Règles et bonnes pratiques d'utilisation AWS Client VPN

AWS Client VPN est un service entièrement géré qui évolue automatiquement pour répondre aux besoins supplémentaires en matière de connexions utilisateur et de bande passante. Chaque connexion utilisateur dispose d'une bande passante de base maximale de 50 Mbit/s.

La bande passante réelle que vous obtenez en vous connectant via un point de terminaison VPN client peut varier en fonction de plusieurs facteurs. Ces facteurs incluent la taille des paquets, la composition du trafic (TCP/UDP mix), les politiques réseau (mise en forme ou limitation) sur les réseaux intermédiaires, les conditions Internet, les exigences spécifiques à l'application et le nombre total de connexions utilisateur simultanées. Si vous atteignez la limite de bande passante maximale, vous pouvez demander une augmentation via AWS Support.

Les plages CIDR client ne peuvent pas chevaucher la CIDR locale du VPC dans lequel se trouve le sous-réseau associé ou n'importe quelle route ajoutée manuellement à la table de routage du point de terminaison VPN Client.

Les plages CIDR client doivent avoir une taille de bloc d'au moins /22 et ne doivent pas être supérieures à /12.

Un certain nombre d'adresses de la plage CIDR client sont utilisées pour prendre en charge le modèle de disponibilité du point de terminaison VPN Client et ne peuvent pas être affectées aux clients. Par conséquent, nous vous recommandons d'affecter un bloc d'adresse CIDR contenant deux fois le nombre d'adresses IP requises pour activer le nombre maximal de connexions simultanées que vous prévoyez de prendre en charge sur le point de terminaison VPN Client.

La plage CIDR client ne peut pas être modifiée après la création du point de terminaison VPN Client.

Le VPN client prend en charge le trafic IPv4, IPv6 et le trafic à double pile (IPv4 et IPv6). Pour plus de détails sur la prise en charge du protocole IPv6, consultez IPv6 considérations pour AWS Client VPN.

Le VPN client effectue la traduction d'adresses de port (PAT) uniquement lorsque des utilisateurs simultanés se connectent à la même cible. La traduction des ports est automatique et nécessaire pour prendre en charge plusieurs connexions simultanées via le même point de terminaison VPN.

Par exemple, lorsque deux clients, le client 1 et le client 2, se connectent au même serveur de destination et au même port via un point de terminaison VPN client :

Pour le trafic IPv6, le VPN client n'effectue pas de traduction d'adresses réseau (NAT). Cela permet d'améliorer la visibilité de l'adresse IPv6 de l'utilisateur connecté.

Les sous-réseaux associés à un point de terminaison VPN Client doivent se trouver dans le même VPC.

Vous ne pouvez pas associer plusieurs sous-réseaux de la même zone de disponibilité à un point de terminaison VPN Client.

Un point de terminaison VPN Client ne prend pas en charge les associations de sous-réseaux dans un VPC de location dédiée.

Pour le trafic IPv6 ou double pile, les sous-réseaux associés doivent avoir des plages CIDR IPv6 ou double pile.

Pour les points de terminaison à double pile, vous ne pouvez pas associer plus d'un sous-réseau par zone de disponibilité.

Le portail libre-service n'est pas disponible pour les clients qui s'authentifient à l'aide d'une authentification mutuelle.

Si l'authentification multi-facteur (MFA) est désactivée pour votre Active Directory, les mots de passe utilisateur ne peuvent pas utiliser le format suivant.

SCRV1:base64_encoded_string:base64_encoded_string

Les certificats utilisés dans le VPN client AWS doivent respecter RFC 5280 : Internet X.509 Certificat d'infrastructure à clé publique et profil de liste de révocation de certificats (CRL), y compris les extensions de certificat spécifiées dans la section 4.2 du mémo.

Les noms d'utilisateur comportant des caractères spéciaux peuvent provoquer des erreurs de connexion.

La longueur maximale du nom d'utilisateur est de 1024 octets. Les connexions avec des noms d'utilisateur plus longs seront rejetées.

Nous ne recommandons pas de se connecter à un point de terminaison Client VPN à l'aide d'adresses IP. Puisque Client VPN est un service géré, vous constaterez que les adresses IP que le nom DNS résout peuvent parfois changer. En outre, vous verrez les interfaces réseau du VPN client supprimées et recréées dans votre CloudTrail journaux. Nous recommandons de se connecter au point de terminaison Client VPN en utilisant le nom DNS fourni.

Le service VPN client nécessite que l'adresse IP à laquelle le client est connecté corresponde à l'adresse IP à laquelle le nom DNS du point de terminaison VPN du client est résolu. En d'autres termes, si vous définissez un enregistrement DNS personnalisé pour le point de terminaison VPN client, puis que vous transférez le trafic vers l'adresse IP réelle à laquelle le nom DNS du point de terminaison est résolu, cette configuration ne fonctionnera pas avec les versions récentes AWS clients fournis. Cette règle a été ajoutée pour atténuer une attaque IP de serveur, comme décrit ici : TunnelCrack.

Vous pouvez utiliser un AWS client fourni pour se connecter à plusieurs sessions DNS simultanées. Toutefois, pour que la résolution des noms fonctionne correctement, les serveurs DNS de toutes les connexions doivent avoir des enregistrements synchronisés.

Le service VPN client nécessite que les plages d'adresses IP du réseau local (LAN) des appareils clients soient comprises dans les plages d'adresses IP privées standard suivantes : 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, ou 169.254.0.0/16. S'il est détecté que la plage d'adresses LAN du client se situe en dehors des plages ci-dessus, le point de terminaison du VPN client transmet automatiquement la directive OpenVPN « redirect-gateway block-local » au client, forçant ainsi tout le trafic LAN à entrer dans le VPN. Par conséquent, si vous avez besoin d'un accès au réseau local pendant les connexions VPN, il est conseillé d'utiliser les plages d'adresses classiques répertoriées ci-dessus pour votre réseau local. Cette règle est appliquée pour réduire les risques d'une attaque locale sur Internet, comme décrit ici : TunnelCrack.

Dans Windows, lorsqu'un point de terminaison à tunnel complet est utilisé, tout le trafic DNS est forcé via le tunnel, quel que soit le type d'adresse IP du point de terminaison (IPv4, IPv6 ou double pile). Pour que le DNS fonctionne, un serveur DNS doit être configuré et accessible dans le tunnel.

Le transfert IP n'est actuellement pas pris en charge lors de l'utilisation du AWS Client VPN application de bureau. Le transfert IP est pris en charge par d'autres clients.

Client VPN ne prend pas en charge la réplication multi-régions dans AWS Managed Microsoft AD. Le point de terminaison du VPN client doit se trouver dans la même région que AWS Managed Microsoft AD ressource.

Vous ne pouvez pas établir de connexion VPN à partir d'un ordinateur si plusieurs utilisateurs sont connectés au système d'exploitation.

Client-to-client la communication n'est pas prise en charge pour les clients IPv6. Si un client IPv6 essaie de communiquer avec un autre client IPv6, le trafic sera interrompu.

Les points de terminaison IPv6 et à double pile nécessitent que les appareils utilisateur et les fournisseurs de services Internet (ISP) prennent en charge la configuration IP correspondante.