CIDR klien AWS Client VPN tidak boleh bertindih dengan julat VPC

Titik akhir AWS Client VPN mengagihkan alamat klien daripada kolam yang anda pilih, dan AWS menyemak kolam itu terhadap rangkaian sasaran sebelum mencipta titik akhir. Semakan itu bukan tentang sama ada subnet kelihatan kosong. Ia tentang sama ada kolam bertindih dengan julat VPC, dan jawapannya sama sama ada instans EC2 menggunakan alamat itu hari ini atau tidak. Pertindihan ialah persoalan julat, bukan peruntukan.

Lakukan lima semakan mengikut urutan. Berhenti pada yang pertama gagal, kerana tiada langkah kemudian boleh membaiki keputusan terdahulu.

Pertindihan ialah ujian julat, bukan ujian alamat bebas

Mulakan daripada CIDR VPC, bukan daripada subnet yang anda rancang untuk dikaitkan. Kolam 172.20.0.0/22 terletak di dalam VPC 172.20.0.0/16 dan ditolak walaupun tiada subnet mendudukinya, kerana pertindihan ialah sifat julat, bukan sifat peruntukan semasa. Kemudian tambah destinasi yang dihalakan oleh titik akhir: VPC peer, transit gateway dan julat di premis melalui sambungan site-to-site. Mana-mana julat yang mungkin perlu dicapai oleh klien termasuk dalam senarai.

Kumpulkannya daripada akaun, bukan daripada ingatan: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", serta entri jadual laluan untuk subnet yang anda rancang untuk dikaitkan.

Saiz kolam ditentukan sebelum anda membina

AWS menerima kolam klien IPv4 antara /22 dan /12 pada Client VPN. /24 terlalu kecil, /8 di luar julat yang didokumenkan, dan kedua-dua kesilapan berpunca daripada mengukur kolam seperti subnet beban kerja. Ukur mengikut klien serentak yang dijangka serta rizab, kemudian bulatkan kepada awalan yang dibenarkan.

Semak aritmetik sebelum menaipnya ke konsol, kerana awalan yang salah ditaip mengubah saiz kolam tanpa sebarang amaran:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Ia mencetak bilangan alamat, panjang awalan dan sama ada calon berlanggar dengan julat VPC, yang lebih pantas daripada berfikir tentang topeng rangkaian pada akhir tetingkap perubahan.

Penyelesai mempunyai peranan alamatnya sendiri

Penyelesai VPC menjawab pada alamat asas julat VPC tambah dua, yang tidak semestinya di dalam subnet yang anda kaitkan. Andaian bahawa penyelesai mesti tinggal dalam kolam klien, atau membina subnet di sekitar alamat itu, menambah objek tanpa mengubah apa-apa. Yang penting ialah titik akhir membawa tetapan DNS yang boleh digunakan oleh klien dan penyelesai boleh dicapai dari terowong.

Rekodkan penyelesai, kolam klien dan subnet berkaitan sebagai tiga item berasingan dalam pelan alamat. Ia gagal secara berasingan, dan satu yang betul tidak mengatakan apa-apa tentang dua yang lain.

Empat medan yang anda tetapkan semasa penciptaan

CIDR IPv4 klien ditetapkan semasa penciptaan. Menukar pelayan DNS, menambah persekutuan, menukar kumpulan keselamatan, menyunting peraturan kebenaran atau mengubah laluan split-tunnel semuanya suntingan biasa, dan tiada satu pun menamakan semula kolam. Asimetri itulah sebabnya perkara ini wajar disemak: tetapan murah ialah yang anda mahu ubah kemudian, dan yang mahal ialah yang anda tetapkan dahulu. Baca penerangan titik akhir sebelum merancang tetingkap perubahan.

Periksa titik akhir yang digunakan sebelum menganggap pembinaan semula. aws ec2 describe-client-vpn-endpoints memulangkan kolam, DNS, bendera split-tunnel dan persekutuan dalam satu respons, yang biasanya cukup untuk menolak pembinaan semula.

Ganti titik akhir dan bukannya menampal

Titik akhir baharu ialah titik akhir baharu, bukan migrasi. Sesi sedia ada tidak berpindah ke sana, profil klien menunjuk kepada nama lain, dan setiap tetapan yang anda anggap biasa mesti dicipta semula: sijil pelayan, pengesahan, persekutuan, laluan, kumpulan kebenaran, pengelogan. Sahkan dengan satu klien terhadap perkhidmatan persendirian yang diperlukan dan terhadap destinasi yang mesti ditolak, kemudian luaskan akses. Apa-apa yang anda langkau akan menjadi tiket sokongan kemudian.

Biarkan titik akhir lama berjalan sehingga pengesahan itu lulus, dan kekalkan laluan pentadbiran yang tidak bergantung pada yang baharu.

Satu sempadan wajar dinyatakan: ini meliputi kolam klien IPv4. Tetapan trafik dual-stack dan IPv6 pada Client VPN mengikut model pengalamatan sendiri, jadi jangan salin senarai ini tanpa membaca dokumentasi bagi mod itu.