リモート環境からソフトウェアVPN接続

## 内容
・はじめに
・趣旨内容
・参考サイト
・参考事項
・使用できるサービス
・ハンズオン
・リソースの削除
・さいごに

## はじめに
結果が先にきてしまいますが、このハンズオン結構やっかいでした( ;∀;)ハンズオン動画や、webサイトを漁りましたが、なっっかなかVPNが構築することができませんでした。理由は、SSLサーバー自己証明書のドメイン名をACMが読み込まない現象に苦しみましたｗ通常の手順で進められる環境の方向けにも記載していますので、参考にされてください。同じ現象の方は是非参考にされてください！

## 趣旨内容
リモート環境からソフトウェアVPN接続について基礎を理解する！

## 参考サイト

https://pages.awscloud.com/JAPAN-event-OE-Hands-on-for-Beginners-Network-3-2022-confirmation-312.html

## 参考事項
そもそもSSLについて理解を深める。
【SSLサーバー証明書の3つの種類】
1. EV認証型（EV：Extended Validation）
最も高い信頼性とセキュリティレベルを提供
ショッピングサイトや金融機関で使用される。
2. 企業認証型（OV：Organization Validation）
中間レベルのセキュリティと信頼性を提供
中小企業のサイトで利用
3. ドメイン認証型（DV：Domain Validation）
基本的なセキュリティレベルを提供
個人のブログなど。

## 使用できるサービス
EC2,ACM,クライアント VPN エンドポイント

## ハンズオン
目指す構成
リージョンは東京です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/c7080aef-6355-378b-ba1e-5ac8bef2eea2.png)
### VPC,EC2,セキュリティグループの作成
#### VPC作成
「VPC CIDR 198.19.0.0/16」
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/72e0dde1-8686-4868-8bcb-4622d2d318be.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/1267a918-53d5-e1a4-f59e-7f3ddcde1250.png)

「シングルAZ」
「Privateサブネットを２つ」
・198.19.1.0/24
pri,1a
・198.19.255.0/24
pri,1a

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/dc789cf0-45f9-80c3-76c4-ac68bd3fb37c.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/4a6e9430-b730-9537-fc34-33462d4bba68.png)
「新しいサブネットを追加」から続けてサブネットを作成
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/5c0ec04b-b49c-9572-3a3a-fa1b114422a0.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/e818c9bd-4f0e-570a-4508-01f513f8d966.png)


#### セキュリティグループを作成（ハンズオン動画から逸れます。）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/219b9dac-9c99-4cd2-c1c2-259fa43fb7eb.png)
任意の名前、VPCは先程作成したものを指定
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/7b4ef04a-f56d-ac85-0d3b-81c858f405ac.png)
1. Pingを行うので、ICMPを開けておきます。
2. Teratermで後で接続できるか試したいのでSSHも解放します。
3. クライアントVPNは、UDPプロトコルで、ポートは443を使用するので解放しておきます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/e3e1ef0d-f5c3-d8c6-881f-dab8c2e8ae76.png)
アウトバウンドはデフォルトでいきます。
作成。



#### EC2作成
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/83f5dae7-7356-7e83-cd37-96a7ce84cb7f.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/9e9fe2de-8be1-0833-a863-04c008fa02d6.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/9a3687ef-f422-4b87-1598-e19869a1a1b5.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/0b08fbec-c528-2ef2-5bc4-83812e24caa4.png)
先程作成したセキュリティグループを設定します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/08ba58bb-6bf5-a2e3-1eb4-e9a3fa39e370.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/7e8cb417-c8e4-2c5d-c298-81526800be78.png)
これでインスタンスを起動します。


#### CloudWatchの設定
ロググループの作成
「/aws/cvpn」
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/f0ac3a79-b49c-d6df-081e-d5a828ded24e.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/f1eaa692-3482-ffd0-c431-8f5726d03897.png)

ログストリームを作成
これはロググループ内のリソースから発生するログやイベントデータをリアルタイムで監視し、解析するもの。エンドポイントに設置する。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/159d05aa-8328-b82d-c4c4-5c88832f74db.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/ef3ade01-c225-af69-263c-ce4e48d38350.png)


#### ACMの設定（AWSが示す手順です。）
:::note info
もしこの手順でサーバー証明書ができない場合は、次の項目以降を実行してください。
:::

EC2をプライベートに置いている現状や、また、新たにCloud9でEC2を立てて環境を作成するにしても、パッケージが存在しなかったりなど、設定が面倒です。ご自身のPCがwindowsである場合なども、Cloudshellを活用することが最短です。
次のコマンドを実行して、OpenSSLパッケージをインストールします。

