AWS使用Client VPN使用双向身份验证

过相互身份验证，客户端 VPN 使用证书在客户端和服务器之间执行身份验证。证书是由证书颁发机构 （CA） 颁发的一种数字身份证明形式。当客户端尝试连接到客户端 VPN 终端节点时，服务器使用客户端证书对客户端进行身份验证。您必须创建服务器证书和密钥，以及至少一个客户端证书和密钥

步骤一：创建证书（以linux系统为例）

1.1将 OpenVPN easy-rsa 存储库克隆到本地

git clone https://github.com/OpenVPN/easy-rsa.git

1.2导航到该文件夹easy-rsa/easyrsa3

cd easy-rsa/easyrsa3

1.3初始化新的 PKI 环境

./easyrsa init-pki

1.4构建新的证书颁发机构 （CA）

./easyrsa build-ca nopass

填入自己的信息

1.5生成服务器证书和密钥。输入 yes 完成

./easyrsa build-server-full <servername> nopass

1.6生成客户端证书和密钥。输入 yes 完成。

请确保保存客户端证书和客户端私钥，因为在配置客户端时将需要它们。

./easyrsa build-client-full xxx.<servername>.com  nopass

步骤二：导入证书到ACM

在您选择的文本编辑器中打开位于

/easy-rsa/easyrsa3/pki/issued/<servername>.com.crt 中的文件

将位于文件底部的 -----BEGIN CERTIFICATE----- 并以 -----END CERTIFICATE----- 结尾的部分复制到证书正文中

在您选择的文本编辑器中打开位于

/easy-rsa/easyrsa3/pki/private/<servername>.com.key 中的文件

将从 -----BEGIN CERTIFICATE----- 开始并以 -----END CERTIFICATE----- 结尾的文件部分复制到证书私钥中

在您选择的文本编辑器中打开位于 /easy-rsa/easyrsa3/pki/ca.crt 中的文件

将从 -----BEGIN CERTIFICATE----- 开始并以 -----END CERTIFICATE----- 结尾的文件部分复制到证书链中

重复类似步骤将对应客户端证书和密钥上传

在您选择的文本编辑器中打开位于

/easy-rsa/easyrsa3/pki/issued/xxx.<servername>.crt 中的文件

将位于文件底部的 -----BEGIN CERTIFICATE----- 并以 -----END CERTIFICATE----- 结尾的部分复制到证书正文中

在您选择的文本编辑器中打开位于

/easy-rsa/easyrsa3/pki/private/xxx.<servername>.com.key 中的文件

将从 -----BEGIN CERTIFICATE----- 开始并以 -----END CERTIFICATE----- 结尾的文件部分复制到证书私钥中

在您选择的文本编辑器中打开位于 /easy-rsa/easyrsa3/pki/ca.crt 中的文件

将从 -----BEGIN CERTIFICATE----- 开始并以 -----END CERTIFICATE----- 结尾的文件部分复制到证书链中

步骤三：创建客户端VPN端点

配置VPC和安全组，安全组要开放443或1194端口

配置关联的子网

管理授权规则

下载客户端配置文件

打开文件在后面添加客户端的证书和密钥

easy-rsa/easyrsa3/pki/issued/user1.awsclientvpnworkshop.com.crt

easy-rsa/easyrsa3/pki/private/user1.awsclientvpnworkshop.com.key

<cert>

Contents of client certificate (.crt) file [user1.awsclientvpnworkshop.com.crt] beginning from **-----BEGIN CERTIFICATE-----** and ending with **-----END CERTIFICATE-----**

</cert>

<key>

Contents of private key (.key) file [user1.awsclientvpnworkshop.com.key] beginning from **-----BEGIN CERTIFICATE-----** and ending with **-----END CERTIFICATE-----**

</key>

然后下载客户端

AWS Client VPN 下载 | Amazon Web Services
下载完后打开客户端配置文件

选择配置文件连接

选择一个EC2测试

ping测试