AWS Client VPN-ийн клиентийн CIDR нь VPC-ийн мужид давхцах ёсгүй

AWS Client VPN-ийн төгсгөлийн цэг нь таны сонгосон пулаас клиентийн хаягуудыг тарааж, AWS нь төгсгөлийн цэгийг үүсгэхийн өмнө тэр пулыг зорилтот сүлжээтэй харьцуулж шалгадаг. Шалгалт нь дэд сүлжээ хоосон харагдаж байна уу гэдэг биш. Пул VPC-ийн мужид давхцаж байна уу гэдэг бөгөөд өнөөдөр EC2 инстанс тэдгээр хаягийг ашиглаж байгаа эсэхээс хариулт ижил байна. Давхцал нь мужуудын асуудал, хуваарилалтын асуудал биш.

Таван шалгалтыг дарааллаар гүйцэтгээрэй. Эхний бүтэлгүйтсэн газарт зогсоорой, учир нь дараагийн ямар ч алхам өмнөх шийдвэрийг засахгүй.

Давхцал нь мужуудын тест, чөлөөт хаягийн тест биш

Холбох гэж буй дэд сүлжээнээс биш, VPC-ийн CIDR-ээс эхлээрэй. 172.20.0.0/22 пул нь 172.20.0.0/16 VPC-ийн дотор байх бөгөөд ямар ч дэд сүлжээ үүнийг эзэлэхгүй байсан ч татгалзагдана, учир нь давхцал нь мужуудын шинж чанар, одоогийн хуваарилалтын биш. Дараа нь төгсгөлийн цэг чиглүүлдэг зорилтуудыг нэмээрэй: peer VPC, transit gateway болон site-to-site холболтоор дамжих локал мужууд. Клиент хүрэх шаардлагатай байж болох аливаа муж жагсаалтад орно.

Тэдгээрийг ой санамжаас биш, бүртгэлээс цуглуулаарай: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", мөн холбох гэж буй дэд сүлжээний маршрутын хүснэгтийн бичлэгүүд.

Пулын хэмжээг барихаас өмнө шийднэ

AWS нь Client VPN дээр /22-оос /12-ын хооронд IPv4 клиентийн пулыг хүлээн авдаг. /24 хэт жижиг, /8 нь баримтжуулсан мужаас гадуур бөгөөд хоёр алдаа нь пулыг ажлын ачааллын дэд сүлжээ мэт хэмжихээс гардаг. Хүлээгдэж буй зэрэгцээ клиент болон нөөцөөр хэмжиж, дараа нь зөвшөөрөгдсөн префикс хүртэл дугуйруулаарай.

Консолд бичихээс өмнө арифметикийг шалгаарай, учир нь буруу бичсэн префикс пулын хэмжээг ямар ч анхааруулгагүйгээр өөрчилдөг:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Энэ нь хаягийн тоо, префиксийн урт, кандидат VPC-ийн мужтай мөргөлдөж байгаа эсэхийг хэвлэдэг бөгөөд энэ нь өөрчлөлтийн цонхны төгсгөлд сүлжээний маскийн талаар бодохоос хурдан юм.

Resolver нь өөрийн хаягийн үүрэгтэй

VPC-ийн resolver нь VPC-ийн мужийн суурь хаяг дээр хоёрыг нэмж хариулдаг бөгөөд энэ нь таны холбосон дэд сүлжээний дотор байх албагүй. Resolver нь клиентийн пулд амьдрах ёстой гэж үзэх эсвэл тэр хаягийн эргэн тойронд дэд сүлжээ барих нь юу ч өөрчлөхгүйгээр объект нэмдэг. Чухал нь төгсгөлийн цэг клиент хэрэглэж болох DNS тохиргоог агуулж, resolver нь туннелээс хүрч болох явдал юм.

Resolver, клиентийн пул, холбосон дэд сүлжээг хаягийн төлөвлөгөөнд гурван тусдаа зүйл болгон тэмдэглээрэй. Тэд бие даан бүтэлгүйтдэг бөгөөд нэг нь зөв байх нь бусад хоёрын талаар юу ч хэлэхгүй.

Үүсгэх үед таны амлаж буй дөрвөн талбар

Клиентийн IPv4 CIDR нь үүсгэх үед тогтмол байна. DNS серверийг солих, холболт нэмэх, аюулгүй байдлын бүлгийг солих, зөвшөөрлийн дүрмийг засах эсвэл split-tunnel маршрутыг өөрчлөх нь бүгд энгийн засвар бөгөөд тэдгээрийн аль нь ч пулын нэрийг өөрчлөхгүй. Энэхүү тэгш бус байдал нь яагаад үүнийг хянах нь зүйтэйг харуулдаг: хямд тохиргоонууд нь дараа нь өөрчлөхийг хүсэх зүйлс, харин үнэтэй нь таны хамгийн түрүүнд амлаж буй зүйл юм. Өөрчлөлтийн цонхыг төлөвлөхөөс өмнө төгсгөлийн цэгийн тайлбарыг уншаарай.

Дахин барихыг таамаглахаас өмнө байршуулсан төгсгөлийн цэгийг шалгаарай. aws ec2 describe-client-vpn-endpoints нь пул, DNS, split-tunnel туг болон холболтуудыг нэг хариултад буцаадаг бөгөөд энэ нь ихэвчлэн дахин барихыг үгүйсгэхэд хангалттай.

Төгсгөлийн цэгийг засахаас илүү солих хэрэгтэй

Шинэ төгсгөлийн цэг нь шинэ төгсгөлийн цэг, шилжилт биш. Одоо байгаа сессүүд түүн рүү шилжихгүй, клиентийн профайлууд өөр нэр рүү заадаг, таны ойлгомжтой гэж үзсэн тохиргоо бүрийг дахин үүсгэх ёстой: серверийн гэрчилгээ, баталгаажуулалт, холболтууд, маршрутууд, зөвшөөрлийн бүлгүүд, лог. Шаардлагатай хувийн үйлчилгээ болон татгалзах ёстой зорилтын эсрэг нэг клиентээр баталгаажуулж, дараа нь хандалтыг өргөжүүлээрэй. Алгассаныг тань дараа нь дэмжлэгийн тасалбар болно.

Тэр баталгаажуулалт өнгөрөх хүртэл хуучин төгсгөлийн цэгийг ажиллуулж, шинээс хамааралгүй захиргааны зам хадгалаарай.

Дурдах нэг хил: энэ нь IPv4 клиентийн пулыг хамарна. Client VPN дээрх dual-stack болон IPv6 трафикийн тохиргоо нь өөрийн хаягийн моделийг дагадаг тул тэр горимын баримт бичгийг уншихгүйгээр энэ жагсаалтыг хуулж болохгүй.