Nola bideratu SaaS trafikoa bezeroaren VPN egokira
Bezeroen azpisare gainjarriek bideratze partekatua apurtzen dute. Hautatu isolamendu-eredu bat, lotu lan bakoitza egiaztatutako maizter batera eta probatu maizterren arteko bideak abiarazi aurretik.
SaaS plataforma batek dozena bat bezero-sarera konektatzen du, eta bezero horietako bik 10.20.0.10 erabiltzen dute beren datu-base nagusirako. Lanean helbide hori jasotzen duen langileak ez du modurik jakiteko zein datu-baserenganakoa den lana, eta bideratze-taulak partekatu batek pozik bidaliko du aurrizkiak seinalatzen duen tunelera. Konponbidea ez da tunel gehiago; konponbidea da erabakitzea non sartzen den maizterraren identitatea bidean eta zein isolamendu-eredu eskatzen duen helbide-planak. Hiru baldintzak erabakitzen dute hautua: bezeroen aurrizkiak gainjartzen diren, errore bat zenbat hedatu daitekeen eta nork kudeatzen duen konektorea.
Bi bezero datu-base, helmuga-helbide bat
IP helbide bat kokalekua da, ez identitatea. Eskaerak zerbitzariak egiaztatutako maizter bat eraman behar du, eta maizter horrek sare-kontextua hautatu behar du helmuga ebazten den aurretik.
Hori gertatzen ez denean, hutsa isila da. Konexioa lortzen da, kontsulta exekutatzen da eta erantzuna bezero okerraren datu-basetik dator, bideratze-taulak 10.20.0.10erako sarrera bakarra zuelako. DNSak areagotu egiten du: maizter A-ren kontekstuan ebatzitako cachean gordetako izen bat maizter B-ren lanean berrerabili daiteke. Paketean ezerk ez ditu biak bereizten, beraz berriro saiatzeko logikak ezin du konpondu.
Erabaki isolamendu-eredua lehenik
Idatzi hiru baldintzak produktuak alderatu aurretik. Gainjartzeak erabakitzen du helbide-espazio bat parteka daitekeen; eragin-erradioak erabakitzen du bideratze-errore bat laguntza-txartel bat edo urraketa bat den; eragiketa-jabetzak erabakitzen du maizter bakoitzeko konektore-flota bat kudea dezakezun.
| Condition | Hub with per-tenant route tables | Per-tenant connector context |
|---|---|---|
| Customer CIDRs overlap | No, unless you add 1:1 NAT | Yes, each context keeps its own view |
| A mistake must stay inside one VPC | Weak, routing is shared infrastructure | Strong, each connector has its own egress |
| You can run one fleet per tenant | Not required | Required |
Aurrizkiak desberdinak badira eta politikak hub kontrolatu bat baimetzen badu, maizter bakoitzeko bideratze-taulekin Transit Gateway bat bideragarria da. Eranskinaren elkarketak eranskin horretatik sartzen den trafikorako erabiltzen den bideratze-taulak hautatzen ditu, eta hedapenak taula batean zein bide agertzen diren hautatzen du. Bere taularekin soilik elkartuta dagoen eta bere aurrizkiak soilik hedatzen dituen maizter-erasakinak hubera iristen da eta beste inora ez. Bideratze-erabakia da, eta zuzena izaten jarraitzen du inork taula partekatuan bide lehenetsi bat gehitzen ez duen bitartean.
Aurrizkiak gainjartzen badira, bideratzeak soilik ezin ditu bereizi. Maizter bakoitzeko sare-kontextu desberdin bat edo bezero bakoitzaren espazioari esanahi zalantzarik gabea ematen dion itzulpen-plan bat behar duzu.
