AWS Client VPN mijozi CIDR'i VPC diapazoni bilan ustma-ust tushmasligi kerak

AWS Client VPN tugash nuqtasi mijoz manzillarini siz tanlagan hovuzdan tarqatadi va AWS tugash nuqtasini yaratishdan oldin o'sha hovuzni maqsadli tarmoq bilan tekshiradi. Tekshiruv sub tarmoq bo'sh ko'rinadimi degani emas. Hovuz VPC diapazoni bilan ustma-ust tushadimi degani, va bugun biron EC2 nusxasi o'sha manzillarni ishlatadimi yoki yo'qmi — javob bir xil. Ustma-ust tushish diapazonlar haqidagi savol, taqsimotlar haqida emas.

Beshta tekshiruvni tartib bilan bajaring. Birinchi muvaffaqiyatsiz bo'lgan joyda to'xtang, chunki keyingi hech bir qadam oldingi qarorni tuzata olmaydi.

Ustma-ust tushish diapazonlar sinovi, bo'sh manzillar sinovi emas

VPC CIDR'idan boshlang, birlashtirmoqchi bo'lgan sub tarmoqdan emas. 172.20.0.0/22 hovuzi 172.20.0.0/16 VPC ichida joylashgan va hech bir sub tarmoq uni egallamasa ham rad etiladi, chunki ustma-ust tushish diapazonlarning xossasi, joriy taqsimotlarning emas. So'ngra tugash nuqtasi yo'naltiradigan manzillarni qo'shing: peer VPC'lar, transit gateway va site-to-site ulanish orqali mahalliy diapazonlar. Mijoz yetib borishi kerak bo'lishi mumkin bo'lgan har qanday diapazon ro'yxatga kiradi.

Ularni xotiradan emas, hisobdan yig'ing: aws ec2 describe-vpcs --query "Vpcs[].CidrBlock", shuningdek birlashtirmoqchi bo'lgan sub tarmoqning marshrut jadvali yozuvlari.

Hovuz o'lchami qurishdan oldin belgilanadi

AWS Client VPN'da IPv4 mijoz hovuzini /22 dan /12 gacha qabul qiladi. /24 juda kichik, /8 hujjatlashtirilgan diapazondan tashqarida, va ikkala xato ham hovuzni ish yuki sub tarmog'i kabi o'lchashdan kelib chiqadi. Uni kutilayotgan bir vaqtli mijozlar va zaxira bilan o'lchang, so'ng ruxsat etilgan prefiksga yaxlitlang.

Konsolga yozishdan oldin arifmetikani tekshiring, chunki noto'g'ri terilgan prefiks hovuz o'lchamini hech qanday ogohlantirishsiz o'zgartiradi:

python3 -c "import ipaddress; p=ipaddress.ip_network('172.16.0.0/22'); print(p.num_addresses, p.prefixlen, p.overlaps(ipaddress.ip_network('172.20.0.0/16')))"

Bu manzillar sonini, prefiks uzunligini va nomzodning VPC diapazoni bilan to'qnashishini chop etadi, bu o'zgartirish oynasi oxirida tarmoq maskalari haqida o'ylashdan tezroq.

Resolver'ning o'z manzil roli bor

VPC resolver'i VPC diapazonining bazaviy manziliga ikkini qo'shib javob beradi, bu siz birlashtirgan sub tarmoq ichida bo'lishi shart emas. Resolver mijoz hovuzida yashashi kerak deb taxmin qilish yoki o'sha manzil atrofida sub tarmoq qurish hech narsani o'zgartirmasdan obyektlar qo'shadi. Muhimi — tugash nuqtasi mijoz qo'llay oladigan DNS sozlamasini olib yurishi va resolver tunneldan yetib borish imkoniyati bo'lishi.

Resolver, mijoz hovuzi va ulangan sub tarmoqni manzil rejasida uchta alohida band sifatida yozib qo'ying. Ular mustaqil ishdan chiqadi, va birining to'g'riligi qolgan ikkitasi haqida hech narsa demaydi.

Yaratishda majburiyat oladigan to'rtta maydon

Mijozning IPv4 CIDR'i yaratish paytida qotiriladi. DNS serverini almashtirish, ulanish qo'shish, xavfsizlik guruhini almashtirish, avtorizatsiya qoidalarini tahrirlash yoki split-tunnel marshrutlarini o'zgartirish — barchasi oddiy tahrirlar, va ularning hech biri hovuz nomini o'zgartirmaydi. Shu nomutanosiblik buni ko'rib chiqishga loyiq qiladi: arzon sozlamalar keyinroq o'zgartirmoqchi bo'lganlaringiz, qimmati esa birinchi majburiyat olganingiz. O'zgartirish oynasini rejalashdan oldin tugash nuqtasi tavsifini o'qing.

Qayta qurishni taxmin qilishdan oldin joylashtirilgan tugash nuqtasini ko'zdan kechiring. aws ec2 describe-client-vpn-endpoints hovuz, DNS, split-tunnel belgisi va ulanishlarni bitta javobda qaytaradi, bu odatda qayta qurishni istisno qilishga yetadi.

Tugash nuqtasini yamash o'rniga almashtiring

Yangi tugash nuqtasi — yangi tugash nuqtasi, ko'chirish emas. Mavjud sessiyalar unga o'tmaydi, mijoz profillari boshqa nomga ishora qiladi, va o'zingiz uchun tabiiy deb hisoblagan har bir sozlama qaytadan yaratilishi kerak: server sertifikati, autentifikatsiya, ulanishlar, marshrutlar, avtorizatsiya guruhlari, jurnal. Majburiy xususiy xizmat va rad etilishi kerak bo'lgan manzil qarshisida bitta mijoz bilan tekshiring, so'ng kirishni kengaytiring. O'tkazib yuborganingiz keyinroq qo'llab-quvvatlash chiptasiga aylanadi.

Bu tekshiruv o'tmaguncha eski tugash nuqtasini ishlatib turing va yangisiga bog'liq bo'lmagan ma'muriy yo'lni saqlang.

Aytib o'tishga arziydigan bitta chegara: bu IPv4 mijoz hovuzini qamrab oladi. Client VPN'da dual-stack va IPv6 trafik sozlamalari o'z manzillash modeliga bo'ysunadi, shuning uchun o'sha rejim hujjatlarini o'qimay bu ro'yxatni ko'chirmang.