SaaS ട്രാഫിക് ശരിയായ ഉപഭോക്തൃ VPN-ലേക്ക് എങ്ങനെ റൂട്ട് ചെയ്യാം
ഓവർലാപ്പ് ചെയ്യുന്ന ഉപഭോക്തൃ സബ്നെറ്റുകൾ പങ്കിട്ട റൂട്ടിംഗ് തകർക്കുന്നു. ഒരു ഐസൊലേഷൻ മോഡൽ തിരഞ്ഞെടുത്ത്, ഓരോ ജോലിയും പരിശോധിച്ച ടെനന്റുമായി ബന്ധിപ്പിച്ച്, സമാരംഭിക്കുന്നതിന് മുമ്പ് ക്രോസ്-ടെനന്റ് പാതകൾ പരിശോധിക്കുക.
ഒരു SaaS പ്ലാറ്റ്ഫോം പന്ത്രണ്ട് ഉപഭോക്തൃ നെറ്റ്വർക്കുകളിലേക്ക് കണക്റ്റ് ചെയ്യുന്നു, ആ ഉപഭോക്താക്കളിൽ രണ്ടുപേർ അവരുടെ പ്രാഥമിക ഡാറ്റാബേസിനായി 10.20.0.10 ഉപയോഗിക്കുന്നു. ജോലിയിൽ ആ വിലാസം ലഭിക്കുന്ന വർക്കർക്ക് ജോലി ഏത് ഡാറ്റാബേസിനെയാണ് ഉദ്ദേശിക്കുന്നതെന്ന് അറിയാനുള്ള വഴിയില്ല, കൂടാതെ പങ്കിട്ട റൂട്ടിംഗ് പട്ടിക പ്രിഫിക്സ് ചൂണ്ടുന്ന ടണലിലേക്ക് അതിനെ സന്തോഷത്തോടെ അയയ്ക്കും. പരിഹാരം കൂടുതൽ ടണലുകളല്ല; പരിഹാരം ടെനന്റ് ഐഡന്റിറ്റി പാതയിൽ എവിടെ പ്രവേശിക്കുന്നു, വിലാസ പ്ലാനിന് ഏത് ഐസൊലേഷൻ മോഡൽ വേണം എന്നിവ തീരുമാനിക്കുകയാണ്. മൂന്ന് വ്യവസ്ഥകൾ തിരഞ്ഞെടുപ്പ് തീരുമാനിക്കുന്നു: ഉപഭോക്തൃ പ്രിഫിക്സുകൾ ഓവർലാപ്പ് ചെയ്യുന്നുണ്ടോ, ഒരു പിശക് എത്ര ദൂരം വ്യാപിക്കാം, കണക്ടർ ആരാണ് പ്രവർത്തിപ്പിക്കുന്നത്.
രണ്ട് ഉപഭോക്തൃ ഡാറ്റാബേസുകൾ, ഒരു ലക്ഷ്യ വിലാസം
IP വിലാസം ഒരു സ്ഥലമാണ്, ഐഡന്റിറ്റിയല്ല. അഭ്യർത്ഥന സർവർ പരിശോധിച്ച ഒരു ടെനന്റ് വഹിക്കണം, ലക്ഷ്യം പരിഹരിക്കുന്നതിന് മുമ്പ് ആ ടെനന്റ് നെറ്റ്വർക്ക് സന്ദർഭം തിരഞ്ഞെടുക്കണം.
അങ്ങനെ സംഭവിക്കാത്തപ്പോൾ പരാജയം നിശ്ശബ്ദമാണ്. കണക്ഷൻ വിജയിക്കുന്നു, ക്വറി പ്രവർത്തിക്കുന്നു, റൂട്ടിംഗ് പട്ടികയിൽ 10.20.0.10-ന് ഒരു എൻട്രി മാത്രമുണ്ടായിരുന്നതിനാൽ ഉത്തരം തെറ്റായ ഉപഭോക്താവിന്റെ ഡാറ്റാബേസിൽ നിന്ന് വരുന്നു. DNS അതിനെ കൂടുതൽ വഷളാക്കുന്നു: ടെനന്റ് A-യുടെ സന്ദർഭത്തിൽ പരിഹരിച്ച കാഷ് ചെയ്ത പേര് ടെനന്റ് B-യ്ക്കായി പ്രവർത്തിക്കുന്ന ഒരു ജോലി വീണ്ടും ഉപയോഗിക്കാം. പാക്കറ്റിൽ ഒന്നും രണ്ടിനെയും വേർതിരിക്കുന്നില്ല, അതിനാൽ ഒരു വീണ്ടും ശ്രമ യുക്തിയും അത് പരിഹരിക്കുന്നില്ല.
