ます。

(本来プライベートサブネットにサーバを置くことがベストだとは思いますが、外部への通信に関わるリソースやサーバ内にアクセスするためのリソース作成(踏み台サーバやSession Manager、エンドポイント等)や、費用等の観点からパブリックサブネットに配置したとします。)

※前提として以下の構成が出来ている状態で進めていきます。

VPC(10.0.0.0/16), Public subnet(10.0.0.0/20)
Windows Server 2022(ami-0962657fe505b0123)
EC2にアタッチするセキュリティグループにRDP接続の許可

サーバーとクライアントの証明書作成

Microsoft Edge を開き、https://github.com/OpenVPN/easy-rsa/releases にアクセスし、Windows のバージョン用の ZIP ファイルをダウンロードします。
※2024/4/4時点で最新の以下画像のものをダウンロードします。

ダウンロードしたZIPファイルを解凍し、Desktopに移動します。コマンドプロンプトで該当のフォルダまで移動し、以下のコマンドを実行して、EasyRSA 3 シェルを開きます。

C:\Users\Administrator\Desktop\EasyRSA-3.1.7> .\EasyRSA-Start.bat

新しい PKI 環境を初期化します。

# ./easyrsa init-pki

新しい認証局 (CA) を構築するには、このコマンドを実行し、プロンプトに従います。

# ./easyrsa build-ca nopass

途中で何か聞かれますがそのままEnterで問題ないです。

サーバー証明書とキーを生成します。

# ./easyrsa build-server-full server nopass

途中で以下の内容を聞かれますが「yes」と入力し次に進みます。

クライアント証明書とキーを生成します。

# ./easyrsa build-client-full client1.domain.tld nopass

途中で以下の内容を聞かれますが「yes」と入力し次に進みます。

EasyRSA 3 シェルを終了します。

# exit

Desktop\EasyRSA-3.1.7のフォルダに今後使うサーバーとクライアント証明書が格納されています。

pki\ca.crt 　　　　　　　　　　　　 ※証明書チェーン

pki\issued\server.crt 　　　　　　　 ※サーバー証明書

pki\private\server.key 　　　　　　　※サーバー証明書のキー

pki\issued\client1.domain.tld.crt 　　 ※クライアント証明書

pki\private\client1.domain.tld.key　　※クライアント証明書のキー

※デフォルトだと証明書の有効期限が2年程度と短いため、長くする場合は以下URLが参考になります。

【AWS Client VPN】OpenVPN easy-rsaでサーバ証明書の有効期限を100年にする

サーバ証明書のインポート

ACMのサービスに遷移し、左タブ「証明書をインポート」を選択し、先ほど作成した証明書を以下の項目に記載し、インポートします。

証明書本文➡「server.crt」　※—–BEGIN CERTIFICATE—–から記載
証明書のプライベートキー➡「server.key」
証明書チェーン➡「ca.crt」

問題なければ、ステータスが発行済みに変わります。

CloudWatch ロググループの作成

クライアント接続の詳細ログをCloudWatch Logsに保存する場合は先にロググループを作成しておきます。

CloudWatchのサービスに遷移し、左タブ「ロググループ」を選択し、「ロググループを作成」を選択します。

ロググループが作成されていることを確認します。

クライアントVPNエンドポイントの作成

VPCのサービスに遷移し、左タブ「クライアント VPN エンドポイント」を選択し、「クライアント VPN エンドポイントを作成を選択します。

以下にポイントとなる設定事項について記載します。

クライアント IPv4 CIDR:　クライアントVPNのクライアントIPv4 CIDRは、VPCのサブネットと重複しないよう設定する必要があります。今回は10.1.0.0/16に設定します
サーバー証明書 ARN:　先ほどインポートした証明書を選択します。
クライアント証明書 ARN:　先ほどインポートした証明書を選択します。サーバー証明書と同じですが、認証局が同じ場合は問題ありません。以下、公式サイトより引用。

クライアント証明書を ACM にアップロードする必要はありません。サーバー証明書とクライアント証明書が同じ認証機関 (CA) によって発行されている場合、Client VPN エンドポイントを作成するときに、サーバーとクライアントの両方に対してサーバー証明書 ARN を使用することができます。上のステップで、同じ CA を使用して両方の証明書を作成しています。ただし、完全性を保証するために、クライアント証明書をアップロードするステップが含まれています。
https://docs.aws.amazon.com/ja_jp/vpn/latest/clientvpn-admin/mutual.html
クライアント接続のログの詳細を有効化:　有効化にして先ほど作成したロググループを選択します。
スプリットトンネル:　どちらでもよいですが、有効にすることでVPNの接続速度が向上したり、VPNサーバの負荷が軽減されるといったメリットがあります。
セキュリティグループ:　今回は、デフォルトのものをそのまま使用します。詳細は以下の記事が参考になります。

https://dev.classmethod.jp/articles/how-to-configure-security-groups-for-aws-client-vpn/