Klient-CIDR-en til AWS Client VPN kan ikkje overlappe VPC-området

Eit AWS Client VPN-endepunkt deler ut klientadresser frå ein pool du vel, og AWS kontrollerer poolen mot målnettverket før det opprettar endepunktet. Kontrollen gjeld ikkje om eit subnett ser ledig ut. Han gjeld om poolen overlappar VPC-området, og svaret er det same anten ein EC2-instans brukar adressene i dag eller ikkje. Overlapping er eit spørsmål om område, ikkje om tildelingar.

Gå gjennom fem kontrollar i rekkjefølgje. Stopp ved den første som feilar, fordi ingen seinare trinn kan reparere ei tidlegare avgjerd.

Overlapping er ein områdetest, ikkje ein test for ledige adresser

Start frå VPC-CIDR-en, ikkje frå subnettet du planlegg å knyte til. Ein pool på 172.20.0.0/22 ligg inne i ein VPC på 172.20.0.0/16 og vert avvist sjølv når ingen subnett opptek han, fordi overlapping er ein eigenskap ved områda og ikkje ved dei gjeldande tildelingane. Legg deretter til destinasjonane endepunktet rutar til: peer-VPC-ar, ein transit gateway og lokale område over ei site-to-site-tilknyting. Eitkvart område ein klient kan trenge å nå, høyrer heime på lista.

Samle dei frå kontoen i staden for frå minnet: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", pluss rutetabelloppføringane for subnettet du vil knyte til.

Poolstorleiken vert avgjord før du byggjer

AWS godtek ein IPv4-klientpool mellom /22 og /12 på Client VPN. Ein /24 er for liten, ein /8 ligg utanfor det dokumenterte området, og begge feila kjem av å dimensjonere poolen som eit arbeidslast-subnett. Dimensjoner han etter venta samtidige klientar pluss margin, og rund deretter av til eit tillate prefiks.

Kontroller aritmetikken før du skriv han inn i konsollen, fordi eit feilskrive prefiks endrar poolstorleiken utan noka åtvaring:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Det skriv ut talet på adresser, prefikslengda og om kandidaten kolliderer med VPC-området, noko som er raskare enn å resonnere om nettmasker på slutten av eit endringsvindauge.

Resolveren har si eiga adresserolle

VPC-resolveren svarar på basisadressa i VPC-området pluss to, som ikkje nødvendigvis ligg inne i subnettet du knytte til. Å anta at resolveren må bu i klientpoolen, eller å byggje eit subnett rundt den adressa, legg til objekt utan å endre noko. Det som tel, er at endepunktet ber ei DNS-innstilling klienten kan bruke, og at resolveren er nåbar frå tunnelen.

Før resolveren, klientpoolen og det tilknytte subnettet som tre separate postar i adresseplanen. Dei feilar uavhengig, og at éin er rett seier ingenting om dei to andre.

Fire felt du bind deg til ved opprettinga

Klienten sin IPv4-CIDR er låst ved opprettinga. Å byte DNS-server, leggje til ei tilknyting, byte tryggingsgruppe, redigere autorisasjonsreglar eller endre split-tunnel-ruter er alle vanlege endringar, og ingen av dei gjev poolen nytt namn. Den asymmetrien er grunnen til at dette fortener ei gjennomgang: dei billege innstillingane er dei du vil endre seinare, og den dyre er den du bind deg til først. Les endepunktskildringa før du planlegg eit endringsvindauge.

Undersøk det utrulla endepunktet før du reknar med ein gjenoppbygging. aws ec2 describe-client-vpn-endpoints returnerer poolen, DNS, split-tunnel-flagg og tilknytingane i eitt svar, noko som vanlegvis er nok til å utelukke ein gjenoppbygging.

Byt ut endepunktet i staden for å lappe det

Eit nytt endepunkt er eit nytt endepunkt, ikkje ein migrasjon. Eksisterande økter flyttar ikkje over, klientprofilar peikar på eit anna namn, og kvar innstilling du tok for gjeve, må gjenopprettast: servertsertifikatet, autentisering, tilknytingar, ruter, autorisasjonsgrupper, logging. Valider med éin klient mot ein påkravd privat teneste og mot ein destinasjon som må avvisast, og utvid deretter tilgangen. Alt du hoppar over, vert ein støttebillett seinare.

Hald det gamle endepunktet i drift til den valideringa går gjennom, og hald ein administrativ veg som ikkje avheng av det nye.

Éi grense som er verdt å nemne: dette dekkjer IPv4-klientpoolen. Innstillingar for dual-stack- og IPv6-trafikk på Client VPN følgjer sin eigen adresseringsmodell, så ikkje kopier denne sjekklista utan å lese dokumentasjonen for den modusen.