CIDR biðlara AWS Client VPN má ekki skarast við VPC-sviðið

AWS Client VPN endapunktur úthlutar biðlara-vistföngum úr laug sem þú velur, og AWS athugar þá laug gagnvart marknetinu áður en hann stofnar endapunktinn. Athugunin snýst ekki um hvort undirnet líti út fyrir að vera laust. Hún snýst um hvort laugin skarist við VPC-sviðið, og svarið er það sama hvort EC2-tilvik noti þessi vistföng í dag eða ekki. Skörun er spurning um svið, ekki um úthlutanir.

Farðu í gegnum fimm athuganir í röð. Stoppaðu við þá fyrstu sem bregst, því ekkert síðara skref getur lagað fyrri ákvörðun.

Skörun er prófun sviða, ekki prófun frjálsra vistfanga

Byrjaðu á CIDR VPC-sins, ekki á undirnetinu sem þú ætlar að tengja. Laug upp á 172.20.0.0/22 liggur inni í VPC upp á 172.20.0.0/16 og er hafnað jafnvel þó ekkert undirnet taki hana, því skörun er eiginleiki sviðanna en ekki núverandi úthlutana. Bættu síðan við áfangastöðunum sem endapunkturinn beinir á: peer VPC, transit gateway og staðbundin svið yfir site-to-site-tengingu. Sérhvert svið sem biðlari kann að þurfa að ná til á heima á listanum.

Safnaðu þeim úr reikningnum í stað minnis: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", auk færslna í leiðatöflu fyrir undirnetið sem þú ætlar að tengja.

Stærð laugarinnar er ákveðin fyrir byggingu

AWS samþykkir IPv4-biðlaralaug milli /22 og /12 á Client VPN. /24 er of lítil, /8 er utan skjalfestra sviðsins, og báðar villurnar koma af því að meta laugina eins og undirnet vinnuálags. Mældu hana eftir væntanlegum samtímabiðlurum auk rýmis og námundaðu síðan að leyfðu forskeyti.

Athugaðu reikninginn áður en þú slærð hann inn í stjórnborðið, því rangt slegið forskeyti breytir stærð laugarinnar án nokkurrar viðvörunar:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Það prentar fjölda vistfanga, lengd forskeytisins og hvort frambjóðandinn rekst á VPC-sviðið, sem er fljótlegra en að velta vöngum um netgrímur við lok breytingaglugga.

Uppflettirinn hefur sitt eigið hlutverk í vistfanginu

VPC-uppflettirinn svarar á grunnvistfang VPC-sviðsins auk tveggja, sem er ekki endilega inni í undirnetinu sem þú tengdir. Að gera ráð fyrir að uppflettirinn verði að búa í biðlaralauginni, eða að byggja undirnet í kringum það vistfang, bætir við hlutum án þess að breyta neinu. Það sem skiptir máli er að endapunkturinn beri DNS-stillingu sem biðlarinn getur beitt og að uppflettirinn sé aðgengilegur úr göngunni.

Skráðu uppflettinn, biðlaralaugina og tengda undirnetið sem þrjá aðskilda liði í vistfangaráætluninni. Þeir bregðast óháð, og að einn sé réttur segir ekkert um hina tvo.

Fjögur svæði sem þú skuldbindur þig til við stofnun

IPv4 CIDR biðlarans er fastur við stofnun. Að skipta um DNS-þjón, bæta við tengingu, skipta um öryggishóp, breyta heimildarreglum eða breyta split-tunnel-leiðum eru allt venjulegar breytingar, og engin þeirra endurnefnir laugina. Þessi ósamhverfa er ástæðan fyrir því að þetta á skilið yfirferð: ódýru stillingarnar eru þær sem þú vilt breyta síðar, og dýra er sú sem þú skuldbindur þig til fyrst. Lestu lýsingu endapunktsins áður en þú skipuleggur breytingaglugga.

Skoðaðu uppsetta endapunktinn áður en þú gerir ráð fyrir endurbyggingu. aws ec2 describe-client-vpn-endpoints skilar lauginni, DNS, split-tunnel-fánanum og tengingunum í einu svari, sem venjulega nægir til að útiloka endurbyggingu.

Skiptu um endapunkt í stað þess að bæta hann

Nýr endapunktur er nýr endapunktur, ekki flutningur. Núverandi lotur flytjast ekki yfir, biðlarasnið vísa á annað nafn, og hver stilling sem þú tókst sem sjálfsagða verður að búa til aftur: þjónarstilkynning, auðkenning, tengingar, leiðir, heimildarhópar, atburðaskráning. Staðfestu með einum biðlara gagnvart skilyrtri einkatengingu og gagnvart áfangastað sem verður að hafna, og víkkaðu síðan aðgang. Allt sem þú sleppir verður stuðningsmiði síðar.

Haltu gamla endapunktinum gangandi þar til þessi staðfesting gengur, og haltu stjórnunarleið sem er ekki háð hinum nýja.

Ein mörk sem vert er að nefna: þetta nær yfir IPv4-biðlaralaugina. Stillingar fyrir dual-stack og IPv6-umferð á Client VPN fylgja eigin vistfangslíkani, svo ekki afrita þennan lista án þess að lesa skjöl fyrir þá tegund.