ആദ്യം ഐസൊലേഷൻ മോഡൽ തീരുമാനിക്കുക
ഉൽപ്പന്നങ്ങൾ താരതമ്യം ചെയ്യുന്നതിന് മുമ്പ് മൂന്ന് വ്യവസ്ഥകൾ എഴുതുക. ഓവർലാപ്പ് ഒരു വിലാസ ഇടം പങ്കിടാമോ എന്ന് തീരുമാനിക്കുന്നു; ആഘാത ആരം റൂട്ടിംഗ് പിശക് ഒരു പിന്തുണ ടിക്കറ്റാണോ ലംഘനമാണോ എന്ന് തീരുമാനിക്കുന്നു; പ്രവർത്തന ഉടമസ്ഥത ഓരോ ടെനന്റിനും ഒരു കണക്ടർ ഫ്ലീറ്റ് പ്രവർത്തിപ്പിക്കാമോ എന്ന് തീരുമാനിക്കുന്നു.
| Condition | Hub with per-tenant route tables | Per-tenant connector context |
|---|---|---|
| Customer CIDRs overlap | No, unless you add 1:1 NAT | Yes, each context keeps its own view |
| A mistake must stay inside one VPC | Weak, routing is shared infrastructure | Strong, each connector has its own egress |
| You can run one fleet per tenant | Not required | Required |
പ്രിഫിക്സുകൾ വ്യത്യസ്തവും നയം നിയന്ത്രിത ഹബ് അനുവദിക്കുന്നതുമാണെങ്കിൽ, ഓരോ ടെനന്റിനും റൂട്ടിംഗ് പട്ടികകളുള്ള ഒരു Transit Gateway സാധ്യമാണ്. അറ്റാച്ച്മെന്റ് അസോസിയേഷൻ ആ അറ്റാച്ച്മെന്റിൽ നിന്ന് പ്രവേശിക്കുന്ന ട്രാഫിക്കിന് ഉപയോഗിക്കുന്ന റൂട്ടിംഗ് പട്ടിക തിരഞ്ഞെടുക്കുന്നു, പ്രൊപ്പഗേഷൻ ഒരു പട്ടികയിൽ ഏത് റൂട്ടുകൾ പ്രത്യക്ഷപ്പെടുന്നു എന്ന് തിരഞ്ഞെടുക്കുന്നു. സ്വന്തം പട്ടികയുമായി മാത്രം ബന്ധിപ്പിച്ചതും സ്വന്തം പ്രിഫിക്സുകൾ മാത്രം പ്രൊപ്പഗേറ്റ് ചെയ്യുന്നതുമായ ടെനന്റ് അറ്റാച്ച്മെന്റ് ഹബ് എത്തുന്നു, മറ്റൊന്നും എത്തുന്നില്ല. അതൊരു റൂട്ടിംഗ് തീരുമാനമാണ്, ആരും പങ്കിട്ട പട്ടികയിൽ ഡിഫോൾട്ട് റൂട്ട് ചേർക്കാത്തിടത്തോളം അത് ശരിയായി തുടരും.
പ്രിഫിക്സുകൾ ഓവർലാപ്പ് ചെയ്യുന്നുവെങ്കിൽ, റൂട്ടിംഗ് മാത്രം അവയെ വേർതിരിക്കാനാവില്ല. നിങ്ങൾക്ക് ഓരോ ടെനന്റിനും വെവ്വേറെ നെറ്റ്വർക്ക് സന്ദർഭം അല്ലെങ്കിൽ ഓരോ ഉപഭോക്താവിന്റെയും ഇടത്തിന് വ്യക്തമായ അർത്ഥം നൽകുന്ന ഒരു വിവർത്തന പ്ലാൻ ആവശ്യമാണ്.
