我允许 EC2 安全组中的哪些 IP 地址允许客户端 VPN 流量通过？

Question

我有一个 AWS 客户端 VPN 设置，以便可以连接到 VPN 的人可以访问我们在同一 VPC 上的 EC2 服务器。一些用户报告他们在使用 VPN 时无法连接到服务，而其他用户则可以。

我可以在终端中执行ping {{address_of_ec2_instance}} 并获得响应，但是连接到同一个 vpn 的另一个用户将使用完全相同的命令获得超时，并且解析了相同的 IP。当他们转到https://www.whatismyip.com/ 时，他们报告说连接到相同的 ISP 和位置。

我唯一可以推测的是，我可能没有在 EC2 安全设置中允许正确的端口范围，并且一些用户在端口范围内，但其他用户不在。在给定客户端 VPN 端点的情况下，如何确定要转发的端口范围？

Answer 1

当您启动客户端 VPN 时，您将提供一个 Client IPv4 CIDR 范围。连接到此时，您将获得此范围内的 IP 地址（连接时将其视为私有 IP 地址）。

对于任何私有 IP 连接，源 IP 将来自此范围（并且当您使用客户端 VPN 时，您应该使用私有 IP 而非公共 IP 进行连接，以保持网络传输通过隧道）。

如果您通过公共 IP 地址连接，则需要考虑是希望所有流量还是仅私有流量通过客户端 VPN。通过启用split-tunnel，您将使用本地的公共 IP 地址，否则您将使用来自亚马逊服务器池的公共 IP 地址。

附带说明，如果您尝试调试连接失败，可以使用VPC Flow Logs。