您正在配置 AWS Client VPN，以便本地用户可以访问 VPC 中的资源，但合规性要求只有发往 VPC 的流量才能通过 VPN 隧道。应如何配置 Client VPN 终端节点以强制执行此要求？

正确答案是“在 Client VPN 终端节点上启用拆分隧道模式，以便只有发往 VPC 的流量通过隧道发送”。启用拆分隧道模式（Split-tunneling）是强制只有发往 VPC 的流量通过 VPN 隧道的关键配置。这意味着客户端的互联网流量将直接路由，而只有目标为 VPC 网络的流量才会被加密并通过 VPN 隧道传输，满足了合规性要求。 将 Client VPN 终端节点与具有 NAT 网关的私有子网关联，并不能直接控制客户端流量是否通过 VPN 隧道。它主要影响 VPC 内部资源访问互联网的方式。指定 DNS 服务器 IP 地址有助于名称解析，但与流量路由无关。选择私有证书用于客户端身份验证，是安全连接的一部分，但与流量路由策略无关。