Você está configurando o AWS Client VPN para que usuários on-premises possam acessar recursos em uma VPC, mas a conformidade exige que apenas o tráfego destinado à VPC passe pelo túnel VPN. Como o endpoint do Client VPN deve ser configurado para impor isso?

A opção correta é habilitar o modo split-tunnel (túnel dividido) no endpoint do Client VPN. O split-tunneling garante que apenas o tráfego destinado à VPC seja roteado através do túnel VPN, enquanto o restante do tráfego (como navegação na internet) é enviado diretamente da máquina do cliente, sem passar pela VPN. Isso atende ao requisito de conformidade de que "apenas o tráfego destinado à VPC passe pelo túnel VPN". Associar o endpoint a uma sub-rede privada com NAT Gateway não controla qual tráfego entra no túnel VPN, apenas como o tráfego da VPC acessa a internet. Especificar endereços IP de servidor DNS é para resolução de nomes, não para controle de roteamento de tráfego. Escolher um certificado privado é para autenticação do cliente, não para gerenciar o roteamento do tráfego dentro ou fora do túnel.