Wéi SaaS-Trafic op de richtegen Client-VPN leeden
Iwwerlappende Client-Subnetzer briechen d'gedeelt Routing. Wielt en Isolatiounsmodell, bënnt all Aarbecht un en verifizéierten Titulaire, a testéiert d'Weër tëscht Titulairen virum Start.
Eng SaaS-Plattform verbënnt sech mat engem Dutzend Client-Netzwierker, an zwee vun dëse Clienten benotze béid 10.20.0.10 fir hir Haaptdatenbank. En Aarbechter, deen déi Adress an enger Aarbecht kritt, huet keng Méiglechkeet ze wëssen, wéi eng Datenbank d'Aarbecht mengt, an eng gedeelt Routingstabell schéckt en gäre bis dee Tunnel, op deen de Prefix weist. D'Léisung sinn net méi Tunnelen; d'Léisung ass ze entscheeden, wou d'Identitéit vum Titulaire an de Wee kënnt a wéi en Isolatiounsmodell den Adressplang verlaangt. Dräi Konditiounen entscheeden d'Wiel: ob d'Client-Prefixen sech iwwerlappen, wéi wäit e Feeler sech ka verbreeden, a wien den Connector bedreift.
Zwee Client-Datenbanken, eng Destinatiounsadress
Eng IP-Adress ass eng Plaz, keng Identitéit. D'Ufro muss en Titulaire droen, deen de Server verifizéiert huet, an deen Titulaire muss den Netzwierkkontext wielen, ier d'Destinatioun opgeléist gëtt.
Wann dat net geschitt, ass de Feeler stëll. D'Verbindung geléngt, d'Ufro leeft, an d'Äntwert kënnt aus der falscher Client senger Datenbank, well d'Routingstabell eng eenzeg Entrée fir 10.20.0.10 hat. DNS mécht et méi schlëmm: en gecachten Numm, deen am Kontext vum Titulaire A opgeléist gouf, kann vun enger Aarbecht fir den Titulaire B erëm benotzt ginn. Näischt am Paket ënnerscheet déi zwee, dofir reparéiert keng Retry-Logik et.
Entscheet Iech fir d'éischt fir den Isolatiounsmodell
Schreift déi dräi Konditiounen op, ier Dir Produkter vergläicht. D'Iwwerlappung entscheet, ob een Adressraum iwwerhaapt gedeelt ka ginn; de Blast-Radius entscheet, ob e Routingfeeler en Support-Ticket oder eng Verletzung ass; den operationellen Eegentum entscheet, ob Dir eng Connector-Flott pro Titulaire bedreiwe kënnt.
| Condition | Hub with per-tenant route tables | Per-tenant connector context |
|---|---|---|
| Customer CIDRs overlap | No, unless you add 1:1 NAT | Yes, each context keeps its own view |
| A mistake must stay inside one VPC | Weak, routing is shared infrastructure | Strong, each connector has its own egress |
| You can run one fleet per tenant | Not required | Required |
Wann d'Prefixen ënnerschiddlech sinn an d'Politik en kontrolléierten Hub erlaabt, ass een Transit Gateway mat Routingstabellen pro Titulaire machbar. D'Assoziatioun vum Attachment wielt d'Routingstabell, déi fir den Trafic benotzt gëtt, deen aus deem Attachment kënnt, an d'Propagatioun wielt, wéi eng Routen an enger Tabell erschéngen. En Titulaire-Attachment, deen nëmmen u senger eegener Tabell associéiert ass an nëmmen seng eege Prefixen propagéiert, erreecht den Hub an näischt anescht. Dat ass eng Routingentscheedung, an se bleift nëmme richteg, soulaang keen eng Standardroute an déi gedeelt Tabell setzt.
Wann d'Prefixen sech iwwerlappen, kann Routing eleng se net trennen. Dir braucht entweder en eegene Netzwierkkontext pro Titulaire oder en Iwwersetzungsplang, deen dem Raum vun all Client eng eendeiteg Bedeitung gëtt.
