AWS Client VPN müştəri CIDR-i VPC aralığı ilə üst-üstə düşə bilməz

AWS Client VPN son nöqtəsi müştəri ünvanlarını sizin seçdiyiniz hovuzdan paylayır və AWS son nöqtəni yaratmazdan əvvəl həmin hovuzu hədəf şəbəkə ilə yoxlayır. Yoxlama subnetin boş görünməsi ilə bağlı deyil. Söhbət hovuzun VPC aralığı ilə üst-üstə düşüb-düşməməsindən gedir və cavab bu gün həmin ünvanları EC2 instansının istifadə edib-etməməsindən asılı deyil. Üst-üstə düşmə aralıqlar haqqında sualdır, ayrımlar haqqında deyil.

Beş yoxlamanı sıra ilə keçin. İlk uğursuz olanında dayanın, çünki sonrakı addımların heç biri əvvəlki qərarı düzəldə bilməz.

Üst-üstə düşmə aralıq testidir, boş ünvan testi deyil

Birləşdirməyi planlaşdırdığınız subnetdən deyil, VPC CIDR-indən başlayın. 172.20.0.0/22 hovuzu 172.20.0.0/16 ölçülü VPC-nin içində yerləşir və heç bir subnet onu tutmasa da rədd edilir, çünki üst-üstə düşmə aralıqların xassəsidir, cari ayrımların deyil. Sonra son nöqtənin marşrutlaşdırdığı hədəfləri əlavə edin: peer VPC-lər, transit gateway, saytlararası bağlantı üzərindəki yerli aralıqlar. Müştərinin çatması lazım ola biləcək hər aralıq siyahıya daxil olmalıdır.

Onları yaddaşdan deyil, hesabdan toplayın: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", üstəgəl birləşdirmək istədiyiniz subnet üçün marşrut cədvəli qeydləri.

Hovuzun ölçüsü qurmadan əvvəl müəyyən edilir

AWS Client VPN-də IPv4 müştəri hovuzunu /22 ilə /12 arasında qəbul edir. /24 çox kiçikdir, /8 sənədləşdirilmiş aralıqdan kənardır və hər iki səhv hovuzu iş yükü subneti kimi ölçməkdən gəlir. Onu gözlənilən eyni vaxtlı müştərilər və ehtiyat payı ilə ölçün, sonra icazə verilən prefiksə yuvarlaqlaşdırın.

Hesablamanı konsola yazmazdan əvvəl yoxlayın, çünki səhv yazılmış prefiks hovuzun ölçüsünü heç bir xəbərdarlıq olmadan dəyişir:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Bu, ünvan sayını, prefiks uzunluğunu və namizədin VPC aralığı ilə toqquşub-toqquşmadığını çap edir ki, bu da dəyişiklik pəncərəsinin sonunda netmasklar barədə düşünməkdən sürətlidir.

Rezolverin öz ünvan rolu var

VPC rezolveri VPC aralığının baza ünvanı üstəgəl ikidə cavab verir və bu, birləşdirdiyiniz subnetin içində olmaya bilər. Rezolverin müştəri hovuzunda yaşamalı olduğunu güman etmək və ya o ünvan ətrafında subnet qurmaq heç nəyi dəyişmədən obyektlər əlavə edir. Vacib olan odur ki, son nöqtə müştərinin tətbiq edə biləcəyi DNS parametrini daşıyır və rezolver tuneldən əlçatandır.

Rezolveri, müştəri hovuzunu və birləşdirilmiş subneti ünvan planında üç ayrı element kimi qeyd edin. Onlar ayrı-ayrılıqda uğursuz olur və birinin düzgün olması digər ikisi barədə heç nə demir.

Yaradılma anında bağlandığınız dörd sahə

Müştəri IPv4 CIDR-i yaradılma anında sabitdir. DNS serverini dəyişmək, birləşmə əlavə etmək, təhlükəsizlik qrupunu dəyişmək, avtorizasiya qaydalarını redaktə etmək və ya split-tunnel marşrutlarını dəyişmək adi düzəlişlərdir və heç biri hovuzun adını dəyişmir. Bu asimmetriya buna baxışın niyə lazım olduğunun səbəbidir: ucuz parametrlər sonradan dəyişmək istəyəcəyiniz parametrlərdir, bahalı olan isə ilk bağlandığınızdır. Dəyişiklik pəncərəsini planlamazdan əvvəl son nöqtənin təsvirini oxuyun.

Yenidən qurmağı güman etməzdən əvvəl yerləşdirilmiş son nöqtəni yoxlayın. aws ec2 describe-client-vpn-endpoints hovuzu, DNS-i, split-tunnel bayrağını və birləşmələri tək cavabda qaytarır və bu, adətən, yenidən qurmanı istisna etməyə kifayət edir.

Son nöqtəni yamaq əvəzinə dəyişdirin

Yeni son nöqtə yeni son nöqtədir, miqrasiya deyil. Mövcud sessiyalar ona keçmir, müştəri profilləri fərqli ada baxır və təbii qəbul etdiyiniz hər parametr yenidən yaradılmalıdır: server sertifikatı, autentifikasiya, birləşmələr, marşrutlar, avtorizasiya qrupları, loglama. Tələb olunan şəxsi xidmətə və rədd edilməli olan hədəfə qarşı bir müştəri ilə doğrulayın, sonra girişi genişləndirin. Atladığınız hər şey sonradan dəstək bileti olur.

Doğrulama keçənə qədər köhnə son nöqtəni işlək saxlayın və yenisindən asılı olmayan inzibati yol saxlayın.

Qeyd etməyə dəyər bir sərhəd: bu, IPv4 müştəri hovuzunu əhatə edir. Client VPN-də dual-stack və IPv6 trafik parametrləri öz ünvanlama modelinə tabedir, ona görə də bu yoxlama siyahısını həmin rejimin sənədlərini oxumadan köçürməyin.