使用するツール。
・OpenVPN easy-rsa
・AWSCLI

CloudShellを立ち上げます。次のコマンドを順番に実行。
ネットワーク接続を暗号化するためのオープンソースツールキットをインストール。
```:CloudShell
sudo yum -y install openssl
```

クライアント認証を行います。
次のサイトでコマンドなどを参照します。
公式サイト：
https://docs.aws.amazon.com/ja_jp/vpn/latest/clientvpn-admin/mutual.html
gitクローンを行います。
```:CloudShell
git clone https://github.com/OpenVPN/easy-rsa.git
```
クローンで作成されたディレクトリがあるか確認します。
CloudShell上に格納されていて妙な気分になりますね|дﾟ)
```:CloudShell
cd easy-rsa/easyrsa3
```
Easy-RSAのinit-pkiコマンドによる初期化によって公開鍵インフラ（PKI）のセットアップのためのディレクトリとファイル構造を作成する。
つまり、公開鍵を使う前の構成のみ作成する工程。
```:CloudShell
./easyrsa init-pki
```
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/2e9eaa6e-ab32-dfc7-9eef-59932a92f90b.png)
認証局をセットアップするため、CAの秘密鍵(ca.key)と自己署名された証明書(ca.crt)がpkiディレクトリ内に生成されるコマンド。
途中でパスを求められるが、そのままEnterを押下し、未設定で進める。
```:CloudShell
./easyrsa build-ca nopass
```
サーバー証明書とキーを生成します。
ここで発行を継続するか確認されるので「yes」で進めます。
```:CloudShell
./easyrsa build-server-full server nopass
```
続いてクライアント証明書とキーを作成し、VPN接続に備えます。
再び手続きを進めるか問いかけられますので、「yes」を入力してEnterを押下します。
```:CloudShell
./easyrsa build-client-full client1.domain.tld nopass
```
これから証明書や鍵をわかりやすいディレクトリにコピーさせます。
```:CloudShell
mkdir ~/custom_folder/
cp pki/ca.crt ~/custom_folder/
cp pki/issued/server.crt ~/custom_folder/
cp pki/private/server.key ~/custom_folder/
cp pki/issued/client1.domain.tld.crt ~/custom_folder
cp pki/private/client1.domain.tld.key ~/custom_folder/
cd ~/custom_folder/
```
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/c5636819-3adf-e761-0ca2-d685d26acd88.png)

ここで簡単に理解
ca.crt　認証局の証明書（CA自身の身元証明）
client1.domein.tld.crt　クライアント用の証明書（相互認証が必要な際使用）
client1.domein.tld.key　クライアント用の秘密鍵（相互認証が必要な際使用）
server.crt　サーバー用の証明書（サーバー身元証明、SSL/TLS暗号化通信を確立）
server.key　サーバー用の秘密鍵（サーバー側で保存、暗号化・復号に使用）

サーバー証明書、秘密鍵をACMにインポートして管理していきます。リージョンは東京を例に記載しています。
```:CloudShell
aws acm import-certificate --certificate fileb://server.crt --private-key fileb://server.key --certificate-chain fileb://ca.crt --region ap-northeast-1
```
次にクライアント証明書と秘密鍵をACMにインポートします。リージョンは東京を例に記載しています。
```:CloudShell
aws acm import-certificate --certificate fileb://client1.domain.tld.crt --private-key fileb://client1.domain.tld.key --certificate-chain fileb://ca.crt --region ap-northeast-1
```
これらがACMにインポートされているか確認を行う。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/010fc7fb-8803-2fc2-6edd-3ff0c83bef2c.png)

:::note info
ここでご自身の環境で、サーバー証明書がインポートできるかどうか判断できます。もしこの時点で、「ドメイン欄が　－　」となっている場合は残念ながらハンズオン通りに実行できない環境なので、インポートした証明書を整理して、次の手順に飛んでください。
:::


ここまで問題ない方は、このまま進めます。
自らが管理すべきクライアント証明書と秘密鍵をダウンロードして手元にも置いておきます。
ClouShellからダウンロードが可能です。
画像のとおりに操作し、先に証明書をダウンロードします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/f7b3e9f6-7f68-0332-daa7-549164d02250.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/17b5c67c-1b2b-9ef4-7590-b105001bccab.png)
ダウンロードのディレクトリ指定例
「～」でユーザーのホームディレクトリを端折っていますが、通常のように「pwd」コマンドで指定しても問題ありません。
```:ダウンロード入力欄
~/custom_folder/client1.domain.tld.crt
```

