Kif tgħaddi t-traffiku SaaS lejn il-VPN tal-klijent it-tajjeb
Sottnet tal-klijenti li jikkoinċidu jkissru r-routing kondiviż. Agħżel mudell ta’ iżolament, orbot kull xogħol ma’ inkwilin verifikat, u ttestja l-passaġġi bejn l-inkwilini qabel it-tnedija.
Pjattaforma SaaS tikkonnettja ma’ tużżana netwerks tal-klijenti, u tnejn minn dawk il-klijenti t-tnejn jużaw 10.20.0.10 għad-database primarja tagħhom. Ħaddiem li jirċievi dak l-indirizz f’xogħol m’għandu l-ebda mod kif ikun jaf liema database qed tfisser ix-xogħol, u tabella tar-routing kondiviża se tibgħatha bil-qalb lejn il-mina li lejha tgħodd il-prefiss. Is-soluzzjoni mhix aktar miniet; is-soluzzjoni hija li tiddeċiedi fejn l-identità tal-inkwilin tidħol fil-passaġġ u liema mudell ta’ iżolament jeħtieġ il-pjan tal-indirizzi. Tliet kundizzjonijiet jiddeċiedu l-għażla: jekk il-prefissi tal-klijenti jikkoinċidux, kemm ’il bogħod tista’ tinfirex żball, u min iħaddem il-konnettur.
Żewġ databases tal-klijenti, indirizz wieħed ta’ destinazzjoni
Indirizz IP huwa post, mhux identità. It-talba trid iġġorr inkwilin li s-server verifika, u dak l-inkwilin irid jagħżel il-kuntest tan-netwerk qabel ma tiġi riżolta d-destinazzjoni.
Meta ma tagħmilx hekk, il-falliment huwa kwiet. Il-konnessjoni tirnexxi, il-mistoqsija taħdem, u t-tweġiba tiġi mid-database tal-klijent żbaljat għax it-tabella tar-routing kellha entrata waħda għal 10.20.0.10. Id-DNS jagħmilha agħar: isem fil-cache li ġie riżolt fil-kuntest tal-inkwilin A jista’ jerġa’ jintuża minn xogħol li qed jaħdem għall-inkwilin B. Xejn fil-pakkett ma jiddistingwi t-tnejn, għalhekk l-ebda loġika ta’ erġa’ pprova ma tiswielha.
Iddeċiedi l-mudell ta’ iżolament l-ewwel
Ikteb it-tliet kundizzjonijiet qabel ma tqabbel prodotti. Il-koinċidenza tiddeċiedi jekk spazju wieħed ta’ indirizzi jistax jiġi kondiviż xejn; ir-raġġ tal-impatt jiddeċiedi jekk żball fir-routing huwiex biljett ta’ appoġġ jew ksur; is-sjieda operattiva tiddeċiedi jekk tistax tmexxi flotta ta’ konnetturi għal kull inkwilin.
| Condition | Hub with per-tenant route tables | Per-tenant connector context |
|---|---|---|
| Customer CIDRs overlap | No, unless you add 1:1 NAT | Yes, each context keeps its own view |
| A mistake must stay inside one VPC | Weak, routing is shared infrastructure | Strong, each connector has its own egress |
| You can run one fleet per tenant | Not required | Required |
Jekk il-prefissi huma distinti u l-politika tippermetti hub ikkontrollat, Transit Gateway wieħed b’tabelli tar-routing għal kull inkwilin huwa fattibbli. L-assoċjazzjoni tal-attachment tagħżel it-tabella tar-routing użata għat-traffiku li jidħol minn dak l-attachment, u l-propagazzjoni tagħżel liema rotot jidhru f’tabella. Attachment tal-inkwilin assoċjat biss mat-tabella tiegħu u li jippropaga biss il-prefissi tiegħu jasal sal-hub u xejn aktar. Dik hija deċiżjoni ta’ routing, u tibqa’ korretta biss sakemm ħadd ma jżid rotta default mat-tabella kondiviża.
Jekk il-prefissi jikkoinċidu, ir-routing waħdu ma jistax jifridhom. Għandek bżonn jew kuntest tan-netwerk distint għal kull inkwilin jew pjan ta’ traduzzjoni li jagħti spazju lil kull klijent tifsira mhux ambigwa.
