SaaS трафикийг зөв харилцагчийн VPN руу хэрхэн чиглүүлэх вэ
Давхцсан харилцагчийн дэд сүлжээнүүд хуваалцсан чиглүүлэлтийг эвддэг. Тусгаарлалтын загвар сонго, ажил бүрийг баталгаажсан түрээслэгчтэй холбо, нээхээс өмнө түрээслэгчдийн хоорондын замыг туршиж үзээрэй.
SaaS платформ арван хоёр харилцагчийн сүлжээнд холбогддог бөгөөд эдгээр харилцагчийн хоёр нь үндсэн мэдээллийн сандаа 10.20.0.10-г ашигладаг. Ажилд энэ хаягийг хүлээн авсан ажилтан тухайн ажил аль мэдээллийн санг хэлж байгааг мэдэх ямар ч аргагүй бөгөөд хуваалцсан чиглүүлэлтийн хүснэгт уг хаягийг префикс заасан туннель рүү баяртайгаар илгээнэ. Шийдэл нь илүү олон туннель биш; шийдэл нь түрээслэгчийн таних тэмдэг замд хаана орж, хаягийн төлөвлөгөө ямар тусгаарлалтын загвар шаардаж байгааг шийдэх явдал юм. Гурван нөхцөл сонголтыг шийднэ: харилцагчийн префиксүүд давхцаж байгаа эсэх, алдаа хэр хол тархаж болох, коннекторыг хэн ажиллуулдаг.
Хоёр харилцагчийн мэдээллийн сан, нэг очих хаяг
IP хаяг бол байршил, таних тэмдэг биш. Хүсэлт нь серверээр баталгаажсан түрээслэгчийг агуулж, тухайн түрээслэгч очих хаяг шийдэгдэхээс өмнө сүлжээний нөхцөл байдлыг сонгох ёстой.
Ингээгүй тохиолдолд алдаа нам гүм байна. Холболт амжилттай болж, асуулга ажиллаж, хариулт нь буруу харилцагчийн мэдээллийн сангаас ирнэ, учир нь чиглүүлэлтийн хүснэгтэд 10.20.0.10-д зориулсан нэг л бичлэг байсан. DNS үүнийг улам дордуулна: түрээслэгч A-ийн нөхцөлд шийдэгдсэн кэшлэсэн нэрийг түрээслэгч B-д ажиллаж буй ажил дахин ашиглаж болно. Багцад хоёрыг ялгах зүйл байхгүй тул ямар ч дахин оролдлогын логик үүнийг засахгүй.
Эхлээд тусгаарлалтын загварыг шийд
Бүтээгдэхүүнүүдийг харьцуулахаас өмнө гурван нөхцөлийг бич. Давхцал нь нэг хаягийн орон зайг хуваалцаж болох эсэхийг шийднэ; нөлөөллийн радиус нь чиглүүлэлтийн алдаа дэмжлэгийн тасалбар уу эсвэл зөрчил үү гэдгийг шийднэ; үйл ажиллагааны өмчлөл нь түрээслэгч бүрт коннекторын флот ажиллуулж чадах эсэхийг шийднэ.
| Condition | Hub with per-tenant route tables | Per-tenant connector context |
|---|---|---|
| Customer CIDRs overlap | No, unless you add 1:1 NAT | Yes, each context keeps its own view |
| A mistake must stay inside one VPC | Weak, routing is shared infrastructure | Strong, each connector has its own egress |
| You can run one fleet per tenant | Not required | Required |
Хэрэв префиксүүд ялгаатай бөгөөд бодлого хяналттай зангилааг зөвшөөрвөл түрээслэгч бүрийн чиглүүлэлтийн хүснэгттэй нэг Transit Gateway хийх боломжтой. Хавсралтын холбоо нь тухайн хавсралтаас орж буй трафикт ашиглах чиглүүлэлтийн хүснэгтийг сонгож, тархалт нь хүснэгтэд ямар маршрутууд гарч ирэхийг сонгоно. Зөвхөн өөрийн хүснэгттэй холбогдсон, зөвхөн өөрийн префиксүүдийг тараадаг түрээслэгчийн хавсралт зангилаанд хүрч, өөр газар хүрэхгүй. Энэ нь чиглүүлэлтийн шийдвэр бөгөөд хэн ч хуваалцсан хүснэгтэд анхдагч маршрут нэмэхгүй л бол зөв хэвээр байна.
Хэрэв префиксүүд давхцвал зөвхөн чиглүүлэлт тэднийг салгаж чадахгүй. Танд түрээслэгч бүрт тусдаа сүлжээний нөхцөл байдал эсвэл харилцагч бүрийн орон зайд тодорхой утга өгөх орчуулгын төлөвлөгөө хэрэгтэй.
Transit Gateway тусгаарлалт үнэхээр юу гэсэн үг вэ
Холбоо ба тархалт бол чухал хоёр тохиргоо бөгөөд тэдгээрийг андуурахад амархан. Холбоо нь энэ хавсралтын багцыг аль хүснэгтээс хайхыг хариулна; тархалт нь аль хүснэгтүүд энэ хавсралтын маршрутыг сурахыг хариулна. Тусгаарлалт нь хоёуланг нь түрээслэгчид онцлог болгохоос ирдэг, илүү олон хавсралт үүсгэхээс биш.