次にクライアント秘密鍵をダウンロードします。
画像のとおり操作しダウンロードします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/1421053a-50ee-aaea-5034-909760c429b8.png)
```:ダウンロード入力欄
~/custom_folder/client1.domain.tld.key
```
これでローカルのダウンロード先フォルダにダウンロードできています。

:::note info
サーバー証明書が問題なく作成できた方は、次の項目を飛ばしてください。本線復帰は改めて注記します。サーバー証明書をハンズオン通りに実行できなかった方はここから手順に沿ってやってみてください！
:::
困り果てたそこのあなた。自分のPC内で証明書を作るのですｗ気合でｗツールが必要なので、次のツールをダウンロードします。
vpnux PKI Manager
これをダウンロードして、exeを実行していきます。

https://www.openvpn.jp/download/

次のzipがダウンロードされます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/5714e401-32d9-f19e-9b1b-0770b30548f7.png)
このexeを実行します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/782e5dd3-5da4-2cf0-95d6-a6fad0d23201.png)
赤枠をクリック。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/d0bcf033-1f78-197d-af22-55a2f6515ace.png)
windows+rでボックスで「appwiz.cpl」を検索。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/ccb17fdc-a7de-2ecc-0b08-50834a2da8f3.png)
赤枠から.NETが有効か確認していきます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/28fac192-53a1-2e21-94b2-bc2fad390fe0.png)
「.NET」にチェックが入っていればOK！
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/39efb245-28c7-5457-dcc3-8c3f7e2bcc8b.png)
プライベートCAの構築
vpnuxPKI.exeを再び実行してCA作成
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/efba17ad-dee5-9d25-bae4-3d850cbd73bf.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/299b36cc-14a0-2e08-c765-d1e1ff92a573.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/d733616d-9cfb-01e3-0f8a-5fe881503ad1.png)
現在のリージョンに合わせてデフォルトでいきます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/fbac3e4f-8460-bf84-8a31-b18c02cf8818.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/912200b8-de62-2328-58f6-9e6391c329c6.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/da820dab-7f8c-e8ff-8577-82f78d1fd40a.png)
サーバー証明書を作成します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/df1c9965-d56f-0ea2-24ba-8e6a5dc58f6b.png)
※絶対に固有のネーミングにしてください。（コツは文字数が多いとACMが認識してくれますｗ）。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/cc317453-9535-9b92-f738-601c4549815c.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/f7472c41-e0b6-d7d7-20f6-91ae7320eae8.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/58935169-130a-aee9-78b7-daa1f1e3e66c.png)
それぞれACMへインポートする。以下、全文をコピペしていきます。
1. サーバー証明書
2. サーバー証明書のキー
3. 証明書チェーン（ca.crt）

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/d4337600-1bf9-ed78-e1fa-ab9b8700591f.png)
VSCode（エディター）で開き、入力欄にコピペしていく。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/99deb7e7-1a8b-0791-a4be-58a28d587e72.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/cd1343fe-c499-5267-7161-e459870f56eb.png)
ここでドメイン名が入っているか確認します。もし、ここで入っていなければ、共通名（ドメイン名）もっと文字数を増やして再アップロードする必要があります。。問題なければ、インポートを実行します。

ACMでも確認
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/bc7fb0e5-994e-6e05-556a-9d3428c4944e.png)

クライアント証明書を作成します。なお、同じCAである場合、サーバー証明書のみで対応できます。あえて、クライアント証明書もアップロードしていきます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/e337a0c6-c500-69d3-68fd-de98d7c9f844.png)
必ずデフォルトではなく編集してください。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/b24a5c32-d948-0904-c646-381617435464.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/1796993f-0f40-83b9-38e4-ae0ca385a1b4.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/06e3c7c4-e927-a900-3101-e5c51112f1cd.png)

同じ手順で全文コピペしていきます。
1. クライアント証明書
2. クライアント証明書のキー
3. 証明書チェーン（ca.crt）
インポートを実行します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/b0e3f7e1-4362-da54-0a0c-3927574a0b01.png)

:::note info
ここから両者、本線に復帰です。
:::





### VPNエンドポイントの作成
ここで注意したいのは、「スプリットトンネルを有効に設定する」ことをお忘れなくです。
ハンズオン中にネットに接続できなくなります。

クライアントVPNエンドポイントを作成します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/2b6ad8ee-2f9e-c96a-6e12-0562890f67dc.png)
クライアントとエンドポイントを繋ぐアドレスが※「100.64.0.0/22」となっている。これは自分のPCのアドレス、VPCのアドレスとの重複を回避しなければならないということ。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/e942894d-f931-7448-e46c-31884d9f6fb5.png)

