¿Qué es AWS Client VPN?

AWS Client VPN es un servicio de VPN gestionado y basado en clientes que le permite acceder de forma segura a sus AWS recursos y recursos de la red local. Con Client VPN, puede acceder a los recursos desde cualquier ubicación utilizando un cliente de VPN basado en OpenVPN.

Temas

• Características de Client VPN

• Componentes de Client VPN

• Uso de Client VPN

• Precios de Client VPN

• Reglas y prácticas recomendadas

Características de Client VPN

Client VPN cuenta con las siguientes características y funcionalidades:

• Conexiones seguras: proporciona una conexión TLS segura desde cualquier ubicación mediante el cliente de OpenVPN.

• Servicio gestionado: es un servicio AWS gestionado, por lo que elimina la carga operativa que supone implementar y gestionar una solución VPN de acceso remoto de terceros.

• Alta disponibilidad y elasticidad: se adapta automáticamente a la cantidad de usuarios que se conectan a sus AWS recursos y a los recursos locales.

• Autenticación: admite la autenticación del cliente a través Active Directory, la autenticación federada y la autenticación basada en certificados.

• Control más preciso: permite implementar controles de seguridad personalizados a través de reglas de acceso basadas en red. Estas reglas se pueden configurar en la granularidad de los grupos de Active Directory. También puede implementar el control de acceso mediante el uso de grupos de seguridad.

• Facilidad de uso: le permite acceder a sus AWS recursos y a los recursos locales mediante un único túnel VPN.

• Facilidad de administración: permite ver los registros de conexión, que contienen información detallada sobre los intentos de conexión del cliente. También puede administrar conexiones de clientes activas y posee la capacidad de terminar las conexiones de clientes activas.

• Integración profunda: se integra con los AWS servicios existentes, incluida AWS Directory Service Amazon VPC.

Componentes de Client VPN

Estos son los conceptos clave de Client VPN:

Punto de enlace de Client VPN

El punto de enlace de Client VPN es el recurso que usted crea y configura para activar y administrar sesiones de Client VPN. Es el punto de terminación de todas las sesiones de Client VPN.

Red de destino

Una red de destino es la red que se asocia a un punto de enlace de Client VPN. Una subred de una VPC es una red de destino. La asociación de una subred con un punto de enlace de Client VPN le permite establecer las sesiones de VPN. Puede asociar varias subredes con un punto de enlace de Client VPN para disfrutar de una alta disponibilidad. Todas las subredes deben ser de la misma VPC. Cada subred debe pertenecer a una zona de disponibilidad diferente.

Ruta

Cada punto de enlace de Client VPN tiene una tabla de ruta que describe las rutas de la red de destino disponibles. Cada ruta de la tabla de enrutamiento especifica la ruta del tráfico a recursos o redes específicos.

Reglas de autorización

Una regla de autorización restringe los usuarios que pueden obtener acceso a una red. Para una red especificada, se configura el grupo de proveedor de identidades (IdP) o de Active Directory al que se permite el acceso. Solo los usuarios que pertenezcan a este grupo pueden obtener acceso a la red especificada. De forma predeterminada, no hay reglas de autorización, por lo que debe configurarlas para permitir que los usuarios obtengan acceso a los recursos y redes.

Cliente

Usuario final que se conecta al punto de enlace de Client VPN para establecer una sesión de VPN. Los usuarios finales tienen que descargar un cliente OpenVPN y utilizar el archivo de configuración de la VPN de cliente que creó para establecer una sesión de VPN.

Rango de CIDR del cliente

Un rango de direcciones IP desde el que asignar direcciones IP del cliente. A cada conexión con el punto de enlace de Client VPN se le asigna una dirección IP única del intervalo CIDR del cliente. Puede elegir el rango de CIDR del cliente, por ejemplo, 10.2.0.0/16.

Puertos de Client VPN

AWS Client VPN admite los puertos 443 y 1194 tanto para TCP como para UDP. El valor predeterminado es el puerto 443.

