使用 的規則和最佳實務 AWS Client VPN

下列各節說明使用 的規則和最佳實務 AWS Client VPN：

網路和頻寬需求

• AWS Client VPN 是一種全受管服務，可自動擴展以適應額外的使用者連線和頻寬需求。每個使用者連線的基準頻寬上限為 50 Mbps。如有需要，您可以透過 AWS Support 請求增加。透過 Client VPN 端點連線的使用者實際體驗到的頻寬可能會因多種因素而有所不同。這些因素包括封包大小、流量合成 (TCP/UDP 混合）、中繼網路上的網路政策 （成形或限流）、網際網路條件、應用程式特定需求，以及並行使用者連線的總數。

• 用戶端 CIDR 範圍與相關聯子網路所在的 VPC 的本機 CIDR 不可重疊，或與手動新增到 Client VPN 端點路由表的任何路由不可重疊。

• 用戶端 CIDR 範圍必須有至少為 /22 且不可大於 /12 的區塊大小。

• 用戶端 CIDR 範圍中的一部分位址用於支援 Client VPN 端點的可用性模型，而且無法指派給用戶端。因此，建議您指派 CIDR 區塊，其中包含您計劃在 Client VPN 端點上支援同時連線數目上限所需 IP 地址數目兩倍的 IP 地址數目。

• 建立 Client VPN 端點之後，就無法變更用戶端 CIDR 範圍。

• Client VPN 僅支援 IPv4 流量。請參閱 的 IPv6 考量 AWS Client VPN 以取得有關 IPv6 的詳細資訊。

• Client VPN 執行網路位址轉譯 (NAT)。當用戶端透過 Client VPN 連線時：

  • 來源 IP 地址會轉譯為 Client VPN 端點的 IP 地址。

  • 來自用戶端的原始來源連接埠號碼保持不變。

• Client VPN 只有在並行使用者連線到相同的目標時，才會執行連接埠地址轉譯 (PAT)。連接埠轉譯是自動且必要的，可透過相同的 VPN 端點支援多個同時連線。

  • 對於來源 IP 轉譯，來源 IP 地址會轉譯為 Client VPN 的 IP 地址。

  • 對於單一用戶端連線的來源連接埠轉譯，原始來源連接埠號碼可能保持不變。

  • 對於連接到相同目的地 （相同目標 IP 地址和連接埠） 的多個用戶端的來源連接埠轉譯，Client VPN 會執行連接埠轉譯，以確保唯一連線。

  例如，當兩個用戶端用戶端 1 和用戶端 2 透過 Client VPN 端點連線至相同的目的地伺服器和連接埠時：

  • 用戶端 1 的原始連接埠，例如9999，可能翻譯為不同的連接埠，例如連接埠 4306。

  • 用戶端 2 的原始連接埠 - 例如 9999 - 可能會轉譯為唯一的連接埠不同的格式用戶端 1 - 例如連接埠 63922。

子網路和 VPC 組態

• 與 Client VPN 端點相關聯的子網路必須位於同一個 VPC 中。

• 您不能將來自相同可用區域的多個子網路與一個 Client VPN 端點建立關聯。

• Client VPN 端點不支援專用租用 VPC 中的子網路關聯。

身分驗證和安全性

• 使用交互身分驗證進行身分驗證的用戶端無法使用自助式入口網站。

• 如果您的 Active Directory 停用多重要素驗證 (MFA)，則使用者密碼不能使用下列格式。

  SCRV1:base64_encoded_string:base64_encoded_string

• AWS Client VPN 中使用的憑證必須遵循 RFC 5280：網際網路 X.509 公有金鑰基礎設施憑證和憑證撤銷清單 (CRL) 設定檔，包括備註第 4.2 節中指定的憑證延伸。

• 具有特殊字元的使用者名稱可能會導致連線錯誤。

連線和 DNS 需求

• 我們不建議使用 IP 位址連線到 Client VPN 端點。由於 Client VPN 是受管服務，因此您偶爾會看到 DNS 名稱解析出的 IP 地址發生變更。此外，您也會在 CloudTrail 日誌中看到 Client VPN 網路界面已刪除並重新建立。建議使用提供的 DNS 名稱來連線到 Client VPN 端點。

• Client VPN 服務需要用戶端連線的 IP 地址符合 Client VPN 端點 DNS 名稱解析的 IP。換句話說，如果您為 Client VPN 端點設定自訂 DNS 記錄，然後將流量轉送到端點 DNS 名稱解析的實際 IP 地址，則此設定無法使用最近 AWS 提供的用戶端。已新增此規則來緩解伺服器 IP 攻擊，如下所述：TunnelCrack。

• 您可以使用 AWS 提供的用戶端連線到多個並行 DNS 工作階段。不過，為了讓名稱解析正常運作，所有連線的 DNS 伺服器都應有同步記錄。

• Client VPN 服務要求用戶端裝置的本機區域網路 (LAN) IP 地址範圍在下列標準私有 IP 地址範圍內：10.0.0.0/8、192.168.0.0/16、 172.16.0.0/12或 169.254.0.0/16。如果偵測到用戶端 LAN 地址範圍超出上述範圍，則 Client VPN 端點會自動將 OpenVPN 指令 "redirect-gateway block-local" 推送至用戶端，強制將所有 LAN 流量傳入 VPN。因此，如果您在 VPN 連線期間需要 LAN 存取，建議您為 LAN 使用上面列出的傳統地址範圍。強制執行此規則是為了降低本機網路攻擊的機會，如下所述：TunnelCrack。

限制

• 使用 AWS Client VPN 桌面應用程式時，目前不支援 IP 轉送。其他用戶端支援 IP 轉送。

• Client VPN 不支援在 AWS Managed Microsoft AD中使用多區域複寫功能。Client VPN 端點必須與 AWS Managed Microsoft AD 資源位於相同的區域。

• 如果有多個使用者已登入作業系統，則無法從電腦建立 VPN 連線。