前書
OpenVPNサーバーをPublic Subnet配置し、そして直接Public IPを経由することで、接続するのが一般的なやり方だと考えられます。
ただし、本番環境では、Public IPを安易に公開することは、みなさんは控えたいですよね。
そこで、OpenVPNサーバーをPrivate Subentに配置し、つまりPublic IPを持たせず、ALBを前に置いておき、そしてNLB経由で実際クライアント側と接続することを考えました。
構成図
簡単に構成図を書きました。
- user -> ALB のアクセスは、HTTPS通信です。ただし、
/admin/パスに対してはIP制御をかけています。 - NLB -> User のアクセスは、UDP1194とTCP443を経由しています。
- ACMとRoute53を用いて、ALBとNLBにSSL証明書の発行とドメインの関連付けをします。
１．OpenVPNサーバーの構築
詳細OpenVPNの構築手順はここで省きますが、以下公式ドキュメントをご覧ください。
ちなみに私はAmazonLinux2を使って構築していました。
なお、EC2用のセキュリティグループは以下のように設定します。
２．ACMでSSL証明書をリクエスト（Route53にドメインがあることが前提）
今回ALBで利用するSSL証明書をvpn-alb-01.xxxxxxxにして、作成しました。
NLB用のSSL証明書をvpn-nlb-01.xxxxxxxにして、リクエストする
証明書をリクエスト成功したら、それぞれRoute53にレコードの追加を忘れずに行うこと。
3. ALBを作成する
まずALB用のセキュリティグループを作成する
HTTPS 443 を開放する
ALBのバックエンドとしてOpenVPNサーバーがALBのターゲットとなるため、ターゲットグループを作成し、OpenVPNサーバーをターゲットに入れてください。
なお、Health CheckはHTTPSの443ポートです。
インターネット向けのALBを作成します。
リスナーをHTTPSにし、上記作成したtarget groupを選択します。
ACMからALB用のSSL証明書を選択の上、作成します。
４．ALB用のドメインレコードをRoute53で作成
ALBが作成されたら、DNS名をRoute53のドメインにCNAMEとして追加すること
５．NLBを作成する
NLB用のターゲットグループを２つ作成します。
- TCP 443ポートのTarget Group
- UDP 1194ポートのTarget Group。なおここのヘルスチェックポートを22番ポートに変更すること
インターネット向けのNLBを作成します。
上記2ターゲットグループを選択します。
６．ALB用のドメインレコードをRoute53で作成
NLBが作成されたら、DNS名をRoute53のドメインにCNAMEとして追加すること
７．ALBの/admin/パスに対するIP制御
パス/admin/へのアクセスは、特定のIPしかできないように絞ること。
なぜそうするかというと、パス/admin/には、OpenVPNの管理画面であり、それをIP絞ってのアクセスとする。
設定方法はリスナーに以下のルールを設定すれば良いです。
８．OpenVPNサーバーの設定
ALBのドメインに対する接続します。
ログインできたら、「Go to Admin Panel」を押下します。
管理画面が入れたら、「CONFIGURATION」->「NETWORK SETTINGS」->「Hostname or IP Address」に、NLBのドメインURLを入れ替えてください
なお、テストとして、あらかじめALBのリスナールールの/admin/パスに定義していないIPからアクセスすると、403エラーが確認できました。
９．VPN接続確認
「OpenVPN Connect」ツールから、ALBのドメインURLを入れてください
ログインIDとPWを入力の上、無事に接続できました。
本記事はどなたの参考になれば嬉しいです。
参考
以下の記事を参考しました。