AWS Client VPN-eko bezeroaren CIDRak ezin du VPC barrutia gainjarri

AWS Client VPN endpoint batek zuk aukeratutako pool batetik banatzen ditu bezero-helbideak, eta AWSek pool hori helburuko sarearen aurka egiaztatzen du endpoint-a sortu aurretik. Egiaztapena ez da azpisare bat libre dagoen ala ez. Poolak VPC barrutiarekin gainjartzen duen ala ez da, eta erantzuna bera da EC2 instantzia batek gaur helbide horiek erabiltzen dituen ala ez. Gainjartzea barrutien kontua da, ez esleipenen kontua.

Igo bost egiaztapen ordenan. Gelditu huts egiten duen lehenengoan, geroagoko urrats batek ere ezin duelako aurreko erabaki bat konpondu.

Gainjartzea barrutien proba da, ez helbide askeen proba

Hasi VPCren CIDR-tik, ez lotu nahi duzun azpisaretik. 172.20.0.0/22-ko pool bat 172.20.0.0/16-ko VPC baten barruan dago eta baztertu egiten da azpisare batek hartzen ez duenean ere, gainjartzea barrutien propietatea delako, ez uneko esleipenen propietatea. Ondoren gehitu endpoint-ak bideratzen dituen helmugak: peer VPCak, transit gateway bat eta instalazio barruko barrutiak site-to-site konexio baten bidez. Bezero batek iritsi behar izan dezakeen edozein barruti zerrendan sartzen da.

Bildu itzazu kontutik, ez memoriatik: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", gehi lotu nahi duzun azpisarearen bideratze-taularen sarrerak.

Pool-aren tamaina eraiki aurretik erabakitzen da

AWSek IPv4 bezero-pool bat onartzen du /22 eta /12 artean Client VPN-en. /24 txikiegia da, /8 dokumentatutako barrutitik kanpo dago, eta bi akatsak pool-a lan-karga azpisare bat balitz bezala neurtzetik datoz. Neurtu espero diren aldi bereko bezeroen eta tarte baten arabera, eta gero biribildu baimendutako aurrizki batera.

Egiaztatu aritmetika kontsolara idatzi aurretik, gaizki idatzitako aurrizki batek pool-aren tamaina aldatzen baitu inolako abisurik gabe:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Horrek helbide-kopurua, aurrizkiaren luzera eta hautagaiak VPC barrutiarekin talka egiten duen inprimatzen ditu, aldaketa-leiho baten amaieran sare-maskarei buruz pentsatzea baino azkarragoa dena.

Resolver-ak bere helbide-rola du

VPC resolver-ak VPC barrutiaren oinarrizko helbidea gehi bi-n erantzuten du, eta hori ez dago nahitaez lotu duzun azpisarearen barruan. Resolver-ak bezero-pool-ean bizi behar duela suposatzeak, edo helbide horren inguruan azpisare bat eraikitzeak, objektuak gehitzen ditu ezer aldatu gabe. Garrantzitsua da endpoint-ak bezeroak aplika dezakeen DNS ezarpen bat eramatea eta resolver-a tunelatik irisgarria izatea.

Erregistratu resolver-a, bezero-pool-a eta lotutako azpisarea hiru elementu bereizi gisa helbide-planean. Modu independentean huts egiten dute, eta bat zuzena izateak ez du ezer esaten beste biei buruz.

Sortzean finkatzen dituzun lau eremu

Bezeroaren IPv4 CIDR-a sortzean finkatzen da. DNS zerbitzaria aldatzea, lotura bat gehitzea, segurtasun-taldea trukatzea, baimen-arauak editatzea edo split-tunnel bideak aldatzea ohiko editaketak dira, eta batek ere ez du pool-a berrizendatzen. Asimetria hori da hau berrikuspena merezi izatearen arrazoia: ezarpen merkeak geroago aldatu nahiko dituzunak dira, eta garestia lehenengo finkatzen duzuna. Irakurri endpoint-aren deskribapena aldaketa-leiho bat planifikatu aurretik.

Ikuskatu inplementatutako endpoint-a berreraikitzea suposatu aurretik. aws ec2 describe-client-vpn-endpointsek pool-a, DNS-a, split-tunnel bandera eta loturak erantzun bakar batean itzultzen ditu, eta hori normalean nahikoa da berreraikitzea baztertzeko.

Ordeztu endpoint-a, adabakitu beharrean

Endpoint berri bat endpoint berri bat da, ez migrazio bat. Lehendik dauden saioak ez dira hara pasatzen, bezero-profilak beste izen batera seinalatzen du, eta jakintzat eman zenuen ezarpen bakoitza berriz sortu behar da: zerbitzariaren ziurtagiria, autentifikazioa, loturak, bideak, baimen-taldeak, erregistroa. Egiaztatu bezero bakar batekin beharrezko zerbitzu pribatu baten aurka eta ukatu behar den helmuga baten aurka, eta gero zabaldu sarbidea. Saltatzen duzuna laguntza-txartel bihurtzen da geroago.

Eduki endpoint zaharra martxan egiaztapen horrek pasa arte, eta mantendu berriaren mende ez dagoen administrazio-bide bat.

Aipatzeko muga bat: honek IPv4 bezero-pool-a hartzen du. Client VPN-eko dual-stack eta IPv6 trafikoaren ezarpenek beren helbideratze-eredua jarraitzen dute, beraz ez kopiatu zerrenda hau modu horretarako dokumentazioa irakurri gabe.