SaaS трафигін дұрыс тұтынушы VPN-іне бағыттау жолы
Қабаттасатын тұтынушы ішкі желілері ортақ маршруттауды бұзады. Оқшаулау моделін таңдаңыз, әр тапсырманы расталған жалдаушыға байланыстырыңыз және іске қоспас бұрын жалдаушылар арасындағы жолдарды тексеріңіз.
SaaS платформасы он екі тұтынушы желісіне қосылады, және сол тұтынушылардың екеуі де негізгі дерекқоры үшін 10.20.0.10 мекенжайын пайдаланады. Тапсырмада бұл мекенжайды алған жұмысшы тапсырманың қай дерекқорды меңзеп тұрғанын білудің жолы жоқ, ал ортақ маршруттау кестесі оны префикс нұсқаған туннельге қуана жібереді. Шешім көбірек туннель емес; шешім — жалдаушы сәйкестігі жолға қайдан кіретінін және мекенжай жоспары қандай оқшаулау моделін талап ететінін шешу. Үш шарт таңдауды шешеді: тұтынушы префикстері қабаттаса ма, қате қаншалықты таралуы мүмкін және коннекторды кім басқарады.
Екі тұтынушы дерекқоры, бір тағайындалған мекенжай
IP мекенжайы — орын, сәйкестік емес. Сұрау сервер растаған жалдаушыны алып жүруі керек, және сол жалдаушы тағайындалған мекенжай шешілмес бұрын желі контекстін таңдауы керек.
Бұл болмаған кезде ақау тыныш. Қосылым сәтті болады, сұрау орындалады, ал жауап дұрыс емес тұтынушының дерекқорынан келеді, өйткені маршруттау кестесінде 10.20.0.10 үшін бір жазба болды. DNS оны нашарлатады: жалдаушы A контекстінде шешілген кэштелген атау жалдаушы B үшін жүгіп жатқан тапсырмамен қайта пайдаланылуы мүмкін. Пакетте ешнәрсе екеуін ажыратпайды, сондықтан қандай да бір қайта әрекет логикасы оны түзетпейді.
Алдымен оқшаулау моделін шешіңіз
Өнімдерді салыстырмас бұрын үш шартты жазыңыз. Қабаттасу бір мекенжай кеңістігін жалпы пайдалануға болатынын шешеді; әсер радиусы маршруттау қатесі қолдау билеті ме әлде бұзушылық па екенін шешеді; операциялық иелік жалдаушыға коннектор паркін басқара алатыныңызды шешеді.
| Condition | Hub with per-tenant route tables | Per-tenant connector context |
|---|---|---|
| Customer CIDRs overlap | No, unless you add 1:1 NAT | Yes, each context keeps its own view |
| A mistake must stay inside one VPC | Weak, routing is shared infrastructure | Strong, each connector has its own egress |
| You can run one fleet per tenant | Not required | Required |
Егер префикстер әртүрлі болса және саясат басқарылатын хабқа рұқсат берсе, жалдаушыға маршруттау кестелері бар бір Transit Gateway жарамды. Тіркеме қауымдастығы сол тіркемеден кіретін трафик үшін пайдаланылатын маршруттау кестесін таңдайды, ал тарату кестеде қандай маршруттар пайда болатынын таңдайды. Тек өз кестесімен байланысқан және тек өз префикстерін тарататын жалдаушы тіркемесі хабқа жетеді және басқа еш жерге жетпейді. Бұл маршруттау шешімі және ол ортақ кестеге әдепкі маршрут қоспағанша дұрыс болып қалады.
Егер префикстер қабаттасса, тек маршруттау оларды бөле алмайды. Сізге не жалдаушыға бөлек желі контексті, не әр тұтынушының кеңістігіне бірмәнді мағына беретін аударма жоспары қажет.
Transit Gateway оқшаулауы шын мәнінде нені білдіреді
Қауымдастық пен тарату — маңызды екі түйме, және оларды шатастыру оңай. Қауымдастық осы тіркеменің пакеті қай кестеден ізделетінін жауап береді; тарату осы тіркеменің маршруттарын қай кестелер үйренетінін жауап береді. Оқшаулау екеуін де жалдаушыға тән етуден келеді, көбірек тіркеме жасаудан емес.
