Hvernig á að beina SaaS-umferð til réttrar VPN viðskiptavinar
Skaranir viðskiptavinanet sem skarast brjóta sameiginlega leiðsögn. Veldu einangrunarlíkan, bindu hvert verk við staðfestan leigjanda og prófaðu slóðir milli leigjenda fyrir opnun.
SaaS-vettvangur tengist tolf viðskiptavinanetum, og tveir þessara viðskiptavina nota báðir 10.20.0.10 fyrir aðalgagnagrunn sinn. Starfsmaður sem fær þetta vistfang í verki hefur enga leið til að vita hvaða gagnagrunn verkið á við, og sameiginleg leiðsögutafla sendir það fúslega í þau göng sem forskeytið bendir á. Lausnin er ekki fleiri göng; lausnin er að ákveða hvar auðkenni leigjanda kemur inn í slóðina og hvaða einangrunarlíkan vistfangaskráin krefst. Þrjú skilyrði ráða valinu: hvort forskeyti viðskiptavina skarast, hversu langt mistök geta breiðst út og hver rekur tengið.
Tveir viðskiptavinagagnagrunnar, eitt áfangavistfang
IP-vistfang er staðsetning, ekki auðkenni. Beiðnin verður að bera leigjanda sem þjónninn hefur staðfest, og sá leigjandi verður að velja netumhverfið áður en áfanginn er leystur.
Þegar það gerist ekki er bilunin hljóðlát. Tengingin tekst, fyrirspurnin keyrir, og svarið kemur úr gagnagrunni rangs viðskiptavinar vegna þess að leiðsögutaflan hafði eina færslu fyrir 10.20.0.10. DNS gerir það verra: skyndiminnið nafn sem leyst var í umhverfi leigjanda A getur verið endurnýtt af verki sem keyrir fyrir leigjanda B. Ekkert í pakkanum greinir þau tvö, svo engin endurtilraunalógík bætir það.
Ákveddu einangrunarlíkanið fyrst
Skrifaðu þrjú skilyrðin niður áður en þú berð saman vörur. Skörun ræður því hvort hægt sé að deila einu vistfangarými yfirleitt; áhrifageislinn ræður því hvort leiðsöguvilla er stuðningsmiði eða brot; rekstrareign ræður því hvort þú getur rekið tengiflota fyrir hvern leigjanda.
| Condition | Hub with per-tenant route tables | Per-tenant connector context |
|---|---|---|
| Customer CIDRs overlap | No, unless you add 1:1 NAT | Yes, each context keeps its own view |
| A mistake must stay inside one VPC | Weak, routing is shared infrastructure | Strong, each connector has its own egress |
| You can run one fleet per tenant | Not required | Required |
Ef forskeytin eru aðskilin og stefnan leyfir stýrða miðstöð er ein Transit Gateway með leiðsögutöflum fyrir hvern leigjanda framkvæmanleg. Fylgiskjalsamtenging velur leiðsögutöfluna sem notuð er fyrir umferð sem kemur inn frá því fylgiskjali, og útbreiðsla velur hvaða leiðir birtast í töflu. Fylgiskjal leigjanda sem er aðeins tengt eigin töflu og breiðir aðeins út eigin forskeytum nær miðstöðinni og engu öðru. Það er leiðsöguákvörðun, og hún helst rétt aðeins svo lengi sem enginn bætir sjálfgefinni leið við sameiginlegu töfluna.
Ef forskeytin skarast getur leiðsögn ein og sér ekki aðskilið þau. Þú þarft annaðhvort sérstakt netumhverfi fyrir hvern leigjanda eða þýðingaráætlun sem gefur rými hvers viðskiptavinar ótvíræða merkingu.
Hvað einangrun Transit Gateway þýðir í raun
Samtenging og útbreiðsla eru tveir mikilvægustu hnapparnir, og auðvelt er að rugla þeim saman. Samtenging svarar í hvaða töflu pakki frá þessu fylgiskjali er leitaður; útbreiðsla svarar hvaða töflur læra leiðir þessa fylgiskjals. Einangrun kemur af því að gera bæði leigjandasértæk, ekki af því að búa til fleiri fylgiskjöl.
Sjálfgefin allt-til-allt uppsetning er þægileg og er ekki einangrun. Aðskildar leiðsögutöflur takmarka tengingu, en þær gefa ekki einu óbreyttu áfangavistfangi tvær merkingar innan sama leiðsöguumhverfis. Ef forritið leysir 10.20.0.10 áður en það þekkir leigjandann hefur leiðsögulagið þegar tapað upplýsingunum sem það þyrfti.
AWS bætti við 1:1 NAT á fylgiskjalsstigi fyrir Transit Gateway og Cloud WAN 23. október 2026, sem breytir skörunarsvarinu fyrir studd fylgiskjöl. Transit Gateway NAT-skjöl lýsa kyrrstæðum, ástandsleysum IPv4-vörpunum með jöfnum forskeytum og varðveittum hýsilbitum. Athugaðu studdar fylgiskjölstegundir og svæðistakmarkanir áður en þú hannar í kringum þetta.
Bindu verkið við staðfestan leigjanda
Hvert verk ætti að bera auðkenni leigjanda sem þjónninn hefur staðfest, og það auðkenni ætti að velja tengiskrá í eigu stjórnandans. Skráin tilgreinir samþykkt netumhverfi, þjónustuvistfangið, tilvísun í skilríkin og aðgerðirnar sem leyfðar eru þar. Ótraust beiðni má aldrei útvega eigið VPN-auðkenni, hlið eða einkamark, því gilt innskráning er ekki leyfi til að rannsaka vistfangarými hvers tengds viðskiptavinar.
Í hönnun með einangruðum tengjum fer verk leigjanda A til tengis sem er sértækt fyrir A, keyrir í VPC A og getur aðeins náð samþykktum auðlindum A. Aðskildir gámar á einum hýsli skapa ekki þann aðskilnað sjálfir; netnafnrýmin, leiðirnar og útstreymisstefnan verða að framkvæma hann. Tengið þarf líka skilríki og biðraðir sem eru afmörkuð við leigjanda, því einkaleið afmarkar ekki sameiginlegan leyndardóm eða sameiginlegt verkefni. Sameiginlegir forritastarfsmenn eru í lagi svo framarlega sem netumhverfið og skilríkin eru valin fyrir hvern leigjanda, ekki hvern hýsil.
Heilsuathuganir ættu að nefna leigjandann og stigið: göng komin á, leið til staðar og raunveruleg þjónustubeiðni heppnaðist eru þrjú mismunandi merki. Samanlögð tala ganga sem eru uppi mun fela þann eina viðskiptavin sem er með bilað tengi.
Prófaðu slóðirnar sem verða að mistakast
Keyrðu þrjú próf fyrir opnun. Leyfileg A-aðgerð verður að heppnast, leyfileg B-aðgerð verður að heppnast, og A-verk sem er viljandi beint að tengi B eða þýddu samheiti þess verður að mistakast lokað. Rjúfaðu síðan eitt göng og staðfestu að verkið mistakist aðeins fyrir þann leigjanda, án þess að falla aftur í undirnet með sama númeri annars viðskiptavinar. Endurheimt ætti líka að prófa, því úrelt leið eða skilríki í skyndiminni geta lifað af truflunina.
Arkitektúrinn getur verið sameiginlegir starfsmenn með einangruðum tengjum eða algjörlega aðskildar auðlindir leigjenda. Óbreytanlegt er það sama: staðfest leigjandaumhverfi velur leiðina og skilríkin, og engin leiðarbreyting veitir nokkurn tíma forritsleyfi milli leigjenda.