AWS Client VPN klienta CIDR nedrīkst pārklāties ar VPC diapazonu

AWS Client VPN galapunkts izdala klienta adreses no baseina, kuru izvēlaties jūs, un AWS pārbauda šo baseinu pret mērķa tīklu pirms galapunkta izveides. Pārbaude nav par to, vai apakštīkls izskatās brīvs. Tā ir par to, vai baseins pārklājas ar VPC diapazonu, un atbilde ir tāda pati neatkarīgi no tā, vai EC2 instance šodien izmanto šīs adreses. Pārklāšanās ir diapazonu, nevis piešķīrumu jautājums.

Veiciet piecas pārbaudes pēc kārtas. Apstājieties pie pirmās, kas neizdodas, jo neviens vēlāks solis nevar labot agrāku lēmumu.

Pārklāšanās ir diapazonu tests, nevis brīvo adrešu tests

Sāciet no VPC CIDR, nevis no apakštīkla, kuru plānojat piesaistīt. Baseins 172.20.0.0/22 atrodas 172.20.0.0/16 VPC iekšienē un tiek noraidīts arī tad, ja neviens apakštīkls to neaizņem, jo pārklāšanās ir diapazonu īpašība, nevis pašreizējo piešķīrumu. Pēc tam pievienojiet galamērķus, uz kuriem galapunkts maršrutē: peer VPC, transit gateway un vietējie diapazoni caur site-to-site savienojumu. Jebkurš diapazons, uz kuru klientam varētu būt jānonāk, pieder sarakstam.

Vāciet tos no konta, nevis no atmiņas: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", plus maršrutēšanas tabulas ieraksti apakštīklam, kuru plānojat piesaistīt.

Baseina lielums tiek noteikts pirms būvēšanas

AWS Client VPN pieņem IPv4 klienta baseinu starp /22 un /12. /24 ir pārāk mazs, /8 ir ārpus dokumentētā diapazona, un abas kļūdas rodas no baseina mērīšanas kā darba slodzes apakštīkla. Mēriet to pēc paredzamajiem vienlaicīgajiem klientiem un rezerves, pēc tam noapaļojiet līdz atļautajam prefiksam.

Pārbaudiet aritmētiku pirms tās ievadīšanas konsolē, jo nepareizi ievadīts prefikss maina baseina lielumu bez jebkāda brīdinājuma:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Tas izdrukā adrešu skaitu, prefiksa garumu un to, vai kandidāts saduras ar VPC diapazonu, kas ir ātrāk nekā domāt par tīkla maskām izmaiņu loga beigās.

Resolvētājam ir sava adreses loma

VPC resolvētājs atbild uz VPC diapazona bāzes adresi plus divi, kas ne vienmēr atrodas jūsu piesaistītā apakštīkla iekšienē. Pieņēmums, ka resolvētājam jādzīvo klienta baseinā, vai apakštīkla būvēšana ap šo adresi pievieno objektus, neko nemainot. Svarīgi ir tas, ka galapunkts nes DNS iestatījumu, ko klients var piemērot, un ka resolvētājs ir sasniedzams no tuneļa.

Ierakstiet resolvētāju, klienta baseinu un piesaistīto apakštīklu kā trīs atsevišķus punktus adrešu plānā. Tie neizdodas neatkarīgi, un tas, ka viens ir pareizs, neko neizsaka par pārējiem diviem.

Četri lauki, kuriem jūs apņemties izveides laikā

Klienta IPv4 CIDR ir fiksēts izveides laikā. DNS servera maiņa, asociācijas pievienošana, drošības grupas nomaiņa, autorizācijas noteikumu rediģēšana vai split-tunnel maršrutu maiņa visas ir parastas izmaiņas, un neviena no tām nepārsauc baseinu. Šī asimetrija ir iemesls, kāpēc tas ir pelnījis pārskatu: lētie iestatījumi ir tie, ko gribēsiet mainīt vēlāk, un dārgais ir tas, kuram apņematies vispirms. Izlasiet galapunkta aprakstu pirms izmaiņu loga plānošanas.

Pārbaudiet izvietoto galapunktu pirms pieņemat pārbūvi. aws ec2 describe-client-vpn-endpoints atgriež baseinu, DNS, split-tunnel karodziņu un asociācijas vienā atbildē, ar ko parasti pietiek, lai izslēgtu pārbūvi.

Aizstājiet galapunktu, nevis lāpiet to

Jauns galapunkts ir jauns galapunkts, nevis migrācija. Esošās sesijas uz to nepāriet, klientu profili norāda uz citu nosaukumu, un katrs iestatījums, ko uzskatījāt par pašsaprotamu, ir jāizveido no jauna: servera sertifikāts, autentifikācija, asociācijas, maršruti, autorizācijas grupas, žurnālēšana. Pārbaudiet ar vienu klientu pret obligātu privātu pakalpojumu un pret galamērķi, kas jānoraida, pēc tam paplašiniet piekļuvi. Viss, ko izlaidīsiet, vēlāk kļūs par atbalsta biļeti.

Turiet veco galapunktu darbībā, līdz šī pārbaude iztur, un saglabājiet administratīvo ceļu, kas nav atkarīgs no jaunā.

Viena robeža, ko vērts pieminēt: tas aptver IPv4 klienta baseinu. Client VPN dual-stack un IPv6 trafika iestatījumi seko savam adresācijas modelim, tāpēc nekopējiet šo sarakstu, neizlasījuši tā režīma dokumentāciju.