AWS Client VPN క్లయింట్ CIDR VPC పరిధితో అతివ్యాప్తి కాకూడదు

AWS Client VPN ఎండ్‌పాయింట్ మీరు ఎంచుకున్న పూల్ నుండి క్లయింట్ చిరునామాలను పంపిణీ చేస్తుంది, మరియు AWS ఎండ్‌పాయింట్‌ను సృష్టించే ముందు ఆ పూల్‌ను లక్ష్య నెట్‌వర్క్‌తో తనిఖీ చేస్తుంది. తనిఖీ సబ్‌నెట్ ఖాళీగా కనిపిస్తుందా అని కాదు. పూల్ VPC పరిధితో అతివ్యాప్తి చెందుతుందా అని, మరియు ఈరోజు ఏదైనా EC2 ఇన్‌స్టాన్స్ ఆ చిరునామాలను ఉపయోగించినా లేకపోయినా సమాధానం ఒకటే. అతివ్యాప్తి పరిధుల ప్రశ్న, కేటాయింపుల ప్రశ్న కాదు.

ఐదు తనిఖీలను వరుసగా చేయండి. మొదటి విఫలమైన స్థానంలోనే ఆగండి, ఎందుకంటే తర్వాతి ఏ దశ కూడా మునుపటి నిర్ణయాన్ని సరిదిద్దలేదు.

అతివ్యాప్తి పరిధుల పరీక్ష, ఖాళీ చిరునామాల పరీక్ష కాదు

మీరు కలపాలనుకుంటున్న సబ్‌నెట్ నుండి కాదు, VPC యొక్క CIDR నుండి ప్రారంభించండి. 172.20.0.0/22 పూల్ 172.20.0.0/16 VPC లోపల ఉంటుంది మరియు ఏ సబ్‌నెట్ దాన్ని ఆక్రమించకపోయినా తిరస్కరించబడుతుంది, ఎందుకంటే అతివ్యాప్తి పరిధుల లక్షణం, ప్రస్తుత కేటాయింపులది కాదు. తర్వాత ఎండ్‌పాయింట్ మార్గనిర్దేశం చేసే గమ్యాలను జోడించండి: పీర్ VPC, ట్రాన్సిట్ గేట్‌వే మరియు సైట్-టు-సైట్ కనెక్షన్ ద్వారా ఆన్-ప్రెమైసెస్ పరిధులు. క్లయింట్ చేరుకోవలసి ఉండే ఏ పరిధి అయినా జాబితాలో ఉంటుంది.

వాటిని జ్ఞాపకం నుండి కాదు, ఖాతా నుండి సేకరించండి: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", మీరు కలపాలనుకుంటున్న సబ్‌నెట్ రూట్ టేబుల్ ఎంట్రీలతో పాటు.

పూల్ పరిమాణం నిర్మించే ముందే నిర్ణయమవుతుంది

AWS Client VPN లో /22 నుండి /12 మధ్య IPv4 క్లయింట్ పూల్‌ను అంగీకరిస్తుంది. /24 చాలా చిన్నది, /8 డాక్యుమెంట్ చేసిన పరిధికి వెలుపల ఉంది, మరియు రెండు పొరపాట్లు పూల్‌ను వర్క్‌లోడ్ సబ్‌నెట్‌లా కొలవడం నుండి వస్తాయి. ఆశించిన ఏకకాల క్లయింట్లు మరియు మార్జిన్‌తో కొలవండి, తర్వాత అనుమతించిన ప్రిఫిక్స్‌కు రౌండ్ చేయండి.

కన్సోల్‌లో టైప్ చేసే ముందు గణితాన్ని తనిఖీ చేయండి, ఎందుకంటే తప్పుగా టైప్ చేసిన ప్రిఫిక్స్ ఎలాంటి హెచ్చరిక లేకుండా పూల్ పరిమాణాన్ని మారుస్తుంది:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

అది చిరునామాల సంఖ్య, ప్రిఫిక్స్ పొడవు మరియు అభ్యర్థి VPC పరిధితో ఢీకొంటుందా అని ముద్రిస్తుంది, ఇది మార్పు విండో చివరిలో నెట్‌మాస్క్‌ల గురించి ఆలోచించడం కంటే వేగవంతం.

