能否通过AWS Client VPN端点访问同一区域多子网？求可行方案

问题描述 #

我的VPC位于eu-west-2区域，为实现高可用，在eu-west-2a和eu-west-2b两个可用区分别部署了承载RDS实例的子网，同时在eu-west-2c可用区有一个Redshift集群专用子网。目前我已成功配置AWS Client VPN端点，通过适配的VPN客户端可从本地机器访问RDS和Redshift。现在我希望遵循服务专用子网的原则，将EC2实例部署在仅能通过VPN访问的私有子网中，但AWS Client VPN服务有一项限制：

不能将同一可用区中的多个子网关联到同一个Client VPN端点。

这意味着我可能需要创建单独的端点来访问EC2私有子网，这对我的小型网络架构来说过于冗余，请问是否有可行的解决方法？

你不需要为EC2子网创建新的Client VPN端点，核心逻辑是：Client VPN的子网关联仅用于提供客户端的接入入口，而非控制目标资源的访问权限。具体操作如下：

• 添加Client VPN授权规则：在现有Client VPN端点的授权规则中，新增允许访问EC2专用私有子网CIDR范围的规则，确保VPN客户端被授权访问该子网内的资源。
• 更新EC2子网路由表：为EC2专用子网的路由表添加一条路由：
  • 目标地址：你的Client VPN客户端使用的CIDR段（例如10.0.0.0/24）
  • 下一跳：选择你的现有Client VPN端点

完成以上配置后，VPN客户端就能通过现有端点访问EC2专用子网内的实例，无需将EC2子网关联到VPN端点——关联子网的作用是让VPN客户端能连接到AWS的网络节点，而目标子网的访问只需要路由和授权规则配合即可。

备选方案（针对特殊场景） #

如果你的EC2子网需要和已关联VPN的子网做严格隔离，或者你希望保留子网的专用性，还可以考虑：

• 复用已关联VPN的子网部署EC2：如果eu-west-2a、eu-west-2b的RDS子网是私有子网且符合安全要求，可以直接在这些子网内部署EC2实例，无需新增子网。但如果严格遵循服务专用原则，这个方案可能不适用。
• 使用中转网关（Transit Gateway）：将Client VPN端点关联到中转网关，再把所有需要访问的子网（RDS、Redshift、EC2）关联到中转网关。不过这个方案会增加架构复杂度，对于小型网络来说确实冗余，仅推荐在后续架构扩张时考虑。

内容的提问来源于stack exchange，提问作者Blair Nangle