AWS Client VPN istemci CIDR'i VPC aralığıyla çakışamaz

Bir AWS Client VPN uç noktası, istemci adreslerini sizin seçtiğiniz bir havuzdan dağıtır ve AWS, uç noktayı oluşturmadan önce bu havuzu hedef ağa karşı denetler. Denetim, bir alt ağın boş görünüp görünmediği değildir. Havuzun VPC aralığıyla çakışıp çakışmadığıdır ve bugün bir EC2 örneği bu adresleri kullanıyor olsun ya da olmasın yanıt aynıdır. Çakışma aralıkların sorusudur, tahsislerin değil.

Beş kontrolü sırayla yapın. Başarısız olan ilk kontrolde durun, çünkü sonraki hiçbir adım önceki bir kararı onaramaz.

Çakışma bir aralık testidir, boş adres testi değil

İlişkilendirmeyi planladığınız alt ağdan değil, VPC'nin CIDR'inden başlayın. 172.20.0.0/22'lik bir havuz, 172.20.0.0/16'lık bir VPC'nin içinde yer alır ve hiçbir alt ağ onu kaplamasa bile reddedilir, çünkü çakışma aralıkların özelliğidir, mevcut tahsislerin değil. Ardından uç noktanın yönlendirdiği hedefleri ekleyin: eş VPC'ler, bir transit gateway ve site-to-site bağlantı üzerinden şirket içi aralıklar. Bir istemcinin erişmesi gerekebilecek her aralık listede yer alır.

Bunları bellekten değil hesaptan toplayın: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", ayrıca ilişkilendirmeyi planladığınız alt ağın yönlendirme tablosu girdileri.

Havuz boyutu oluşturmadan önce belirlenir

AWS, Client VPN'de /22 ile /12 arasında bir IPv4 istemci havuzu kabul eder. /24 çok küçüktür, /8 belgelenen aralığın dışındadır ve her iki hata da havuzu iş yükü alt ağı gibi boyutlandırmaktan gelir. Beklenen eşzamanlı istemciler artı pay ile boyutlandırın, sonra izin verilen bir öneke yuvarlayın.

Konsola yazmadan önce aritmetiği kontrol edin, çünkü yanlış yazılmış bir önek havuz boyutunu hiçbir uyarı vermeden değiştirir:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Bu, adres sayısını, önek uzunluğunu ve adayın VPC aralığıyla çakışıp çakışmadığını yazdırır; bu, bir değişiklik penceresinin sonunda netmask hakkında düşünmekten daha hızlıdır.

Çözümleyicinin kendi adres rolü var

VPC çözümleyicisi, VPC aralığının taban adresine iki ekleyerek yanıt verir; bu adres ilişkilendirdiğiniz alt ağın içinde olmak zorunda değildir. Çözümleyicinin istemci havuzunda yaşaması gerektiğini varsaymak veya o adresin çevresine alt ağ kurmak, hiçbir şeyi değiştirmeden nesne ekler. Önemli olan, uç noktanın istemcinin uygulayabileceği bir DNS ayarı taşıması ve çözümleyicinin tünelden erişilebilir olmasıdır.

Çözümleyiciyi, istemci havuzunu ve ilişkili alt ağı adres planında üç ayrı madde olarak kaydedin. Bunlar bağımsız olarak başarısız olur ve birinin doğru olması diğer ikisi hakkında hiçbir şey söylemez.

Oluştururken bağlandığınız dört alan

İstemcinin IPv4 CIDR'i oluşturma anında sabittir. DNS sunucusunu değiştirmek, bir ilişkilendirme eklemek, güvenlik grubunu değiştirmek, yetkilendirme kurallarını düzenlemek veya split-tunnel rotalarını değiştirmek olağan düzenlemelerdir ve hiçbiri havuzun adını değiştirmez. Bu asimetri, bunun neden bir incelemeyi hak ettiğini gösterir: ucuz ayarlar daha sonra değiştirmek isteyeceklerinizdir ve pahalı olan ilk bağlandığınızdır. Bir değişiklik penceresi planlamadan önce uç nokta açıklamasını okuyun.

Yeniden oluşturmayı varsaymadan önce dağıtılmış uç noktayı inceleyin. aws ec2 describe-client-vpn-endpoints havuzu, DNS'i, split-tunnel işaretini ve ilişkilendirmeleri tek bir yanıtta döndürür; bu genellikle yeniden oluşturmayı dışlamaya yeter.

Uç noktayı yamamak yerine değiştirin

Yeni uç nokta yeni bir uç noktadır, geçiş değildir. Mevcut oturumlar ona taşınmaz, istemci profilleri başka bir adı gösterir ve kanıksadığınız her ayar yeniden oluşturulmalıdır: sunucu sertifikası, kimlik doğrulama, ilişkilendirmeler, rotalar, yetkilendirme grupları, günlükleme. Gerekli bir özel hizmete ve reddedilmesi gereken bir hedefe karşı tek bir istemciyle doğrulayın, sonra erişimi genişletin. Atladığınız her şey daha sonra bir destek talebine dönüşür.

Bu doğrulama geçene kadar eski uç noktayı çalışır durumda tutun ve yenisine bağlı olmayan bir yönetim yolu saklayın.

Belirtilmeye değer bir sınır: bu, IPv4 istemci havuzunu kapsar. Client VPN'de dual-stack ve IPv6 trafik ayarları kendi adresleme modelini izler, bu nedenle bu listeyi o modun belgelerini okumadan kopyalamayın.