AWSのClient VPNでリモートワーカーをVPCにセキュアに接続する方法｜エンドポイント設計と認証・ルーティングの実践

この記事のポイント

・AWS Client VPNで個々のデバイスからVPCへセキュアに接続できる
・相互TLS認証ではEasy-RSAで証明書を発行しACMに登録する
・スプリットトンネルを有効にするとVPC宛の通信のみVPN経由になる
・複数AZのサブネットに関連付けることで冗長性を確保できる

# Easy-RSA をインストール
sudo apt install easy-rsa -y

# PKI ディレクトリを初期化
make-cadir ~/client-vpn-pki
cd ~/client-vpn-pki
./easyrsa init-pki

# CA 証明書を作成（Common Name は任意）
./easyrsa build-ca nopass

# サーバー証明書を作成
./easyrsa build-server-full server nopass

# クライアント証明書を作成（クライアントごとに別名を付ける）
./easyrsa build-client-full client1 nopass

# サーバー証明書を ACM にインポート
aws acm import-certificate   --certificate fileb://pki/issued/server.crt   --private-key fileb://pki/private/server.key   --certificate-chain fileb://pki/ca.crt   --region ap-northeast-1

# クライアント証明書を ACM にインポート
aws acm import-certificate   --certificate fileb://pki/issued/client1.crt   --private-key fileb://pki/private/client1.key   --certificate-chain fileb://pki/ca.crt   --region ap-northeast-1

{
    "CertificateArn": "arn:aws:acm:ap-northeast-1:123456789012:certificate/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
}

# Client VPN エンドポイントの作成（相互TLS・スプリットトンネル有効）
aws ec2 create-client-vpn-endpoint   --client-cidr-block 192.168.100.0/22   --server-certificate-arn arn:aws:acm:ap-northeast-1:123456789012:certificate/server-arn   --authentication-options Type=certificate-authentication,MutualAuthentication={ClientRootCertificateChainArn=arn:aws:acm:ap-northeast-1:123456789012:certificate/client-arn}   --connection-log-options Enabled=false   --split-tunnel   --vpc-id vpc-0123456789abcdef0   --security-group-ids sg-0abc123def456gh78   --region ap-northeast-1

# サブネットに関連付け（2つのAZのプライベートサブネットを指定）
aws ec2 associate-client-vpn-target-network   --client-vpn-endpoint-id cvpn-endpoint-xxxxxxxxxxxxxxxxx   --subnet-id subnet-0aaabbbccc111   --region ap-northeast-1

aws ec2 associate-client-vpn-target-network   --client-vpn-endpoint-id cvpn-endpoint-xxxxxxxxxxxxxxxxx   --subnet-id subnet-0dddeeefff222   --region ap-northeast-1

# VPC CIDR（10.0.0.0/16）へのルートを追加
aws ec2 create-client-vpn-route   --client-vpn-endpoint-id cvpn-endpoint-xxxxxxxxxxxxxxxxx   --destination-cidr-block 10.0.0.0/16   --target-vpc-subnet-id subnet-0aaabbbccc111   --region ap-northeast-1

# VPC 全体（10.0.0.0/16）へのアクセスを全クライアントに許可
aws ec2 authorize-client-vpn-ingress   --client-vpn-endpoint-id cvpn-endpoint-xxxxxxxxxxxxxxxxx   --target-network-cidr 10.0.0.0/16   --authorize-all-groups   --region ap-northeast-1

# EC2 セキュリティグループに VPN クライアント CIDR からの SSH を許可
aws ec2 authorize-security-group-ingress   --group-id sg-0ec2instance1234   --protocol tcp   --port 22   --cidr 192.168.100.0/22   --region ap-northeast-1

# ダウンロードした .ovpn ファイルに証明書と鍵を追記
cat >> downloaded-config.ovpn << 'OVPNEOF'

-----BEGIN CERTIFICATE-----
MIIDpDCCAoygAwIBAgIRAK（省略）
-----END CERTIFICATE-----


-----BEGIN PRIVATE KEY-----
MIIEvAIBADANBgkqhkiG9w0（省略）
-----END PRIVATE KEY-----

OVPNEOF

# OpenVPN で接続
sudo openvpn --config downloaded-config.ovpn --daemon

2026-08-06 17:33:10 TCP connection established with [AF_INET]13.xx.xxx.xxx:443
2026-08-06 17:33:11 [server] Peer Connection Initiated with [AF_INET]13.xx.xxx.xxx:443
2026-08-06 17:33:12 TUN/TAP device tun0 opened
2026-08-06 17:33:12 net_iface_up: set tun0 up
2026-08-06 17:33:12 Initialization Sequence Completed

# Linux クライアントでルートを確認
ip route show | grep tun0

# 出力例（スプリットトンネル有効時）
10.0.0.0/16 via 192.168.100.1 dev tun0
192.168.100.0/22 via 192.168.100.1 dev tun0

# VPC 内の EC2 に SSH 接続（プライベートIPで直接アクセス）
ssh -i ~/.ssh/mykey.pem ec2-user@10.0.1.100

# 成功すると次のように表示される
[ec2-user@ip-10-0-1-100 ~]$

# Client VPN エンドポイントの状態確認
aws ec2 describe-client-vpn-endpoints   --client-vpn-endpoint-ids cvpn-endpoint-xxxxxxxxxxxxxxxxx   --query 'ClientVpnEndpoints[0].{Status:Status.Code,VpcId:VpcId,SplitTunnel:SplitTunnel}'   --output table

# 出力例
---------------------------------------------
|     DescribeClientVpnEndpoints            |
+---------------+-----------+---------------+
| SplitTunnel   | Status    | VpcId         |
+---------------+-----------+---------------+
| True          | available | vpc-0123456789|
+---------------+-----------+---------------+