先程インポートしたサーバー証明書の指定、VPN接続のため相互認証を選択して、クライアント証明書も選択します。ここでAD認証を使う際は、ユーザーベースを選択します。今回は、相互認証を使います。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/634aa83e-1f82-9908-81c5-2788008ec25d.png)
ログは、先にCloudWatchで作成したロググループとログストリーム名を指定します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/e56ec058-3b2f-d5cd-f11f-6df26dca986f.png)


#### ここ重要です。
スプリットトンネルを<font color="Red">「有効」</font>にしましょう。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/1047b36e-8edd-2d40-2a12-fd6de4717165.png)
理由は、全ての通信をVPNを通過するように設定するとネットに接続できなくなるためです。
その他は触らず作成を実行します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/7f6048b7-6656-8284-b9c5-c5b5e2ffd51c.png)
10分ほどかかります。この間に次の設定を行います。

1. 作成したサブネットをVPNエンドポイントに関連付けします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/c06f659b-112a-d96d-3f86-9eee61069de1.png)
作成したプライベートサブネットのうち、何も配置していない方「198.19.255.0/24」を選択します。
私の場合公式さんが示すサブネット名と違うので、次の図を参考にEC2が配置されているサブネットではない方にターゲットを向けます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/f0a3a705-a69b-b05a-63d3-403bf3ff8bdd.png)
サブネットの画面からサブネットの状態を確認しましょう。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/9f2bcf5d-c364-1344-878f-e3d4b2c0b213.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/22bcb8df-d48e-3d88-5a35-d00b3105867a.png)
では設定していきます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/d527cada-31b7-853a-da41-8368174d674c.png)
関連付けるをクリック。

2. 次に認証ルールを追加します。
赤枠に従いクライアントに対する承認ルールを付与します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/4198a2ad-afcd-1ee8-025f-458221a74fdd.png)
接続先（今回はデフォルトルート）を指定します。なお、ADでのグループを指定することも可能。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/8517ac13-a440-609b-6ec2-2941b45f4216.png)
これで追加します。

3. EC2にも適用したセキュリティグループを適用します。
セキュリティグループタブから、次のように設定します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/10a6769d-e485-3f35-0dde-7ca097d3087b.png)

#### VPN接続の設定ファイルをダウンロードする。
赤枠をクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/2969a07c-53c3-aadc-58f7-13d7d4fc8e14.png)

#### 自身のPCにVPNツールをインストール
先にソフトをダウンロードする。
https://aws.amazon.com/jp/vpn/client-vpn-download/
自身のPCに合わせてインストーラーをダウンロードする。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/c18b0dea-d839-a85d-5440-1e73297c8777.png)
ダウンロード先フォルダのインストーラを実行する。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/7a76e304-7935-fb29-d49c-4c0cb3c1800e.png)
インストール。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/1651286a-3e3c-ef28-f385-f63b9a0b8671.png)
終了。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/ba21e7a7-9191-ccf8-1176-1d4a8647bc5f.png)
デスクトップにツールがあります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/cd9d87b4-8a29-927f-9065-43c8a2005c12.png)
別にVPN接続を行っているとエラーが起きるとのことです。

EC2のプライベートアドレスをコピーしてきます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/7e0b9057-c20e-89f1-d25a-50c0d27c5c56.png)
続いて、VPNエンドポイントの状態を確認
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/dd68acbe-fd24-452d-7d90-d13cbf485ffa.png)


#### 以前ダウンロードしたVPNセットアップ用のファイル、クライアント用の証明書とキーを準備しておきます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/39876393-6e39-44e8-020b-41305b7b6d69.png)
テキストエディタで一気にファイルを開きます。
VPN設定ファイルから編集していきます。
最終行にclient.client-vpn-hanson-2024.crtの内容から次の設定を追加する。
※ちょっとでもスペースなどが混入したら機能しません！
```:クライアントcrtファイル
<cert>
-----BEGIN CERTIFICATE-----

省略

-----END CERTIFICATE-----
</cert>
```
ここから</cert>に続けて、キーの情報を貼り付けていきます。
※ここも無駄なスペースがあると機能しません！
```:クライアントkeyファイル
<key>

省略

</key>
```
ここまでで設定ファイルの編集は終了です。


