AWS Client VPN кардарынын CIDR VPC диапазону менен кабатташа албайт

AWS Client VPN акыркы чекити кардар даректерин сиз тандаган пулдан бөлүштүрөт, жана AWS акыркы чекитти түзүүдөн мурун ошол пулду максаттуу тармакка салыштырып текшерет. Текшерүү субтармак бош көрүнөбү дегендикте эмес. Пул VPC диапазону менен кабатташабы дегендикте, жана бүгүн EC2 инстанциясы ошол даректерди колдонобу же жокпу — жооп бирдей. Кабатташуу диапазондор тууралуу маселе, бөлүштүрүүлөр тууралуу эмес.

Беш текшерүүнү ирети менен аткарыңыз. Биринчи ийгиликсиз болгон жерде токтоңуз, анткени кийинки кадамдардын бири да мурунку чечимди оңдой албайт.

Кабатташуу — диапазондор тести, бош даректер тести эмес

VPCнин CIDRинен баштаңыз, бириктирүүнү пландаган субтармактан эмес. 172.20.0.0/22 пулу 172.20.0.0/16 VPCнин ичинде жайгашкан жана аны эч бир субтармак ээлебесе да четке кагылат, анткени кабатташуу диапазондордун касиети, азыркы бөлүштүрүүлөрдүн эмес. Андан кийин акыркы чекит багыттаган максаттарды кошуңуз: peer VPCлер, transit gateway жана site-to-site байланышы аркылуу жергиликтүү диапазондор. Кардар жетүүгө муктаж болушу мүмкүн болгон ар кандай диапазон тизмеге кирет.

Аларды эстутумдан эмес, аккаунттан чогултуңуз: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", кошумча бириктирүүнү көздөгөн субтармактын маршруттоо таблицасынын жазуулары.

Пулдун өлчөмү куруудан мурун чечилет

AWS Client VPNде IPv4 кардар пулун /22ден /12ге чейин кабыл алат. /24 өтө кичине, /8 документтелген диапазондон тышкары, жана эки ката тең пулду жумуш жүгүнүн субтармагы катары өлчөөдөн келип чыгат. Аны күтүлгөн бир убактагы кардарлар жана кор менен өлчөңүз, анан уруксат берилген префикске тегеректеңиз.

Консолго терүүдөн мурун арифметиканы текшериңиз, анткени туура эмес терилген префикс эч кандай эскертүүсүз пулдун өлчөмүн өзгөртөт:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Бул даректердин санын, префикстин узундугун жана талапкер VPC диапазону менен кагылышабы же жокпу басып чыгарат, бул өзгөртүү терезесинин аягында тармак маскалары тууралуу ойлонуудан тезирээк.

Resolverдин өз дарек ролу бар

VPC resolver VPC диапазонунун базалык дарегине эки кошуп жооп берет, бул сиз бириктирген субтармактын ичинде болушу милдеттүү эмес. Resolver кардар пулунда жашоого тийиш деп болжолдоо же ошол даректин айланасында субтармак куруу эч нерсени өзгөртпөстөн объекттерди кошот. Маанилүүсү — акыркы чекит кардар колдоно алган DNS жөндөөсүн алып жүрсүн жана resolver туннелден жеткиликтүү болсун.

Resolverди, кардар пулун жана бириктирилген субтармакты дарек планында үч өзүнчө берене катары жазыңыз. Алар көз карандысыз иштебей калат, жана биринин туура болушу калган экөө тууралуу эч нерсе айтпайт.

Түзүүдө милдеттенген төрт талаа

Кардардын IPv4 CIDRи түзүүдө бекитилет. DNS серверди алмаштыруу, байланыш кошуу, коопсуздук тобун алмаштыруу, авторизация эрежелерин оңдоо же split-tunnel маршруттарын өзгөртүү — баары кадимки оңдоолор, жана алардын эч бири пулдун атын өзгөртпөйт. Ушул асимметрия буга кароо эмнеге татыктуу экенин көрсөтөт: арзан жөндөөлөр — кийин өзгөрткүңүз келгендер, ал эми кымбаты — биринчи милдеттенгениңиз. Өзгөртүү терезесин пландаштыруудан мурун акыркы чекиттин сүрөттөмөсүн окуңуз.

Кайра курууну болжолдон мурун жайгаштырылган акыркы чекитти текшериңиз. aws ec2 describe-client-vpn-endpoints пулду, DNSти, split-tunnel желекчесин жана байланыштарды бир жоопто кайтарат, бул адатта кайра курууну жокко чыгарууга жетет.

Акыркы чекитти жамоо эмес, алмаштыруу керек

Жаңы акыркы чекит — жаңы акыркы чекит, көчүрүү эмес. Учурдагы сессиялар ага өтпөйт, кардар профилдери башка атка шилтейт, жана өзүнөн түшүнүктүү деп эсептеген ар бир жөндөөнү кайра түзүү керек: сервер сертификаты, аутентификация, байланыштар, маршруттар, авторизация топтору, журналдоо. Милдеттүү жеке кызматка жана четке кагылышы керек болгон максатка каршы бир кардар менен текшериңиз, анан жетүүнү кеңейтиңиз. Өткөрүп жибергениңиз кийин колдоо билетине айланат.

Ал текшерүү өтмөйүнчө эски акыркы чекитти иштетип туруңуз жана жаңысына көз каранды эмес административдик жолду сактаңыз.

Атап өтүүгө татыктуу бир чек: бул IPv4 кардар пулун камтыйт. Client VPNде dual-stack жана IPv6 трафик жөндөөлөрү өз даректөө моделине багынат, ошондуктан ошол режимдин документтерин окубастан бул тизмени көчүрбөңүз.