CIDR-i i klientit të AWS Client VPN nuk mund të mbivendoset me intervalin e VPC

Një endpoint i AWS Client VPN shpërndan adresa klienti nga një pool që ju e zgjidhni, dhe AWS e kontrollon atë pool kundrejt rrjetit të synuar para se ta krijojë endpoint-in. Kontrolli nuk është nëse një subnet duket e lirë. Është nëse pool-i mbivendoset me intervalin e VPC, dhe përgjigja është e njëjtë pavarësisht nëse një instancë EC2 i përdor sot ato adresa. Mbivendosja është çështje intervalesh, jo alokimesh.

Kalo nëpër pesë kontrolle me radhë. Ndalo në të parin që dështon, sepse asnjë hap i mëvonshëm nuk mund të rregullojë një vendim të mëparshëm.

Mbivendosja është test intervalesh, jo test adresash të lira

Nis nga CIDR-i i VPC, jo nga subenti që planifikon të lidhësh. Një pool prej 172.20.0.0/22 ndodhet brenda një VPC prej 172.20.0.0/16 dhe refuzohet edhe kur asnjë subnet nuk e zë, sepse mbivendosja është veti e intervaleve, jo e alokimeve aktuale. Pastaj shto destinacionet drejt të cilave endpoint-i rrugëton: VPC peer, një transit gateway dhe intervale lokale përmes një lidhjeje site-to-site. Çdo interval që një klient mund të ketë nevojë të arrijë i përket listës.

Mblidhi nga llogaria, jo nga memoria: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", plus hyrjet e tabelës së rrugëtimit për subentin që planifikon të lidhësh.

Madhësia e pool-it vendoset para ndërtimit

AWS pranon një pool klientësh IPv4 midis /22 dhe /12 në Client VPN. Një /24 është shumë i vogël, një /8 është jashtë intervalit të dokumentuar, dhe të dyja gabimet vijnë nga dimensionimi i pool-it si subnet i ngarkesës së punës. Dimensionoje sipas klientëve të njëkohshëm të pritur plus rezervë, pastaj rrumbullako në një prefiks të lejuar.

Kontrollo aritmetikën para se ta shkruash në konsolë, sepse një prefiks i shtypur gabimisht ndryshon madhësinë e pool-it pa asnjë paralajmërim:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Kjo shtyp numrin e adresave, gjatësinë e prefiksit dhe nëse kandidati përplaset me intervalin e VPC, gjë që është më e shpejtë sesa të mendosh për maskat e rrjetit në fund të një dritareje ndryshimesh.

Resolver-i ka rolin e vet të adresës

Resolver-i i VPC përgjigjet në adresën bazë të intervalit të VPC plus dy, e cila nuk është domosdoshmërisht brenda subentit që lidhët. Të supozosh se resolver-i duhet të jetojë në pool-in e klientëve, ose të ndërtosh një subnet rreth asaj adrese, shton objekte pa ndryshuar asgjë. Ajo që ka rëndësi është që endpoint-i të mbajë një rregullim DNS që klienti mund ta zbatojë dhe që resolver-i të jetë i arritshëm nga tuneli.

Regjistro resolver-in, pool-in e klientëve dhe subentin e lidhur si tre zëra të veçantë në planin e adresave. Ata dështojnë në mënyrë të pavarur, dhe fakti që njëri është i saktë nuk thotë asgjë për dy të tjerët.

Katër fusha që i fikson në krijim

CIDR-i IPv4 i klientit është i fiksuar në krijim. Ndryshimi i serverit DNS, shtimi i një lidhjeje, zëvendësimi i grupit të sigurisë, redaktimi i rregullave të autorizimit ose ndryshimi i rrugëve split-tunnel janë të gjitha redaktime të zakonshme, dhe asnjëra prej tyre nuk e riemërton pool-in. Kjo asimetri është arsyeja pse kjo meriton një rishikim: rregullimet e lira janë ato që do të duash t'i ndryshosh më vonë, dhe ajo e shtrenjta është ajo që fikson të parën. Lexo përshkrimin e endpoint-it para se të planifikosh një dritare ndryshimesh.

Inspekto endpoint-in e implementuar para se të supozosh një rindërtim. aws ec2 describe-client-vpn-endpoints kthen pool-in, DNS-në, flamurin split-tunnel dhe lidhjet në një përgjigje të vetme, që zakonisht mjafton për të përjashtuar një rindërtim.

Zëvendëso endpoint-in në vend që ta rregullosh

Një endpoint i ri është një endpoint i ri, jo një migrim. Sesionet ekzistuese nuk kalojnë atje, profilet e klientëve tregojnë një emër tjetër, dhe çdo rregullim që e merrje të mirëqenë duhet të rikrijohet: certifikata e serverit, vërtetimi, lidhjet, rrugët, grupet e autorizimit, regjistrimi. Verifiko me një klient kundrejt një shërbimi privat të detyrueshëm dhe kundrejt një destinacioni që duhet të refuzohet, pastaj zgjeroni aksesin. Çdo gjë që anashkalon bëhet një tiketë mbështetjeje më vonë.

Mbaje endpoint-in e vjetër në punë derisa të kalojë ai verifikim, dhe mbaj një rrugë administrative që nuk varet nga ai i riu.

Një kufi që ia vlen të përmendet: kjo mbulon pool-in e klientëve IPv4. Rregullimet e trafikut dual-stack dhe IPv6 në Client VPN ndjekin modelin e tyre të adresimit, prandaj mos e kopjo këtë listë pa lexuar dokumentacionin për atë modalitet.