### VPNソフトウェアの設定を行います。
自身のデスクトップからVPNツールを起動します。
プロファイルの管理から、先程編集したプロファイルを追加します。名前は任意です。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/59728295-d212-a0d5-4f3e-e769ba3d85b9.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/5117156b-aab3-32fe-d929-be6e9f5a7dbf.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/7cfc8ffe-90ce-69ac-d199-1856e536d215.png)
図のようにプロファイルが適用できています。まだ接続しません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/693f41dc-ad37-6083-c0c0-71d8df492453.png)
接続タブから、接続の詳細をクリックし、やっと接続ボタンをクリックします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/cf4af543-f6e9-f230-0337-8c90658e5795.png)

接続完了！
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/f72f1b7e-b0b8-8f80-ff24-bbc6b183c178.png)

#### EC2にping疎通確認を致し申し上げます。どうかお願いします（切実ｗ）
powershellで「ping 0.0.0.0（プライベートアドレス）」コマンドを実行します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/6915e51b-3b2b-e427-9275-ea94249685ae.png)
疎通できていますね。

#### Teratermで接続してみます。
プライベートアドレスを設定し、接続を行います。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/17d0abac-5441-24e5-ce63-4aca77ff30b0.png)
接続できますね。
VPNエンドポイント（踏み台）からEC2に接続することができました。

#### マネジメントコンソールから接続確認
クライアントVPNエンドポイントの画面から「接続」タブを選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/67de76f2-5906-f7f3-84ec-259e5950699f.png)
接続できていますね。

#### CloudWatchを確認
「ロググループ」から、該当のログを選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/be170e4e-0a8a-5408-dd03-6aeb82410d26.png)
「ログストリーム」を選択します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/2f5f2efd-5bfa-1c8d-7473-94242d98daa4.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/6cbcc072-f6c7-87d4-a02d-1541f6f8d366.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/490fe4e2-e675-4edb-33a3-2612aa0cb504.png)
ログが問題なく通信成功を表示していますね！
内容はかなり詳細に表示されるのですね。


## リソースの削除
1. クライアントVPNエンドポイントから削除します。
ターゲットネットワークの関連付けを解除します。その後、クライアントVPNエンドポイントを「削除」します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/d700fdb5-1d15-4a33-12aa-e0e2a988fe65.png)
2. ACMの証明書関連を削除します。
該当の証明書を選択し削除します。
3. CloudWatchを削除します。
ロググループから、ログストリームに移動して削除します。その後、ロググループを削除。
4. EC2を終了します。
5. VPCを削除します。
これでサブネットも削除されます。
6. CloudShellの作成したディレクトリを削除します。
ユーザーのホームディレクトリに帰ります。
```:CloudShell
cd
```
該当のディレクトリがあるか確認します。
```:CloudShell
ls
```
「ls」コマンドの結果、この二つのディレクトリがあれば削除します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/3518951/52c71114-5a5f-c90f-c4e6-5105d8213511.png)

次のコマンドのディレクトリ名のところにそれぞれディレクトリ名を入れて実行します。
```:CloudShell
rm -r ディレクトリ名
```
ディレクトリによっては、本当に削除しますか？といった警告が出ますが「y」を入力して削除を許可しましょう。
二つのディレクトリを削除したら、次のコマンドで消えたことを確認します。
```:CloudShell
ls
```


## 番外編（ログ確認）
windowsのトラブルシューティング。
次の公式サイトにもあるようにログをローカルで確認することができる。
https://docs.aws.amazon.com/ja_jp/vpn/latest/clientvpn-user/windows-troubleshooting.html
1. OpenVPN ログ
C:\Program Files\Amazon\AWS VPN Client\WinServiceLogs\username
2. アプリケーションログ
C:\Users\User\AppData\Roaming\AWSVPNClient\logs

## どうしてもACMで自己証明書を作りたい場合のコマンド。
インポートできない理由はただ一つ、証明書の名前が短いこと。
なので、次のコマンドで長いネーミングで証明書を作ってしまえば良いのです。
秘密鍵 (server.key) とCSR (server.csr) を生成
```
openssl req -new -newkey rsa:2048 -nodes -keyout server.key -out server.csr -subj "/CN=server-client.client.vpn-keiji-2024"
```
認証局（CA）に証明書の発行を依頼
```
openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt
```
ACMにインポートします。
```
aws acm import-certificate --certificate fileb://server.crt --private-key fileb://server.key --certificate-chain fileb://ca.crt --region ap-northeast-1
```

ポリシー
EC2～ACM
```
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "acm:ImportCertificate",
            "Resource": "arn:aws:acm:ap-northeast-1:xxxxxxxxxxxx:certificate/*"
        }
    ]
}
```


## さいごに
このハンズオンは結構きつかったですね(^^;しかしその分勉強になりました。ネットワーク系でこんなに挫くとは。。どんどん勉強していきますよ！

では！