AWS Client VPN ক্লায়েন্ট CIDR VPC রেঞ্জের সাথে ওভারল্যাপ করতে পারবে না

AWS Client VPN এন্ডপয়েন্ট আপনার বেছে নেওয়া পুল থেকে ক্লায়েন্ট ঠিকানা বিতরণ করে, এবং AWS এন্ডপয়েন্ট তৈরি করার আগেই সেই পুলটি লক্ষ্য নেটওয়ার্কের সাথে যাচাই করে। যাচাইটি সাবনেট খালি দেখাচ্ছে কি না তা নয়। এটি হলো পুলটি VPC রেঞ্জের সাথে ওভারল্যাপ করে কি না, এবং আজ কোনো EC2 ইনস্ট্যান্স ওই ঠিকানাগুলো ব্যবহার করছে কি না তাতে উত্তর একই থাকে। ওভারল্যাপ রেঞ্জ নিয়ে প্রশ্ন, বরাদ্দ নিয়ে নয়।

পাঁচটি পরীক্ষা ক্রম অনুসারে সম্পন্ন করুন। প্রথমটি যেখানে ব্যর্থ হয় সেখানেই থামুন, কারণ পরের কোনো ধাপ আগের সিদ্ধান্ত মেরামত করতে পারে না।

ওভারল্যাপ একটি রেঞ্জ পরীক্ষা, মুক্ত-ঠিকানা পরীক্ষা নয়

VPC CIDR থেকে শুরু করুন, আপনি যে সাবনেট সংযুক্ত করতে চান তা থেকে নয়। 172.20.0.0/22 এর একটি পুল 172.20.0.0/16 এর একটি VPC-এর ভিতরে থাকে এবং কোনো সাবনেট তা দখল না করলেও প্রত্যাখ্যাত হয়, কারণ ওভারল্যাপ রেঞ্জের বৈশিষ্ট্য, বর্তমান বরাদ্দের নয়। তারপর এন্ডপয়েন্ট যে গন্তব্যগুলোতে রুট করে সেগুলো যোগ করুন: peered VPC, একটি ট্রানজিট গেটওয়ে, সাইট-টু-সাইট সংযোগের মাধ্যমে অন-প্রিমাইজ রেঞ্জ। ক্লায়েন্টের যেকোনো রেঞ্জে পৌঁছানোর প্রয়োজন হতে পারে, তা তালিকায় থাকা উচিত।

সেগুলো স্মৃতি থেকে নয়, অ্যাকাউন্ট থেকে সংগ্রহ করুন: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", সাথে আপনি যে সাবনেট সংযুক্ত করতে চান তার রুট টেবিল এন্ট্রি।

পুলের আকার তৈরি করার আগেই নির্ধারিত হয়

AWS Client VPN-এ /22 থেকে /12 এর মধ্যে একটি IPv4 ক্লায়েন্ট পুল গ্রহণ করে। /24 খুব ছোট, /8 নথিভুক্ত রেঞ্জের বাইরে, এবং দুটি ভুলই পুলকে ওয়ার্কলোড সাবনেটের মতো মাপার ফলে হয়। প্রত্যাশিত একসাথে থাকা ক্লায়েন্ট যোগ হেডরুম দিয়ে এটি মাপুন, তারপর অনুমোদিত প্রিফিক্সে রাউন্ড করুন।

কনসোলে টাইপ করার আগে গণিতটি যাচাই করুন, কারণ ভুলভাবে টাইপ করা প্রিফিক্স কোনো সতর্কতা ছাড়াই পুলের আকার বদলে দেয়:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

এটি ঠিকানার সংখ্যা, প্রিফিক্সের দৈর্ঘ্য এবং প্রার্থীটি VPC রেঞ্জের সাথে সংঘর্ষ করে কি না তা ছাপে, যা পরিবর্তন উইন্ডোর শেষে নেটমাস্ক নিয়ে ভাবনার চেয়ে দ্রুত।

