Regole e best practice di AWS Client VPN

Di seguito sono riportate le regole e le migliori pratiche per AWS Client VPN

• È supportata una larghezza di banda minima di 10 Mbps per connessione utente. La larghezza di banda massima per connessione utente dipende dal numero di connessioni effettuate all'endpoint Client VPN.

• Gli intervalli CIDR client non possono sovrapporsi al CIDR locale del VPC in cui si trova la sottorete associata o a eventuali route aggiunte manualmente alla tabella di routing dell'endpoint Client VPN.

• L'intervallo CIDR del client deve avere una dimensione di blocco di almeno /22 e non superiore a /12.

• Una parte degli indirizzi nell'intervallo CIDR del client viene utilizzata per supportare il modello di disponibilità dell'endpoint Client VPN e non può essere assegnata ai client. Pertanto, ti consigliamo di assegnare un blocco CIDR contenente il doppio del numero di indirizzi IP richiesti per abilitare il numero massimo di connessioni simultanee che si intende supportare nell'endpoint Client VPN.

• L'intervallo CIDR del client non può essere modificato dopo aver creato l'endpoint Client VPN.

• Le sottoreti associate a un endpoint Client VPN devono trovarsi nello stesso VPC.

• Non è possibile associare più sottoreti dalla stessa zona di disponibilità a un endpoint Client VPN.

• Un endpoint Client VPN non supporta le associazioni di sottorete in un VPC di istanza dedicata a tenant singolo.

• Client VPN supporta solo il traffico IPv4. Consulta Considerazioni IPv6 per AWS Client VPN per i dettagli relativi a IPv6.

• Client VPN non è conforme agli standard FIPS (Federal Information Processing Standards).

• Il portale self-service non è disponibile per i client che eseguono l'autenticazione reciproca.

• Non consigliamo di connetterti a un endpoint Client VPN utilizzando gli indirizzi IP. Poiché Client VPN è un servizio gestito, occasionalmente verranno visualizzati gli indirizzi IP che il nome DNS risolve per modificare. Inoltre, vedrai le interfacce di rete Client VPN eliminate e ricreate nei tuoi CloudTrail log. Si consiglia di connettersi all'endpoint Client VPN utilizzando il nome DNS fornito.

• L'inoltro IP non è attualmente supportato quando si utilizza l'applicazione desktop. AWS Client VPN L'inoltro IP è supportato da altri client.

• Client VPN non supporta la replica multi-regione in AWS Managed Microsoft AD. L'endpoint Client VPN deve trovarsi nella stessa regione della AWS Managed Microsoft AD risorsa.

• Se l'autenticazione a più fattori è disabilitata per Active Directory, il formato della password utente non può essere il seguente.

  SCRV1:base64_encoded_string:base64_encoded_string

• Non è possibile stabilire una connessione VPN da un computer se ci sono più utenti connessi al sistema operativo.

• Il servizio Client VPN richiede che l'indirizzo IP a cui è connesso il client corrisponda all'IP a cui si risolve il nome DNS dell'endpoint Client VPN. In altre parole, se imposti un record DNS personalizzato per l'endpoint Client VPN e poi inoltri il traffico all'indirizzo IP effettivo su cui si risolve il nome DNS dell'endpoint, questa configurazione non funzionerà con i client forniti di recente. AWS Questa regola è stata aggiunta per mitigare un attacco IP al server come descritto qui:. TunnelCrack

• Il servizio Client VPN richiede che gli intervalli di indirizzi IP della rete locale (LAN) dei dispositivi client rientrino nei seguenti intervalli di indirizzi IP privati standard: 10.0.0.0/8172.16.0.0/12,,192.168.0.0/16, o169.254.0.0/16. Se viene rilevato che l'intervallo di indirizzi LAN del client non rientra negli intervalli precedenti, l'endpoint Client VPN invierà automaticamente la direttiva OpenVPN «redirect-gateway block-local» al client, forzando tutto il traffico LAN a entrare nella VPN. Pertanto, se è necessario l'accesso alla LAN durante le connessioni VPN, si consiglia di utilizzare gli intervalli di indirizzi convenzionali sopra elencati per la rete LAN. Questa regola viene applicata per mitigare le possibilità di un attacco alla rete locale, come descritto qui:. TunnelCrack