Kā maršrutēt SaaS datplūsmu uz pareizo klienta VPN
Pārklājošies klientu apakštīkli sabojā koplietoto maršrutēšanu. Izvēlieties izolācijas modeli, piesaistiet katru uzdevumu verificētam nomniekam un pirms palaišanas pārbaudiet ceļus starp nomniekiem.
SaaS platforma savienojas ar divpadsmit klientu tīkliem, un divi no šiem klientiem abi izmanto 10.20.0.10 savai primārajai datubāzei. Darbiniekam, kurš uzdevumā saņem šo adresi, nav nekāda veida uzzināt, kuru datubāzi uzdevums domā, un koplietotā maršrutēšanas tabula labprāt nosūtīs to uz to tuneli, uz kuru norāda prefikss. Risinājums nav vairāk tuneļu; risinājums ir izlemt, kur nomnieka identitāte nonāk ceļā un kādu izolācijas modeli prasa adrešu plāns. Trīs nosacījumi izšķir izvēli: vai klientu prefiksi pārklājas, cik tālu kļūda var izplatīties un kas pārvalda savienotāju.
Divas klientu datubāzes, viena galamērķa adrese
IP adrese ir vieta, nevis identitāte. Pieprasījumam jānes nomnieks, kuru serveris ir verificējis, un šim nomniekam jāizvēlas tīkla konteksts pirms galamērķa atrisināšanas.
Ja tas nenotiek, kļūme ir klusa. Savienojums izdodas, vaicājums tiek izpildīts, un atbilde nāk no nepareizā klienta datubāzes, jo maršrutēšanas tabulā bija viens ieraksts 10.20.0.10 adresei. DNS to pasliktina: kešatmiņā saglabāts vārds, kas atrisināts nomnieka A kontekstā, var tikt atkārtoti izmantots uzdevumā, kas darbojas nomniekam B. Nekas paketē neatšķir abus, tāpēc nekāda atkārtošanas loģika to neizlabo.
Vispirms izlemiet par izolācijas modeli
Pierakstiet trīs nosacījumus pirms produktu salīdzināšanas. Pārklāšanās izšķir, vai vienu adrešu telpu vispār var koplietot; ietekmes rādiuss izšķir, vai maršrutēšanas kļūda ir atbalsta biļete vai pārkāpums; operacionālās īpašumtiesības izšķir, vai varat pārvaldīt savienotāju floti katram nomniekam.
| Condition | Hub with per-tenant route tables | Per-tenant connector context |
|---|---|---|
| Customer CIDRs overlap | No, unless you add 1:1 NAT | Yes, each context keeps its own view |
| A mistake must stay inside one VPC | Weak, routing is shared infrastructure | Strong, each connector has its own egress |
| You can run one fleet per tenant | Not required | Required |
Ja prefiksi atšķiras un politika atļauj kontrolētu centrmezglu, viens Transit Gateway ar maršrutēšanas tabulām katram nomniekam ir iespējams. Pielikuma asociācija izvēlas maršrutēšanas tabulu, kas tiek izmantota datplūsmai, kas nāk no šī pielikuma, un izplatīšana izvēlas, kuri maršruti parādās tabulā. Nomnieka pielikums, kas asociēts tikai ar savu tabulu un izplata tikai savus prefiksus, sasniedz centrmezglu un neko citu. Tas ir maršrutēšanas lēmums, un tas paliek pareizs tikai tik ilgi, kamēr neviens nepievieno noklusējuma maršrutu koplietotajai tabulai.
Ja prefiksi pārklājas, maršrutēšana vien nedrīkst tos atdalīt. Jums nepieciešams vai nu atsevišķs tīkla konteksts katram nomniekam, vai tulkošanas plāns, kas katra klienta telpai piešķir viennozīmīgu nozīmi.
