Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Intégration de Transit Gateway au Client VPN

Vous pouvez connecter un point de terminaison Client VPN de manière native à un Transit Gateway pour un accès à distance sécurisé à plusieurs VPCs réseaux locaux et à d'autres ressources connectées au Transit Gateway. Il n'est donc plus nécessaire de créer des points de terminaison VPN distincts pour chaque VPC ou de gérer un routage complexe via un intermédiaire. VPCs

Présentation de

Lorsque vous associez un Transit Gateway à un point de terminaison VPN client, les clients VPN connectés peuvent accéder à toutes les ressources connectées au Transit Gateway si les itinéraires et les règles d'autorisation appropriés sont configurés dans le point de terminaison VPN du client.

Les points de terminaison associés à Transit Gateway préservent l'adresse IP source du client. La traduction des adresses réseau source (SNAT) n'est pas appliquée, ce qui améliore la visibilité du trafic client.

Avantages

L'intégration de Transit Gateway au Client VPN offre les avantages suivants :

Comment fonctionne l'intégration de Transit Gateway

Ce qui suit décrit le fonctionnement du Client VPN avec Transit Gateway :

Conditions préalables

Avant de créer un point de terminaison VPN client associé à Transit Gateway, vérifiez les exigences suivantes.

Création d'un point de terminaison VPN pour Client Transit Gateway

Vous pouvez créer un point de terminaison Client VPN associé à un Transit Gateway à l'aide de la console ou du AWS CLI.

Pour créer un point de terminaison VPN pour Client Transit Gateway (AWS CLI)

Utilisez la commande create-client-vpn-endpoint avec le paramètre --transit-gateway-id.

L'exemple suivant crée un point de terminaison Client VPN avec des zones de disponibilité spécifiques :

aws ec2 create-client-vpn-endpoint \
    --client-cidr-block 10.0.0.0/22 \
    --server-certificate-arn arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-11111EXAMPLE \
    --authentication-options Type=certificate-authentication,MutualAuthentication={ClientRootCertificateChainArn=arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE} \
    --connection-log-options Enabled=false \
    --transit-gateway-id tgw-0a1b2c3d4e5f6EXAMPLE \
    --availability-zone-list us-east-1a us-east-1b us-east-1c

Exemple de sortie :

{
    "ClientVpnEndpointId": "cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE",
    "Status": {
        "Code": "pending-associate"
    },
    "DnsName": "cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE.prod.clientvpn.us-east-1.amazonaws.com"
}

Pour sélectionner AWS automatiquement 2 zones de disponibilité, omettez le --availability-zone-list paramètre :

aws ec2 create-client-vpn-endpoint \
    --client-cidr-block 10.0.0.0/22 \
    --server-certificate-arn arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-11111EXAMPLE \
    --authentication-options Type=certificate-authentication,MutualAuthentication={ClientRootCertificateChainArn=arn:aws:acm:us-east-1:123456789012:certificate/a1b2c3d4-5678-90ab-cdef-22222EXAMPLE} \
    --connection-log-options Enabled=false \
    --transit-gateway-id tgw-0a1b2c3d4e5f6EXAMPLE

Vérifiez la pièce jointe Transit Gateway

Après avoir créé le point de terminaison, vérifiez que la pièce jointe Transit Gateway a été créée.

Pour vérifier la pièce jointe Transit Gateway (AWS CLI)

Utilisez la commande describe-transit-gateway-attachments.

aws ec2 describe-transit-gateway-attachments \
    --filters Name=transit-gateway-id,Values=tgw-0a1b2c3d4e5f6EXAMPLE Name=resource-type,Values=client-vpn

Pour afficher la configuration de Transit Gateway pour le point de terminaison, utilisez la describe-client-vpn-endpointscommande :

aws ec2 describe-client-vpn-endpoints \
    --client-vpn-endpoint-ids cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE

La sortie inclut un TransitGatewayConfiguration objet avec l'ID Transit Gateway et les zones de disponibilité associées.

Gérez les itinéraires

Pour ajouter un itinéraire (AWS CLI)

Utilisez la create-client-vpn-routecommande sans le --target-vpc-subnet-id paramètre.

aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.1.0.0/16

Pour ajouter plusieurs itinéraires, exécutez la commande pour chaque plage d'adresses CIDR de destination :

# Route to VPC 1
aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.1.0.0/16

# Route to VPC 2
aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.2.0.0/16

# Route to on-premises network
aws ec2 create-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 192.168.0.0/16

Pour supprimer un itinéraire (AWS CLI)

Utilisez la commande delete-client-vpn-route.

aws ec2 delete-client-vpn-route \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --destination-cidr-block 10.1.0.0/16

Configuration de l’autorisation

Pour ajouter une règle d'autorisation (AWS CLI)

Utilisez la commande authorize-client-vpn-ingress.

L'exemple suivant autorise tous les utilisateurs à accéder au 10.1.0.0/16 réseau :

aws ec2 authorize-client-vpn-ingress \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --target-network-cidr 10.1.0.0/16 \
    --authorize-all-groups

L'exemple suivant autorise un groupe Active Directory spécifique :

aws ec2 authorize-client-vpn-ingress \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --target-network-cidr 10.1.0.0/16 \
    --access-group-id S-1-2-34-1234567890-1234567890-1234567890-1234

Gérer les zones de disponibilité

Vous pouvez modifier les zones de disponibilité d'un point de terminaison VPN client associé à Transit Gateway après sa création.

Pour ajouter une seule zone de disponibilité (AWS CLI)

Utilisez la commande associate-client-vpn-target-network avec le --availability-zone paramètre.

aws ec2 associate-client-vpn-target-network \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --availability-zone us-east-1c

Pour supprimer une seule zone de disponibilité (AWS CLI)

Tout d'abord, utilisez la commande describe-client-vpn-target-networks pour trouver l'ID d'association pour la zone de disponibilité.

aws ec2 describe-client-vpn-target-networks \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE

Utilisez ensuite la commande disassociate-client-vpn-target-network avec l'ID d'association.

aws ec2 disassociate-client-vpn-target-network \
    --client-vpn-endpoint-id cvpn-endpoint-0a1b2c3d4e5f6EXAMPLE \
    --association-id cvpn-assoc-0a1b2c3d4e5f6EXAMPLE

Accès à Transit Gateway entre comptes

Vous pouvez créer un point de terminaison Client VPN associé à un Transit Gateway appartenant à un autre AWS compte. Pour ce faire, le propriétaire du Transit Gateway doit partager le Transit Gateway avec votre compte via AWS Resource Access Manager.

Dans le compte de point de terminaison VPN du Client, acceptez le partage des ressources dans la AWS Resource Access Manager console ou à l'aide de la accept-resource-share-invitationcommande. Une fois que vous avez accepté le partage, le Transit Gateway apparaît dans le menu déroulant Transit Gateway ID lorsque vous créez un point de terminaison Client VPN.

Considérations et restrictions

Tenez compte des points suivants lorsque vous utilisez l'intégration de Transit Gateway avec Client VPN :