Zer esan nahi du benetan Transit Gateway isolamenduak
Elkarketa eta hedapena dira garrantzitsuak diren bi kontrolak, eta erraza da nahastea. Elkarketak erantzuten du eranskin honetako paketea zein taulatan bilatzen den; hedapenak erantzuten du zein taulak ikasten dituzten eranskin honen bideak. Isolamendua biak maizterraren berariazko bihurtzetik dator, eta ez eranskin gehiago sortzetik.
Denak-denekin konfigurazio lehenetsia erosoa da eta ez da isolamendua. Bideratze-taula bereiziek konektibitatea mugatzen dute, baina ez diote helbide berari bi esanahi ematen bideratze-kontextu berean. Aplikazioak 10.20.0.10 ebazten badu maizterra ezagutu aurretik, bideratze-geruzak dagoeneko galdu du beharko lukeen informazioa.
AWSek 2026ko urriaren 23an 1:1 NAT gehitu zuen eranskin mailan Transit Gateway eta Cloud WANerako, eta horrek gainjartzearen erantzuna aldatzen du onartutako eranskinetarako. Transit Gateway NAT dokumentazioak IPv4 mapatze estatikoa, egoerarik gabea eta aurrizki berdinekoa deskribatzen du, host bitak gordeta. Egiaztatu onartutako eranskin motak eta eskualdeko murrizketak horren inguruan diseinatu aurretik.
Lotu lana egiaztatutako maizter bati
Lan bakoitzak zerbitzariak egiaztatutako maizter-identitatea eraman behar du, eta identitate horrek administratzaileak duen konexio-erregistro bat hautatu behar du. Erregistroak onartutako sare-kontextua, zerbitzuaren helbidea, kredentzialen erreferentzia eta han baimendutako eragiketak izendatzen ditu. Eskaera ez-fidagarri batek ez du inoiz bere VPN identifikatzailea, atebidea edo helburu pribatua eman behar, saio-hasiera baliozkoa ez baita konektatutako bezero bakoitzaren helbide-espazioa aztertzeko baimena.
Konektore isolatuen diseinuan, maizter A-ren lana A-ren VPCn exekutatzen den eta A-ren onartutako baliabideak soilik irits ditzakeen A-ren berariazko konektore batera doa. Host bereko edukiontzi bereiziek ez dute bereizketa hori berez sortzen; sare-izen-espazioek, bideek eta irteera-politikak inplementatu behar dute. Konektoreak maizter-esparruko kredentzialak eta ilarak ere behar ditu, bide pribatu batek ez baitu sekretu partekatu bat edo lan-elementu partekatu bat mugatzen. Aplikazio-langile elkartuak ondo daude sare-kontextua eta kredentzialak hosteko beharrean maizter bakoitzeko hautatzen badira.
Osasun-egiaztapenek maizterra eta fasea izendatu behar dituzte: tunela ezarrita, bidea existitzen eta zerbitzu-eskaera erreal bat ondo atera ziren hiru seinale desberdin dira. Martxan dauden tunelen kopuru agregatuak konektorea hondatuta duen bezero bakarra ezkutatuko du.
Probatu huts egin behar duten bideak
Exekutatu hiru proba abiarazi aurretik. Baimendutako A eragiketa batek arrakasta izan behar du, baimendutako B eragiketa batek arrakasta izan behar du, eta B-ren konektore edo alias itzuliari nahita zuzendutako A lan batek itxita huts egin behar du. Ondoren hautsi tunel bat eta baieztatu lanak maizter horretarako soilik huts egiten duela, beste bezero baten zenbaki bereko azpisarera erori gabe. Berreskuratzea ere probatu behar da, bide zaharkitu batek edo cacheko kredentzialek etenaldia gaindi baitezakete.
Arkitektura konektore isolatuekin elkartutako langileak edo guztiz bereizitako maizter baliabideak izan daiteke. Inbariantea bera da: egiaztatutako maizter-kontextuak bidea eta kredentzialak hautatzen ditu, eta bide-aldaketak ez dio inoiz aplikazioari maizterren arteko baimenik ematen.