Әдепкі барлығы-барлығына конфигурациясы ыңғайлы және оқшаулау емес. Бөлек маршруттау кестелері қосылымды шектейді, бірақ бір өзгермеген тағайындалған мекенжайға бір маршруттау контекстінде екі мағына бермейді. Егер қолданба жалдаушыны білмес бұрын 10.20.0.10 мекенжайын шешсе, маршруттау қабаты қажет ақпаратты әлдеқашан жоғалтқан.
AWS 2026 жылғы 23 қазанда Transit Gateway және Cloud WAN үшін тіркеме деңгейіндегі 1:1 NAT қосты, бұл қолдау көрсетілетін тіркемелер үшін қабаттасу жауабын өзгертеді. Transit Gateway NAT құжаттамасы хост биттері сақталған статикалық, күйсіз, тең префиксті IPv4 салыстыруларын сипаттайды. Осының айналасында жобаламас бұрын қолдау көрсетілетін тіркеме түрлерін және аймақтық шектеулерді тексеріңіз.
Тапсырманы расталған жалдаушыға байланыстырыңыз
Әр тапсырма сервер растаған жалдаушы сәйкестігін алып жүруі керек, және бұл сәйкестік әкімшіге тиесілі қосылым жазбасын таңдауы керек. Жазба бекітілген желі контекстін, қызмет мекенжайын, тіркелгі деректерінің сілтемесін және сонда рұқсат етілген операцияларды атайды. Сенімсіз сұрау ешқашан өзінің VPN идентификаторын, шлюзін немесе жеке мақсатын ұсынбауы керек, өйткені жарамды кіру қосылған әр тұтынушының мекенжай кеңістігін зерттеуге рұқсат емес.
Оқшауланған коннекторлар дизайнында жалдаушы A жұмысы A-ға тән коннекторға барады, ол A VPC-інде жұмыс істейді және тек A бекіткен ресурстарға жете алады. Бір хосттағы бөлек контейнерлер бұл бөлінуді өздігінен жасамайды; желі атау кеңістіктері, маршруттар және шығыс саясаты оны іске асыруы керек. Коннекторға жалдаушымен шектелген тіркелгі деректері мен кезектер де қажет, өйткені жеке маршрут ортақ құпияны немесе ортақ жұмыс элементін шектемейді. Біріктірілген қолданба жұмысшылары, желі контексті мен тіркелгі деректері хостқа емес, жалдаушыға таңдалғанша, дұрыс.
Денсаулық тексерулері жалдаушы мен кезеңді атауы керек: туннель орнатылды, маршрут бар және нақты қызмет сұрауы сәтті болды — бұлар үш түрлі сигнал. Белсенді туннельдердің жиынтық саны коннекторы бұзылған жалғыз тұтынушыны жасырады.
Сәтсіз болуы тиіс жолдарды тексеріңіз
Іске қоспас бұрын үш тест орындаңыз. Рұқсат етілген A операциясы сәтті болуы керек, рұқсат етілген B операциясы сәтті болуы керек, ал әдейі B коннекторына немесе оның аударылған бүркеншік атына бағытталған A тапсырмасы жабық түрде сәтсіз болуы керек. Содан кейін бір туннельді үзіп, тапсырма тек сол жалдаушы үшін сәтсіз болатынын, басқа тұтынушының сол нөмірлі ішкі желісіне құламайтынын растаңыз. Қалпына келтіру де тексерілуі керек, өйткені ескірген маршрут немесе кэштелген тіркелгі деректері үзілістен ұзақ өмір сүруі мүмкін.
Сәулет оқшауланған коннекторлары бар біріктірілген жұмысшылар немесе толығымен бөлек жалдаушы ресурстары болуы мүмкін. Инвариант бірдей: расталған жалдаушы контексті маршрут пен тіркелгі деректерін таңдайды, және ешқандай маршрут өзгерісі қолданбаға жалдаушылар арасында рұқсат бермейді.