AWS Client VPN 클라이언트 CIDR은 VPC 범위와 겹칠 수 없습니다

AWS Client VPN 엔드포인트는 선택한 풀에서 클라이언트 주소를 할당하며, AWS는 엔드포인트를 만들기 전에 그 풀을 대상 네트워크와 대조합니다. 점검 대상은 서브넷이 비어 보이는지가 아닙니다. 풀이 VPC 범위와 겹치는지이며, 오늘 EC2 인스턴스가 그 주소를 쓰든 쓰지 않든 답은 같습니다. 겹침은 범위의 문제이지 할당의 문제가 아닙니다.

다섯 가지 점검을 순서대로 진행하세요. 처음 실패하는 지점에서 멈추세요. 이후 단계로는 앞선 결정을 고칠 수 없습니다.

겹침은 범위 테스트이지 빈 주소 테스트가 아닙니다

연결하려는 서브넷이 아니라 VPC의 CIDR에서 시작하세요. 172.20.0.0/22 풀은 172.20.0.0/16 VPC 안에 있으며 어떤 서브넷도 차지하지 않아도 거부됩니다. 겹침은 범위의 속성이지 현재 할당의 속성이 아니기 때문입니다. 그다음 엔드포인트가 라우팅하는 목적지를 추가하세요. 피어 VPC, 전송 게이트웨이, 사이트 간 연결을 통한 온프레미스 범위입니다. 클라이언트가 도달해야 할 수 있는 모든 범위가 목록에 들어갑니다.

기억이 아니라 계정에서 수집하세요. aws ec2 describe-vpcs --query "Vpcs[].CidrBlock" 와 연결하려는 서브넷의 라우팅 테이블 항목입니다.

풀 크기는 구축 전에 결정됩니다

AWS는 Client VPN에서 /22에서 /12 사이의 IPv4 클라이언트 풀을 허용합니다. /24는 너무 작고 /8은 문서화된 범위를 벗어나며, 두 오류 모두 풀을 워크로드 서브넷처럼 산정해서 생깁니다. 예상 동시 클라이언트에 여유를 더해 산정한 뒤 허용된 프리픽스로 반올림하세요.

콘솔에 입력하기 전에 계산을 확인하세요. 프리픽스를 잘못 입력하면 경고 없이 풀 크기가 바뀝니다.

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

주소 수, 프리픽스 길이, 후보가 VPC 범위와 충돌하는지가 출력되며, 변경 작업 마무리에 넷마스크를 따지는 것보다 빠릅니다.

리졸버에는 고유한 주소 역할이 있습니다

VPC 리졸버는 VPC 범위의 기준 주소에 이를 더한 주소에서 응답하며, 그 주소가 연결한 서브넷 안에 있다고 보장되지 않습니다. 리졸버가 클라이언트 풀에 있어야 한다고 가정하거나 그 주소 주변에 서브넷을 만들면 아무것도 바꾸지 않으면서 객체만 늘어납니다. 중요한 것은 엔드포인트가 클라이언트가 적용할 수 있는 DNS 설정을 갖고 리졸버가 터널에서 도달 가능한지입니다.

리졸버, 클라이언트 풀, 연결된 서브넷을 주소 계획에서 세 개의 별도 항목으로 기록하세요. 이들은 독립적으로 실패하며, 하나가 맞다는 것이 나머지 둘에 대해 말해주지 않습니다.

생성 시 확정하는 네 개의 필드

클라이언트 IPv4 CIDR은 생성 시 고정됩니다. DNS 서버 변경, 연결 추가, 보안 그룹 교체, 권한 부여 규칙 편집, 분할 터널 경로 변경은 모두 일반적인 편집이며 어느 것도 풀 이름을 바꾸지 않습니다. 이 비대칭이 검토가 필요한 이유입니다. 저렴한 설정은 나중에 바꾸고 싶은 것이고, 비싼 설정은 처음에 확정하는 것입니다. 변경 작업을 계획하기 전에 엔드포인트 설명을 읽으세요.

재구축을 가정하기 전에 배포된 엔드포인트를 확인하세요. aws ec2 describe-client-vpn-endpoints 는 풀, DNS, 분할 터널 플래그, 연결을 한 응답으로 반환하며 보통 재구축을 배제하기에 충분합니다.

엔드포인트는 임시방편으로 고치지 말고 교체하세요

새 엔드포인트는 새 엔드포인트이지 마이그레이션이 아닙니다. 기존 세션은 옮겨가지 않고 클라이언트 프로필은 다른 이름을 가리키며, 당연하게 여긴 모든 설정을 다시 만들어야 합니다. 서버 인증서, 인증, 연결, 경로, 권한 부여 그룹, 로깅입니다. 필수 프라이빗 서비스와 거부되어야 할 목적지에 대해 클라이언트 하나로 검증한 뒤 접근을 넓히세요. 건너뛴 것은 나중에 지원 티켓이 됩니다.

그 검증이 통과할 때까지 기존 엔드포인트를 계속 운영하고, 새 엔드포인트에 의존하지 않는 관리 경로를 유지하세요.

밝혀 둘 경계가 하나 있습니다. 이는 IPv4 클라이언트 풀을 다룹니다. Client VPN의 듀얼 스택과 IPv6 트래픽 설정은 자체 주소 지정 모델을 따르므로 해당 모드의 문서를 읽지 않고 이 목록을 복사하지 마세요.