Πώς να δρομολογήσετε την κίνηση SaaS στο σωστό VPN πελάτη
Επικαλυπτόμενα υποδίκτυα πελατών σπάνε την κοινή δρομολόγηση. Επιλέξτε μοντέλο απομόνωσης, συνδέστε κάθε εργασία με επαληθευμένο ενοικιαστή και δοκιμάστε διαδρομές μεταξύ ενοικιαστών πριν από την κυκλοφορία.
Μια πλατφόρμα SaaS συνδέεται με δώδεκα δίκτυα πελατών, και δύο από αυτούς τους πελάτες χρησιμοποιούν και οι δύο το 10.20.0.10 για την κύρια βάση δεδομένων τους. Ένας worker που λαμβάνει αυτή τη διεύθυνση σε μια εργασία δεν έχει τρόπο να καταλάβει ποια βάση δεδομένων εννοεί η εργασία, και ένας κοινός πίνακας δρομολόγησης θα τη στείλει πρόθυμα στο τούνελ στο οποίο δείχνει το πρόθεμα. Η λύση δεν είναι περισσότερα τούνελ· είναι να αποφασίσετε πού μπαίνει η ταυτότητα του ενοικιαστή στη διαδρομή και ποιο μοντέλο απομόνωσης απαιτεί το σχέδιο διευθύνσεων. Τρεις συνθήκες καθορίζουν την επιλογή: αν τα προθέματα των πελατών επικαλύπτονται, πόσο μακριά μπορεί να εξαπλωθεί ένα λάθος και ποιος διαχειρίζεται τον σύνδεσμο.
Δύο βάσεις δεδομένων πελατών, μία διεύθυνση προορισμού
Μια διεύθυνση IP είναι τοποθεσία, όχι ταυτότητα. Το αίτημα πρέπει να φέρει έναν ενοικιαστή που επαλήθευσε ο διακομιστής, και αυτός ο ενοικιαστής πρέπει να επιλέξει το πλαίσιο δικτύου πριν επιλυθεί ο προορισμός.
Όταν δεν συμβαίνει αυτό, η αποτυχία είναι ήσυχη. Η σύνδεση πετυχαίνει, το ερώτημα εκτελείται και η απάντηση έρχεται από τη βάση δεδομένων του λάθος πελάτη, επειδή ο πίνακας δρομολόγησης είχε μία καταχώριση για το 10.20.0.10. Το DNS το χειροτερεύει: ένα όνομα στην προσωρινή μνήμη που επιλύθηκε στο πλαίσιο του ενοικιαστή A μπορεί να ξαναχρησιμοποιηθεί από εργασία που εκτελείται για τον ενοικιαστή B. Τίποτα στο πακέτο δεν ξεχωρίζει τα δύο, άρα καμία λογική επανάληψης δεν το διορθώνει.
Αποφασίστε πρώτα το μοντέλο απομόνωσης
Γράψτε τις τρεις συνθήκες πριν συγκρίνετε προϊόντα. Η επικάλυψη καθορίζει αν ένας χώρος διευθύνσεων μπορεί να μοιραστεί καθόλου· η ακτίνα επίπτωσης καθορίζει αν ένα λάθος δρομολόγησης είναι δελτίο υποστήριξης ή παραβίαση· η επιχειρησιακή ιδιοκτησία καθορίζει αν μπορείτε να τρέχετε στόλο συνδέσμων ανά ενοικιαστή.
| Condition | Hub with per-tenant route tables | Per-tenant connector context |
|---|---|---|
| Customer CIDRs overlap | No, unless you add 1:1 NAT | Yes, each context keeps its own view |
| A mistake must stay inside one VPC | Weak, routing is shared infrastructure | Strong, each connector has its own egress |
| You can run one fleet per tenant | Not required | Required |
Αν τα προθέματα είναι διακριτά και η πολιτική επιτρέπει ελεγχόμενο κόμβο, ένα Transit Gateway με πίνακες δρομολόγησης ανά ενοικιαστή είναι εφικτό. Η συσχέτιση προσάρτησης επιλέγει τον πίνακα δρομολόγησης που χρησιμοποιείται για την κίνηση που εισέρχεται από αυτή την προσάρτηση, και η διάδοση επιλέγει ποιες διαδρομές εμφανίζονται σε έναν πίνακα. Μια προσάρτηση ενοικιαστή που συνδέεται μόνο με τον δικό της πίνακα και διαδίδει μόνο τα δικά της προθέματα φτάνει στον κόμβο και πουθενά αλλού. Αυτή είναι μια απόφαση δρομολόγησης, και παραμένει σωστή μόνο όσο κανείς δεν προσθέτει προεπιλεγμένη διαδρομή στον κοινό πίνακα.
Αν τα προθέματα επικαλύπτονται, η δρομολόγηση μόνη της δεν μπορεί να τα χωρίσει. Χρειάζεστε είτε ξεχωριστό πλαίσιο δικτύου ανά ενοικιαστή είτε σχέδιο μετάφρασης που δίνει στον χώρο κάθε πελάτη σαφή σημασία.
Τι σημαίνει πραγματικά η απομόνωση του Transit Gateway
Η συσχέτιση και η διάδοση είναι τα δύο κουμπιά που μετράνε, και είναι εύκολο να τα μπερδέψετε. Η συσχέτιση απαντά σε ποιον πίνακα αναζητείται ένα πακέτο από αυτή την προσάρτηση· η διάδοση απαντά ποιοι πίνακες μαθαίνουν τις διαδρομές αυτής της προσάρτησης. Η απομόνωση προκύπτει από το να κάνετε και τα δύο ειδικά για τον ενοικιαστή, όχι από τη δημιουργία περισσότερων προσαρτήσεων.
