AWS Client VPN клиентінің CIDR-і VPC ауқымымен қабаттаса алмайды

AWS Client VPN шеткі нүктесі клиент мекенжайларын сіз таңдаған пулдан таратады және AWS шеткі нүктені құрмас бұрын сол пулды мақсатты желімен салыстырып тексереді. Тексеру қосымша желінің бос көрінуі туралы емес. Ол пулдың VPC ауқымымен қабаттасуы туралы, және бүгін EC2 данасы сол мекенжайларды пайдалана ма, жоқ па — жауап бірдей. Қабаттасу ауқымдар туралы мәселе, бөлулер туралы емес.

Бес тексеруді ретімен орындаңыз. Бірінші сәтсіз болған жерде тоқтаңыз, өйткені кейінгі қадамдардың ешқайсысы бұрынғы шешімді түзете алмайды.

Қабаттасу — ауқымдар тесті, бос мекенжайлар тесті емес

VPC CIDR-інен бастаңыз, біріктіруді жоспарлап отырған қосымша желіден емес. 172.20.0.0/22 пулы 172.20.0.0/16 VPC ішінде орналасқан және оны ешбір қосымша желі алмаса да қабылданбайды, өйткені қабаттасу ауқымдардың қасиеті, қазіргі бөлулердің емес. Содан кейін шеткі нүкте бағыттайтын межелерді қосыңыз: peer VPC-лер, transit gateway және site-to-site қосылымы арқылы жергілікті ауқымдар. Клиентке жету қажет болуы мүмкін кез келген ауқым тізімге кіреді.

Оларды жадтан емес, аккаунттан жинаңыз: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", сонымен қатар біріктіргіңіз келетін қосымша желінің маршруттау кестесінің жазбалары.

Пул өлшемі құру алдында шешіледі

AWS Client VPN-де IPv4 клиент пулын /22 мен /12 аралығында қабылдайды. /24 тым кіші, /8 құжатталған ауқымнан тыс, және екі қате де пулды жұмыс жүктемесінің қосымша желісіндей өлшеуден шығады. Оны күтілетін бір мезгілдегі клиенттер мен қорға сүйене отырып өлшеңіз, содан кейін рұқсат етілген префикске дөңгелектеңіз.

Консольге термес бұрын арифметиканы тексеріңіз, өйткені қате терілген префикс пул өлшемін ешбір ескертусіз өзгертеді:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Бұл мекенжайлар санын, префикс ұзындығын және кандидаттың VPC ауқымымен соқтығысуын басып шығарады, бұл өзгеріс терезесінің соңында желілік маскалар туралы ойланудан жылдамырақ.

Resolver-дің өз мекенжай рөлі бар

VPC resolver-і VPC ауқымының базалық мекенжайына екі қосып жауап береді, бұл сіз біріктірген қосымша желінің ішінде болуы міндетті емес. Resolver клиент пулында тұруы керек деп болжау немесе сол мекенжай айналасында қосымша желі құру ештеңені өзгертпей нысандарды қосады. Маңыздысы — шеткі нүкте клиент қолдана алатын DNS параметрін алып жүрсін және resolver туннельден қолжетімді болсын.

Resolver-ді, клиент пулын және біріктірілген қосымша желіні мекенжай жоспарында үш бөлек бап ретінде жазыңыз. Олар тәуелсіз істен шығады, ал біреуінің дұрыстығы қалған екеуі туралы ештеңе айтпайды.

Құру кезінде міндеттенетін төрт өріс

Клиенттің IPv4 CIDR-і құру кезінде бекітіледі. DNS серверін ауыстыру, байланыс қосу, қауіпсіздік тобын ауыстыру, авторизация ережелерін өңдеу немесе split-tunnel маршруттарын өзгерту — бәрі қарапайым өңдеулер, және олардың ешқайсысы пул атауын өзгертпейді. Осы асимметрия бұның қарауды неге лайық екенін көрсетеді: арзан параметрлер — кейін өзгерткіңіз келетіндер, ал қымбаты — бірінші міндеттенетініңіз. Өзгеріс терезесін жоспарламас бұрын шеткі нүктенің сипаттамасын оқыңыз.

Қайта құруды болжамас бұрын орналастырылған шеткі нүктені тексеріңіз. aws ec2 describe-client-vpn-endpoints пулды, DNS-ті, split-tunnel жалаушасын және байланыстарды бір жауапта қайтарады, бұл әдетте қайта құруды жоққа шығаруға жетеді.

Шеткі нүктені жамау емес, ауыстыру керек

Жаңа шеткі нүкте — жаңа шеткі нүкте, көшіру емес. Қолданыстағы сессиялар оған көшпейді, клиент профильдері басқа атауға сілтейді, және өзінен-өзі түсінікті деп санаған әрбір параметрді қайта жасау керек: сервер сертификаты, аутентификация, байланыстар, маршруттар, авторизация топтары, журналдау. Міндетті жеке қызметке және қабылданбауы тиіс межеге қарсы бір клиентпен растаңыз, содан кейін қатынауды кеңейтіңіз. Өткізіп алғаныңыз кейін қолдау билетіне айналады.

Бұл тексеру өтпейінше ескі шеткі нүктені жұмыс істеп тұрсын, және жаңасына тәуелді емес әкімшілік жолды сақтаңыз.

Атап өтуге тұрарлық бір шекара: бұл IPv4 клиент пулын қамтиды. Client VPN-дегі dual-stack және IPv6 трафик параметрлері өз мекенжайлау моделіне бағынады, сондықтан сол режимнің құжаттамасын оқымай бұл тізімді көшірмеңіз.