Interfaces de red de Client VPN

Cuando asocia una subred con el punto de enlace de Client VPN, se crean interfaces de red de Client VPN en esa subred. El tráfico que se envía a la VPC desde el punto de enlace de Client VPN se envía a través de una interfaz de red de Client VPN. A continuación, se aplica la traducción de direcciones de red de origen (SNAT), donde la dirección IP de origen del intervalo CIDR del cliente se traduce en la dirección IP de la interfaz de red de Client VPN.

Registro de conexión

Puede activar los registros de conexión en el punto de enlace de Client VPN para que los eventos de conexión queden registrados. Esta información puede resultar útil para ejecutar análisis forenses, analizar cómo se está utilizando el punto de enlace de Client VPN o depurar problemas de conexión.

Portal de autoservicio

Client VPN proporciona un portal de autoservicio como página web para que los usuarios finales descarguen la versión más reciente de AWS VPN Desktop Client y del archivo de configuración del punto de enlace de Client VPN, que contiene la configuración necesaria con el fin de conectarse al punto de enlace. El administrador del punto de enlace de Client VPN puede habilitar o desactivar un portal de autoservicio para el punto de enlace de Client VPN. El portal de autoservicio es un servicio global respaldado por paquetes de servicios en las siguientes regiones: EE. UU. Este (Virginia del Norte), Asia Pacífico (Tokio), Europa (Irlanda) y AWS GovCloud (EE. UU. Oeste).

Uso de Client VPN

Puede utilizar Client VPN de cualquiera de las siguientes formas:

AWS Management Console

La consola proporciona una interfaz de usuario basada en web para Client VPN. Si se ha registrado en una Cuenta de AWS, puede iniciar sesión en la consola de Amazon VPC y seleccionar Client VPN en el panel de navegación.

AWS Command Line Interface (AWS CLI)

AWS CLI Proporciona acceso directo al público de Client VPN APIs. Es compatible con Windows, macOS y Linux. Para obtener más información sobre cómo empezar a utilizarla AWS CLI, consulte la Guía del AWS Command Line Interface usuario. Para obtener más información sobre los comandos de Client VPN, consulte la EC2 sección de Amazon EC2 Command Line Reference.

AWS Tools for Windows PowerShell

AWS proporciona comandos para un amplio conjunto de AWS ofertas para quienes escriben en el PowerShell entorno. Para obtener más información acerca de cómo empezar a trabajar con AWS Tools for Windows PowerShell, consulte la Guía del usuario de AWS Tools for Windows PowerShell. Para obtener más información acerca de los cmdlets de Client VPN, consulte la Referencia de Cmdlet de AWS Tools for Windows PowerShell.

API de consulta

La API de consulta HTTPS de Client VPN le brinda acceso programático a Client VPN y AWS. La API de consulta HTTPS le permite emitir solicitudes HTTPS directamente al servicio. Cuando use la API HTTPS, debe incluir código para firmar digitalmente las solicitudes utilizando sus credenciales. Para obtener más información, consulte las acciones de AWS Client VPN.

Precios de Client VPN

Se le cobra por cada asociación de puntos de conexión y cada conexión VPN cada hora. Para obtener más información, consulte Precios de AWS Client VPN.

Se te cobrará por la transferencia de datos de Amazon EC2 a Internet. Para obtener más información, consulta Transferencia de datos en la página de precios EC2 bajo demanda de Amazon.

Si habilita el registro de conexiones para su terminal Client VPN, debe crear un grupo de CloudWatch registros en su cuenta. Se aplican cargos por el uso de grupos de registro. Para obtener más información, consulta CloudWatch los precios de Amazon (en el nivel de pago, selecciona Logs).

Si activa el controlador de la conexión del cliente en el punto de enlace de Client VPN, debe crear e invocar una función Lambda. Se aplicarán cargos por invocar funciones de Lambda. Para más información, consulte Precios de AWS Lambda.

Los puntos de conexión de Client VPN están asociados con una red de destino, que es una subred en una VPC. Si esta VPC tiene una puerta de enlace a Internet, asociamos las direcciones IP elásticas a las interfaces de red elásticas de Client VPN ()ENIs. Estas direcciones IP elásticas se cobran como direcciones públicas IPv4 en uso. Para obtener más información, consulte la pestaña Public IPv4 Address en la página de precios de la VPC.