Il-CIDR tal-klijent ta' AWS Client VPN ma jistax jissovrapponi mal-firxa tal-VPC

Endpoint ta' AWS Client VPN iqassam indirizzi tal-klijent minn pool li tagħżel int, u AWS tiċċekkja dak il-pool mal-netwerk fil-mira qabel ma toħloq l-endpoint. Il-verifika mhix dwar jekk subnet jidhirx vojt. Hija dwar jekk il-pool jissovrapponix mal-firxa tal-VPC, u t-tweġiba hija l-istess kemm jekk istanza EC2 tuża dawk l-indirizzi llum kif ukoll jekk le. Is-sovrappożizzjoni hija kwistjoni ta' firxiet, mhux ta' allokazzjonijiet.

Għaddi minn ħames verifiki fl-ordni. Waqaf fl-ewwel waħda li tfalli, għax l-ebda pass aktar tard ma jista' jsewwi deċiżjoni preċedenti.

Is-sovrappożizzjoni hija test tal-firxiet, mhux test tal-indirizzi ħielsa

Ibda mill-CIDR tal-VPC, mhux mis-subnet li biħsiebek tassoċja. Pool ta' 172.20.0.0/22 jinsab ġewwa VPC ta' 172.20.0.0/16 u jiġi miċħud anki meta l-ebda subnet ma jokkupah, għax is-sovrappożizzjoni hija propjetà tal-firxiet u mhux tal-allokazzjonijiet attwali. Imbagħad żid id-destinazzjonijiet li l-endpoint jirrutta lejhom: VPC peer, transit gateway u firxiet lokali permezz ta' konnessjoni site-to-site. Kull firxa li klijent jista' jkollu bżonn jilħaq tappartjeni għal-lista.

Iġborhom mill-kont minflok mill-memorja: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", flimkien mad-dħul tat-tabella tar-rotot għas-subnet li biħsiebek tassoċja.

Id-daqs tal-pool jiġi deċiż qabel ma tibni

AWS taċċetta pool tal-klijent IPv4 bejn /22 u /12 fuq Client VPN. /24 huwa żgħir wisq, /8 jinsab barra mill-firxa dokumentata, u ż-żewġ żbalji ġejjin mill-kejl tal-pool bħallikieku subnet ta' xogħol. Kejlu skont il-klijenti konkorrenti mistennija flimkien mar-riserva, imbagħad aqleb għal prefiss permess.

Ivverifika l-aritmetika qabel ma tittajpja fil-console, għax prefiss ittajpjat ħażin ibiddel id-daqs tal-pool mingħajr ebda twissija:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Dan jipprintja l-għadd tal-indirizzi, it-tul tal-prefiss u jekk il-kandidat jaħbatx mal-firxa tal-VPC, li huwa aktar malajr milli taħseb dwar netmasks fl-aħħar ta' tieqa ta' bidla.

Ir-resolver għandu r-rwol tal-indirizz tiegħu stess

Ir-resolver tal-VPC iwieġeb fl-indirizz bażi tal-firxa tal-VPC plus tnejn, li mhux bilfors jinsab ġewwa s-subnet li assoċjajt. Li tassumi li r-resolver irid jgħix fil-pool tal-klijent, jew tibni subnet madwar dak l-indirizz, iżżid oġġetti mingħajr ma tbiddel xejn. Dak li huwa importanti huwa li l-endpoint iġorr setting DNS li l-klijent jista' japplika u li r-resolver jista' jintlaħaq mit-tunnel.

Irreġistra r-resolver, il-pool tal-klijent u s-subnet assoċjat bħala tliet oġġetti separati fil-pjan tal-indirizzi. Dawn ifallu b'mod indipendenti, u li wieħed ikun tajjeb ma jgħid xejn dwar it-tnejn l-oħra.

Erba' oqsma li timpenja ruħek għalihom meta toħloq

Il-CIDR IPv4 tal-klijent huwa fiss meta jinħoloq. Li tbiddel is-server DNS, iżżid assoċjazzjoni, tibdel il-grupp tas-sigurtà, teditja r-regoli tal-awtorizzazzjoni jew tbiddel ir-rotot split-tunnel huma kollha editjiet ordinarji, u l-ebda waħda minnhom ma tibdel l-isem tal-pool. Dik l-asimmetrija hija r-raġuni għaliex dan jistħoqqlu reviżjoni: l-issettjar irħis huma dawk li se tkun trid tibdel aktar tard, u dak għali huwa dak li timpenja ruħek għalih l-ewwel. Aqra d-deskrizzjoni tal-endpoint qabel ma tippjana tieqa ta' bidla.

Spezzjona l-endpoint implimentat qabel ma tassumi rikostruzzjoni. aws ec2 describe-client-vpn-endpoints jirritorna l-pool, DNS, il-bandiera split-tunnel u l-assoċjazzjonijiet fi tweġiba waħda, li normalment biżżejjed biex teskludi rikostruzzjoni.

Ibdel l-endpoint minflok ma ttaqqibh

Endpoint ġdid huwa endpoint ġdid, mhux migrazzjoni. Is-sessjonijiet eżistenti ma jmorrux lejh, il-profili tal-klijent jindikaw isem differenti, u kull setting li ħadt bħala ovvju għandu jerġa' jinħoloq: ċertifikat tas-server, awtentikazzjoni, assoċjazzjonijiet, rotot, gruppi tal-awtorizzazzjoni, reġistrazzjoni. Ivvalida b'klijent wieħed kontra servizz privat meħtieġ u kontra destinazzjoni li trid tiġi miċħuda, imbagħad wessa' l-aċċess. Kull ma taqbeż isir ticket ta' appoġġ aktar tard.

Żomm l-endpoint antik jaħdem sakemm tgħaddi dik il-validazzjoni, u żomm mogħdija amministrattiva li ma tiddependix mill-ġdid.

Limitu wieħed li jistħoqqlu jissemma: dan ikopri l-pool tal-klijent IPv4. Is-settings tat-traffiku dual-stack u IPv6 fuq Client VPN isegwu l-mudell tal-indirizzar tagħhom stess, għalhekk tikkupjax din il-lista mingħajr ma taqra d-dokumentazzjoni għal dak il-mod.