Ինչպես SaaS երթևեկությունը ուղղել ճիշտ հաճախորդի VPN
Համընկնող հաճախորդի ենթացանցերը կոտրում են ընդհանուր երթուղավորումը։ Ընտրեք մեկուսացման մոդել, կապեք յուրաքանչյուր աշխատանքը ստուգված վարձակալին և փորձարկեք վարձակալների միջև ուղիները գործարկումից առաջ։
SaaS հարթակը միանում է տասներկու հաճախորդի ցանցերի, և այդ հաճախորդներից երկուսը երկուսն էլ օգտագործում են 10.20.0.10 իրենց հիմնական տվյալների բազայի համար։ Աշխատանքում այդ հասցեն ստացող worker-ը ոչ մի կերպ չի կարող իմանալ, թե որ տվյալների բազան է նկատի ունենում աշխատանքը, և ընդհանուր երթուղավորման աղյուսակը հաճույքով կուղարկի այն այն թունելը, որին ցույց է տալիս նախածանցը։ Լուծումը ավելի շատ թունելներ չեն՝ լուծումը որոշելն է, թե որտեղ է վարձակալի ինքնությունը մտնում ուղի և որ մեկուսացման մոդելն է պահանջում հասցեների պլանը։ Երեք պայման որոշում են ընտրությունը՝ արդյոք հաճախորդի նախածանցերը համընկնում են, որքան հեռու կարող է տարածվել սխալը, և ով է շահագործում միակցիչը։
Երկու հաճախորդի տվյալների բազա, մեկ նպատակակետ հասցե
IP հասցեն տեղանք է, ոչ ինքնություն։ Հարցումը պետք է կրի վարձակալ, որը սերվերը ստուգել է, և այդ վարձակալը պետք է ընտրի ցանցային համատեքստը մինչև նպատակակետի լուծումը։
Երբ դա տեղի չի ունենում, ձախողումը լուռ է։ Կապը հաջողվում է, հարցումը կատարվում է, և պատասխանը գալիս է սխալ հաճախորդի տվյալների բազայից, որովհետև երթուղավորման աղյուսակում մեկ գրառում կար 10.20.0.10-ի համար։ DNS-ը վատացնում է այն՝ քեշավորված անունը, որը լուծվել է վարձակալ A-ի համատեքստում, կարող է կրկին օգտագործվել վարձակալ B-ի համար աշխատող աշխատանքի կողմից։ Փաթեթում ոչինչ չի տարբերում երկուսին, ուստի ոչ մի կրկնափորձի տրամաբանություն չի վերականգնում այն։
Նախ որոշեք մեկուսացման մոդելը
Գրեք երեք պայմանները արտադրանքները համեմատելուց առաջ։ Համընկնումը որոշում է՝ արդյոք մեկ հասցեային տարածքը ընդհանրապես կարելի է կիսել, ազդեցության շառավիղը որոշում է՝ երթուղավորման սխալը աջակցության տոմս է, թե խախտում, իսկ գործառնական սեփականությունը որոշում է՝ կարող եք արդյոք վարձակալի հաշվով միակցիչների նավատորմ վարել։
| Condition | Hub with per-tenant route tables | Per-tenant connector context |
|---|---|---|
| Customer CIDRs overlap | No, unless you add 1:1 NAT | Yes, each context keeps its own view |
| A mistake must stay inside one VPC | Weak, routing is shared infrastructure | Strong, each connector has its own egress |
| You can run one fleet per tenant | Not required | Required |
Եթե նախածանցերը տարբեր են և քաղաքականությունը թույլ է տալիս վերահսկվող հանգույց, ապա մեկ Transit Gateway վարձակալի հաշվով երթուղավորման աղյուսակներով իրագործելի է։ Կցորդի ասոցիացիան ընտրում է այն երթուղավորման աղյուսակը, որն օգտագործվում է այդ կցորդից եկող երթևեկության համար, իսկ տարածումը ընտրում է, թե որ երթուղիներն են հայտնվում աղյուսակում։ Վարձակալի կցորդը, որը կապված է միայն իր աղյուսակի հետ և տարածում է միայն իր նախածանցերը, հասնում է հանգույցին և ուրիշ ոչ մի տեղ։ Սա երթուղավորման որոշում է, և այն ճիշտ է մնում միայն այնքան ժամանակ, քանի դեռ ոչ ոք չի ավելացնում լռելյայն երթուղի ընդհանուր աղյուսակում։
Եթե նախածանցերը համընկնում են, միայն երթուղավորումը չի կարող բաժանել դրանք։ Ձեզ անհրաժեշտ է կամ վարձակալի հաշվով առանձին ցանցային համատեքստ, կամ թարգմանության պլան, որը յուրաքանչյուր հաճախորդի տարածքին տալիս է միանշանակ իմաստ։
Ինչ է իրականում նշանակում Transit Gateway մեկուսացումը
