[AWS Client VPN Enpoint] Open VPN 이용하여 외부 네트워크에서 AWS 클라우드 내부 네트워크에 접근하기

🙋‍♀️ AWS Client VPN Endpoint란?

• 사내 네트워크의 AWS 리소스 및 리소스에 안전하게 액세스 할 수 있도록 지원하는 클라이언트 기반 managed VPN 서비스.
• Client VPN을 사용하면 OpenVPN 기반 VPN 클라이언트를 사용하여 모든 위치에서 리소스에 액세스 할 수 있다.
• AWS 외부에서 AWS 클라우드 내부 네트워크에 접근하고자 하는데 Client 쪽 VPN 장비가 없는 경우, Client VPN Endpoint를 이용할 수 있다.

 

---

🔨 To-Be Architecture

AWS Client VPN Endpoint를 이용하여 외부에서 내부 네트워크 접근하기

 

 

1️⃣ 생성 전 필수 사전 작업 - 서버 인증서 생성 및 ACM 업로드

AWS Cloud로 들어오는 첫번째 진입점에서 Client 인증이 실행된다. 인증에 성공해야 client는 Client VPN 엔드포인트로 연결할 수 있고 VPN 세션이 맺어진다. Client VPN Endpoint를 생성하기 위해서는 반드시 AWS Certificate Manager에 server 인증서가 있어야 한다.

• Mutual Authentication
  • client와 server 간의 인증을 하기 위해서는 certificate authority (CA)로부터 발행받은 디지털 증명서인 인증서를 사용한다.
  • mutual authentication을 위해서는,
    1. server 인증서와 키 & 하나 이상의 client 인증서와 키를 생성한다.
       (easy RSA를 이용한 인증서 생성을 위해 참고 : AWS Document, 기술 블로그)
    2. AWS Certificate Manager (ACM)에 server 인증서와 프라이빗 키, 그리고 CA에 대해 업로드해야 한다.

ACM에 인증서 가져오기

---

2️⃣ Client VPN Endpoint 생성하기

1. Client가 할당할 CIDR 범위 선정

• 연결할 VPC의 CIDR 및 VPC에 연결되어 있는 다른 네트워크 범위와 중복되어서는 안 된다.
• /22 ~ /12 사이의 범위로 CIDR 선정 가능. (ex: 10.0.0.0/22)
• Client VPN 엔드포인트를 생성한 후에는 클라이언트 주소 범위를 변경할 수 없다.

2. 인증 방식 선택

AWS CVPNE 생성-인증 정보 선택

• 서버 & 클라이언트 인증서 ARN : 모두 사전에 ACM에 import 했던 인증서를 입력한다.
• 인증 옵션 : mutual authentication 선택

3. (선택) Connection Logging 활성화

AWS CVPNE 생성-연결 로깅 활성화

• Client VPN Endpoint의 연결 로그를 기록한다.
• 로깅을 위해서는 해당 계정에 CloudWatch Logs에 연결로그를 기록할 로그 그룹이 생성되어 있어야 한다.

4. (선택) Other Parameters

AWS CVPNE 생성-그 외 파라미터 설정

• 전송 프로토콜 : UDP(default)
• split-tunnel 활성화 : 활성화(참고: Split-tunnel on AWS Client VPN endpoints)
• VPN ID : Client VPN Endpoint 생성 시, VPC를 명시하면 해당 VPC 내의 Subnet들과만 네트워크 연결이 가능하다. 명시하지 않으면 모든 VPC와 연결 가능하다.

5. 생성 완료하였으나 Pending-associate 상태(구성 미완료)

AWS CVPNE 생성-Pending-associate 상태

5-1. Target Network Association

AWS CVPNE 구성-Target Network Association(1)

• 연결할 VPC 및 Subnet을 선택한다.

AWS CVPNE 구성-Target Network Association(2)

5-2. Route Table

AWS CVPNE 구성-Route Table

• 5-1의 작업까지 완료되면 생성한 Client VPN 엔드포인트의 라우팅 테이블에 위와 같이 라우팅이 활성화된다.

5-3. Authorization rules

AWS CVPNE 구성-Authorization rules

• Client VPN Endpoint로 접근을 허용할 네트워크 대역을 명시한다. 방화벽처럼 작동한다.

6. AWS Client VPN Endpoint 구성 완료~!

AWS CVPNE 생성-Available 상태

---

3️⃣ Client에서 VPN Endpoint 접속하기

1. Client Configuration 파일(downloaded-client-config.ovpn)을 다운로드

Client 구성 파일 다운로드

2. downloaded-client-config.ovpn 편집

Client 구성 파일 편집

• <ca></ca> 태그 아래, <cert> 태그와 <key> 태그를 추가한다.
• <cert> : 클라이언트 인증서
• <key> : 클라이언트 프라이빗 키

3. Client에서 Open VPN 실행

• 2에서 편집한 download-client-config.ovpn 파일 불러오기
• VPN 연결 후 AWS에 위치한 서버 사설 IP를 통해 접속이 되는지 확인 → 성공~!

 

---

🔗 참고 링크

1. 🌟[AWS] Client VPN 설정🌟
2. https://musma.github.io/2019/11/04/aws-client-vpn-endpoint.html
3. AWS Client VPN이란 무엇입니까?
4. Client VPN 엔드포인트
5. Client Authentication
6. mutual authentication
7. Split-tunnel on AWS Client VPN endpoints