Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Integrazione Transit Gateway con Client VPN

È possibile collegare un endpoint Client VPN in modo nativo a un Transit Gateway per un accesso remoto sicuro a più VPCs reti locali e ad altre risorse connesse al Transit Gateway. Ciò elimina la necessità di creare endpoint VPN separati per ogni VPC o di gestire routing complessi tramite intermedi. VPCs

Panoramica di

Quando si associa un Transit Gateway a un endpoint Client VPN, i client VPN connessi possono accedere a tutte le risorse connesse al Transit Gateway se nell'endpoint Client VPN sono configurati percorsi e regole di autorizzazione appropriati.

Gli endpoint associati al Transit Gateway conservano l'indirizzo IP di origine del client. La traduzione degli indirizzi di rete di origine (SNAT) non viene applicata, il che offre una maggiore visibilità sul traffico client.

Vantaggi

L'integrazione di Transit Gateway con Client VPN offre i seguenti vantaggi:

Come funziona l'integrazione Transit Gateway

Di seguito viene descritto come Client VPN funziona con Transit Gateway:

Prerequisiti

Prima di creare un endpoint Client VPN associato a Transit Gateway, verifica i seguenti requisiti.

Creare un endpoint VPN Transit Gateway Client

È possibile creare un endpoint Client VPN associato a un Transit Gateway utilizzando la console o il AWS CLI.

Per creare un endpoint VPN Transit Gateway Client ()AWS CLI

Usa il comando create-client-vpn-endpoint con il parametro --transit-gateway-id.

L'esempio seguente crea un endpoint Client VPN con zone di disponibilità specifiche:

aws ec2 create-client-vpn-endpoint \
    --client-cidr-block 10.0.0.0/22 \
    --server-certificate-arn arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-11111EXAMPLE \
    --authentication-options Type=certificate-authentication,MutualAuthentication={ClientRootCertificateChainArn=arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE} \
    --connection-log-options Enabled=false \
    --transit-gateway-id tgw-0a1b2c3d4e5f6EXAMPLE \
    --availability-zone-list us-east-1a us-east-1b us-east-1c

Output di esempio:

{
    "ClientVpnEndpointId": "cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE",
    "Status": {
        "Code": "pending-associate"
    },
    "DnsName": "cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE.prod.clientvpn.us-east-1.amazonaws.com"
}

Per consentire la selezione AWS automatica di 2 zone di disponibilità, ometti il --availability-zone-list parametro:

aws ec2 create-client-vpn-endpoint \
    --client-cidr-block 10.0.0.0/22 \
    --server-certificate-arn arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-11111EXAMPLE \
    --authentication-options Type=certificate-authentication,MutualAuthentication={ClientRootCertificateChainArn=arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE} \
    --connection-log-options Enabled=false \
    --transit-gateway-id tgw-0a1b2c3d4e5f6EXAMPLE

Verifica l'allegato Transit Gateway

Dopo aver creato l'endpoint, verifica che l'allegato Transit Gateway sia stato creato.

Per verificare l'allegato Transit Gateway (AWS CLI)

Utilizza il comando describe-transit-gateway-attachments.

aws ec2 describe-transit-gateway-attachments \
    --filters Name=transit-gateway-id,Values=tgw-0a1b2c3d4e5f6EXAMPLE Name=resource-type,Values=client-vpn

Per visualizzare la configurazione Transit Gateway per l'endpoint, usa il describe-client-vpn-endpointscomando:

aws ec2 describe-client-vpn-endpoints \
    --client-vpn-endpoint-ids cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE

L'output include un TransitGatewayConfiguration oggetto con l'ID Transit Gateway e le zone di disponibilità associate.

Gestisci i percorsi

Per aggiungere un percorso (AWS CLI)

Utilizzate il create-client-vpn-routecomando senza il --target-vpc-subnet-id parametro.

aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.1.0.0/16

Per aggiungere più route, esegui il comando per ogni intervallo CIDR di destinazione:

# Route to VPC 1
aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.1.0.0/16

# Route to VPC 2
aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.2.0.0/16

# Route to on-premises network
aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 192.168.0.0/16

Per eliminare un percorso (AWS CLI)

Utilizza il comando delete-client-vpn-route.

aws ec2 delete-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.1.0.0/16

Configurazione dell’autorizzazione

Per aggiungere una regola di autorizzazione ()AWS CLI

Utilizza il comando authorize-client-vpn-ingress.

L'esempio seguente autorizza tutti gli utenti ad accedere alla 10.1.0.0/16 rete:

aws ec2 authorize-client-vpn-ingress \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --target-network-cidr 10.1.0.0/16 \
    --authorize-all-groups

L'esempio seguente autorizza uno specifico gruppo di Active Directory:

aws ec2 authorize-client-vpn-ingress \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --target-network-cidr 10.1.0.0/16 \
    --access-group-id S-1-2-34-1234567890-1234567890-1234567890-1234

Gestisci le zone di disponibilità

È possibile modificare le zone di disponibilità per un endpoint Client VPN associato a Transit Gateway dopo la creazione.

Per aggiungere una singola zona di disponibilità ()AWS CLI

Utilizzate il comando associate-client-vpn-target-network con il --availability-zone parametro.

aws ec2 associate-client-vpn-target-network \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --availability-zone us-east-1c

Per rimuovere una singola zona di disponibilità ()AWS CLI

Innanzitutto, utilizzate il comando describe-client-vpn-target-networks per trovare l'ID di associazione per la zona di disponibilità.

aws ec2 describe-client-vpn-target-networks \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE

Quindi utilizzate il comando disassociate-client-vpn-target-network con l'ID dell'associazione.

aws ec2 disassociate-client-vpn-target-network \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --association-id cvpn-assoc-0a1b2c3d4e5f6EXAMPLE

Accesso al Transit Gateway su più account

È possibile creare un endpoint Client VPN associato a un Transit Gateway di proprietà di un altro AWS account. A tale scopo, il proprietario del Transit Gateway deve condividere il Transit Gateway con il tuo account tramite AWS Resource Access Manager.

Nell'account endpoint Client VPN, accetta la condivisione delle risorse nella AWS Resource Access Manager console o utilizzando il accept-resource-share-invitationcomando. Dopo aver accettato la condivisione, il Transit Gateway viene visualizzato nel menu a discesa Transit Gateway ID quando si crea un endpoint Client VPN.

Considerazioni e limitazioni

Considera quanto segue quando utilizzi l'integrazione Transit Gateway con Client VPN: