acceso a cloudfront por openvpn usando aws waf

Tengo unas distribución de cloudfront que apunta a un s3, requiero hacer que los usuarios internos de la compañía (son 5), solo puedan ingresar por vpn a dicha distribución. La opción que vi, es usar aws waf para restringir el acceso y que solo se pueda por openvpn.