특정 클라이언트의 Client VPN 엔드포인트에 대한 액세스를 취소하려면 어떻게 해야 하나요?

간략한 설명

인증서 취소 목록을 사용하여 특정한 클라이언트 인증서를 차단합니다. 클라이언트를 차단하면 해당 클라이언트의 Client VPN 엔드포인트에 대한 액세스가 취소됩니다.

클라이언트 인증서를 취소하려면 다음 단계를 수행하세요.

해결 방법

OpenVPN easy-rsa를 사용하여 클라이언트 인증서 취소 목록 생성

1. OpenVPN easy-rsa 리포지토리를 로컬 컴퓨터의 로컬 리포지토리로 복사합니다.

   $ git clone https://github.com/OpenVPN/easy-rsa.git

2. 로컬 리포지토리의 easy-rsa/easyrsa3 폴더를 엽니다.

   $ cd easy-rsa/easyrsa3

3. 클라이언트 인증서를 취소한 다음 클라이언트 취소 목록을 생성합니다.

   $ ./easyrsa revoke client_certificate_name

   메시지가 표시되면 예를 입력합니다.

   $ ./easyrsa gen-crl     
   Using SSL: openssl OpenSSL 1.0.2g  1 Mar 2016
   Using configuration from /home/easy-rsa/easyrsa3/pki/easy-rsa-31222.LsDpvT/tmp.t5FIi8
   An updated CRL has been created.
   CRL file: /home/easy-rsa/easyrsa3/pki/crl.pem

   인증서 취소 목록 파일이 /easy-rsa/easyrsa3/pki/crl.pem에 생성됩니다.

인증서 취소 목록 파일을 클라이언트 인증서 취소 목록에 가져오기

중요: 인증서 취소 목록 파일을 AWS Management Console로 가져오는 경우 Client VPN 엔드포인트에 대한 클라이언트의 액세스 권한이 영구적으로 취소됩니다.

1. Amazon Virtual Private Cloud(Amazon VPC) 콘솔을 엽니다.

2. 탐색 창에서 Client VPN 엔드포인트를 선택합니다.

3. 클라이언트 인증서 취소 목록을 가져올 Client VPN 엔드포인트를 선택합니다.

4. 작업을 선택하고 클라이언트 인증서 CRL 가져오기를 선택합니다.

5. 클라이언트 인증서 취소 목록 crl.pem 파일의 내용을 복사합니다.

   $ cat pki/crl.pem-----BEGIN X509 CRL-----
   Base64–encoded certificate
   -----END X509 CRL-----

6. 인증서 취소 목록에 클라이언트 인증서 취소 목록 파일의 내용을 입력합니다. 그 뒤, CLRL 가져오기를 선택합니다.
   또는, AWS Command Line Interface(AWS CLI)를 사용하여 클라이언트 인증서 취소 목록을 가져올 수 있습니다.

   aws ec2 import-client-vpn-client-certificate-revocation-list --certificate-revocation-list file:path_to_CRL_file --client-vpn-endpoint-id endpoint_id --region region

참고: AWS Command Line Interface(AWS CLI) 명령을 실행할 때 오류가 발생하는 경우 최신 AWS CLI 버전을 사용하고 있는지 확인하세요.

(선택 사항) 클라이언트 인증서 취소 목록 내보내기

1. Amazon VPC 콘솔을 엽니다.
2. 탐색 창에서 Client VPN 엔드포인트를 선택합니다.
3. 클라이언트 인증서 취소 목록을 내보낼 Client VPN 엔드포인트를 선택합니다.
4. 작업을 선택하고, 클라이언트 인증서 CRL 내보내기를 선택합니다.
5. 예를 선택하고, 내보내기를 선택합니다.
   또는, AWS CLI를 사용하여 클라이언트 인증서 취소 목록을 내보낼 수 있습니다.

   aws ec2 export-client-vpn-client-certificate-revocation-list --client-vpn-endpoint-id endpoint_id

관련 정보

클라이언트 인증 취소 목록