AWSのClient VPNでリモートワーカーをVPCにセキュアに接続する方法｜エンドポイント設計と認証・ルーティングの実践

この記事のポイント

・AWS Client VPNで個々のデバイスからVPCへセキュアに接続できる
・相互TLS認証ではEasy-RSAで証明書を発行しACMに登録する
・スプリットトンネルを有効にするとVPC宛の通信のみVPN経由になる
・複数AZのサブネットに関連付けることで冗長性を確保できる

# Easy-RSA をインストール
sudo apt install easy-rsa -y

# PKI ディレクトリを初期化
make-cadir ~/client-vpn-pki
cd ~/client-vpn-pki
./easyrsa init-pki

# CA 証明書を作成（Common Name は任意）
./easyrsa build-ca nopass

# サーバー証明書を作成
./easyrsa build-server-full server nopass

# クライアント証明書を作成（クライアントごとに別名を付ける）
./easyrsa build-client-full client1 nopass

# サーバー証明書を ACM にインポート
aws acm import-certificate \
  --certificate fileb://pki/issued/server.crt \
  --private-key fileb://pki/private/server.key \
  --certificate-chain fileb://pki/ca.crt \
  --region ap-northeast-1

# クライアント証明書を ACM にインポート
aws acm import-certificate \
  --certificate fileb://pki/issued/client1.crt \
  --private-key fileb://pki/private/client1.key \
  --certificate-chain fileb://pki/ca.crt \
  --region ap-northeast-1

{
    "CertificateArn": "arn:aws:acm:ap-northeast-1:123456789012:certificate/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
}

# CloudWatch Logs グループを事前に作成
aws logs create-log-group \
  --log-group-name /aws/client-vpn \
  --region ap-northeast-1

# Client VPN エンドポイントの作成（相互TLS・スプリットトンネル有効・接続ログ記録）
aws ec2 create-client-vpn-endpoint \
  --client-cidr-block 192.168.100.0/22 \
  --server-certificate-arn arn:aws:acm:ap-northeast-1:123456789012:certificate/server-arn \
  --authentication-options Type=certificate-authentication,MutualAuthentication={ClientRootCertificateChainArn=arn:aws:acm:ap-northeast-1:123456789012:certificate/client-arn} \
  --connection-log-options Enabled=true,CloudwatchLogGroup=/aws/client-vpn,CloudwatchLogStream=connections \
  --split-tunnel \
  --vpc-id vpc-0123456789abcdef0 \
  --security-group-ids sg-0abc123def456gh78 \
  --region ap-northeast-1

# サブネットに関連付け（2つのAZのプライベートサブネットを指定）
aws ec2 associate-client-vpn-target-network \
  --client-vpn-endpoint-id cvpn-endpoint-xxxxxxxxxxxxxxxxx \
  --subnet-id subnet-0aaabbbccc111 \
  --region ap-northeast-1

aws ec2 associate-client-vpn-target-network \
  --client-vpn-endpoint-id cvpn-endpoint-xxxxxxxxxxxxxxxxx \
  --subnet-id subnet-0dddeeefff222 \
  --region ap-northeast-1

# VPC CIDR（10.0.0.0/16）へのルートを追加
aws ec2 create-client-vpn-route \
  --client-vpn-endpoint-id cvpn-endpoint-xxxxxxxxxxxxxxxxx \
  --destination-cidr-block 10.0.0.0/16 \
  --target-vpc-subnet-id subnet-0aaabbbccc111 \
  --region ap-northeast-1

# VPC 全体（10.0.0.0/16）へのアクセスを全クライアントに許可
aws ec2 authorize-client-vpn-ingress \
  --client-vpn-endpoint-id cvpn-endpoint-xxxxxxxxxxxxxxxxx \
  --target-network-cidr 10.0.0.0/16 \
  --authorize-all-groups \
  --region ap-northeast-1

