Está configurando AWS Client VPN para que los usuarios locales puedan acceder a los recursos de una VPC, pero el cumplimiento normativo exige que solo el tráfico destinado a la VPC pase por el túnel VPN. ¿Cómo se debe configurar el endpoint de Client VPN para aplicar esto?

La opción correcta es habilitar el modo de túnel dividido (split-tunnel) en el endpoint de Client VPN. El túnel dividido asegura que solo el tráfico dirigido a las redes especificadas (en este caso, la VPC) pase a través del túnel VPN. El resto del tráfico de Internet del usuario se enruta directamente desde su máquina local, sin pasar por la VPN. Esto cumple con el requisito de que solo el tráfico destinado a la VPC utilice el túnel. Las otras opciones son incorrectas: Asociar el endpoint con una subred privada con NAT Gateway no controla el enrutamiento del tráfico del cliente, solo el acceso a Internet desde la VPC. Especificar direcciones IP de servidor DNS es para la resolución de nombres dentro de la VPC, no para el control del enrutamiento del tráfico. Elegir un certificado privado es para la autenticación del cliente, no para la política de enrutamiento del tráfico.