如何在Terraform中配置AWS Client VPN网络接口的IP地址

核心结论 #

你无法为AWS Client VPN端点自动创建的子网网络接口自定义IP地址，该功能设计上不支持用户手动配置。

具体说明 #

这些描述为ClientVPN Endpoint resource. EndpointId: cvpn-endpoint-0ee35c5e95a01400c的网络接口属于AWS托管的Client VPN底层基础设施资源：

• 其IP从你关联的目标子网的私有IPv4 CIDR范围内自动分配，AWS未对外暴露自定义该类IP的配置入口，控制台、CLI、OpenAPI均不支持修改/指定这类ENI的IP
• Terraform的aws_ec2_client_vpn_endpoint资源没有对应配置参数，是因为底层AWS服务本身不支持该能力，并非参数缺失

替代方案 #

如果需要固定相关IP用于安全组规则、路由配置等场景，可参考以下方案：

• 为Client VPN端点单独规划专属关联子网，仅用于挂载Client VPN资源，你可以提前将该子网的整个CIDR段配置到所需的白名单、路由规则中，无需关心具体ENI的IP分配
• 这类托管ENI默认会被AWS自动打上aws:ec2:clientvpn:endpoint-id标签，标签值对应你的Client VPN端点ID，你可以基于标签做流量识别、权限管控
• 如果需要固定Client VPN客户端的公网出口IP，可在关联子网的路由表中配置默认路由指向带弹性IP的NAT网关，所有出站流量的公网IP将统一为NAT网关的弹性IP，不受底层ENI私网IP变动影响

内容的提问来源于stack exchange，提问作者adamretter