Odjemalski CIDR pri AWS Client VPN se ne sme prekrivati z obsegom VPC

Končna točka AWS Client VPN dodeljuje odjemalske naslove iz poola, ki ga izberete, in AWS ta pool preveri proti ciljnemu omrežju, preden ustvari končno točko. Preverjanje ni o tem, ali je podmreža videti prosta. Je o tem, ali se pool prekriva z obsegom VPC, in odgovor je enak ne glede na to, ali danes katera instanca EC2 uporablja te naslove. Prekrivanje je vprašanje obsegov, ne dodelitev.

Pojdite skozi pet preverjanj po vrsti. Ustavite se pri prvem, ki spodleti, ker noben poznejši korak ne more popraviti prejšnje odločitve.

Prekrivanje je preizkus obsegov, ne preizkus prostih naslovov

Začnite pri CIDR VPC, ne pri podmreži, ki jo nameravate povezati. Pool 172.20.0.0/22 leži znotraj VPC 172.20.0.0/16 in je zavrnjen tudi, ko ga nobena podmreža ne zaseda, ker je prekrivanje lastnost obsegov, ne trenutnih dodelitev. Nato dodajte cilje, kamor končna točka usmerja: peer VPC, tranzitna prehodna točka in lokalni obsegi prek povezave site-to-site. Vsak obseg, do katerega bi odjemalec morda potreboval dostop, spada na seznam.

Zbirajte jih iz računa, ne iz spomina: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", plus vnosi usmerjevalne tabele za podmrežo, ki jo nameravate povezati.

Velikost poola se določi pred gradnjo

AWS sprejme odjemalski pool IPv4 med /22 in /12 v Client VPN. /24 je premajhen, /8 je zunaj dokumentiranega obsega, in obe napaki izhajata iz dimenzioniranja poola kot podmreže delovne obremenitve. Dimenzionirajte ga po pričakovanih hkratnih odjemalcih plus rezervi, nato zaokrožite na dovoljeno predpono.

Preverite aritmetiko, preden jo vnesete v konzolo, ker napačno vtipkana predpona spremeni velikost poola brez kakršnega koli opozorila:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

To izpiše število naslovov, dolžino predpone in ali se kandidat zaleti v obseg VPC, kar je hitreje kot razmišljanje o omrežnih maskah na koncu okna sprememb.

Razreševalnik ima svojo naslovno vlogo

Razreševalnik VPC odgovarja na osnovnem naslovu obsega VPC plus dve, ki ni nujno znotraj povezane podmreže. Predpostavka, da mora razreševalnik živeti v odjemalskem poolu, ali gradnja podmreže okoli tega naslova doda objekte, ne da bi kar koli spremenila. Pomembno je, da končna točka nosi nastavitev DNS, ki jo odjemalec lahko uporabi, in da je razreševalnik dosegljiv iz predora.

Zabeležite razreševalnik, odjemalski pool in povezano podmrežo kot tri ločene postavke v naslovnem načrtu. Te odpovedo neodvisno, in da je ena pravilna, ne pove ničesar o drugih dveh.

Štiri polja, h katerim se zavežete ob ustvarjanju

Odjemalski CIDR IPv4 je ob ustvarjanju fiksen. Zamenjava strežnika DNS, dodajanje povezave, zamenjava varnostne skupine, urejanje pravil avtorizacije ali spreminjanje poti split-tunnel so običajna urejanja in nobeno od njih ne preimenuje poola. Ta asimetrija je razlog, da si to zasluži pregled: poceni nastavitve so tiste, ki jih boste želeli spremeniti pozneje, draga pa je tista, h kateri se zavežete prvi. Preberite opis končne točke, preden načrtujete okno sprememb.

Preglejte nameščeno končno točko, preden domnevate obnovitev. aws ec2 describe-client-vpn-endpoints vrne pool, DNS, zastavico split-tunnel in povezave v enem odgovoru, kar običajno zadostuje za izključitev obnovitve.

Zamenjajte končno točko, namesto da bi jo krpali

Nova končna točka je nova končna točka, ne selitev. Obstoječe seje se ne premaknejo nanjo, odjemalski profili kažejo na drugo ime, in vsako nastavitev, ki ste jo imeli za samoumevno, je treba poustvariti: strežniško potrdilo, preverjanje pristnosti, povezave, poti, skupine za avtorizacijo, beleženje. Preverite z enim odjemalcem proti zahtevani zasebni storitvi in proti cilju, ki mora biti zavrnjen, nato razširite dostop. Kar izpustite, postane pozneje zahtevek za podporo.

Ohranite staro končno točko v delovanju, dokler to preverjanje ne uspe, in ohranite skrbniško pot, ki ni odvisna od nove.

Ena meja, ki jo velja navesti: to zajema odjemalski pool IPv4. Nastavitve prometa dual-stack in IPv6 v Client VPN sledijo lastnemu modelu naslavljanja, zato tega seznama ne kopirajte brez branja dokumentacije za ta način.