AWS Client VPNの設定でハマったポイントとその過程での気づき

2026/11/14 NW-JAWS DAY 登壇資料

1. AWS Client VPNの設定でハマったポイントと その過程で得た気づき 2026/11/14 NW-JAWS DAY
2. 自己紹介 藤田 直幸 X：アマレロ（@amarelo_n24） ・AWS Community Builders(Security) ・JAWS-UG 彩の国埼玉支部 運営 ・コーヒー焙煎人兼エンジニア ・おひとり様BuilderCards Player 好きなAWSサービス：IAM、S3、CloudShell 好きなこと：コーヒー豆の焙煎 好きなコーヒーミル： TIMEMORE S3 Coffee Grinder
3. はじめに 自宅のPC（Ubuntu 24.04）とOSSのプロキシ「Squid」をインストールしたAmazon EC2（以下、EC2表記）をAWS Client VPNで接続しようとして、接続できずハマり ました。 戒めとしてここでお話ししたいと思います。
4. おことわり ・今回のお話しは、私個人のAWSアカウントとPCで検証した結果です。 個人の見解であり、所属組織等を代表するものではありません。 ・誤りなどありましたらご指摘いただけますと幸いです🙇 ・AWS Client VPN の詳細な設定手順、Squidの説明については 割愛させていただきます。
5. アジェンダ １．AWS Client VPN とは？ ２．ハマったポイント ３．原因 ４．気づき ５．まとめ
6. １．AWS Client VPN とは？
7. AWS Client VPN オンプレミスからAWSリソースに安全にアクセスできるようにする、クライアントベース のマネージドVPNサービス。 ▪メリット ・機器の運用管理工数を省いたVPN接続環境を構築可能 ・動的スケーリングが可能 https://docs.aws.amazon.com/ja_jp/vpn/latest/clientvpn-admin/what-is.html
8. ２．ハマったポイント
9. 今回の接続イメージ
10. セキュリティグループの設定 Security group①のアウトバウンドルール 送信先 プロトコル ポート 10.0.0.0/24 TCP 3128 Public subnet のルートテーブル 送信先 ターゲット 0.0.0.0/0 Internet Gateway Security group②のインバウンドルール 送信元 プロトコル ポート 10.1.0.0/22 TCP 3128 Client VPN エンドポイントのルートテーブル 送信先 ターゲット 10.0.0.0/16 Public subnet
11. VPN接続できない
12. ３．原因
13. セキュリティグループの誤り Security group①のアウトバウンドルール 送信先 プロトコル ポート 10.0.0.0/24 TCP 3128 Public subnet のルートテーブル 送信先 ターゲット 0.0.0.0/0 Internet Gateway 【原因】Security group②のインバウンドルール 送信元 プロトコル ポート 10.1.0.0/22 TCP 3128 Client VPN エンドポイントのルートテーブル 送信先 ターゲット 10.0.0.0/24 Public subnet
14. Client VPN エンドポイントはIPアドレスをSNATしている Client VPNエンドポイントを作成すると、送信先のサブネット内にClient VPN ネット ワークインターフェイスが作成される。Client VPNエンドポイントを経由する通信は、 SNAT(Source Network Address Translation)でターゲットサブネットのプライベートIP アドレスに書き換えている。 したがって、EC2から見えているVPNエンドポイントのIPアドレスは、 Client VPNネットワークインターフェースのIPアドレスとなる。 ※参考情報 https://docs.aws.amazon.com/ja_jp/vpn/latest/clientvpn-admin/what-is.html#what-is-components
15. 修正後 Security group①のアウトバウンドルール 送信先 プロトコル ポート 10.0.0.0/24 TCP 3128 Public subnet のルートテーブル 送信先 ターゲット 0.0.0.0/0 Internet Gateway Security group②のインバウンドルール 送信元 プロトコル ポート 10.0.0.0/24 TCP 3128 Client VPN エンドポイントのルートテーブル 送信先 ターゲット 10.0.0.0/24 Public subnet
16. これでも通信できるけど 許可範囲が広すぎる。 安全に使えているとは言えない
17. ４．気づき
18. ENI にセキュリティグループがアタッチされている Clinent VPN ネットワークインターフェースとして、ENI（Elastic Network Interface)が作 られる。このENIは、Client VPNエンドポイントが所属するセキュリティグループに所属 している。
19. そもそもENIとは？ ENI（Elastic Network Interface）は、AWSリソース間をネットワークでつなぐための仮想 ネットワークカード(NIC)。EC2・RDS・エンドポイントなどが作られるときに裏で作られ る。Client VPNエンドポイントを作成した時も同様に裏で作られる。 IPアドレス・セキュリティグループは、Client VPNエンドポイントやEC2そのものに設 定されているのでなく、ENIに設定されている。
20. IPアドレスで設定した場合（イメージ） アクセス範囲が大きく、意図しないアクセス元からのアクセスも許可する。 Private subnetのアウトバウンドルール 送信先 プロトコル ポート 10.0.0.0/24 TCP xxx Public subnet のインバウンドルール 送信元 プロトコル ポート 10.0.0.1/24 TCP xxx
21. Security Group で設定した場合（イメージ） アクセス範囲を制限できる。 Private subnetのアウトバウンドルール 送信先 プロトコル ポート Security Group A のID TCP xxx Public subnet のインバウンドルール 送信元 プロトコル ポート Security Group C のID TCP xxx
22. さらに修正 Security group①のアウトバウンドルール 送信先 プロトコル ポート Security Group②のID TCP 3128 Public subnet のルートテーブル 送信先 ターゲット 0.0.0.0/0 Internet Gateway Security group②のインバウンドルール 送信元 プロトコル ポート Security Group①のID TCP 3128 Client VPN エンドポイントのルートテーブル 送信先 ターゲット 10.0.0.0/16 Public subnet
23. ５．まとめ
24. まとめ 今回一からClient VPNを構築してみて接続できず調査に長時間要しましたが、気づき が多く結果的に良い時間になったと思っています。 ・Client VPNエンドポイントやEC２にはENIが作られアタッチされている。 ・ENIを普段意識することは少ないかもしれないけど、リソース間をネット ワーク接続するために大事なものと認識。 ・セキュリティグループの送信元送信先はセキュリティグループで設定 した方が、意図するリソースとのアクセスに制限できる。
25. まとめ Client VPNのハンズオンにも、IPアドレスがSNATされていることが書かれていまし た。これからClient VPNを触る方は、このハンズオンを一度実施した方が良いかもし れません。 ※今回の事案があってから、このハンズオンに気づきました… •AWS Client VPN Basic ハンズオン https://catalog.us-east-1.prod.workshops.aws/workshops/be2b90c2-06a1-4ae6-84b3-c705 049d2b6f/ja-JP
26. ご清聴ありがとうございました！