# Active Directory 認証の場合（ADグループ単位のアクセス制御）
aws ec2 authorize-client-vpn-ingress \
  --client-vpn-endpoint-id cvpn-endpoint-xxxxxxxxxxxxxxxxx \
  --target-network-cidr 10.0.0.0/16 \
  --access-group-id S-1-5-21-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-xxxx \
  --region ap-northeast-1

# EC2 セキュリティグループに VPN クライアント CIDR からの SSH を許可
aws ec2 authorize-security-group-ingress \
  --group-id sg-0ec2instance1234 \
  --protocol tcp \
  --port 22 \
  --cidr 192.168.100.0/22 \
  --region ap-northeast-1

# ダウンロードした .ovpn ファイルに証明書と鍵を追記
cat >> downloaded-config.ovpn << 'OVPNEOF'

-----BEGIN CERTIFICATE-----
MIIDpDCCAoygAwIBAgIRAK（省略）
-----END CERTIFICATE-----


-----BEGIN PRIVATE KEY-----
MIIEvAIBADANBgkqhkiG9w0（省略）
-----END PRIVATE KEY-----

OVPNEOF

# OpenVPN で接続
sudo openvpn --config downloaded-config.ovpn --daemon

2026-08-06 17:33:10 TCP connection established with [AF_INET]13.xx.xxx.xxx:443
2026-08-06 17:33:11 [server] Peer Connection Initiated with [AF_INET]13.xx.xxx.xxx:443
2026-08-06 17:33:12 TUN/TAP device tun0 opened
2026-08-06 17:33:12 net_iface_up: set tun0 up
2026-08-06 17:33:12 Initialization Sequence Completed

# Linux クライアントでルートを確認
ip route show | grep tun0

# 出力例（スプリットトンネル有効時）
10.0.0.0/16 via 192.168.100.1 dev tun0
192.168.100.0/22 via 192.168.100.1 dev tun0

# VPC 内の EC2 に SSH 接続（プライベートIPで直接アクセス）
ssh -i ~/.ssh/mykey.pem ec2-user@10.0.1.100

# 成功すると次のように表示される
[ec2-user@ip-10-0-1-100 ~]$

# VPC の DNS 設定を確認（名前解決に必須の2項目）
aws ec2 describe-vpc-attribute \
  --vpc-id vpc-0123456789abcdef0 \
  --attribute enableDnsHostnames \
  --query "EnableDnsHostnames.Value"
# → true であること

aws ec2 describe-vpc-attribute \
  --vpc-id vpc-0123456789abcdef0 \
  --attribute enableDnsSupport \
  --query "EnableDnsSupport.Value"
# → true であること

aws ec2 modify-vpc-attribute \
  --vpc-id vpc-0123456789abcdef0 \
  --enable-dns-hostnames

aws ec2 modify-vpc-attribute \
  --vpc-id vpc-0123456789abcdef0 \
  --enable-dns-support

# Client VPN エンドポイントの状態確認
aws ec2 describe-client-vpn-endpoints \
  --client-vpn-endpoint-ids cvpn-endpoint-xxxxxxxxxxxxxxxxx \
  --query 'ClientVpnEndpoints[0].{Status:Status.Code,VpcId:VpcId,SplitTunnel:SplitTunnel}' \
  --output table

# 出力例
---------------------------------------------
|     DescribeClientVpnEndpoints            |
+---------------+-----------+---------------+
| SplitTunnel   | Status    | VpcId         |
+---------------+-----------+---------------+
| True          | available | vpc-0123456789|
+---------------+-----------+---------------+

# 現在の VPN 接続セッションを確認
aws ec2 describe-client-vpn-connections \
  --client-vpn-endpoint-id cvpn-endpoint-xxxxxxxxxxxxxxxxx \
  --query 'Connections[*].{User:Username,Status:Status.Code,IP:ClientIp}' \
  --output table

# 証明書の有効期限とステータスを確認
aws acm describe-certificate \
  --certificate-arn arn:aws:acm:ap-northeast-1:123456789012:certificate/xxxx \
  --query "Certificate.{Status:Status,NotAfter:NotAfter}" \
  --output table