AWS Client VPN으로 안전하게 VPC에 연결하기
VPC 설정
먼저 VPC부터 설정해봅시다.
아래 표에 있는 정보대로 세팅하면 됩니다. 가용 구역은 1개만 설정합니다.
만약, nat를 없애야 한다면 그렇게 해도 됩니다.
| VPC IPv4 CIDR 블록 | 10.101.0.0/16 |
| Public 서브넷 CIDR | 10.101.1.0/24 |
| Private 서브넷 CIDR | 10.101.10.0/24 |
Private EC2 설정
먼저 KeyPair를 만듭니다.
이제 Security Group을 만들어보자.
기본적으로 Outbound Rule은 All traffic anyopen 합니다.
- Public SG
- Private SG
프라이빗 서브넷은 VPN CIDR 대역까지 오픈해줍니다.
- 인스턴스 생성
Pub, Priv 서브넷에 각각 인스턴스를 생성합니다. 이 부분은 스킵합니다.
Client VPN 설정
윈도우 환경에 있다면 bastion 리소스에서 작업합니다. 본 글에서는 MacOS / Linux 기준으로 설명할 예정입니다.
EasyRSA를 이용해서 ACM(Amazon Certificate Manager) 키를 생성할 예정입니다.
아래 명령어를 변수를 수정한 채로 실행하면 됩니다. 코드 블럭별로 실행해주세요.
도메인은 꼭 client.dns일 필요는 없습니다. 원하는 걸로 바꿔주세요. 중간에 나오는건 모두 yes 하면 됩니다.
git clone https://github.com/OpenVPN/easy-rsa.git
cd easy-rsa/easyrsa3./easyrsa init-pki
./easyrsa build-ca nopass
./easyrsa build-server-full server nopass
./easyrsa build-client-full client.dns nopass
mkdir ~/certs_files/
cp pki/ca.crt ~/certs_files/
cp pki/issued/server.crt ~/certs_files/
cp pki/private/server.key ~/certs_files/
cp pki/issued/client.dns.crt ~/certs_files
cp pki/private/client.dns.key ~/certs_files/
cd ~/certs_files/aws acm import-certificate --certificate fileb://server.crt --private-key fileb://server.key --certificate-chain fileb://ca.crt
aws acm import-certificate --certificate fileb://client.dns.crt --private-key fileb://client.dns.key --certificate-chain fileb://ca.crt
명령어가 모두 잘 실행되었다면, AWS ACM에 접속하도록 합시다.
ACM에 아래와 같이 인증서 2개가 잘 뜬다면, 정상적으로 진행한 것입니다.
이제 VPN > 클라이언트 VPN 엔드포인트로 접속합니다.
기본적으로 VPN의 IPv4 CIDR은 100.64.0.0/10으로 하지만, 이번에는 마스크를 16으로 두도록 하겠습니다.
- 인증 정보는 상호 인증 사용으로 하고, 서버와 클라이언트 인증서를 각각 매핑해줍니다.
만약, 서버 인증서에서 server가 뜨지 않는다면 서버 인증서를 처음부터 만들면 됩니다. 이 때, server가 아닌 server.awsmap 등의 존재하지 않는 tld로 바꾸어야 합니다.
이제부터 중요합니다.
아까 설정해준 VPC의 서브넷을 Primary DNS로 설정합니다. 단, 맨 끝은 2로 해야합니다.
엔드포인트를 생성한 후, 대상 네트워크 연결에서 아래와 같이 private subnet을 연결해줍니다.
그 후, 권한 부여 규칙 탭에서 아래와 같이 설정해줍니다.
필자의 경우 모든 사용자가 전체 VPC 대역을 이용할 수 있도록 하였지만, 이 설정은 원하는 대로 설정해도 됩니다.
이제, 클라이언트 구성 다운로드 버튼을 눌러 설정 파일을 다운로드합니다.
다운로드한 파일을 VSCode로 열고 내용들을 추가해줍니다.
위 내용처럼 잘 구성되었는지 확인합니다.
VSCode를 끄고, AWS VPN Client를 열어줍니다.
프로필까지 추가해줍니다.
연결 버튼을 누르면 아래와 같이 잘 연결된 것을 볼 수 있습니다.