Анхдагч бүгд-бүгдэд тохиргоо нь тохиромжтой бөгөөд тусгаарлалт биш. Тусдаа чиглүүлэлтийн хүснэгтүүд холболтыг хязгаарладаг ч нэг өөрчлөгдөөгүй очих хаягт нэг чиглүүлэлтийн нөхцөлд хоёр утга өгдөггүй. Хэрэв програмист түрээслэгчийг мэдэхээс өмнө 10.20.0.10-г шийдвэл чиглүүлэлтийн давхарга хэрэгтэй мэдээллээ аль хэдийн алдсан байна.
AWS 2026 оны аравдугаар сарын 23-нд Transit Gateway болон Cloud WAN-д зориулсан хавсралтын түвшний 1:1 NAT нэмсэн бөгөөд энэ нь дэмжигдсэн хавсралтуудын давхцлын хариултыг өөрчилдөг. Transit Gateway NAT баримт бичиг нь хост битүүдийг хадгалсан статик, төлөвгүй, тэнцүү префикстэй IPv4 зураглалыг тайлбарладаг. Үүнийг тойруулан зохион бүтээхээс өмнө дэмжигдсэн хавсралтын төрөл, бүс нутгийн хязгаарлалтыг шалгаарай.
Ажлыг баталгаажсан түрээслэгчтэй холбо
Ажил бүр серверээр баталгаажсан түрээслэгчийн таних тэмдгийг агуулж, тухайн таних тэмдэг нь администраторын эзэмшлийн холболтын бичлэгийг сонгох ёстой. Бичлэг нь зөвшөөрөгдсөн сүлжээний нөхцөл байдал, үйлчилгээний хаяг, итгэмжлэлийн лавлагаа, тэнд зөвшөөрөгдсөн үйлдлүүдийг нэрлэнэ. Итгэмжлэх боломжгүй хүсэлт хэзээ ч өөрийн VPN танигч, гарц эсвэл хувийн зорилгыг өгөх ёсгүй, учир нь хүчинтэй нэвтрэлт нь холбогдсон харилцагч бүрийн хаягийн орон зайг шалгах зөвшөөрөл биш.
Тусгаарлагдсан коннекторуудын загварт түрээслэгч A-ийн ажил A-д өвөрмөц коннектор руу явж, тэр нь A-ийн VPC-д ажиллаж, зөвхөн A-ийн зөвшөөрөгдсөн нөөцөд хүрнэ. Нэг хост дээрх тусдаа контейнерууд тэр тусгаарлалтыг өөрөө үүсгэхгүй; сүлжээний нэрийн орон зай, маршрут, гарах бодлого үүнийг хэрэгжүүлэх ёстой. Коннекторт мөн түрээслэгчээр хязгаарлагдсан итгэмжлэл, дараалал хэрэгтэй, учир нь хувийн маршрут нь хуваалцсан нууц эсвэл хуваалцсан ажлын зүйлийг хязгаарлахгүй. Нэгдсэн програмын ажилтнууд нь сүлжээний нөхцөл байдал, итгэмжлэлийг хост биш түрээслэгч бүрт сонгосон тохиолдолд зүгээр.
Эрүүл мэндийн шалгалтууд түрээслэгч болон үе шатыг нэрлэх ёстой: туннель тогтоогдсон, маршрут байгаа, бодит үйлчилгээний хүсэлт амжилттай болсон нь гурван өөр дохио юм. Ажиллаж буй туннелийн нийт тоо нь коннектор нь эвдэрсэн тэр нэг харилцагчийг нуух болно.
Бүтэлгүйтэх ёстой замуудыг турш
Нээхээс өмнө гурван туршилт хий. Зөвшөөрөгдсөн A үйлдэл амжилттай болох ёстой, зөвшөөрөгдсөн B үйлдэл амжилттай болох ёстой, санаатайгаар B-ийн коннектор эсвэл түүний орчуулсан псевдоним руу чиглэсэн A ажил хаалттай байдлаар бүтэлгүйтэх ёстой. Дараа нь нэг туннелийг тасалж, ажил зөвхөн тэр түрээслэгчид бүтэлгүйтэж, өөр харилцагчийн ижил дугаартай дэд сүлжээ рүү унахгүй гэдгийг батал. Сэргээлтийг ч турших ёстой, учир нь хуучирсан маршрут эсвэл кэшлэсэн итгэмжлэл тасалдалаас урт насалж болно.
Архитектур нь тусгаарлагдсан коннектортой нэгдсэн ажилтнууд эсвэл бүрэн тусдаа түрээслэгчийн нөөц байж болно. Инвариант нь ижил: баталгаажсан түрээслэгчийн нөхцөл байдал маршрут болон итгэмжлэлийг сонгож, ямар ч маршрутын өөрчлөлт програмист түрээслэгчдийн хооронд зөвшөөрөл өгөхгүй.