Sut i lwybro traffig SaaS i'r VPN cwsmer cywir

Mae platfform SaaS yn cysylltu â dwsin o rwydweithiau cwsmeriaid, ac mae dau o'r cwsmeriaid hynny ill dau yn defnyddio 10.20.0.10 ar gyfer eu prif gronfa ddata. Nid oes gan weithiwr sy'n derbyn y cyfeiriad hwnnw mewn tasg unrhyw ffordd i wybod pa gronfa ddata y mae'r dasg yn ei olygu, a bydd tabl llwybro a rennir yn gwbl fodlon ei anfon i'r tiwnel y mae'r rhagddodiad yn pwyntio ato. Nid yw'r ateb yn fwy o diwneli; yr ateb yw penderfynu lle mae hunaniaeth tenant yn dod i mewn i'r llwybr a pha fodel ynysu y mae'r cynllun cyfeiriadau yn ei olygu. Mae tair amod yn setlo'r dewis: a yw rhagddodiadau cwsmeriaid yn gorgyffwrdd, pa mor bell y gall camgymeriad ledaenu, a phwy sy'n gweithredu'r cysylltydd.

Dwy gronfa ddata cwsmer, un cyfeiriad cyrchfan

Mae cyfeiriad IP yn lleoliad, nid yn hunaniaeth. Rhaid i'r cais gludo tenant a ddilyswyd gan y gweinydd, a rhaid i'r tenant hwnnw ddewis y cyd-destun rhwydwaith cyn i'r gyrchfan gael ei datrys.

Pan nad yw'n gwneud hynny, mae'r methiant yn dawel. Mae'r cysylltiad yn llwyddo, mae'r ymholiad yn rhedeg, ac mae'r ateb yn dod o gronfa ddata'r cwsmer anghywir oherwydd bod gan y tabl llwybro un cofnod ar gyfer 10.20.0.10. Mae DNS yn gwaethygu hyn: gall enw cachiedig a ddatryswyd yng nghyd-destun tenant A gael ei ailddefnyddio gan dasg sy'n rhedeg ar gyfer tenant B. Nid oes unrhyw beth yn y pecyn yn gwahaniaethu rhwng y ddau, felly nid oes unrhyw faint o resymeg ailgynnig yn ei thrwsio.

Penderfynwch ar y model ynysu yn gyntaf

Ysgrifennwch y tair amod cyn cymharu cynhyrchion. Mae gorgyffwrdd yn penderfynu a ellir rhannu un gofod cyfeiriadau o gwbl; mae radiws effaith yn penderfynu a yw camgymeriad llwybro yn docyn cymorth neu'n doriad diogelwch; mae perchnogaeth weithredol yn penderfynu a allwch redeg fflyd o gysylltyddion fesul tenant.

Os yw'r rhagddodiadau'n wahanol ac mae polisi'n caniatáu hwb rheoledig, mae un Transit Gateway gyda thablau llwybro fesul tenant yn ymarferol. Mae cysylltiad atodiad yn dewis y tabl llwybro a ddefnyddir ar gyfer traffig sy'n dod i mewn o'r atodiad hwnnw, ac mae lledaeniad yn dewis pa lwybrau sy'n ymddangos mewn tabl. Mae atodiad tenant sydd â chysylltiad â'i dabl ei hun yn unig ac sy'n lledaenu ei ragddodiadau ei hun yn unig yn cyrraedd y hwb a dim arall. Penderfyniad llwybro yw hwn, ac mae'n aros yn gywir dim ond tra nad oes neb yn ychwanegu llwybr diofyn at y tabl a rennir.

Os yw'r rhagddodiadau'n gorgyffwrdd, ni all llwybro ar ei ben ei hun eu gwahanu. Mae angen naill ai cyd-destun rhwydwaith ar wahân ar gyfer pob tenant neu gynllun cyfieithu sy'n rhoi ystyr diamwys i ofod pob cwsmer.

Beth mae ynysu Transit Gateway yn ei olygu mewn gwirionedd

Cysylltiad a lledaeniad yw'r ddau fwlyn sy'n bwysig, ac maent yn hawdd eu drysu. Mae cysylltiad yn ateb ym mha dabl y chwilir pecyn o'r atodiad hwn; mae lledaeniad yn ateb pa dablau sy'n dysgu llwybrau'r atodiad hwn. Mae ynysu'n dod o wneud y ddau'n benodol i denant, nid o greu mwy o atodiadau.

