CIDR klijenta na AWS Client VPN ne sme da se preklapa sa opsegom VPC-a

AWS Client VPN endpoint dodeljuje adrese klijenata iz poola koji vi birate, a AWS proverava taj pool prema ciljnoj mreži pre nego što kreira endpoint. Provera nije da li subnet izgleda slobodan. Provera je da li se pool preklapa sa opsegom VPC-a, a odgovor je isti bez obzira na to da li danas neka EC2 instanca koristi te adrese. Preklapanje je pitanje opsega, a ne alokacija.

Prođite kroz pet provera po redu. Zaustavite se na prvoj koja padne, jer nijedan kasniji korak ne može da popravi raniju odluku.

Preklapanje je test opsega, a ne test slobodnih adresa

Krenite od VPC CIDR-a, a ne od subneta koji planirate da povežete. Pool od 172.20.0.0/22 nalazi se unutar VPC-a od 172.20.0.0/16 i biva odbijen čak i kada ga nijedan subnet ne zauzima, jer je preklapanje svojstvo opsega, a ne trenutnih alokacija. Zatim dodajte odredišta prema kojima endpoint usmerava: peered VPC-ovi, transit gateway i lokalni opsezi preko site-to-site veze. Svaki opseg do kojeg klijentu može zatrebati pristup pripada listi.

Prikupljajte ih iz naloga, a ne iz sećanja: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", plus unosi tabele rutiranja za subnet koji nameravate da povežete.

Veličina poola odlučuje se pre izgradnje

AWS prihvata IPv4 klijentski pool između /22 i /12 na Client VPN-u. /24 je premali, /8 je izvan dokumentovanog opsega, a obe greške dolaze od dimenzionisanja poola kao subneta za radno opterećenje. Dimenzionišite ga prema očekivanim istovremenim klijentima plus rezervi, a zatim zaokružite na dozvoljeni prefiks.

Proverite aritmetiku pre nego što je upišete u konzolu, jer pogrešno upisan prefiks menja veličinu poola bez ikakvog upozorenja:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

To ispisuje broj adresa, dužinu prefiksa i da li se kandidat sudara sa opsegom VPC-a, što je brže od razmišljanja o mrežnim maskama na kraju prozora za promene.

Resolver ima sopstvenu ulogu adrese

VPC resolver odgovara na baznoj adresi opsega VPC-a plus dva, što nije nužno unutar subneta koji ste povezali. Pretpostavka da resolver mora da živi u klijentskom poolu, ili gradnja subneta oko te adrese, dodaje objekte bez ikakve promene. Važno je da endpoint nosi DNS postavku koju klijent može da primeni i da je resolver dostupan iz tunela.

Zabeležite resolver, klijentski pool i povezani subnet kao tri odvojene stavke u planu adresa. Oni padaju nezavisno, a to što je jedno ispravno ne govori ništa o druga dva.

Četiri polja koja fiksirate pri kreiranju

Klijentski IPv4 CIDR je fiksiran pri kreiranju. Promena DNS servera, dodavanje pridruživanja, zamena bezbednosne grupe, uređivanje pravila autorizacije ili izmena split-tunnel ruta sve su obične izmene i nijedna od njih ne preimenuje pool. Ta asimetrija je razlog zašto ovo zaslužuje pregled: jeftine postavke su one koje ćete kasnije poželeti da menjate, a skupa je ona koju fiksirate prvo. Pročitajte opis endpointa pre nego što planirate prozor za promene.

Pregledajte implementirani endpoint pre nego što pretpostavite ponovnu izgradnju. aws ec2 describe-client-vpn-endpoints vraća pool, DNS, split-tunnel zastavicu i pridruživanja u jednom odgovoru, što je obično dovoljno da isključi ponovnu izgradnju.

Zamenite endpoint umesto da ga krpite

Novi endpoint je novi endpoint, a ne migracija. Postojeće sesije ne prelaze na njega, klijentski profili pokazuju na drugo ime, a svaka postavka koju ste uzimali zdravo za gotovo mora ponovo da se stvori: serverski sertifikat, autentifikacija, pridruživanja, rute, autorizacione grupe, logovanje. Proverite sa jednim klijentom prema obaveznoj privatnoj usluzi i prema odredištu koje mora da bude odbijeno, pa proširite pristup. Sve što preskočite kasnije postaje tiket za podršku.

Držite stari endpoint u radu dok ta provera ne prođe i zadržite administrativni put koji ne zavisi od novog.

Jedna granica koju vredi navesti: ovo pokriva IPv4 klijentski pool. Postavke dual-stack i IPv6 saobraćaja na Client VPN-u slede sopstveni model adresiranja, pa nemojte kopirati ovu listu bez čitanja dokumentacije za taj režim.