Wat Transit Gateway-Isolatioun tatsächlech bedeit
Assoziatioun a Propagatioun sinn déi zwou wichteg Knäpp, an et ass einfach se ze verwiesselen. D'Assoziatioun äntwert, an wéi enger Tabell e Pak vun dësem Attachment gesicht gëtt; d'Propagatioun äntwert, wéi eng Tabellen d'Routen vun dësem Attachment léieren. D'Isolatioun kënnt doraus, datt béid titulairespezifesch gemaach ginn, net doraus, datt méi Attachments geschaf ginn.
Eng Standard-All-zu-All-Konfiguratioun ass bequem an ass keng Isolatioun. Separat Routingstabellen aschreiwen d'Konnektivitéit, awer se ginn enger onverännerter Destinatiounsadress net zwou Bedeitungen am selwechten Routingkontext. Wann d'Applikatioun 10.20.0.10 opléist, ier se den Titulaire kennt, huet d'Routingschicht d'Informatioun schonn verluer, déi se bräicht.
AWS huet den 23. Oktober 2026 Attachment-Niveau 1:1 NAT fir Transit Gateway a Cloud WAN bäigefüügt, wat d'Iwwerlappungsäntwert fir ënnerstëtzten Attachments ännert. D'Transit Gateway NAT-Dokumentatioun beschreift statesch, zoustänneslos IPv4-Mappungen mat gläichem Prefix an erhaaltenen Hostbits. Kontrolléiert déi ënnerstëtzten Attachment-Typen an regional Aschränkungen, ier Dir ronderëm dat designt.
Bënnt d'Aarbecht un en verifizéierten Titulaire
All Aarbecht soll eng vum Server verifizéiert Titulaire-Identitéit droen, an déi Identitéit soll en administrativ gefouert Verbindungsrekord wielen. De Rekord nennt den approuvéierten Netzwierkkontext, d'Serviceadress, d'Referenz vun den Umeldungsinformatiounen an déi do erlaabten Operatiounen. Eng net vertrauenswürdeg Ufro däerf ni hir eege VPN-Identitéit, hire Gateway oder hir privat Zil ubidden, well eng valabel Umeldung keng Erlaabnis ass, den Adressraum vun all verbonnenem Client z'ënnersichen.
An engem Design mat isoléierten Connecteuren geet d'Aarbecht vum Titulaire A un en A-spezifesche Connector, deen an der VPC vum A leeft an nëmmen déi approuvéiert Ressourcen vum A erreeche kann. Separat Containeren op engem Host schafen déi Trennung net vun selwer; d'Netzwierknommesraim, d'Routen an d'Egress-Politik mussen se ëmsetzen. De Connector brauch och titulaire-begrenzt Umeldungsinformatiounen a Queuen, well eng privat Route weder en gedeelt Geheimnis nach eng gedeelt Aarbechtselement begrenzt. Gepoolte Applikatiouns-Aarbechter si gutt, soulaang den Netzwierkkontext an d'Umeldungsinformatiounen pro Titulaire gewielt ginn, net pro Host.
Gesondheetschecks sollten den Titulaire an d'Etapp nennen: Tunnel opgeriicht, Route präsent an eng richteg Serviceufro erfollegräich sinn dräi verschidde Signaler. Eng aggregéiert Zuel vun Tunnelen, déi u sinn, wäert deen eenzege Client verstoppen, deem säi Connector futti ass.
Testéiert d'Weër, déi mussen feelen
Féiert dräi Tester virum Start aus. Eng erlaabte A-Operatioun muss geléngen, eng erlaabte B-Operatioun muss geléngen, an eng A-Aarbecht, déi bewosst op de Connector vum B oder säin iwwersat Alias geriicht ass, muss zou fëllen. Da briecht een Tunnel an a bestätegt, datt d'Aarbecht just fir deen Titulaire feelt, ouni op den Ënnersubnetz mat der selwechter Nummer vun engem anere Client zeréckzefalen. D'Restauratioun sollt och getest ginn, well eng eel Route oder gecacht Umeldungsinformatiounen den Ausfall kënnen iwwerlieft.
D'Architektur ka gepoolte Aarbechter mat isoléierte Connecteuren sinn, oder komplett getrennt Titulaire-Ressourcen. D'Invariant ass déi selwecht: de verifizéierten Titulaire-Kontext wielt d'Route an d'Umeldungsinformatiounen, an eng Routenännerung gëtt ni Applikatiounserlaabnis iwwer Titulairen.