요구사항

서버 구성도(가동 시)

서버 구성도 (정지시)

절차

준비

고정 IP 획득

$ aws ec2 allocate-address --domain vpc

// 以下のように表示されるので、 IP と AllocationId をメモしておく
{
    "PublicIp": "xx.xx.xx.xx",
    "PublicIpv4Pool": "amazon",
    "Domain": "vpc",
    "AllocationId": "eipalloc-00000000000000"
}

루트 인증서, 서버 인증서 및 서버 비밀 키를 AWS Certificate Manager(ACM)에 등록

$ git clone https://github.com/OpenVPN/easy-rsa.git
$ cd easy-rsa/easyrsa3

$ echo 'set_var EASYRSA_KEY_SIZE 16384' > vars # 鍵長を 16384bit とする
$ echo 'set_var EASYRSA_CERT_EXPIRE 365' >> vars # 有効期限は 365日とする

$ ./easyrsa init-pki # 初期化
$ ls pki # pki フォルダ配下に必要なデータが生成される

$ ./easyrsa build-ca nopass # Common Name を入力 (ex. vpn.hapitas.jp)
$ ls -l pki/ca.crt # ルート証明書が生成される

$ ./easyrsa build-server-full server nopass # サーバ証明書・サーバ秘密鍵作成
$ ls -l pki/issued/server.crt # サーバ証明書が存在
$ ls -l pki/private/server.key # サーバ秘密鍵が存在

# pki フォルダに生成されたファイルは厳重に管理しておく

# ACM に鍵を登録
$ aws acm import-certificate \
  --certificate file://pki/issued/server.crt \
  --private-key file://pki/private/server.key \
  --certificate-chain file://pki/ca.crt \
  --region ap-northeast-1

# 以下のように表示されるのでメモしておく
{
    "CertificateArn": "arn:aws:acm:ap-northeast-1:111111111:certificate/11111-1111-1111-1111-1111111111"
}

클라이언트 인증서, 비공개 키

# 先程のサーバ証明書を作ったあとの手順 (接続するメンバー分だけ作成)

$ USER=s-urabe
$ ./easyrsa build-client-full ${USER} nopass
$ mkdir -p keys/$USER
$ mv -v pki/issued/$USER.crt keys/$USER/client.crt
$ mv -v pki/private/$USER.key keys/$USER/private.key

Nat 인스턴스 접속용 SSH 키 작성 (평상시 접속하지 않는다고 생각합니다만)

$ aws ec2 create-key-pair \
    --key-name vpn_nat \
    --query 'KeyMaterial' \
    --output text > ~/.ssh/vpn_nat.pem

VPN 시작

서버측 구축

aws cloudformation deploy \
  --template-file vpn-start-cloudformation.ym \
  --stack-name my-vpn

클라이언트측 설정

echo "cert client.crt" >> downloaded-client-config.ovpn
echo "key private.key" >> downloaded-client-config.ovpn

VPN 중지

aws cloudformation deploy \
  --template-file vpn-stop-cloudformation.yml \
  --stack-name my-vpn