Вы настраиваете AWS Client VPN таким образом, чтобы локальные пользователи могли получать доступ к ресурсам в VPC, но требования соответствия предписывают, чтобы через VPN-туннель проходил только трафик, предназначенный для VPC. Как следует настроить конечную точку Client VPN для обеспечения этого?

Правильный ответ — включить режим split-tunnel на конечной точке Client VPN. Режим split-tunneling гарантирует, что только трафик, предназначенный для ресурсов в VPC, маршрутизируется через VPN-туннель. Весь остальной интернет-трафик пользователя будет направляться напрямую из его локальной сети, минуя VPN. Это соответствует требованию, чтобы через VPN проходил только трафик для VPC. Привязка конечной точки Client VPN к частной подсети с NAT gateway не решает проблему маршрутизации трафика, а лишь обеспечивает доступ к интернету из VPC. Указание IP-адресов DNS-серверов необходимо для разрешения имен, но не влияет на маршрутизацию трафика через туннель. Выбор частного сертификата для идентификации клиента относится к аутентификации, а не к маршрутизации трафика.