X’Tfisser Tassew l-Iżolament ta’ Transit Gateway
L-assoċjazzjoni u l-propagazzjoni huma ż-żewġ knobs li jgħoddu, u huwa faċli li tħallathom. L-assoċjazzjoni twieġeb f’liema tabella jitfittex pakkett minn dan l-attachment; il-propagazzjoni twieġeb liema tabelli jitgħallmu r-rotot ta’ dan l-attachment. L-iżolament jiġi milli tagħmel it-tnejn speċifiċi għall-inkwilin, mhux milli toħloq aktar attachments.
Konfigurazzjoni default ta’ kulħadd għal kulħadd hija konvenjenti u mhijiex iżolament. Tabelli tar-routing separati jirrestrinġu l-konnettività, iżda ma jagħtux indirizz wieħed ta’ destinazzjoni mhux mibdul żewġ tifsiriet fl-istess kuntest ta’ routing. Jekk l-applikazzjoni tirriżolvi 10.20.0.10 qabel ma tkun taf l-inkwilin, is-saff tar-routing diġà tilef l-informazzjoni li kien jeħtieġ.
AWS żiedet fit-23 ta’ Ottubru 2026 NAT 1:1 fil-livell tal-attachment għal Transit Gateway u Cloud WAN, li jibdel it-tweġiba tal-koinċidenza għall-attachments appoġġjati. Id-dokumentazzjoni tan-NAT ta’ Transit Gateway tiddeskrivi mapep IPv4 statiċi, mingħajr stat u bi prefiss ugwali bil-bits tal-host ippreservati. Ivverifika t-tipi ta’ attachment appoġġjati u r-restrizzjonijiet reġjonali qabel ma tiddisinja madwar dan.
Orbot ix-xogħol ma’ inkwilin verifikat
Kull xogħol għandu jġorr identità tal-inkwilin verifikata mis-server, u dik l-identità għandha tagħżel rekord tal-konnessjoni proprjetà tal-amministratur. Ir-rekord isemmi l-kuntest tan-netwerk approvat, l-indirizz tas-servizz, ir-referenza tal-kredenzjali u l-operazzjonijiet permessi hemmhekk. Talba mhux affidabbli qatt m’għandha tforni l-identifikatur VPN, il-gateway jew il-mira privata tagħha stess, għax login validu mhuwiex permess li tistħarreġ l-ispazju tal-indirizzi ta’ kull klijent konness.
Fi disinn b’konnetturi iżolati, ix-xogħol tal-inkwilin A imur għal konnettur speċifiku għal A li jaħdem fil-VPC ta’ A u jista’ jilħaq biss ir-riżorsi approvati ta’ A. Kontenituri separati fuq host wieħed ma joħolqux dik is-separazzjoni waħedhom; l-ispazji tal-ismijiet tan-netwerk, ir-rotot u l-politika tal-ħruġ iridu jimplimentawha. Il-konnettur jeħtieġ ukoll kredenzjali u kjuwijiet fl-ambitu tal-inkwilin, għax rotta privata ma tillimitax sigriet kondiviż jew element tax-xogħol kondiviż. Ħaddiema tal-applikazzjoni miġbura huma tajbin sakemm il-kuntest tan-netwerk u l-kredenzjali jintgħażlu għal kull inkwilin, mhux għal kull host.
Il-verifiki tas-saħħa għandhom isemmu l-inkwilin u l-istadju: mina stabbilita, rotta preżenti u talba tas-servizz reali li rnexxiet huma tliet sinjali differenti. Għadd aggregat ta’ mini li huma attivi se jaħbi lill-klijent wieħed li l-konnettur tiegħu huwa miksur.
Ittestja l-passaġġi li għandhom ifallu
Mexxi tliet testijiet qabel it-tnedija. Operazzjoni A permessa għandha tirnexxi, operazzjoni B permessa għandha tirnexxi, u xogħol A indirizzat apposta lejn il-konnettur ta’ B jew l-alias tradott tiegħu għandu jfalli magħluq. Imbagħad ikisser mina waħda u kkonferma li x-xogħol ifalli biss għal dak l-inkwilin, mingħajr ma jaqa’ għas-sottnet tal-istess numru ta’ klijent ieħor. Ir-restawr għandu jiġi ttestjat ukoll, għax rotta qadima jew kredenzjali fil-cache jistgħu jgħixu aktar mill-waqfa.
L-arkitettura tista’ tkun ħaddiema miġbura b’konnetturi iżolati, jew riżorsi tal-inkwilin kompletament separati. L-invarjant huwa l-istess: kuntest tal-inkwilin verifikat jagħżel ir-rotta u l-kredenzjali, u l-ebda bidla fir-rotta qatt ma tagħti permess tal-applikazzjoni bejn l-inkwilini.