AWS Client VPN:n asiakkaan CIDR ei saa mennä päällekkäin VPC:n alueen kanssa

AWS Client VPN -päätepiste jakaa asiakasosoitteita valitsemastasi poolista, ja AWS tarkistaa poolin kohdeverkkoa vasten ennen päätepisteen luontia. Tarkistus ei koske sitä, näyttääkö aliverkko vapaalta. Se koskee sitä, meneekö pool päällekkäin VPC:n alueen kanssa, ja vastaus on sama riippumatta siitä, käyttääkö EC2-instanssi näitä osoitteita tänään. Päällekkäisyys on alueiden, ei jakojen kysymys.

Käy viisi tarkistusta järjestyksessä läpi. Pysähdy ensimmäiseen, joka epäonnistuu, koska mikään myöhempi vaihe ei korjaa aiempaa päätöstä.

Päällekkäisyys on alueiden testi, ei vapaiden osoitteiden testi

Aloita VPC:n CIDR:stä, älä aliverkosta, jonka aiot liittää. Pool 172.20.0.0/22 sijaitsee VPC:n 172.20.0.0/16 sisällä ja hylätään, vaikka mikään aliverkko ei sitä varaa, koska päällekkäisyys on alueiden ominaisuus eikä nykyisten jakojen. Lisää sitten kohteet, joihin päätepiste reitittää: peer-verkotetut VPC:t, transit gateway ja paikalliset alueet site-to-site-yhteyden kautta. Mikä tahansa alue, johon asiakkaan voi tarvita päästä, kuuluu listalle.

Kerää ne tililtä älä muistista: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", sekä reititystaulun merkinnät aliverkolle, jonka aiot liittää.

Poolin koko päätetään ennen rakentamista

AWS hyväksyy IPv4-asiakaspoolin välillä /22 ja /12 Client VPN:ssä. /24 on liian pieni, /8 on dokumentoidun alueen ulkopuolella, ja molemmat virheet syntyvät poolin mitoittamisesta kuin se olisi työkuorman aliverkko. Mitoita se odotettujen samanaikaisten asiakkaiden ja varan mukaan ja pyöristä sitten sallittuun etuliitteeseen.

Tarkista aritmetiikka ennen kuin kirjoitat sen konsoliin, koska väärin kirjoitettu etuliite muuttaa poolin kokoa ilman mitään varoitusta:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Se tulostaa osoitteiden määrän, etuliitteen pituuden ja sen, törmääkö ehdokas VPC:n alueeseen, mikä on nopeampaa kuin pohtia verkkomaskeja muutosikkunan lopussa.

Resolverilla on oma osoiteroolinsa

VPC:n resolver vastaa VPC:n alueen perusosoitteessa plus kaksi, joka ei välttämättä ole liittämäsi aliverkon sisällä. Oletus, että resolverin on elettävä asiakaspoolissa, tai aliverkon rakentaminen tuon osoitteen ympärille, lisää objekteja muuttamatta mitään. Ratkaisevaa on, että päätepiste kantaa DNS-asetuksen, jonka asiakas voi soveltaa, ja että resolver on tavoitettavissa tunnelista.

Kirjaa resolver, asiakaspooli ja liitetty aliverkko kolmena erillisenä kohteena osoitesuunnitelmaan. Ne epäonnistuvat toisistaan riippumatta, eikä yhden oikeellisuus kerro mitään kahdesta muusta.

Neljä kenttää, joihin sitoudut luonnissa

Asiakkaan IPv4-CIDR on lukittu luonnissa. DNS-palvelimen vaihtaminen, liitoksen lisääminen, suojausryhmän vaihtaminen, valtuutussääntöjen muokkaaminen tai split-tunnel-reittien muuttaminen ovat kaikki tavallisia muutoksia, eikä mikään niistä nimeä poolia uudelleen. Tämä epäsymmetria on syy siihen, miksi tämä ansaitsee katselmoinnin: halvat asetukset ovat niitä, joita haluat muuttaa myöhemmin, ja kallis on se, johon sitoudut ensin. Lue päätepisteen kuvaus ennen muutosikkunan suunnittelua.

Tarkastele käyttöön otettua päätepistettä ennen kuin oletat uudelleenrakennuksen. aws ec2 describe-client-vpn-endpoints palauttaa poolin, DNS:n, split-tunnel-lipun ja liitokset yhdessä vastauksessa, mikä yleensä riittää uudelleenrakennuksen poissulkemiseen.

Korvaa päätepiste sen paikkaamisen sijaan

Uusi päätepiste on uusi päätepiste, ei migraatio. Nykyiset istunnot eivät siirry siihen, asiakasprofiilit osoittavat eri nimeen, ja jokainen itsestään selvänä pitämäsi asetus on luotava uudelleen: palvelinvarmenne, todennus, liitokset, reitit, valtuutusryhmät, lokitus. Varmista yhdellä asiakkaalla vaadittua yksityistä palvelua vasten ja kohdetta vasten, joka on hylättävä, ja laajenna sitten pääsyä. Kaikki ohittamasi muuttuu myöhemmin tukipalvelupyynnöksi.

Pidä vanha päätepiste käynnissä, kunnes tämä varmennus menee läpi, ja säilytä hallintapolku, joka ei riipu uudesta.

Yksi raja, joka kannattaa mainita: tämä kattaa IPv4-asiakaspoolin. Client VPN:n dual-stack- ja IPv6-liikenneasetukset noudattavat omaa osoitteistusmalliaan, joten älä kopioi tätä listaa lukematta kyseisen tilan dokumentaatiota.