Transit Gateway ഐസൊലേഷൻ യഥാർത്ഥത്തിൽ എന്താണ് അർത്ഥമാക്കുന്നത്
അസോസിയേഷനും പ്രൊപ്പഗേഷനും പ്രധാനമായ രണ്ട് ക്രമീകരണങ്ങളാണ്, അവ കൂട്ടിക്കലർത്താൻ എളുപ്പമാണ്. അസോസിയേഷൻ ഈ അറ്റാച്ച്മെന്റിൽ നിന്നുള്ള പാക്കറ്റ് ഏത് പട്ടികയിൽ തിരയുന്നു എന്ന് ഉത്തരം നൽകുന്നു; പ്രൊപ്പഗേഷൻ ഏത് പട്ടികകൾ ഈ അറ്റാച്ച്മെന്റിന്റെ റൂട്ടുകൾ പഠിക്കുന്നു എന്ന് ഉത്തരം നൽകുന്നു. ഐസൊലേഷൻ രണ്ടിനെയും ടെനന്റ്-നിർദ്ദിഷ്ടമാക്കുന്നതിൽ നിന്ന് വരുന്നു, കൂടുതൽ അറ്റാച്ച്മെന്റുകൾ സൃഷ്ടിക്കുന്നതിൽ നിന്നല്ല.
ഡിഫോൾട്ട് എല്ലാവരും-എല്ലാവർക്കും കോൺഫിഗറേഷൻ സൗകര്യപ്രദമാണ്, ഐസൊലേഷൻ അല്ല. വെവ്വേറെ റൂട്ടിംഗ് പട്ടികകൾ കണക്റ്റിവിറ്റി പരിമിതപ്പെടുത്തുന്നു, പക്ഷേ ഒരേ റൂട്ടിംഗ് സന്ദർഭത്തിൽ ഒരു മാറ്റമില്ലാത്ത ലക്ഷ്യ വിലാസത്തിന് രണ്ട് അർത്ഥങ്ങൾ നൽകുന്നില്ല. ടെനന്റ് അറിയുന്നതിന് മുമ്പ് അപ്ലിക്കേഷൻ 10.20.0.10 പരിഹരിക്കുന്നുവെങ്കിൽ, റൂട്ടിംഗ് പാളി ആവശ്യമായ വിവരം ഇതിനകം നഷ്ടപ്പെടുത്തിയിട്ടുണ്ട്.
AWS 2026 ഒക്ടോബർ 23-ന് Transit Gateway, Cloud WAN എന്നിവയ്ക്കായി അറ്റാച്ച്മെന്റ് തലത്തിലുള്ള 1:1 NAT ചേർത്തു, ഇത് പിന്തുണയ്ക്കുന്ന അറ്റാച്ച്മെന്റുകൾക്കുള്ള ഓവർലാപ്പ് ഉത്തരം മാറ്റുന്നു. Transit Gateway NAT ഡോക്യുമെന്റേഷൻ ഹോസ്റ്റ് ബിറ്റുകൾ സംരക്ഷിച്ചുകൊണ്ട് സ്ഥിരവും അവസ്ഥയില്ലാത്തതും തുല്യ പ്രിഫിക്സുള്ളതുമായ IPv4 മാപ്പിംഗുകൾ വിവരിക്കുന്നു. അതിനെ ചുറ്റിപ്പറ്റി രൂപകൽപ്പന ചെയ്യുന്നതിന് മുമ്പ് പിന്തുണയ്ക്കുന്ന അറ്റാച്ച്മെന്റ് തരങ്ങളും പ്രാദേശിക നിയന്ത്രണങ്ങളും പരിശോധിക്കുക.
ജോലിയെ പരിശോധിച്ച ടെനന്റുമായി ബന്ധിപ്പിക്കുക
ഓരോ ജോലിയും സർവർ പരിശോധിച്ച ടെനന്റ് ഐഡന്റിറ്റി വഹിക്കണം, ആ ഐഡന്റിറ്റി അഡ്മിനിസ്ട്രേറ്ററുടെ ഉടമസ്ഥതയിലുള്ള ഒരു കണക്ഷൻ റെക്കോർഡ് തിരഞ്ഞെടുക്കണം. റെക്കോർഡ് അംഗീകൃത നെറ്റ്വർക്ക് സന്ദർഭം, സേവന വിലാസം, ക്രെഡൻഷ്യൽ റഫറൻസ്, അവിടെ അനുവദനീയമായ പ്രവർത്തനങ്ങൾ എന്നിവ പേരിടുന്നു. വിശ്വാസയോഗ്യമല്ലാത്ത ഒരു അഭ്യർത്ഥനയും സ്വന്തം VPN ഐഡന്റിഫയർ, ഗേറ്റ്വേ അല്ലെങ്കിൽ സ്വകാര്യ ലക്ഷ്യം നൽകരുത്, കാരണം സാധുവായ ലോഗിൻ ഓരോ കണക്റ്റുചെയ്ത ഉപഭോക്താവിന്റെയും വിലാസ ഇടം പരിശോധിക്കാനുള്ള അനുമതിയല്ല.