Mae trefniant diofyn pawb-i-bawb yn gyfleus ac nid yw'n ynysu. Mae tablau llwybro ar wahân yn cyfyngu ar gysylltedd, ond nid ydynt yn rhoi dau ystyr i un cyfeiriad cyrchfan heb ei newid o fewn yr un cyd-destun llwybro. Os yw'r cymhwysiad yn datrys 10.20.0.10 cyn iddo wybod y tenant, mae'r haen llwybro eisoes wedi colli'r wybodaeth y byddai ei hangen.

Ychwanegodd AWS ar 23 Hydref 2026 NAT 1:1 ar lefel atodiad ar gyfer Transit Gateway a Cloud WAN, sy'n newid yr ateb gorgyffwrdd ar gyfer atodiadau a gefnogir. Mae dogfennaeth NAT Transit Gateway yn disgrifio mapiau IPv4 statig, digyflwr, o ragddodiad cyfartal gyda bitau gwesteiwr wedi'u cadw. Gwiriwch y mathau o atodiadau a gefnogir a'r cyfyngiadau rhanbarthol cyn dylunio o'u cwmpas.

Cysylltwch y dasg â thenant wedi'i ddilysu

Dylai pob tasg gludo hunaniaeth tenant a ddilyswyd gan y gweinydd, a dylai'r hunaniaeth honno ddewis cofnod cysylltiad sy'n eiddo i weinyddwr. Mae'r cofnod yn enwi'r cyd-destun rhwydwaith a gymeradwywyd, cyfeiriad y gwasanaeth, cyfeirnod y cymwysterau, a'r gweithrediadau a ganiateir yno. Ni ddylai cais annibynadwy byth ddarparu ei ddynodwr VPN ei hun, ei borth, na'i darged preifat, oherwydd nid yw mewngofnodi dilys yn ganiatâd i archwilio gofod cyfeiriadau pob cwsmer cysylltiedig.

Mewn dyluniad cysylltydd ynysedig, mae gwaith tenant A yn mynd i gysylltydd sy'n benodol i A sy'n rhedeg yn VPC A ac na all gyrraedd ond adnoddau cymeradwy A. Nid yw cynwysyddion ar wahân ar un gwesteiwr yn creu'r gwahanu hwnnw ar eu pen eu hunain; rhaid i ofodau enwau rhwydwaith, llwybrau, a pholisi allfa ei weithredu. Mae angen cymwysterau a chiwiau cwmpas tenant ar y cysylltydd hefyd, gan nad yw llwybr preifat yn cyfyngu ar gyfrinach a rennir nac eitem waith a rennir. Mae gweithwyr cymhwysiad cronnus yn iawn cyn belled â bod y cyd-destun rhwydwaith a'r cymwysterau'n cael eu dewis fesul tenant, nid fesul gwesteiwr.

Dylai gwiriadau iechyd enwi'r tenant a'r cam: tiwnel wedi'i sefydlu, llwybr yn bresennol, a chais gwasanaeth go iawn wedi llwyddo yw tri signal gwahanol. Bydd cyfrif crynswth o diwneli sydd i fyny yn cuddio'r un cwsmer y mae ei gysylltydd wedi torri.

Profwch y llwybrau sy'n rhaid iddynt fethu

Rhedwch dri phrawf cyn lansio. Rhaid i weithrediad A a ganiateir lwyddo, rhaid i weithrediad B a ganiateir lwyddo, a rhaid i dasg A sy'n cael ei hanelu'n fwriadol at gysylltydd B neu ei alias cyfieithu fethu ar gau. Yna torrwch un tiwnel a chadarnhewch fod y dasg yn methu ar gyfer y tenant hwnnw yn unig, heb ddisgyn yn ôl i is-rwydwaith rhif cyfatebol cwsmer arall. Dylid profi adferiad hefyd, oherwydd gall llwybr hen neu gymwysterau cachiedig oroesi'r toriad.

Gall yr bensaernïaeth fod yn weithwyr cronnus gyda chysylltyddion ynysedig, neu'n adnoddau tenant wedi'u gwahanu'n llwyr. Mae'r invariant yr un peth: cyd-destun tenant wedi'i ddilysu sy'n dewis y llwybr a'r cymysterau, ac nid oes unrhyw newid llwybr byth yn rhoi caniatâd cymhwysiad ar draws tenantiaid.