AWS VPN

Anotações sobre o AWS VPN para ajudar na preparação das certificações AWS.

Até o momento as anotações são para as certificações abaixo:

• Link oficial
• FAQ

---

Anotações gerais

• Conecta nas instancias que estão na subnet privada
• VPN Server fica na subnet pública
• Não garante proteção end-to-end
• Criptografia de dados na Internet
• Proteção de dados In Transit
• Autenticação entre o VPN Gateway e o Gateway do cliente
• Proteção da integridade dos dados na Internet

---

AWS VPN Client

Documentação oficial

Definição do fornecedor
O AWS Client VPN fornece uma solução VPN totalmente gerenciada que pode ser acessada de qualquer lugar com uma conexão à Internet e um cliente compatível com OpenVPN.

Links importantes

• O que é VPN do cliente da AWS?
• Better Security & Performance with AWS VPN Innovations

---

AWS Site to Site VPN

Documentação oficial

• Acesso seguro da AWS ao On-Premise
• Acesso Público
• Tráfego seguro entre on-premise e AWS
• Para aplicativos distribuídos globalmente, a opção Accelerated Site-to-Site VPN oferece desempenho ainda maior ao trabalhar com o **AWS Global Accelerator **para rotear seu tráfego de forma inteligente para o endpoint de rede AWS mais próximo com o melhor desempenho.

Virtual Private Gateway
Documentação oficial

• Automático HA em AZ diferente
• Customer Gateway -> Firewall do lado do cliente

Links importantes

• Better Security and Performance with AWS VPN Innovations

---

Endpoints do Client VPN

Documentação oficial

Definição do fornecedor
Todas as sessões de Client VPN são encerradas no endpoint do Client VPN. Você configura o endpoint do Client VPN para gerenciar e controlar todas as sessões de Client VPN.

• Generate certificates - ca.crt, server.crt e client.crt
• VPN port - 443
• Deve associar o VPN Client a subnet

Autenticação Client VPN
Documentação oficial

Tipos de autenticação de cliente:

• Autenticação do Active Directory (baseada no usuário)
• Autenticação mútua (baseada em certificado)
• Single Sign-On (autenticação federada baseada em SAML) (baseado no usuário)

Commands to Setup ClientVPN Endpoint
Step 1: Generate Certificates:
sudo yum -y install git
git clone https://github.com/OpenVPN/easy-rsa.git
cd easy-rsa/easyrsa3
./easyrsa init-pki
./easyrsa build-ca nopass
./easyrsa build-server-full server nopass
./easyrsa build-client-full client1.kplabs.internal nopass

Step 2: Copy Certificates to Central Folder:
mkdir ~/custom_folder/
cp pki/ca.crt ~/custom_folder/
cp pki/issued/server.crt ~/custom_folder/
cp pki/private/server.key ~/custom_folder/
cp pki/issued/client1.kplabs.internal.crt ~/custom_folder
cp pki/private/client1.kplabs.internal.key ~/custom_folder/
cd ~/custom_folder/

Step 3: Upload Certificate to ACM:
aws acm import-certificate --certificate fileb://server.crt --private-key fileb://server.key --certificate-chain fileb://ca.crt --region ap-southeast-1

Step 4: Copy the Certificates to Laptop:
scp ec2-user@IP:/home/ec2-user/custom_folder/client* 

Step 5: Central Client Configuration File:
Following contents to be added to central ovpn configuration file -
<cert>
Contents of client certificate (.crt) file
</cert>
<key>
Contents of private key (.key) file
</key>

Step 6: Prepend the DNS Name.