വേർതിരിച്ച കണക്ടറുകളുള്ള രൂപകൽപ്പനയിൽ, ടെനന്റ് A-യുടെ ജോലി A-ക്ക് സവിശേഷമായ ഒരു കണക്ടറിലേക്ക് പോകുന്നു, അത് A-യുടെ VPC-യിൽ പ്രവർത്തിക്കുകയും A-യുടെ അംഗീകൃത വിഭവങ്ങളിൽ മാത്രം എത്തുകയും ചെയ്യുന്നു. ഒരു ഹോസ്റ്റിലെ വെവ്വേറെ കണ്ടെയ്നറുകൾ ആ വേർതിരിവ് സ്വയം സൃഷ്ടിക്കുന്നില്ല; നെറ്റ്വർക്ക് നാമസ്ഥലങ്ങൾ, റൂട്ടുകൾ, എഗ്രെസ് നയം എന്നിവ അത് നടപ്പിലാക്കണം. കണക്ടറിന് ടെനന്റ്-പരിധിയുള്ള ക്രെഡൻഷ്യലുകളും ക്യൂകളും ആവശ്യമാണ്, കാരണം സ്വകാര്യ റൂട്ട് പങ്കിട്ട രഹസ്യത്തെയോ പങ്കിട്ട ജോലി ഇനത്തെയോ പരിമിതപ്പെടുത്തുന്നില്ല. ഹോസ്റ്റിന് പകരം ടെനന്റിന് നെറ്റ്വർക്ക് സന്ദർഭവും ക്രെഡൻഷ്യലുകളും തിരഞ്ഞെടുക്കുന്നിടത്തോളം പൂളിലാക്കിയ അപ്ലിക്കേഷൻ വർക്കർമാർ കുഴപ്പമില്ല.
ആരോഗ്യ പരിശോധനകൾ ടെനന്റും ഘട്ടവും പേരിടണം: ടണൽ സ്ഥാപിതമായി, റൂട്ട് നിലവിലുണ്ട്, യഥാർത്ഥ സേവന അഭ്യർത്ഥന വിജയിച്ചു എന്നിവ മൂന്ന് വ്യത്യസ്ത സിഗ്നലുകളാണ്. പ്രവർത്തിക്കുന്ന ടണലുകളുടെ ആകെ എണ്ണം കണക്ടർ തകർന്ന ആ ഒരു ഉപഭോക്താവിനെ മറയ്ക്കും.
പരാജയപ്പെടേണ്ട പാതകൾ പരിശോധിക്കുക
സമാരംഭിക്കുന്നതിന് മുമ്പ് മൂന്ന് പരിശോധനകൾ നടത്തുക. അനുവദനീയമായ A പ്രവർത്തനം വിജയിക്കണം, അനുവദനീയമായ B പ്രവർത്തനം വിജയിക്കണം, ബോധപൂർവം B-യുടെ കണക്ടറിലേക്കോ അതിന്റെ വിവർത്തനം ചെയ്ത അലിയാസിലേക്കോ ലക്ഷ്യമിട്ട A ജോലി അടച്ച രീതിയിൽ പരാജയപ്പെടണം. തുടർന്ന് ഒരു ടണൽ വിച്ഛേദിച്ച്, ജോലി ആ ടെനന്റിന് മാത്രം പരാജയപ്പെടുന്നുവെന്നും മറ്റൊരു ഉപഭോക്താവിന്റെ അതേ നമ്പർ സബ്നെറ്റിലേക്ക് പിൻവാങ്ങുന്നില്ലെന്നും സ്ഥിരീകരിക്കുക. പുനഃസ്ഥാപനവും പരിശോധിക്കണം, കാരണം പഴയ റൂട്ടോ കാഷ് ചെയ്ത ക്രെഡൻഷ്യലുകളോ തടസ്സത്തെ അതിജീവിച്ചേക്കാം.
ആർക്കിടെക്ചർ വേർതിരിച്ച കണക്ടറുകളുള്ള പൂളിലാക്കിയ വർക്കർമാരോ പൂർണ്ണമായി വേർതിരിച്ച ടെനന്റ് വിഭവങ്ങളോ ആകാം. അപരിവർത്തനീയമായത് ഒന്നുതന്നെ: പരിശോധിത ടെനന്റ് സന്ദർഭം റൂട്ടും ക്രെഡൻഷ്യലുകളും തിരഞ്ഞെടുക്കുന്നു, ഒരു റൂട്ട് മാറ്റവും ടെനന്റുകൾക്കിടയിൽ അപ്ലിക്കേഷന് അനുമതി നൽകുന്നില്ല.