Ni all CIDR cleient AWS Client VPN orgyffwrdd ag ystod y VPC

Mae terfynfa AWS Client VPN yn dosbarthu cyfeiriadau cleient o bwll a ddewiswch, ac mae AWS yn gwirio'r pwll hwnnw yn erbyn y rhwydwaith targed cyn iddo greu'r derfynfa. Nid yw'r gwiriad yn ymwneud â ph'un a yw is-rwydwaith yn edrych yn rhydd. Y cwestiwn yw a yw'r pwll yn gorgyffwrdd ag ystod y VPC, ac mae'r ateb yr un peth p'un a yw enghraifft EC2 yn defnyddio'r cyfeiriadau hynny heddiw ai peidio. Mae gorgyffwrdd yn gwestiwn am ystodau, nid am ddyraniadau.

Ewch drwy bum gwiriad yn eu trefn. Stopiwch ar yr un cyntaf sy'n methu, oherwydd ni all unrhyw gam diweddarach atgyweirio penderfyniad cynharach.

Prawf ystodau yw gorgyffwrdd, nid prawf cyfeiriadau rhydd

Dechreuwch o CIDR y VPC, nid o'r is-rwydwaith rydych yn bwriadu ei gysylltu. Mae pwll o 172.20.0.0/22 yn gorwedd y tu mewn i VPC o 172.20.0.0/16 ac yn cael ei wrthod hyd yn oed pan nad oes unrhyw is-rwydwaith yn ei feddiannu, oherwydd bod gorgyffwrdd yn briodwedd o'r ystodau yn hytrach nag o'r dyraniadau presennol. Yna ychwanegwch y cyrchfannau y mae'r derfynfa yn llwybro iddynt: VPCau cyfochrog, porth tranzit, ac ystodau lleol dros gysylltiad safle-i-safle. Mae unrhyw ystod y gallai cleient fod angen ei chyrraedd yn perthyn i'r rhestr.

Casglwch nhw o'r cyfrif yn hytrach nag o'r cof: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", ynghyd â chofnodion y tabl llwybr ar gyfer yr is-rwydwaith rydych yn bwriadu ei gysylltu.

Penderfynir maint y pwll cyn i chi adeiladu

Mae AWS yn derbyn pwll cleient IPv4 rhwng /22 a /12 ar Client VPN. Mae /24 yn rhy fach, mae /8 y tu allan i'r ystod a ddogfennwyd, ac mae'r ddwy gamgymeriad yn codi o fesur y pwll fel is-rwydwaith llwyth gwaith. Mesurwch ef yn ôl y cleientiaid arfaethedig ar yr un pryd ynghyd â lle pen, yna talgrynwch i ragddodiad a ganiateir.

Gwiriwch yr arithmetic cyn ei theipio i'r consol, oherwydd mae rhagddodiad wedi'i deipio'n anghywir yn newid maint y pwll heb unrhyw rybudd:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Mae hynny'n argraffu cyfrif y cyfeiriadau, hyd y rhagddodiad, ac a yw'r ymgeisydd yn gwrthdaro ag ystod y VPC, sy'n gyflymach na rhesymu am fasgiau rhwydwaith ar ddiwedd ffenestr newid.

Mae gan y datryswr ei rôl gyfeiriad ei hun

Mae datryswr y VPC yn ateb ar gyfeiriad sylfaen ystod y VPC plws dau, nad yw o reidrwydd y tu mewn i'r is-rwydwaith a gysylltwyd. Mae tybio bod yn rhaid i'r datryswr fyw ym mhwll y cleient, neu adeiladu is-rwydwaith o amgylch y cyfeiriad hwnnw, yn ychwanegu gwrthrychau heb newid dim. Y peth sy'n bwysig yw bod y derfynfa yn cario gosodiad DNS y gall y cleient ei gymhwyso a bod y datryswr yn gyrraeddadwy o'r twnnel.

Cofnodwch y datryswr, pwll y cleient a'r is-rwydwaith cysylltiedig fel tri eitem ar wahân yn y cynllun cyfeiriadau. Maent yn methu'n annibynnol, ac nid yw un yn gywir yn dweud dim am y ddau arall.

Pedwar maes rydych yn ymrwymo iddynt wrth greu

Mae CIDR IPv4 y cleient yn sefydlog wrth greu. Mae newid y gweinydd DNS, ychwanegu cysylltiad, cyfnewid y grŵp diogelwch, golygu rheolau awdurdodi neu newid llwybrau split-tunnel i gyd yn olygiadau cyffredin, ac nid oes yr un ohonynt yn ailenwi'r pwll. Yr anghymesuredd hwnnw yw'r rheswm y mae hyn yn haeddu adolygiad: y gosodiadau rhad yw'r rhai y byddwch am eu newid yn ddiweddarach, a'r un drud yw'r un rydych yn ymrwymo iddo gyntaf. Darllenwch ddisgrifiad y derfynfa cyn cynllunio ffenestr newid.

Archwiliwch y derfynfa a osodwyd cyn tybio ailadeiladu. Mae aws ec2 describe-client-vpn-endpoints yn dychwelyd y pwll, DNS, y faner split-tunnel a'r cysylltiadau mewn un ymateb, sy'n ddigon fel arfer i reoli allan ailadeiladu.

Disodlwch y derfynfa yn lle ei chlytio

Mae terfynfa newydd yn derfynfa newydd, nid yn ymfudiad. Nid yw sesiynau presennol yn symud iddi, mae proffiliau cleient yn pwyntio at enw gwahanol, a rhaid ail-greu pob gosodiad a gymerwyd yn ganiataol: tystysgrif y gweinydd, dilysu, cysylltiadau, llwybrau, grwpiau awdurdodi, logio. Dilyswch gydag un cleient yn erbyn gwasanaeth preifat gofynnol ac yn erbyn cyrchfan y mae'n rhaid ei gwrthod, yna ehangu mynediad. Mae unrhyw beth a hepgorwch yn dod yn docyn cymorth yn ddiweddarach.

Cadwch yr hen derfynfa i redeg nes bod y dilysiad hwnnw'n pasio, a chadwch lwybr gweinyddol nad yw'n dibynnu ar yr un newydd.

Un ffin sy'n werth ei nodi: mae hyn yn cwmpasu pwll cleient IPv4. Mae gosodiadau traffig dual-stack ac IPv6 ar Client VPN yn dilyn eu model cyfeirio eu hunain, felly peidiwch â chopïo'r rhestr hon heb ddarllen y ddogfennaeth ar gyfer y modd hwnnw.