Μια προεπιλεγμένη ρύθμιση όλοι-με-όλους είναι βολική και δεν είναι απομόνωση. Οι ξεχωριστοί πίνακες δρομολόγησης περιορίζουν τη συνδεσιμότητα, αλλά δεν δίνουν σε μία αμετάβλητη διεύθυνση προορισμού δύο σημασίες μέσα στο ίδιο πλαίσιο δρομολόγησης. Αν η εφαρμογή επιλύσει το 10.20.0.10 πριν γνωρίζει τον ενοικιαστή, το επίπεδο δρομολόγησης έχει ήδη χάσει την πληροφορία που θα χρειαζόταν.
Η AWS πρόσθεσε στις 23 Οκτωβρίου 2026 NAT 1:1 σε επίπεδο προσάρτησης για το Transit Gateway και το Cloud WAN, που αλλάζει την απάντηση επικάλυψης για τις υποστηριζόμενες προσαρτήσεις. Η τεκμηρίωση NAT του Transit Gateway περιγράφει στατικές, άνευ κατάστασης αντιστοιχίσεις IPv4 ίσου προθέματος με διατηρημένα bits κεντρικού υπολογιστή. Ελέγξτε τους υποστηριζόμενους τύπους προσάρτησης και τους περιφερειακούς περιορισμούς πριν σχεδιάσετε γύρω από αυτό.
Συνδέστε την εργασία με επαληθευμένο ενοικιαστή
Κάθε εργασία πρέπει να φέρει ταυτότητα ενοικιαστή επαληθευμένη από τον διακομιστή, και αυτή η ταυτότητα πρέπει να επιλέγει μια εγγραφή σύνδεσης που ανήκει στον διαχειριστή. Η εγγραφή ονομάζει το εγκεκριμένο πλαίσιο δικτύου, τη διεύθυνση υπηρεσίας, την αναφορά διαπιστευτηρίων και τις επιτρεπόμενες εκεί λειτουργίες. Ένα μη αξιόπιστο αίτημα δεν πρέπει ποτέ να παρέχει το δικό του αναγνωριστικό VPN, πύλη ή ιδιωτικό στόχο, επειδή μια έγκυρη σύνδεση δεν είναι άδεια να ανιχνεύετε τον χώρο διευθύνσεων κάθε συνδεδεμένου πελάτη.
Σε σχεδίαση με απομονωμένους συνδέσμους, η εργασία του ενοικιαστή A πηγαίνει σε σύνδεσμο ειδικό για το A που εκτελείται στο VPC του A και μπορεί να φτάσει μόνο τους εγκεκριμένους πόρους του A. Τα ξεχωριστά κοντέινερ σε έναν κεντρικό υπολογιστή δεν δημιουργούν αυτόν τον διαχωρισμό από μόνα τους· οι χώροι ονομάτων δικτύου, οι διαδρομές και η πολιτική εξόδου πρέπει να τον υλοποιήσουν. Ο σύνδεσμος χρειάζεται επίσης διαπιστευτήρια και ουρές με εμβέλεια ενοικιαστή, αφού μια ιδιωτική διαδρομή δεν περιορίζει ένα κοινό μυστικό ή ένα κοινό στοιχείο εργασίας. Οι συγκεντρωμένοι workers εφαρμογών είναι εντάξει εφόσον το πλαίσιο δικτύου και τα διαπιστευτήρια επιλέγονται ανά ενοικιαστή, όχι ανά κεντρικό υπολογιστή.
Οι έλεγχοι υγείας πρέπει να ονομάζουν τον ενοικιαστή και το στάδιο: τούνελ εγκατεστημένο, διαδρομή παρούσα και μια πραγματική αίτηση υπηρεσίας που πέτυχε είναι τρία διαφορετικά σήματα. Ένα συγκεντρωτικό πλήθος τούνελ που είναι ενεργά θα κρύψει τον έναν πελάτη του οποίου ο σύνδεσμος είναι χαλασμένος.
Δοκιμάστε τις διαδρομές που πρέπει να αποτύχουν
Εκτελέστε τρεις δοκιμές πριν την κυκλοφορία. Μια επιτρεπόμενη λειτουργία A πρέπει να πετύχει, μια επιτρεπόμενη λειτουργία B πρέπει να πετύχει, και μια εργασία A που στοχεύει σκόπιμα τον σύνδεσμο του B ή το μεταφρασμένο ψευδώνυμό του πρέπει να αποτύχει κλειστά. Στη συνέχεια σπάστε ένα τούνελ και επιβεβαιώστε ότι η εργασία αποτυγχάνει μόνο για αυτόν τον ενοικιαστή, χωρίς να πέφτει σε υποδίκτυο με τον ίδιο αριθμό άλλου πελάτη. Η αποκατάσταση πρέπει επίσης να δοκιμαστεί, επειδή μια παρωχημένη διαδρομή ή αποθηκευμένα διαπιστευτήρια μπορούν να επιβιώσουν της διακοπής.
Η αρχιτεκτονική μπορεί να είναι συγκεντρωμένοι workers με απομονωμένους συνδέσμους ή πλήρως διαχωρισμένοι πόροι ενοικιαστών. Το αμετάβλητο είναι το ίδιο: το επαληθευμένο πλαίσιο ενοικιαστή επιλέγει τη διαδρομή και τα διαπιστευτήρια, και καμία αλλαγή διαδρομής δεν παραχωρεί ποτέ άδεια εφαρμογής μεταξύ ενοικιαστών.