كيف توجّه حركة SaaS إلى شبكة VPN الصحيحة للعميل
تداخل الشبكات الفرعية للعملاء يكسر التوجيه المشترك. اختر نموذج عزل، واربط كل مهمة بمستأجر مُتحقق منه، واختبر المسارات بين المستأجرين قبل الإطلاق.
تتصل منصة SaaS باثني عشر شبكة من شبكات العملاء، ويستخدم اثنان من هؤلاء العملاء العنوان 10.20.0.10 لقاعدة بياناتهما الأساسية. لا يستطيع العامل الذي يستقبل هذا العنوان في مهمة أن يعرف أي قاعدة بيانات تعنيها المهمة، وسيرسل جدول التوجيه المشترك الحزمة بسرور إلى النفق الذي تشير إليه البادئة. الحل ليس المزيد من الأنفاق؛ بل تحديد أين تدخل هوية المستأجر إلى المسار وأي نموذج عزل يتطلبه مخطط العناوين. ثلاثة شروط تحسم الاختيار: هل تتداخل بادئات العملاء، وإلى أي مدى قد ينتشر الخطأ، ومن يشغّل الموصّل.
قاعدتا بيانات لعميلين، وعنوان وجهة واحد
عنوان IP هو موقع، وليس هوية. يجب أن يحمل الطلب مستأجرًا تحقّق منه الخادم، ويجب أن يختار ذلك المستأجر سياق الشبكة قبل تحليل الوجهة.
وعندما لا يحدث ذلك، يكون الفشل صامتًا. ينجح الاتصال، ويُنفَّذ الاستعلام، وتأتي الإجابة من قاعدة بيانات العميل الخطأ لأن جدول التوجيه كان فيه إدخال واحد للعنوان 10.20.0.10. ويزيد DNS الأمر سوءًا: يمكن إعادة استخدام اسم مخزّن مؤقتًا حُلّ داخل سياق المستأجر A من قبل مهمة تعمل لصالح المستأجر B. ولا شيء في الحزمة يميّز بينهما، لذا لا تصلح أي كمية من منطق إعادة المحاولة ذلك.
قرّر نموذج العزل أولًا
اكتب الشروط الثلاثة قبل مقارنة المنتجات. يحدد التداخل ما إذا كان يمكن مشاركة فضاء عناوين واحد أصلًا؛ ويحدد نطاق الأثر ما إذا كان خطأ التوجيه تذكرة دعم أم خرقًا؛ وتحدد الملكية التشغيلية ما إذا كان بإمكانك تشغيل أسطول موصّلات لكل مستأجر.
| Condition | Hub with per-tenant route tables | Per-tenant connector context |
|---|---|---|
| Customer CIDRs overlap | No, unless you add 1:1 NAT | Yes, each context keeps its own view |
| A mistake must stay inside one VPC | Weak, routing is shared infrastructure | Strong, each connector has its own egress |
| You can run one fleet per tenant | Not required | Required |
إذا كانت البادئات متمايزة وتسمح السياسة بمركز تحكم مُدار، فإن بوابة Transit Gateway واحدة مع جداول توجيه لكل مستأجر قابلة للعمل. يختار ربط المرفق جدول التوجيه المستخدم لحركة المرور الداخلة من ذلك المرفق، ويختار النشر أي المسارات تظهر في جدول. مرفق المستأجر المرتبط بجدوله الخاص فقط، والذي ينشر بادئاته الخاصة فقط، يصل إلى المركز ولا شيء آخر. هذا قرار توجيه، ولا يبقى صحيحًا إلا ما دام لا أحد يضيف مسارًا افتراضيًا إلى الجدول المشترك.
إذا تداخلت البادئات، فلا يمكن للتوجيه وحده فصلها. تحتاج إما إلى سياق شبكة متميز لكل مستأجر أو إلى خطة ترجمة تمنح فضاء كل عميل معنىً لا لبس فيه.
