CIDR кліента AWS Client VPN не можа перакрывацца з дыяпазонам VPC

Канчатковы пункт AWS Client VPN выдае адрасы кліентам з пула, які вы выбіраеце, і AWS правярае гэты пул супраць мэтавай сеткі, перш чым стварыць канчатковы пункт. Праверка не ў тым, ці выглядае падсетка свабоднай. Яна ў тым, ці перакрываецца пул з дыяпазонам VPC, і адказ аднолькавы незалежна ад таго, ці выкарыстоўвае гэтыя адрасы сёння інстанс EC2. Перакрыццё — пытанне дыяпазонаў, а не размеркаванняў.

Прайдзіце пяць праверак па чарзе. Спыніцеся на першай, якая не прайшла, бо ні адзін наступны крок не выправіць ранейшага рашэння.

Перакрыццё — гэта тэст дыяпазонаў, а не тэст свабодных адрасоў

Пачынайце з CIDR VPC, а не з падсеткі, якую плануеце далучыць. Пул 172.20.0.0/22 знаходзіцца ўнутры VPC 172.20.0.0/16 і адхіляецца, нават калі ніводная падсетка яго не займае, бо перакрыццё — уласцівасць дыяпазонаў, а не бягучых размеркаванняў. Затым дадайце прызначэнні, куды маршрутызуе канчатковы пункт: аднаранговыя VPC, транзітны шлюз, лакальныя дыяпазоны праз злучэнне сайт-сайт. Любы дыяпазон, да якога кліенту можа спатрэбіцца доступ, павінен быць у спісе.

Збірайце іх з уліковага запісу, а не з памяці: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", плюс запісы табліцы маршрутаў для падсеткі, якую маеце намер далучыць.

Памер пула вызначаецца да пабудовы

AWS прымае пул кліентаў IPv4 паміж /22 і /12 на Client VPN. /24 занадта малы, /8 па-за дакументаваным дыяпазонам, і абедзве памылкі ўзнікаюць з-за памеру пула як падсеткі працоўнай нагрузкі. Падбірайце яго па чаканай колькасці адначасовых кліентаў плюс запас, затым акругліце да дазволенага прэфікса.

Праверце арыфметыку, перш чым уводзіць яе ў кансоль, бо няправільна набраны прэфікс змяняе памер пула без любога папярэджання:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Гэта выводзіць колькасць адрасоў, даўжыню прэфікса і тое, ці сутыкаецца кандыдат з дыяпазонам VPC, што хутчэй, чым разважаць пра маскі сеткі ў канцы акна змяненняў.

Рэзалвер мае ўласную ролю адраса

Рэзалвер VPC адказвае на базавым адрасе дыяпазона VPC плюс два, і гэта не абавязкова ўнутры падсеткі, якую вы далучылі. Здагадка, што рэзалвер павінен жыць у пуле кліентаў, або пабудова падсеткі вакол гэтага адраса дадае аб'екты, нічога не змяняючы. Важна тое, што канчатковы пункт нясе наладу DNS, якую кліент можа ўжыць, і што рэзалвер дасягальны з тунеля.

Запішыце рэзалвер, пул кліентаў і далучаную падсетку як тры асобныя элементы ў плане адрасацыі. Яны адмаўляюць незалежна, і тое, што адзін правільны, нічога не кажа пра два іншыя.

Чатыры палі, якія вы фіксуеце пры стварэнні

CIDR кліента IPv4 фіксуецца пры стварэнні. Змена DNS-сервера, даданне сувязі, замена групы бяспекі, рэдагаванне правілаў аўтарызацыі або змяненне маршрутаў split-tunnel — усё гэта звычайныя правакі, і ніводная з іх не пераймяноўвае пул. Гэтая асіметрыя і ёсць прычына, чаму гэта вартае агляду: танныя налады — тыя, якія вы захочаце змяніць пазней, а дарагая — тая, якую вы фіксуеце першай. Прачытайце апісанне канчатковага пункта, перш чым планаваць акно змяненняў.

Агледзьце разгорнуты канчатковы пункт, перш чым меркаваць пра перабудову. aws ec2 describe-client-vpn-endpoints вяртае пул, DNS, сцяг split-tunnel і сувязі ў адным адказе, і гэтага звычайна дастаткова, каб выключыць перабудову.

Замяняйце канчатковы пункт, а не латайце яго

Новы канчатковы пункт — гэта новы канчатковы пункт, а не міграцыя. Існуючыя сесіі не пераносяцца ў яго, кліенцкія профілі паказваюць на іншае імя, і кожную наладу, якую вы лічылі зразумелай сама сабой, трэба стварыць нанова: сертыфікат сервера, аўтэнтыфікацыя, сувязі, маршруты, групы аўтарызацыі, лагаванне. Праверце адным кліентам супраць патрабаванай прыватнай службы і супраць прызначэння, якое павінна быць забаронена, затым пашырце доступ. Усё, што вы прапусціце, пазней стане заяўкай у падтрымку.

Трымайце стары канчатковы пункт у працы, пакуль гэтая праверка не пройдзе, і захавайце адміністрацыйны шлях, які не залежыць ад новага.

Адна мяжа, якую варта назваць: гэта ахоплівае пул кліентаў IPv4. Налады трафіку dual-stack і IPv6 на Client VPN ідуць па ўласнай мадэлі адрасацыі, таму не пераносьце гэты спіс без чытання дакументацыі для гэтага рэжыму.