Ko patiesībā nozīmē Transit Gateway izolācija
Asociācija un izplatīšana ir divi svarīgākie iestatījumi, un tos ir viegli sajaukt. Asociācija atbild, kurā tabulā tiek meklēts šī pielikuma pakete; izplatīšana atbild, kuras tabulas apgūst šī pielikuma maršrutus. Izolācija rodas no abu padarīšanas par nomniekam raksturīgiem, nevis no vairāk pielikumu veidošanas.
Noklusējuma visi-pret-visiem konfigurācija ir ērta un nav izolācija. Atsevišķas maršrutēšanas tabulas ierobežo savienojamību, bet tās nedod vienai nemainītai galamērķa adresei divas nozīmes tajā pašā maršrutēšanas kontekstā. Ja lietojumprogramma atrisina 10.20.0.10 pirms nomnieka zināšanas, maršrutēšanas slānis jau ir zaudējis nepieciešamo informāciju.
AWS 2026. gada 23. oktobrī pievienoja pielikuma līmeņa 1:1 NAT Transit Gateway un Cloud WAN, kas maina pārklāšanās atbildi atbalstītajiem pielikumiem. Transit Gateway NAT dokumentācija apraksta statiskus, bezstāvokļa, vienāda prefiksa IPv4 kartējumus ar saglabātiem hosta bitiem. Pirms projektēšanas uz šī pamata pārbaudiet atbalstītos pielikumu veidus un reģionālos ierobežojumus.
Piesaistiet uzdevumu verificētam nomniekam
Katram uzdevumam jānes servera verificēta nomnieka identitāte, un šai identitātei jāizvēlas administratora pārvaldīts savienojuma ieraksts. Ieraksts nosauc apstiprināto tīkla kontekstu, pakalpojuma adresi, akreditācijas datu atsauci un tur atļautās darbības. Neuzticamam pieprasījumam nekad nedrīkst būt sava VPN identifikatora, vārtejas vai privātā mērķa, jo derīga pieteikšanās nav atļauja pārbaudīt katra pievienotā klienta adrešu telpu.
Izolētu savienotāju dizainā nomnieka A darbs iet uz A raksturīgu savienotāju, kas darbojas A VPC un var sasniegt tikai A apstiprinātos resursus. Atsevišķi konteineri vienā resursdatorā paši neveido šo atdalīšanu; tīkla nosaukumtelpas, maršruti un izejas politika to ir jāīsteno. Savienotājam ir vajadzīgi arī nomnieka tvēruma akreditācijas dati un rindas, jo privāts maršruts neierobežo koplietotu noslēpumu vai koplietotu darba vienumu. Apvienotie lietojumprogrammu darbinieki ir labi, ja tīkla konteksts un akreditācijas dati tiek izvēlēti katram nomniekam, nevis katram resursdatoram.
Veselības pārbaudēm jānosauc nomnieks un posms: tunelis izveidots, maršruts pastāv un reāls pakalpojuma pieprasījums ir izdevies ir trīs dažādi signāli. Kopējais darbojošos tuneļu skaits paslēps to vienu klientu, kuram savienotājs ir bojāts.
Pārbaudiet ceļus, kuriem jācieš neveiksme
Pirms palaišanas veiciet trīs testus. Atļautai A darbībai jāizdodas, atļautai B darbībai jāizdodas, un A uzdevumam, kas apzināti vērsts uz B savienotāju vai tā tulkoto aizstājvārdu, jācieš neveiksme slēgtā veidā. Pēc tam pārtrauciet vienu tuneli un apstipriniet, ka uzdevums neizdodas tikai šim nomniekam, neiekrītot cita klienta tāda paša numura apakštīklā. Arī atjaunošana ir jāpārbauda, jo novecojis maršruts vai kešatmiņā saglabāti akreditācijas dati var pārdzīvot pārtraukumu.
Arhitektūra var būt apvienoti darbinieki ar izolētiem savienotājiem vai pilnīgi atdalīti nomnieka resursi. Invariants ir tāds pats: verificēts nomnieka konteksts izvēlas maršrutu un akreditācijas datus, un nekādas maršruta izmaiņas nekad nepiešķir lietojumprogrammai atļauju starp nomniekiem.