ماذا يعني عزل Transit Gateway فعليًا
الربط والنشر هما المقبضان المهمان، ويسهل الخلط بينهما. يجيب الربط عن الجدول الذي تُبحث فيه حزمة من هذا المرفق؛ ويجيب النشر عن الجداول التي تتعلم مسارات هذا المرفق. يأتي العزل من جعل كليهما خاصًا بالمستأجر، لا من إنشاء مرفقات أكثر.
إعداد الكل-إلى-الكل الافتراضي مريح وليس عزلًا. تقيّد جداول التوجيه المنفصلة الاتصال، لكنها لا تمنح عنوان وجهة واحدًا غير متغيّر معنيين داخل سياق التوجيه نفسه. إذا حلّ التطبيق 10.20.0.10 قبل أن يعرف المستأجر، تكون طبقة التوجيه قد فقدت المعلومات التي تحتاجها بالفعل.
أضافت AWS في 23 أكتوبر 2026 ترجمة NAT بمستوى المرفق بنسبة 1:1 لبوابة Transit Gateway و Cloud WAN، ما يغيّر إجابة التداخل للمرفقات المدعومة. تصف وثائق Transit Gateway NAT تعيينات IPv4 ثابتة وعديمة الحالة ومتساوية البادئة مع الحفاظ على بتات المضيف. تحقق من أنواع المرفقات المدعومة والقيود الإقليمية قبل أن تصمم بناءً عليها.
اربط المهمة بمستأجر مُتحقق منه
يجب أن تحمل كل مهمة هوية مستأجر تحقّق منها الخادم، ويجب أن تختار تلك الهوية سجل اتصال يملكه المسؤول. يذكر السجل سياق الشبكة المعتمد، وعنوان الخدمة، ومرجع بيانات الاعتماد، والعمليات المسموح بها هناك. يجب ألا يقدّم طلب غير موثوق أبدًا معرّف VPN أو بوابة أو هدفًا خاصًا به، لأن تسجيل الدخول الصالح ليس إذنًا لاستكشاف فضاء عناوين كل عميل متصل.
في تصميم الموصّل المعزول، يذهب عمل المستأجر A إلى موصّل خاص بـ A يعمل في VPC الخاصة بـ A ولا يستطيع الوصول إلا إلى موارد A المعتمدة. لا تنشئ الحاويات المنفصلة على مضيف واحد هذا الفصل بحد ذاتها؛ يجب أن تنفّذه مساحات أسماء الشبكة والمسارات وسياسة الخروج. يحتاج الموصّل أيضًا إلى بيانات اعتماد وقوائم انتظار محددة النطاق بالمستأجر، لأن المسار الخاص لا يحدد نطاق سر مشترك أو عنصر عمل مشترك. عمال التطبيقات المجمّعون جيدون ما دام سياق الشبكة وبيانات الاعتماد يُختاران لكل مستأجر، لا لكل مضيف.
يجب أن تذكر فحوصات الصحة المستأجر والمرحلة: إنشاء النفق، ووجود المسار، ونجاح طلب خدمة حقيقي هي ثلاث إشارات مختلفة. سيخفي العدد الإجمالي للأنفاق العاملة العميل الوحيد الذي موصّله معطّل.
اختبر المسارات التي يجب أن تفشل
نفّذ ثلاثة اختبارات قبل الإطلاق. يجب أن تنجح عملية A مسموح بها، ويجب أن تنجح عملية B مسموح بها، ويجب أن تفشل عملية A الموجّهة عمدًا إلى موصّل B أو إلى اسمه المستعار المترجم فشلًا مغلقًا. ثم اكسر نفقًا واحدًا وتأكد من فشل المهمة لذلك المستأجر فقط، دون الرجوع إلى شبكة فرعية تحمل الرقم نفسه لعميل آخر. يجب اختبار الاستعادة أيضًا، لأن مسارًا قديمًا أو بيانات اعتماد مخزّنة قد تعيش أطول من الانقطاع.
يمكن أن تكون البنية عمالًا مجمّعين مع موصّلات معزولة، أو موارد مستأجرين منفصلة بالكامل. الثابت واحد: سياق المستأجر المُتحقق يختار المسار وبيانات الاعتماد، ولا يمنح أي تغيير في المسار إذنًا للتطبيق عبر المستأجرين أبدًا.