AWS Client VPN: ¿qué CA debe emitir los certificados de cliente?

La pregunta sobre los certificados en AWS Client VPN se plantea como una pregunta de producto, y en realidad es una pregunta de operaciones. Cualquiera de las tres configuraciones habituales mantendrá un túnel funcionando: una CA organizativa existente, un emisor propio dedicado o AWS Private CA. Se diferencian en quién aprueba un dispositivo, quién guarda la clave de firma y quién responde cuando un portátil desaparece a una hora incómoda. Elija la opción cuyo responsable pueda nombrar.

AWS no exige Private CA para la autenticación con certificados. Colocar un certificado de servidor en ACM es un paso de despliegue, no un proceso de inscripción.

Las tres condiciones que lo deciden

Tres condiciones separan las opciones con claridad: si ya existe un proceso aprobado de inscripción de dispositivos, si puede operar una clave de firma con copias de seguridad y un responsable designado, y cómo llega una revocación al punto de enlace. Cada una está cerca de un sí o un no, y el primer no suele decidir la arquitectura.

Trábelas en orden. Saltar directamente a una comparación de costes es como los equipos acaban con una CA gestionada y nadie que sepa quién emite el siguiente certificado de portátil.

Condición primera: ¿ya existe la inscripción?

Si su organización ya opera una CA con una ruta aprobada de inscripción de dispositivos, emitir desde ella los certificados de cliente de Client VPN es la ruta más corta. Las aprobaciones, el proceso y los registros de activos ya están ahí. Un emisor subordinado dedicado dentro de esa jerarquía suele ser mejor que la CA emisora de propósito general, porque da a la VPN su propia frontera de confianza y su propia lista de revocación. Mantenga esa lista separada del resto de la jerarquía para que un incidente de VPN no obligue a un cambio en todo el PKI.

Si no existe tal proceso, la verdadera pregunta es si quiere construir uno. Una CA es fácil de empezar y cara de poseer mal.

Condición segunda: ¿puede operar una clave de firma?

Un emisor propio funciona con el modelo de importación documentado, y EasyRSA o una pequeña herramienta interna pueden producir el material. Ejecutar el comando no es la parte difícil. La parte difícil son las copias de seguridad sin conexión de la clave de firma, una ruta de recuperación que alguien haya probado de verdad, un responsable que no esté de vacaciones y una regla de que la clave nunca acabe en un paquete de cliente ni en una exportación de configuración. Escríbalo como procedimiento antes de emitir el primer certificado, no después del primer incidente.

AWS Private CA traslada esa custodia a un servicio gestionado. No traslada la política de inscripción, el paso de aprobación ni la entrega del certificado al dispositivo.

Condición tercera: ¿cómo llega la revocación?

Client VPN consume una lista de revocación de certificados de cliente que usted importa en el punto de enlace, tal como se describe en la guía del ciclo de vida de los certificados. Publicar una CRL en otro lugar de su PKI no la empuja al servicio. La importación es una operación aparte y programada, y una lista caducada detiene las conexiones en lugar de degradarse en silencio. Ponga la renovación en el mismo calendario que los propios certificados.

Eso convierte la renovación en un elemento de monitorización con responsable, no en una tarea que se termina en el lanzamiento. Revoque un certificado de prueba de principio a fin antes de necesitar el mecanismo de verdad.

Lo que ninguna de las opciones elimina

Toda opción sigue necesitando un certificado de cliente y una clave distintos por cada dispositivo gestionado de forma independiente. Un tutorial que reparte una sola identidad a todos es un atajo de tutorial, y además hace imposible la revocación selectiva.

Los certificados de servidor importados en ACM no tienen renovación gestionada, así que el responsable debe obtener el reemplazo, volver a importarlo y luego confirmar que el punto de enlace lo ha adoptado. Renovar el certificado de servidor no renueva las credenciales de cliente que ya están en los portátiles. Son ciclos de vida separados con calendarios separados.

Compruebe los tipos de clave y las extensiones que acepta el servicio antes de emitir nada. Que una CA admita un algoritmo no significa que el punto de enlace vaya a aceptarlo.

Antes del lanzamiento, ejecute una renovación y una retirada de cliente por el flujo de trabajo que haya elegido, y anote qué credencial cambió, qué ajuste del punto de enlace cambió y qué ocurrió con la sesión activa. Si ese ejercicio termina sin un responsable claro, la elección de emisor no está terminada.