Den Client-CIDR vum AWS Client VPN däerf de VPC-Beräich net iwwerlappen

En AWS Client VPN-Endpunkt verdeelt Client-Adressen aus engem Pool, deen Dir auswielt, an AWS kontrolléiert dee Pool géint den Zilnetzwierk, éier en den Endpunkt erstallt. D'Kontroll ass net ob en Subnetz fräi ausgesäit. Se ass ob de Pool de VPC-Beräich iwwerlappt, an d'Äntwert ass déiselwecht ob eng EC2-Instanz déi Adressen haut benotzt oder net. Iwwerlappung ass eng Fro vun de Beräicher, net vun den Zoustellungen.

Schaff fënnef Kontrollen an der Rei of. Halt bei där éischter un, déi feelt, well keen duerno Schrëtt eng fréier Entscheedung reparéiere kann.

Iwwerlappung ass en Test vun de Beräicher, keen Test vun de fräien Adressen

Fänk beim CIDR vun der VPC un, net beim Subnetz, deen Dir wëllt associéieren. E Pool vun 172.20.0.0/22 läit bannent enger VPC vun 172.20.0.0/16 a gëtt refuséiert och wann keen Subnetz en anhëlt, well Iwwerlappung eng Eegeschaft vun de Beräicher ass an net vun den aktuellen Zoustellungen. Da füüg d'Destinatiounen derbäi, op déi den Endpunkt routet: gepeerte VPCen, en Transit-Gateway an lokal Beräicher iwwer eng Site-to-Site-Verbindung. All Beräich, deen e Client muss erreeche kënnen, gehéiert op d'Lëscht.

Sammel se aus dem Kont an net aus dem Gediechtnes: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", plus d'Entréeën vun der Routentabelle fir de Subnetz, deen Dir wëllt associéieren.

D'Gréisst vum Pool gëtt virum Opbau decidéiert

AWS akzeptéiert en IPv4-Client-Pool tëscht /22 an /12 um Client VPN. En /24 ass ze kleng, en /8 läit baussent dem dokumentéierte Beräich, an déi zwou Feeler komme vum Pool esou ze moossen wéi en Aarbechtslaascht-Subnetz. Mooss en no den erwaarten gläichzäitege Clienten plus Reserve, an dann ronn en op en erlaabte Präfix of.

Kontrolléier d'Arithmetik éier s de se an d'Konsole tipps, well en falsch getippte Präfix d'Gréisst vum Pool ouni eng Warnung ännert:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Dat dréckt d'Zuel vun den Adressen, d'Längt vum Präfix an ob de Kandidat mat dem VPC-Beräich kollidéiert aus, wat méi séier ass wéi um Enn vun engem Ännerungsfenster iwwer Netzmasken nozedenken.

De Resolver huet seng eege Adressroll

De VPC-Resolver äntwert op der Basisadress vum VPC-Beräich plus zwee, wat net onbedéngt bannent dem Subnetz läit, deen Dir associéiert hutt. Unzehuelen, de Resolver misst am Client-Pool wunnen, oder en Subnetz ëm déi Adress ze bauen, füügt Objeten derbäi ouni eppes ze änneren. Wat zielt ass, datt den Endpunkt eng DNS-Astellung dréit, déi de Client ka uwenden, an datt de Resolver aus dem Tunnel erreechbar ass.

Halt de Resolver, de Client-Pool an dee associéierte Subnetz als dräi getrennte Punkten am Adressplang fest. Si fale onofhängeg aus, an datt een richteg ass, seet näischt iwwer déi aner zwee.

Véier Felder, op déi Dir Iech bei der Erstellung festleet

Den IPv4-Client-CIDR ass bei der Erstellung fix. Den DNS-Server z'änneren, eng Associatioun derbäizefügen, d'Sécherheetsgrupp z'ersetzen, Autorisatiounsregele z'änneren oder Split-Tunnel-Routen z'änneren sinn all gewéinlech Ännerungen, an keng vun hinnen ëmbenennt de Pool. Déi Asymmetrie ass de Grond firwat dat eng Iwwerpréiwung verdéngt: déi bëlleg Astellunge sinn déi, déi Dir méi spéit wëllt änneren, an déi deier ass déi, op déi Dir Iech als éischt festleet. Liest d'Beschreiwung vum Endpunkt éier Dir en Ännerungsfenster plangt.

Iwwerpréif den deployéierten Endpunkt éier Dir en Neibau unhëlt. aws ec2 describe-client-vpn-endpoints gëtt de Pool, DNS, d'Split-Tunnel-Fändel an d'Associatiounen an enger Äntwert zréck, wat meeschtens duergëtt fir en Neibau auszeschléissen.

Ersetzt den Endpunkt amplaz en ze flécken

En neien Endpunkt ass en neien Endpunkt, keng Migratioun. Bestehend Sessioune ginn net dohiwwer, Client-Profiler weisen op en aneren Numm, an all Astellung, déi Dir als selbstverständlech ugesäit hutt, muss nei erstallt ginn: Serverzertifikat, Authentifikatioun, Associatiounen, Routen, Autorisatiounsgruppen, Logging. Validéier mat engem Client géint en erfuerderleche private Service a géint en Zil, dat muss ofgeleent ginn, an erweider duerno den Zougang. Alles wat Dir iwwerspréngt gëtt méi spéit en Support-Ticket.

Looss den ale Endpunkt lafen bis déi Validéierung duerch ass, a behalt en administrative Wee, deen net vum neien ofhänkt.

Eng Grenz, déi et wäert ass ze nennen: dëst deckt den IPv4-Client-Pool of. Astellunge fir Dual-Stack- an IPv6-Traffic um Client VPN suivéieren hirem eegenen Adresséierungsmodell, also kopéiert dës Lëscht net ouni d'Dokumentatioun fir dee Modus ze liesen.