It kliïnt-CIDR fan AWS Client VPN mei it VPC-berik net oerlaapje

In AWS Client VPN-einpunt dielt kliïntadressen út út in pool dy't jo kieze, en AWS kontrolearret dy pool tsjin it doelnetwurk foar't it it einpunt oanmakket. De kontrôle giet net oer de fraach oft in subnet frij liket. It giet oer de fraach oft de pool it VPC-berik oerlaapet, en it antwurd is itselde oft in EC2-ynstânsje dy adressen hjoed brûkt of net. Oerlaap is in fraach oer berikken, net oer tawizings.

Wurket fiif kontrôles yn folchoarder ôf. Stopje by de earste dy't misse giet, want gjin inkelde lettere stap kin in earder beslút reparearje.

Oerlaap is in beriktest, net in test foar frije adressen

Begjin by it CIDR fan 'e VPC, net by it subnet dat jo fan plan binne te ferbinen. In pool fan 172.20.0.0/22 leit binnen in VPC fan 172.20.0.0/16 en wurdt wegere sels as gjin subnet it beset, want oerlaap is in eigenskip fan 'e berikken en net fan 'e hjoeddeiske tawizings. Foegje dan de bestimmingen ta dêr't it einpunt nei rûtelet: pearde VPC's, in transit gateway en lokale berikken oer in site-to-site-ferbining. Elk berik dêr't in kliïnt miskien komme moat, heart yn 'e list.

Sammelje se út it akkount yn stee fan út it ûnthâld: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", plus de rûtetabel-ynfieringen foar it subnet dat jo ferbine wolle.

De grutte fan 'e pool wurdt foar de bou besletten

AWS akseptearret in IPv4-kliïntpool tusken /22 en /12 op Client VPN. In /24 is te lyts, in /8 leit bûten it dokumintearre berik, en beide flaters komme fan it mjitten fan 'e pool as wie it in workload-subnet. Mjitte it nei ferwachte tagelyk kliïnten plus romte, en rûnje it dan ôf nei in tastiene prefiks.

Kontrolearje de rekkenkunde foar't jo it yn 'e konsole type, want in ferkeard typte prefiks feroaret de grutte fan 'e pool sûnder hokker warskôging dan ek:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Dat printsje it oantal adressen, de lingte fan 'e prefiks en oft de kandidaat botst mei it VPC-berik, wat flugger is as neitinke oer netmaskers oan 'e ein fan in feroaringsfinster.

De resolver hat syn eigen adresrol

De VPC-resolver antwurdet op it basisadres fan it VPC-berik plus twa, dat net needsaaklik binnen it subnet leit dat jo ferbûn hawwe. Oannimme dat de resolver yn 'e kliïntpool wenje moat, of in subnet om dat adres hinne bouwe, foeget objekten ta sûnder wat te feroarjen. Wat fan belang is, is dat it einpunt in DNS-ynstelling draacht dy't de kliïnt tapasse kin en dat de resolver fanôf de tunnel berikber is.

Skriuw de resolver, de kliïntpool en it ferbûne subnet as trije aparte items yn it adresplan. Se misse ûnôfhinklik, en dat ien goed is, seit neat oer de oare twa.

Fjouwer fjilden dêr't jo by it oanmeitsjen oan fêsthâlde

It kliïnt-IPv4-CIDR leit by it oanmeitsjen fêst. It feroarjen fan 'e DNS-tsjinner, it tafoegjen fan in ferbining, it ferfangen fan 'e befeiligingsgroep, it bewurkjen fan autorisaasjeregels of it feroarjen fan split-tunnel-rûtes binne allegear gewoane bewurkings, en gjinien fan harren neamt de pool oars. Dy asymmetry is de reden dat dit in resinsje fertsjinnet: de goedkeape ynstellingen binne dejingen dy't jo letter feroarje wolle, en de djoere is dejingen dêr't jo jo earst oan fêstlizze. Lês de beskriuwing fan it einpunt foar't jo in feroaringsfinster planne.

Undersykje it útrôle einpunt foar't jo in werbou oannimme. aws ec2 describe-client-vpn-endpoints jout de pool, DNS, de split-tunnel-flagge en de ferbiningen yn ien antwurd werom, wat meastentiids genôch is om in werbou út te sluten.

Ferfange it einpunt yn stee fan it te flikken

In nij einpunt is in nij einpunt, net in migraasje. Besteande sesjes ferhúzje net dêrhinne, kliïntprofylen wize nei in oare namme, en elke ynstelling dy't jo as fanselssprekkend oannaam hawwe, moat op 'e nij makke wurde: tsjinner-sertifikaat, ferifikaasje, ferbiningen, rûtes, autorisaasjegroepen, loggen. Falidearje mei ien kliïnt tsjin in ferplichte priveetsjinst en tsjin in bestimming dy't wegere wurde moat, en wreidzje dan de tagong út. Alles wat jo oerslaan wurdt letter in stipekaart.

Hâld it âlde einpunt oan 'e gong oant dy falidaasje slagget, en hâld in bestjoerlik paad dat net fan it nije ôfhinklik is.

Ien grins dy't it neamen wurdich is: dit beslacht de IPv4-kliïntpool. Ynstellingen foar dual-stack- en IPv6-ferkear op Client VPN folgje har eigen adressearringsmodel, dus kopiearje dizze list net sûnder de dokumintaasje foar dy modus te lêzen.