Klientska CIDR v AWS Client VPN sa nesmie prekrývať s rozsahom VPC

Koncový bod AWS Client VPN prideľuje klientske adresy z poolu, ktorý si zvolíte, a AWS tento pool overuje voči cieľovej sieti pred vytvorením koncového bodu. Kontrola nie je o tom, či podsiet vyzerá voľná. Ide o to, či sa pool prekrýva s rozsahom VPC, a odpoveď je rovnaká bez ohľadu na to, či dnes tieto adresy používa inštancia EC2. Prekrytie je otázka rozsahov, nie alokácií.

Prejdite päť kontrol v poradí. Zastavte sa pri prvej, ktorá zlyhá, pretože žiadny neskorší krok nedokáže opraviť skoršie rozhodnutie.

Prekrytie je test rozsahov, nie test voľných adries

Začnite od CIDR VPC, nie od podsiete, ktorú plánujete priradiť. Pool 172.20.0.0/22 leží vnútri VPC 172.20.0.0/16 a je odmietnutý, aj keď ho žiadna podsiet neobsadzuje, pretože prekrytie je vlastnosť rozsahov, nie aktuálnych alokácií. Potom pridajte ciele, kam koncový bod smeruje: peer VPC, tranzitnú bránu a lokálne rozsahy cez spojenie site-to-site. Akýkoľvek rozsah, ku ktorému klient môže potrebovať prístup, patrí do zoznamu.

Zbierajte ich z účtu, nie z pamäte: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", plus záznamy smerovacej tabuľky pre podsiet, ktorú hodláte priradiť.

Veľkosť poolu sa rozhoduje pred stavbou

AWS prijíma klientsky pool IPv4 medzi /22 a /12 v Client VPN. /24 je príliš malá, /8 je mimo dokumentovaného rozsahu a obe chyby pramenia z dimenzovania poolu ako podsiete pracovnej záťaže. Dimenzujte ho podľa očakávaných súbežných klientov plus rezervy, potom zaokrúhlite na povolený prefix.

Overte aritmetiku, skôr než ju napíšete do konzoly, pretože nesprávne napísaný prefix mení veľkosť poolu bez akéhokoľvek upozornenia:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

To vypíše počet adries, dĺžku prefixu a to, či kandidát koliduje s rozsahom VPC, čo je rýchlejšie než uvažovať o sieťových maskách na konci okna zmien.

Resolver má vlastnú adresnú úlohu

Resolver VPC odpovedá na základnej adrese rozsahu VPC plus dva, ktorá nemusí byť vnútri priradenej podsiete. Predpoklad, že resolver musí žiť v klientskom poole, alebo stavba podsiete okolo tejto adresy, pridáva objekty bez toho, aby čokoľvek zmenil. Dôležité je, že koncový bod nesie nastavenie DNS, ktoré klient môže použiť, a že resolver je dostupný z tunela.

Zaznamenajte resolver, klientsky pool a priradenú podsiet ako tri samostatné položky v adresnom pláne. Zlyhávajú nezávisle a to, že jedna je správna, nič nehovorí o ďalších dvoch.

Štyri polia, ktorými sa pri vytvorení zaväzujete

Klientska IPv4 CIDR je pri vytvorení pevná. Zmena DNS servera, pridanie priradenia, výmena bezpečnostnej skupiny, úprava autorizačných pravidiel alebo zmena trás split-tunnel sú bežné úpravy a žiadna z nich pool nepremenuje. Táto asymetria je dôvod, prečo si to zaslúži revíziu: lacné nastavenia sú tie, ktoré budete chcieť zmeniť neskôr, a to drahé je to, ktorým sa zaväzujete ako prvé. Prečítajte si popis koncového bodu, skôr než naplánujete okno zmien.

Preskúmajte nasadený koncový bod, skôr než budete predpokladať prestavbu. aws ec2 describe-client-vpn-endpoints vracia pool, DNS, príznak split-tunnel a priradenia v jednej odpovedi, čo zvyčajne stačí na vylúčenie prestavby.

Vymeňte koncový bod, namiesto toho aby ste ho záplatovali

Nový koncový bod je nový koncový bod, nie migrácia. Existujúce relácie naň neprechádzajú, klientske profily ukazujú na iné meno a každé nastavenie, ktoré ste považovali za samozrejmé, treba znovu vytvoriť: serverový certifikát, autentifikáciu, priradenia, trasy, autorizačné skupiny, logovanie. Overte jedným klientom voči povinnej privátnej službe a voči cieľu, ktorý musí byť odmietnutý, a potom rozšírte prístup. Čokoľvek vynecháte, sa neskôr stane tiketom podpory.

Nechajte starý koncový bod bežať, kým toto overenie neprejde, a zachovajte administratívnu cestu, ktorá nezávisí od nového.

Jedna hranica, ktorú stojí za zmienku: toto pokrýva klientsky pool IPv4. Nastavenia prevádzky dual-stack a IPv6 v Client VPN sa riadia vlastným modelom adresovania, preto tento zoznam nekopírujte bez prečítania dokumentácie pre daný režim.