Az AWS Client VPN kliens-CIDR-je nem fedheti át a VPC tartományát

Az AWS Client VPN végpont ügyfélcímeket oszt ki egy általad választott poolból, és az AWS a végpont létrehozása előtt ellenőrzi ezt a poolt a célhálózat ellen. Az ellenőrzés nem arról szól, hogy egy alhálózat szabadnak tűnik-e. Arról szól, hogy a pool átfedi-e a VPC tartományát, és a válasz ugyanaz, akár használja ma egy EC2 példány ezeket a címeket, akár nem. Az átfedés tartományok kérdése, nem kiosztásoké.

Öt ellenőrzést végezz el sorrendben. Az elsőnél állj meg, amelyik elbukik, mert egyetlen későbbi lépés sem tud korábbi döntést helyrehozni.

Az átfedés tartományvizsgálat, nem szabad címek vizsgálata

A VPC CIDR-jéből indulj ki, ne abból az alhálózatból, amelyet társítani szeretnél. A 172.20.0.0/22 pool egy 172.20.0.0/16 VPC belsejében van, és elutasításra kerül, még ha egyetlen alhálózat sem foglalja el, mert az átfedés a tartományok tulajdonsága, nem a jelenlegi kiosztásoké. Ezután add hozzá azokat a célpontokat, ahová a végpont irányít: társított VPC-k, transit gateway és helyszíni tartományok site-to-site kapcsolaton keresztül. Minden tartomány, ahová egy kliensnek el kell jutnia, a listára tartozik.

A fiókból gyűjtsd őket, ne emlékezetből: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", valamint a társítani kívánt alhálózat útválasztási táblázatának bejegyzései.

A pool méretét az építés előtt döntik el

Az AWS a Client VPN-en /22 és /12 közötti IPv4 kliens poolt fogad el. A /24 túl kicsi, a /8 a dokumentált tartományon kívül esik, és mindkét hiba abból ered, hogy a poolt munkaterhelés-alhálózatként méretezik. A várható egyidejű kliensek és a tartalék alapján méretezd, majd kerekítsd engedélyezett előtagra.

Ellenőrizd a számítást, mielőtt beírod a konzolba, mert egy elgépelt előtag figyelmeztetés nélkül megváltoztatja a pool méretét:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Ez kiírja a címek számát, az előtag hosszát és azt, hogy a jelölt ütközik-e a VPC tartományával, ami gyorsabb, mint a hálózati maszkokon gondolkodni egy változási ablak végén.

A feloldónak saját cím szerepe van

A VPC feloldója a VPC tartomány báziscímén, plusz kettőn válaszol, ami nem feltétlenül esik a társított alhálózatba. Az a feltételezés, hogy a feloldónak a kliens poolban kell laknia, vagy hogy alhálózatot kell építeni e cím köré, objektumokat ad hozzá anélkül, hogy bármit megváltoztatna. Az a fontos, hogy a végpont olyan DNS-beállítást hordoz, amelyet a kliens alkalmazni tud, és hogy a feloldó elérhető az alagútból.

Rögzítsd a feloldót, a kliens poolt és a társított alhálózatot három külön tételként a címtervben. Ezek egymástól függetlenül hibáznak, és az, hogy az egyik helyes, semmit sem mond a másik kettőről.

Négy mező, amelyhez létrehozáskor kötődsz

A kliens IPv4 CIDR-je létrehozáskor rögzül. A DNS-kiszolgáló cseréje, társítás hozzáadása, a biztonsági csoport cseréje, az engedélyezési szabályok szerkesztése vagy a split-tunnel útvonalak módosítása mind közönséges szerkesztés, és egyik sem nevezi át a poolt. Ez az aszimmetria az oka annak, hogy ez felülvizsgálatot érdemel: az olcsó beállítások azok, amelyeket később meg akarsz majd változtatni, a drága pedig az, amelyhez először kötődsz. Olvasd el a végpont leírását, mielőtt változási ablakot tervezel.

Vizsgáld meg a telepített végpontot, mielőtt újraépítést feltételeznél. A aws ec2 describe-client-vpn-endpoints a poolt, a DNS-t, a split-tunnel jelzőt és a társításokat egyetlen válaszban adja vissza, ami általában elég az újraépítés kizárásához.

Cseréld le a végpontot, ne foltozd

Az új végpont új végpont, nem migráció. A meglévő munkamenetek nem költöznek át, a kliensprofilok más névre mutatnak, és minden beállítást, amelyet magától értetődőnek vettél, újra kell alkotni: kiszolgálótanúsítvány, hitelesítés, társítások, útvonalak, engedélyezési csoportok, naplózás. Egyetlen klienssel ellenőrizd egy kötelező privát szolgáltatás és egy elutasítandó célpont ellen, majd szélesítsd a hozzáférést. Amit kihagysz, az később támogatási jegy lesz.

Tartsd működésben a régi végpontot, amíg ez az ellenőrzés át nem megy, és őrizz meg egy adminisztratív útvonalat, amely nem függ az újtól.

Egy határ, amelyet érdemes kimondani: ez az IPv4 kliens poolra vonatkozik. A Client VPN dual-stack és IPv6 forgalmi beállításai a saját címzési modelljüket követik, ezért ne másold át ezt a listát anélkül, hogy elolvasnád az adott mód dokumentációját.