SaaS трафигин туура кардар VPNине кантип багыттоо керек
Кайчылашкан кардар ички тармактары жалпы маршруттоону бузат. Изоляция моделин тандап, ар бир тапшырманы текшерилген жалдоочуга байлап, ишке киргизүүдөн мурун жалдоочулар аралык жолдорду текшериңиз.
SaaS платформасы он эки кардар тармагына туташат, жана ошол кардарлардын экөө тең негизги маалымат базасы үчүн 10.20.0.10 дарегин колдонушат. Тапшырмада ошол даректи алган жумушчу тапшырма кайсы маалымат базасын билдирип жатканын билүүнүн жолу жок, жана жалпы маршруттоо таблицасы аны префикс көрсөткөн туннелге кубаныч менен жөнөтөт. Чечим көбүрөөк туннелдер эмес; чечим жалдоочунун идентификациясы жолго кайдан кирерин жана дарек планы кайсы изоляция моделин талап кылганын чечүү. Үч шарт тандоону чечет: кардар префикстери кайчылашабы, ката канчалык алыска таралышы мүмкүн жана коннекторду ким башкарат.
Эки кардар маалымат базасы, бир багыт дареги
IP дареги — жайгашуу, идентификация эмес. Суроо сервер текшерген жалдоочуну алып жүрүүгө тийиш, жана ошол жалдоочу багыт чечилгенге чейин тармак контекстин тандашы керек.
Бул болбогондо, бузулуу тынч. Туташуу ийгиликтүү болот, суроо аткарылат, жана жооп туура эмес кардардын маалымат базасынан келет, анткени маршруттоо таблицасында 10.20.0.10 үчүн бир жазуу бар болчу. DNS аны начарлатат: жалдоочу A контекстинде чечилген кэштелген атты жалдоочу B үчүн иштеп жаткан тапшырма кайра колдоно алат. Пакетте эч нерсе экөөнү айырмалабайт, ошондуктан эч кандай кайра аракет логикасы аны оңдобойт.
Алгач изоляция моделин чечиңиз
Продукттарды салыштыруудан мурун үч шартты жазыңыз. Кайчылашуу бир дарек мейкиндигин бөлүшүүгө болобу деп чечет; таасир радиусу маршруттоо катасы колдоо билетиби же бузуубу деп чечет; операциялык ээлик жалдоочуга коннектор флотун башкара аласызбы деп чечет.
| Condition | Hub with per-tenant route tables | Per-tenant connector context |
|---|---|---|
| Customer CIDRs overlap | No, unless you add 1:1 NAT | Yes, each context keeps its own view |
| A mistake must stay inside one VPC | Weak, routing is shared infrastructure | Strong, each connector has its own egress |
| You can run one fleet per tenant | Not required | Required |
Эгер префикстер ар башка болсо жана саясат башкарылуучу хабга жол берсе, жалдоочуга маршруттоо таблицалары бар бир Transit Gateway иштөөгө жарактуу. Тирешме бирикмеси ошол тирешмеден кирген трафик үчүн колдонулуучу маршруттоо таблицасын тандайт, ал эми таратуу таблицада кайсы маршруттар пайда болорун тандайт. Өз таблицасына гана байланган жана өз префикстерин гана таратуучу жалдоочу тирешмеси хабга жетет жана башка эч жерге жетпейт. Бул маршруттоо чечими жана ал жалпы таблицага демейки маршрут кошулбаганга чейин туура бойдон калат.
Эгер префикстер кайчылашса, маршруттоо гана аларды бөлө албайт. Сизге же жалдоочуга өзүнчө тармак контексти, же ар бир кардардын мейкиндигине так маани берүүчү котормо планы керек.
Transit Gateway изоляциясы чындыгында эмнени билдирет
Бирикме жана таратуу — маанилүү эки башкаруу, жана аларды чаташтыруу оңой. Бирикме ушул тирешменин пакети кайсы таблицадан изделерин жооп берет; таратуу ушул тирешменин маршруттарын кайсы таблицалар үйрөнөрүн жооп берет. Изоляция экөөнү тең жалдоочуга таандык кылуудан келет, көбүрөөк тирешме жасоодон эмес.