রিজলভারের নিজস্ব ঠিকানা ভূমিকা আছে

VPC রিজলভার VPC রেঞ্জের বেস ঠিকানা যোগ দুই-তে উত্তর দেয়, যা আপনি যে সাবনেট সংযুক্ত করেছেন তার ভিতরে থাকা আবশ্যক নয়। রিজলভারকে ক্লায়েন্ট পুলে থাকতেই হবে ধরে নেওয়া, বা সেই ঠিকানার চারপাশে সাবনেট তৈরি করা, কিছু না বদলেই বস্তু যোগ করে। গুরুত্বপূর্ণ হলো এন্ডপয়েন্ট এমন একটি DNS সেটিং বহন করে যা ক্লায়েন্ট প্রয়োগ করতে পারে এবং রিজলভারটি টানেল থেকে পৌঁছানো যায়।

রিজলভার, ক্লায়েন্ট পুল এবং সংযুক্ত সাবনেট—এই তিনটি আলাদা আইটেম হিসেবে ঠিকানা পরিকল্পনায় লিখুন। এগুলো স্বতন্ত্রভাবে ব্যর্থ হয়, এবং একটি সঠিক হওয়া অন্য দুটি সম্পর্কে কিছুই বলে না।

তৈরির সময় যে চারটি ফিল্ডে আপনি প্রতিশ্রুতিবদ্ধ

ক্লায়েন্ট IPv4 CIDR তৈরির সময়েই নির্ধারিত। DNS সার্ভার বদলানো, সংযোগ যোগ করা, সিকিউরিটি গ্রুপ বদলানো, অনুমোদন নিয়ম সম্পাদনা করা বা split-tunnel রুট পরিবর্তন করা—সবই সাধারণ সম্পাদনা, এবং এর কোনোটিই পুলের নাম বদলায় না। এই অসমতাই এটিকে পর্যালোচনার যোগ্য করে: সস্তা সেটিংসগুলোই পরে বদলাতে চাইবেন, আর ব্যয়বহুলটিই প্রথমে প্রতিশ্রুতিবদ্ধ হন। পরিবর্তন উইন্ডো পরিকল্পনার আগে এন্ডপয়েন্টের বর্ণনা পড়ুন।

পুনর্নির্মাণ ধরে নেওয়ার আগে স্থাপিত এন্ডপয়েন্ট পরিদর্শন করুন। aws ec2 describe-client-vpn-endpoints পুল, DNS, split-tunnel ফ্ল্যাগ এবং সংযোগগুলো একটিমাত্র প্রতিক্রিয়ায় ফেরত দেয়, যা সাধারণত পুনর্নির্মাণ বাদ দেওয়ার জন্য যথেষ্ট।

এন্ডপয়েন্ট প্যাচ করার বদলে প্রতিস্থাপন করুন

নতুন এন্ডপয়েন্ট নতুন এন্ডপয়েন্ট, মাইগ্রেশন নয়। চলমান সেশনগুলো তাতে যায় না, ক্লায়েন্ট প্রোফাইল ভিন্ন নামের দিকে নির্দেশ করে, এবং আপনি যে প্রতিটি সেটিং স্বাভাবিক ধরে নিয়েছিলেন তা পুনরায় তৈরি করতে হবে: সার্ভার সার্টিফিকেট, প্রমাণীকরণ, সংযোগ, রুট, অনুমোদন গ্রুপ, লগিং। প্রয়োজনীয় প্রাইভেট সেবার বিপরীতে এবং অবশ্যই প্রত্যাখ্যাত হওয়া উচিত এমন গন্তব্যের বিপরীতে একজন ক্লায়েন্ট দিয়ে যাচাই করুন, তারপর অ্যাক্সেস বাড়ান। যা বাদ দেবেন তা পরে সাপোর্ট টিকিট হয়ে দাঁড়াবে।

সেই যাচাই পাস না হওয়া পর্যন্ত পুরোনো এন্ডপয়েন্ট চালু রাখুন, এবং নতুনটির উপর নির্ভর করে না এমন একটি প্রশাসনিক পথ রাখুন।

উল্লেখযোগ্য একটি সীমা: এটি IPv4 ক্লায়েন্ট পুল কভার করে। Client VPN-এ dual-stack এবং IPv6 ট্রাফিক সেটিংস তাদের নিজস্ব অ্যাড্রেসিং মডেল অনুসরণ করে, তাই ওই মোডের ডকুমেন্টেশন না পড়ে এই চেকলিস্ট কপি করবেন না।