CIDR na abokin ciniki na AWS Client VPN ba zai iya haɗuwa da kewayon VPC ba

Ƙarshen wuri na AWS Client VPN yana ba da adiresoshin abokin ciniki daga tafkin da kuka zaɓa, kuma AWS na duba wannan tafkin da cibiyar da ake nufi kafin ya ƙirƙiri ƙarshen wurin. Binciken ba game da ko subnet ya yi kama da fanko ba ne. Game da ko tafkin ya haɗu da kewayon VPC ne, kuma amsar ita ce ɗaya ko a yau wani misali na EC2 yana amfani da waɗannan adiresoshin ko a'a. Haɗuwa tambaya ce game da kewayon, ba game da rabo ba.

Bi bincike biyar cikin tsari. Tsaya a na farko da ya kasa, domin babu wani mataki na gaba da zai iya gyara shawarar da ta gabata.

Haɗuwa gwajin kewayon ne, ba gwajin adiresoshi marasa amfani ba

Fara daga CIDR na VPC, ba daga subnet da kuke shirin haɗawa ba. Tafki na 172.20.0.0/22 yana cikin VPC na 172.20.0.0/16 kuma ana ƙi shi ko da babu subnet da ke mallake shi, domin haɗuwa dabi'a ce ta kewayon, ba ta rabon yanzu ba. Sa'an nan ƙara wuraren da ƙarshen wurin ke turawa: VPC na peer, transit gateway, da kewayon gida ta hanyar haɗin site-to-site. Duk wani kewayon da abokin ciniki zai iya buƙatar isa ya shiga jerin.

Tattara su daga asusun, ba daga ƙwaƙwalwa ba: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", da kuma shigarwar teburin hanya na subnet ɗin da kuke son haɗawa.

Girman tafkin ana yanke shi kafin gina

AWS na karɓar tafkin abokin ciniki na IPv4 tsakanin /22 da /12 a Client VPN. /24 ya yi ƙanƙanta, /8 yana wajen kewayon da aka rubuta, kuma duka kuskuren biyu suna zuwa daga auna tafkin kamar subnet na aiki. Auna shi da adadin abokan ciniki na lokaci ɗaya da ake tsammani da ƙari, sannan ka zagaye zuwa prefix da aka yarda.

Duba lissafin kafin rubuta shi a cikin console, domin prefix da aka buga ba daidai ba yana canza girman tafkin ba tare da wani gargaɗi ba:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Wannan yana buga adadin adiresoshi, tsawon prefix, da ko ɗan takarar ya yi karo da kewayon VPC, wanda ya fi sauri fiye da yin tunani game da netmask a ƙarshen taga canji.

Resolver yana da nasa rawar adireshi

Resolver na VPC yana amsa a adireshin tushe na kewayon VPC da biyu, wanda ba lallai yake cikin subnet ɗin da kuka haɗa ba. Tsammanin cewa resolver dole ya zauna cikin tafkin abokin ciniki, ko gina subnet a kewayen wannan adireshin, yana ƙara abubuwa ba tare da canza komai ba. Abin da ke da muhimmanci shi ne ƙarshen wurin yana ɗauke da saitin DNS da abokin ciniki zai iya amfani da shi kuma ana iya isa resolver daga ramin.

Rubuta resolver, tafkin abokin ciniki da subnet ɗin da aka haɗa a matsayin abubuwa uku daban a cikin shirin adireshi. Suna kasawa daban, kuma kasancewar ɗaya daidai ba ya faɗi komai game da sauran biyun.

Filaye huɗu da kuke ɗaure da su lokacin ƙirƙira

CIDR na IPv4 na abokin ciniki an ƙayyade shi lokacin ƙirƙira. Canza uwar garken DNS, ƙara haɗi, musanya rukunin tsaro, gyara ka'idojin izini ko canza hanyoyin split-tunnel duk gyare-gyare ne na yau da kullum, kuma babu ɗayansu da ke sake sunan tafkin. Wannan rashin daidaito shine dalilin da ya sa wannan ya cancanci bita: saitin mai arha shine wanda za ku so canza daga baya, kuma mai tsada shine wanda kuka fara ɗaure da shi. Karanta bayanin ƙarshen wurin kafin ku shirya taga canji.

Bincika ƙarshen wurin da aka tura kafin ku ɗauka sake ginawa. aws ec2 describe-client-vpn-endpoints yana mayar da tafkin, DNS, tutar split-tunnel da haɗin gwiwa a cikin amsa ɗaya, wanda yawanci ya isa a kawar da sake ginawa.

Maye gurbin ƙarshen wurin maimakon faci shi

Sabon ƙarshen wuri sabon ƙarshen wuri ne, ba ƙaura ba. Zaman da ke akwai ba sa ƙaura zuwa gare shi, bayanan martabar abokin ciniki suna nuni ga wani suna, kuma duk saitin da kuka ɗauka a matsayin abin da aka sani dole a sake ƙirƙira shi: takardar shaidar uwar garke, tabbatarwa, haɗin gwiwa, hanyoyi, ƙungiyoyin izini, rikodi. Tabbatar da abokin ciniki ɗaya a kan hidimar sirri da ake buƙata da kuma kan wata hanya da dole a ƙi, sannan faɗaɗa damar shiga. Duk abin da kuka tsallake zai zama tikitin tallafi daga baya.

Ka riƙe tsohon ƙarshen wurin yana aiki har sai wannan tabbacin ya wuce, kuma ka riƙe hanyar gudanarwa da ba ta dogara da sabon ba.

Iyaka ɗaya da ta cancanci ambata: wannan ya shafi tafkin abokin ciniki na IPv4. Saitunan zirga-zirgar dual-stack da IPv6 a Client VPN suna bin nasu tsarin adireshi, don haka kada ku kwafi wannan jerin ba tare da karanta takardun wannan yanayin ba.