Демейки баары-баарына конфигурация ыңгайлуу жана изоляция эмес. Өзүнчө маршруттоо таблицалары туташууну чектейт, бирок бир өзгөрүлбөгөн багыт дарегине бир маршруттоо контекстинде эки маани бербейт. Эгер колдонмо жалдоочуну билгенге чейин 10.20.0.10 дарегин чечсе, маршруттоо катмары керектүү маалыматты мурунтан жоготкон.
AWS 2026-жылдын 23-октябрында Transit Gateway жана Cloud WAN үчүн тирешме деңгээлиндеги 1:1 NAT кошту, бул колдоого алынган тирешмелер үчүн кайчылашуу жообун өзгөртөт. Transit Gateway NAT документациясы хост биттери сакталган статикалык, абалсыз, тең префикстүү IPv4 салыштырууларын сүрөттөйт. Буга жараша долбоорлоодон мурун колдоого алынган тирешме түрлөрүн жана аймактык чектөөлөрдү текшериңиз.
Тапшырманы текшерилген жалдоочуга байлаңыз
Ар бир тапшырма сервер текшерген жалдоочунун идентификациясын алып жүрүүгө тийиш, жана бул идентификация администраторго таандык туташуу жазуусун тандашы керек. Жазуу бекитилген тармак контекстин, кызмат дарегин, эсептик маалыматтарга шилтемени жана ал жерде уруксат берилген операцияларды атайт. Ишенимсиз суроо эч качан өзүнүн VPN идентификаторун, шлюзун же жеке максатын бербеши керек, анткени жарактуу кирүү туташкан ар бир кардардын дарек мейкиндигин изилдөөгө уруксат эмес.
Изоляцияланган коннекторлор долбоорунда жалдоочу A-нын иши A-га мүнөздүү коннекторго барат, ал A-нын VPCинде иштейт жана A-нын бекитилген ресурстарына гана жете алат. Бир хосттогу өзүнчө контейнерлер бул бөлүнүүнү өздөрү жаратпайт; тармак ат мейкиндиктери, маршруттар жана чыгуу саясаты аны ишке ашырышы керек. Коннекторго жалдоочу менен чектелген эсептик маалыматтар жана кезектер да керек, анткени жеке маршрут жалпы сырды же жалпы иш элементин чектебейт. Бирдиктирилген колдонмо жумушчулары, тармак контексти жана эсептик маалыматтар хостко эмес, жалдоочуга тандалганга чейин жарайт.
Ден соолук текшерүүлөрү жалдоочуну жана баскычты аташы керек: туннель орнотулду, маршрут бар жана чыныгы кызмат суроосу ийгиликтүү болду — булар үч башка сигнал. Иштеп жаткан туннелдердин жалпы саны коннектору бузулган жалгыз кардарды жашырат.
Ийгиликсиз болушу керек жолдорду текшериңиз
Ишке киргизүүдөн мурун үч тест жүргүзүңүз. Уруксат берилген A операциясы ийгиликтүү болушу керек, уруксат берилген B операциясы ийгиликтүү болушу керек, жана атайын B-нын коннекторуна же анын которулган псевдонимине багытталган A тапшырмасы жабык түрдө ийгиликсиз болушу керек. Андан кийин бир туннелди үзүп, тапшырма ошол жалдоочу үчүн гана ийгиликсиз болорун, башка кардардын ошол эле номурдагы ички тармагына түшпөөрүн ырастаңыз. Калыбына келтирүү да текшерилиши керек, анткени эскирген маршрут же кэштелген эсептик маалыматтар үзүлүштөн узак жашашы мүмкүн.
Архитектура изоляцияланган коннекторлору бар бирдиктирилген жумушчулар же толугу менен өзүнчө жалдоочу ресурстары болушу мүмкүн. Инвариант бирдей: текшерилген жалдоочу контексти маршрутту жана эсептик маалыматтарды тандайт, жана эч кандай маршрут өзгөрүүсү колдонмого жалдоочулар арасында уруксат бербейт.