翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Transit Gateway とクライアント VPN の統合

クライアント VPN エンドポイントを Transit Gateway にネイティブにアタッチして、複数の VPCs、オンプレミスネットワーク、および Transit Gateway に接続されたその他のリソースへの安全なリモートアクセスを実現できます。これにより、VPC ごとに個別の VPN エンドポイントを作成したり、中間 VPC を介した複雑なルーティングを管理する必要がなくVPCs。

概要

Transit Gateway をクライアント VPN エンドポイントに関連付けると、クライアント VPN エンドポイントで適切なルートと認可ルールが設定されている場合、接続された VPN クライアントは Transit Gateway に接続されているすべてのリソースにアクセスできます。

Transit Gateway 関連のエンドポイントは、クライアントソース IP アドレスを保持します。ソースネットワークアドレス変換 (SNAT) は適用されないため、クライアントトラフィックの可視性が向上します。

利点

Transit Gateway とクライアント VPN の統合には、次の利点があります。

Transit Gateway 統合の仕組み

以下に、クライアント VPN と Transit Gateway の連携について説明します。

前提条件

Transit Gateway 関連のクライアント VPN エンドポイントを作成する前に、次の要件を確認してください。

Transit Gateway クライアント VPN エンドポイントを作成する

コンソールまたは を使用して、トランジットゲートウェイに関連付けられたクライアント VPN エンドポイントを作成できます AWS CLI。

Transit Gateway クライアント VPN エンドポイントを作成するには (AWS CLI)

--transit-gateway-id パラメータを指定して create-client-vpn-endpoint コマンドを使用します。

次の の例では、特定のアベイラビリティーゾーンを持つクライアント VPN エンドポイントを作成します。

aws ec2 create-client-vpn-endpoint \
    --client-cidr-block 10.0.0.0/22 \
    --server-certificate-arn arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-11111EXAMPLE \
    --authentication-options Type=certificate-authentication,MutualAuthentication={ClientRootCertificateChainArn=arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE} \
    --connection-log-options Enabled=false \
    --transit-gateway-id tgw-0a1b2c3d4e5f6EXAMPLE \
    --availability-zone-list us-east-1a us-east-1b us-east-1c

出力の例:

{
    "ClientVpnEndpointId": "cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE",
    "Status": {
        "Code": "pending-associate"
    },
    "DnsName": "cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE.prod.clientvpn.us-east-1.amazonaws.com"
}

が 2 つのアベイラビリティーゾーン AWS を自動的に選択できるようにするには、 --availability-zone-listパラメータを省略します。

aws ec2 create-client-vpn-endpoint \
    --client-cidr-block 10.0.0.0/22 \
    --server-certificate-arn arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-11111EXAMPLE \
    --authentication-options Type=certificate-authentication,MutualAuthentication={ClientRootCertificateChainArn=arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE} \
    --connection-log-options Enabled=false \
    --transit-gateway-id tgw-0a1b2c3d4e5f6EXAMPLE

Transit Gateway アタッチメントを確認する

エンドポイントを作成したら、Transit Gateway アタッチメントが作成されていることを確認します。

Transit Gateway アタッチメントを確認するには (AWS CLI)

[describe-transit-gateway-attachments] コマンドを使用します。

aws ec2 describe-transit-gateway-attachments \
    --filters Name=transit-gateway-id,Values=tgw-0a1b2c3d4e5f6EXAMPLE Name=resource-type,Values=client-vpn

エンドポイントの Transit Gateway 設定を表示するには、describe-client-vpn-endpoints コマンドを使用します。

aws ec2 describe-client-vpn-endpoints \
    --client-vpn-endpoint-ids cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE

出力には、Transit Gateway ID と関連するアベイラビリティーゾーンを持つTransitGatewayConfigurationオブジェクトが含まれます。

ルートを管理する

ルートを追加するには (AWS CLI)

--target-vpc-subnet-id パラメータなしで create-client-vpn-route コマンドを使用します。

aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.1.0.0/16

複数のルートを追加するには、送信先 CIDR 範囲ごとに コマンドを実行します。

# Route to VPC 1
aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.1.0.0/16

# Route to VPC 2
aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.2.0.0/16

# Route to on-premises network
aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 192.168.0.0/16

ルートを削除するには (AWS CLI)

delete-client-vpn-route コマンドを使用します。

aws ec2 delete-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.1.0.0/16

認可を設定

認可ルールを追加するには (AWS CLI)

authorize-client-vpn-ingress コマンドを使用します。

次の例では、すべてのユーザーに10.1.0.0/16ネットワークへのアクセスを許可します。

aws ec2 authorize-client-vpn-ingress \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --target-network-cidr 10.1.0.0/16 \
    --authorize-all-groups

次の の例では、特定の Active Directory グループを承認します。

aws ec2 authorize-client-vpn-ingress \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --target-network-cidr 10.1.0.0/16 \
    --access-group-id S-1-2-34-1234567890-1234567890-1234567890-1234

アベイラビリティーゾーンの管理

Transit Gateway 関連のクライアント VPN エンドポイントのアベイラビリティーゾーンは、作成後に変更できます。

単一のアベイラビリティーゾーンを追加するには (AWS CLI)

--availability-zone パラメータを指定して associate-client-vpn-target-network コマンドを使用します。

aws ec2 associate-client-vpn-target-network \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --availability-zone us-east-1c

単一のアベイラビリティーゾーンを削除するには (AWS CLI)

まず、describe-client-vpn-target-networks コマンドを使用して、アベイラビリティーゾーンの関連付け ID を見つけます。

aws ec2 describe-client-vpn-target-networks \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE

次に、関連付け ID で disassociate-client-vpn-target-network コマンドを使用します。

aws ec2 disassociate-client-vpn-target-network \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --association-id cvpn-assoc-0a1b2c3d4e5f6EXAMPLE

クロスアカウント Transit Gateway アクセス

別の AWS アカウントが所有する Transit Gateway に関連付けられたクライアント VPN エンドポイントを作成できます。これを行うには、Transit Gateway 所有者が Transit Gateway を アカウントと共有する必要があります AWS Resource Access Manager。

クライアント VPN エンドポイントアカウントで、 AWS Resource Access Manager コンソールで、または accept-resource-share-invitation コマンドを使用してリソース共有を受け入れます。共有を受け入れると、クライアント VPN エンドポイントの作成時に Transit Gateway ID ドロップダウンに Transit Gateway が表示されます。

考慮事項と制限事項

Transit Gateway とクライアント VPN の統合を使用する場合は、次の点を考慮してください。