రిజాల్వర్‌కు దాని సొంత చిరునామా పాత్ర ఉంది

VPC రిజాల్వర్ VPC పరిధి యొక్క మూల చిరునామాకు రెండు కలిపి సమాధానం ఇస్తుంది, అది మీరు కలిపిన సబ్‌నెట్ లోపల ఉండాల్సిన అవసరం లేదు. రిజాల్వర్ క్లయింట్ పూల్‌లోనే ఉండాలని ఊహించడం, లేదా ఆ చిరునామా చుట్టూ సబ్‌నెట్ నిర్మించడం, ఏమీ మార్చకుండా వస్తువులను జోడిస్తుంది. ముఖ్యమైనది ఏమిటంటే ఎండ్‌పాయింట్ క్లయింట్ వర్తించగల DNS సెట్టింగ్‌ను కలిగి ఉండటం మరియు రిజాల్వర్ టన్నెల్ నుండి చేరుకోగలగడం.

రిజాల్వర్, క్లయింట్ పూల్ మరియు కలిపిన సబ్‌నెట్‌ను చిరునామా ప్రణాళికలో మూడు వేర్వేరు అంశాలుగా నమోదు చేయండి. అవి స్వతంత్రంగా విఫలమవుతాయి, మరియు ఒకటి సరిగ్గా ఉండటం మిగతా రెండు గురించి ఏమీ చెప్పదు.

సృష్టించేటప్పుడు మీరు కట్టుబడే నాలుగు ఫీల్డ్‌లు

క్లయింట్ IPv4 CIDR సృష్టించేటప్పుడు స్థిరంగా ఉంటుంది. DNS సర్వర్ మార్చడం, అనుబంధం జోడించడం, భద్రతా గుంపు మార్చడం, అనుమతి నియమాలను సవరించడం లేదా split-tunnel మార్గాలను మార్చడం అన్నీ సాధారణ సవరణలు, వాటిలో ఏదీ పూల్ పేరును మార్చదు. ఈ అసమానతే దీన్ని సమీక్షకు అర్హత కల్పిస్తుంది: చవకైన సెట్టింగ్‌లు తర్వాత మార్చాలనుకునేవి, ఖరీదైనది మీరు మొదట కట్టుబడేది. మార్పు విండోను ప్లాన్ చేసే ముందు ఎండ్‌పాయింట్ వివరణను చదవండి.

పునర్నిర్మాణం అనుకునే ముందు అమలు చేసిన ఎండ్‌పాయింట్‌ను పరిశీలించండి. aws ec2 describe-client-vpn-endpoints పూల్, DNS, split-tunnel ఫ్లాగ్ మరియు అనుబంధాలను ఒకే ప్రతిస్పందనలో తిరిగి ఇస్తుంది, ఇది సాధారణంగా పునర్నిర్మాణాన్ని మినహాయించడానికి సరిపోతుంది.

ఎండ్‌పాయింట్‌ను ప్యాచ్ చేయకుండా భర్తీ చేయండి

కొత్త ఎండ్‌పాయింట్ కొత్త ఎండ్‌పాయింట్, స్థానభ్రంశం కాదు. ఉన్న సెషన్‌లు దానికి మారవు, క్లయింట్ ప్రొఫైల్‌లు మరో పేరును సూచిస్తాయి, మరియు మీరు సహజమని భావించిన ప్రతి సెట్టింగ్ తిరిగి సృష్టించాలి: సర్వర్ సర్టిఫికెట్, ప్రామాణీకరణ, అనుబంధాలు, మార్గాలు, అనుమతి గుంపులు, లాగింగ్. అవసరమైన ప్రైవేట్ సేవకు మరియు తిరస్కరించాల్సిన గమ్యానికి వ్యతిరేకంగా ఒక క్లయింట్‌తో ధృవీకరించండి, తర్వాత ప్రాప్యతను విస్తరించండి. మీరు దాటవేసేది తర్వాత మద్దతు టికెట్ అవుతుంది.

ఆ ధృవీకరణ పాస్ అయ్యే వరకు పాత ఎండ్‌పాయింట్‌ను అమలులో ఉంచండి, మరియు కొత్తదానిపై ఆధారపడని పరిపాలనా మార్గాన్ని ఉంచుకోండి.

పేర్కొనదగిన ఒక పరిమితి: ఇది IPv4 క్లయింట్ పూల్‌ను కవర్ చేస్తుంది. Client VPN లో dual-stack మరియు IPv6 ట్రాఫిక్ సెట్టింగ్‌లు వాటి సొంత చిరునామా నమూనాను అనుసరిస్తాయి, కాబట్టి ఆ మోడ్ డాక్యుమెంటేషన్ చదవకుండా ఈ జాబితాను కాపీ చేయవద్దు.