Ասոցիացիան և տարածումը երկու կարևոր սարքերն են, և դրանք հեշտ է շփոթել։ Ասոցիացիան պատասխանում է, թե որ աղյուսակում է որոնվում այս կցորդի փաթեթը, տարածումը պատասխանում է, թե որ աղյուսակներն են սովորում այս կցորդի երթուղիները։ Մեկուսացումը գալիս է երկուսն էլ վարձակալին հատուկ դարձնելուց, ոչ թե ավելի շատ կցորդներ ստեղծելուց։
Լռելյայն բոլորը-բոլորին կարգավորումը հարմար է և մեկուսացում չէ։ Առանձին երթուղավորման աղյուսակները սահմանափակում են կապակցվածությունը, բայց մեկ անփոփոխ նպատակակետ հասցեին երկու իմաստ չեն տալիս նույն երթուղավորման համատեքստում։ Եթե հավելվածը լուծում է 10.20.0.10-ը մինչև վարձակալին իմանալը, երթուղավորման շերտն արդեն կորցրել է անհրաժեշտ տեղեկությունը։
AWS-ը 2026 թվականի հոկտեմբերի 23-ին ավելացրեց կցորդի մակարդակի 1:1 NAT Transit Gateway-ի և Cloud WAN-ի համար, ինչը փոխում է համընկնման պատասխանը աջակցվող կցորդների համար։ Transit Gateway NAT փաստաթղթերը նկարագրում են ստատիկ, վիճակազուրկ, հավասար նախածանցի IPv4 քարտեզագրումներ՝ հոսթի բիթերը պահպանված։ Ստուգեք աջակցվող կցորդի տեսակները և տարածաշրջանային սահմանափակումները նախքան դրա շուրջ ձևավորելը։
Կապեք աշխատանքը ստուգված վարձակալին
Յուրաքանչյուր աշխատանք պետք է կրի սերվերի կողմից ստուգված վարձակալի ինքնություն, և այդ ինքնությունը պետք է ընտրի ադմինիստրատորին պատկանող միացման գրառում։ Գրառումը նշում է հաստատված ցանցային համատեքստը, ծառայության հասցեն, հավատարմագրերի հղումը և այնտեղ թույլատրված գործողությունները։ Անվստահելի հարցումը երբեք չպետք է տրամադրի իր սեփական VPN նույնացուցիչը, դարպասը կամ մասնավոր նպատակակետը, որովհետև վավեր մուտքը թույլտվություն չէ ուսումնասիրելու յուրաքանչյուր միացված հաճախորդի հասցեային տարածքը։
Մեկուսացված միակցիչների նախագծում վարձակալ A-ի աշխատանքը գնում է A-ին հատուկ միակցիչ, որն աշխատում է A-ի VPC-ում և կարող է հասնել միայն A-ի հաստատված ռեսուրսներին։ Մեկ հոսթի վրա առանձին կոնտեյներներ ինքնուրույն չեն ստեղծում այդ բաժանումը՝ ցանցային անվանատարածքները, երթուղիները և ելքի քաղաքականությունը պետք է իրականացնեն այն։ Միակցիչը նաև կարիք ունի վարձակալով սահմանափակված հավատարմագրերի և հերթերի, քանի որ մասնավոր երթուղին չի սահմանափակում ընդհանուր գաղտնիքը կամ ընդհանուր աշխատանքային տարրը։ Համախմբված հավելվածային worker-ները նորմալ են, քանի դեռ ցանցային համատեքստը և հավատարմագրերը ընտրվում են վարձակալի, ոչ թե հոսթի հաշվով։
Առողջության ստուգումները պետք է նշեն վարձակալին և փուլը՝ թունելը հաստատված է, երթուղին առկա է, և իրական ծառայության հարցումը հաջողվել է՝ սրանք երեք տարբեր ազդանշաններ են։ Աշխատող թունելների համախառն հաշվարկը կթաքցնի այն միակ հաճախորդին, ում միակցիչը կոտրված է։
Փորձարկեք ուղիները, որոնք պետք է ձախողվեն
Գործարկումից առաջ անցկացրեք երեք թեստ։ Թույլատրելի A գործողությունը պետք է հաջողվի, թույլատրելի B գործողությունը պետք է հաջողվի, և դիտավորյալ B-ի միակցիչին կամ նրա թարգմանված ծածկանունին ուղղված A աշխատանքը պետք է ձախողվի փակ ձևով։ Այնուհետև կոտրեք մեկ թունել և հաստատեք, որ աշխատանքը ձախողվում է միայն այդ վարձակալի համար՝ չընկնելով այլ հաճախորդի նույն համարով ենթացանց։ Վերականգնումը նույնպես պետք է փորձարկվի, որովհետև հնացած երթուղին կամ քեշավորված հավատարմագրերը կարող են վերապրել խափանումը։
Ճարտարապետությունը կարող է լինել համախմբված worker-ներ մեկուսացված միակցիչներով, կամ ամբողջովին առանձնացված վարձակալի ռեսուրսներ։ Անփոփոխելին նույնն է՝ ստուգված վարձակալի համատեքստն ընտրում է երթուղին և հավատարմագրերը, և ոչ մի երթուղու փոփոխություն երբեք հավելվածին թույլտվություն չի տալիս վարձակալների միջև։