AWS Client VPN-i kliendi CIDR ei tohi VPC vahemikuga kattuda

AWS Client VPN-i lõpp-punkt jagab kliendiaadresse poolist, mille te ise valite, ja AWS kontrollib seda pooli sihtvõrgu vastu enne lõpp-punkti loomist. Kontroll ei käsitle seda, kas alamvõrk paistab vaba. See käsitleb seda, kas pool kattub VPC vahemikuga, ja vastus on sama olenemata sellest, kas mõni EC2 instants neid aadresse täna kasutab. Kattuvus on vahemike, mitte jaotuste küsimus.

Käige viis kontrolli järjekorras läbi. Peatuge esimese juures, mis ebaõnnestub, sest ükski hilisem samm ei paranda varasemat otsust.

Kattuvus on vahemike test, mitte vabade aadresside test

Alustage VPC CIDR-ist, mitte alamvõrgust, mida kavatsete siduda. Pool 172.20.0.0/22 asub VPC 172.20.0.0/16 sees ja lükatakse tagasi ka siis, kui ükski alamvõrk seda ei hõlma, sest kattuvus on vahemike omadus, mitte praeguste jaotuste oma. Seejärel lisage sihtmärgid, kuhu lõpp-punkt marsruudib: peer VPC-d, transit gateway ja kohalikud vahemikud site-to-site ühenduse kaudu. Iga vahemik, kuhu klient võib vajada juurdepääsu, kuulub nimekirja.

Koguge need kontolt, mitte mälust: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", pluss marsruutimistabeli kirjed selle alamvõrgu jaoks, mille kavatsete siduda.

Pooli suurus otsustatakse enne ehitamist

AWS võtab Client VPN-is vastu IPv4 kliendipooli vahemikus /22 kuni /12. /24 on liiga väike, /8 on dokumenteeritud vahemikust väljas, ja mõlemad vead tulevad pooli mõõtmisest töökoormuse alamvõrgu moodi. Mõõtke seda oodatavate samaaegsete klientide ja varu järgi, seejärel ümardage lubatud prefiksini.

Kontrollige aritmeetikat enne selle konsooli tippimist, sest valesti tipitud prefiks muudab pooli suurust ilma igasuguse hoiatuseta:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

See trükib aadresside arvu, prefiksi pikkuse ja selle, kas kandidaat põrkub VPC vahemikuga, mis on kiirem kui mõelda võrgumaskidele muudatuste akna lõpus.

Resolveril on oma aadressiroll

VPC resolver vastab VPC vahemiku baasaadressil pluss kaks, mis ei ole tingimata teie seotud alamvõrgu sees. Eeldus, et resolver peab elama kliendipoolis, või alamvõrgu ehitamine selle aadressi ümber lisab objekte ilma midagi muutmata. Tähtis on, et lõpp-punkt kannab DNS seadet, mida klient saab rakendada, ja et resolver on tunnelist kättesaadav.

Märkige resolver, kliendipool ja seotud alamvõrk aadressiplaanis kolme eraldi kirjena. Need ebaõnnestuvad sõltumatult ja see, et üks on õige, ei ütle teise kahe kohta midagi.

Neli välja, millega te loomisel kohustute

Kliendi IPv4 CIDR on loomisel fikseeritud. DNS serveri vahetamine, seose lisamine, turvagrupi vahetamine, autoriseerimisreeglite muutmine või split-tunnel marsruutide muutmine on kõik tavalised muudatused ja ükski neist ei nimeta pooli ümber. See asümmeetria on põhjus, miks see väärib ülevaatamist: odavad seaded on need, mida te hiljem muuta tahate, ja kallis on see, millega te esimesena kohustute. Lugege lõpp-punkti kirjeldust enne muudatuste akna planeerimist.

Kontrollige juurutatud lõpp-punkti enne ümberehituse eeldamist. aws ec2 describe-client-vpn-endpoints tagastab pooli, DNS-i, split-tunnel lipu ja seosed ühes vastuses, millest tavaliselt piisab ümberehituse välistamiseks.

Asendage lõpp-punkt, mitte ärge lappige seda

Uus lõpp-punkt on uus lõpp-punkt, mitte migratsioon. Olemasolevad sessioonid ei liigu sinna, kliendiprofiilid osutavad teisele nimele ja iga seade, mida pidasite iseenesestmõistetavaks, tuleb uuesti luua: serverisertifikaat, autentimine, seosed, marsruudid, autoriseerimisgrupid, logimine. Valideerige ühe kliendiga nõutava privaatteenuse vastu ja sihtkoha vastu, mis tuleb tagasi lükata, seejärel laiendage juurdepääsu. Kõik vahelejäetud muutub hiljem tugipiletiks.

Hoidke vana lõpp-punkt töös, kuni see valideerimine läbib, ja säilitage haldustee, mis ei sõltu uuest.

Üks piir, mida tasub mainida: see hõlmab IPv4 kliendipooli. Client VPN-i dual-stack ja IPv6 liikluse seaded järgivad oma aadressimudelit, seega ärge kopeerige seda nimekirja ilma selle režiimi dokumentatsiooni lugemata.