Si të drejtohet trafiku SaaS drejt VPN-së së saktë të klientit
Nënrrjetet e klientëve që mbivendosen prishin rrugëtimin e përbashkët. Zgjidhni një model izolimi, lidhni çdo punë me një qiramarrës të verifikuar dhe testoni shtigjet mes qiramarrësve përpara lancimit.
Një platformë SaaS lidhet me një duzinë rrjetesh klientësh, dhe dy prej këtyre klientëve përdorin të dy 10.20.0.10 për bazën e tyre primare të të dhënave. Një punonjës që merr atë adresë në një punë nuk ka asnjë mënyrë për të ditur cilën bazë të dhënash nënkupton puna, dhe një tabelë rrugëtimi e përbashkët do ta dërgojë me kënaqësi në tunelin që tregon prefiksi. Zgjidhja nuk është më shumë tunele; zgjidhja është të vendosësh ku identiteti i qiramarrësit hyn në shteg dhe çfarë modeli izolimi kërkon plani i adresave. Tre kushte e vendosin zgjedhjen: nëse prefikset e klientëve mbivendosen, sa larg mund të përhapet një gabim dhe kush e operon lidhësin.
Dy baza të dhënash klientësh, një adresë destinacioni
Një adresë IP është vendndodhje, jo identitet. Kërkesa duhet të mbajë një qiramarrës që serveri e ka verifikuar, dhe ai qiramarrës duhet të zgjedhë kontekstin e rrjetit përpara se destinacioni të zgjidhet.
Kur kjo nuk ndodh, dështimi është i qetë. Lidhja ka sukses, pyetja ekzekutohet dhe përgjigjja vjen nga baza e të dhënave e klientit të gabuar, sepse tabela e rrugëtimit kishte një hyrje për 10.20.0.10. DNS e përkeqëson: një emër i ruajtur në cache i zgjidhur në kontekstin e qiramarrësit A mund të ripërdoret nga një punë që ekzekutohet për qiramarrësin B. Asgjë në paketë nuk i dallon të dy, kështu që asnjë logjikë e ripërpjekjes nuk e rregullon.
Vendosni fillimisht modelin e izolimit
Shkruani tre kushtet përpara se të krahasoni produkte. Mbivendosja vendos nëse një hapësirë adresash mund të ndahet fare; rrezja e ndikimit vendos nëse një gabim rrugëtimi është një tiketë suporti apo një shkelje; pronësia operacionale vendos nëse mund të operoni një flotë lidhësish për çdo qiramarrës.
| Condition | Hub with per-tenant route tables | Per-tenant connector context |
|---|---|---|
| Customer CIDRs overlap | No, unless you add 1:1 NAT | Yes, each context keeps its own view |
| A mistake must stay inside one VPC | Weak, routing is shared infrastructure | Strong, each connector has its own egress |
| You can run one fleet per tenant | Not required | Required |
Nëse prefikset janë të dallueshëm dhe politika lejon një hub të kontrolluar, një Transit Gateway me tabela rrugëtimi për çdo qiramarrës është i izvedhshëm. Shoqërimi i bashkëngjitjes zgjedh tabelën e rrugëtimit që përdoret për trafikun që hyn nga ajo bashkëngjitje, dhe përhapja zgjedh cilat rrugë shfaqen në një tabelë. Një bashkëngjitje qiramarrësi e shoqëruar vetëm me tabelën e vet dhe që përhap vetëm prefikset e veta arrin hubin dhe asgjë tjetër. Ky është një vendim rrugëtimi, dhe mbetet i saktë vetëm përderisa askush nuk shton një rrugë të paracaktuar në tabelën e përbashkët.
Nëse prefikset mbivendosen, rrugëtimi i vetëm nuk mund t'i ndajë. Ju nevojitet ose një kontekst rrjeti i veçantë për çdo qiramarrës, ose një plan përkthimi që i jep hapësirës së çdo klienti një kuptim të padyshimtë.
Çfarë do të thotë vërtet izolimi i Transit Gateway
Shoqërimi dhe përhapja janë dy kontrollet që kanë rëndësi, dhe është e lehtë t'i ngatërrosh. Shoqërimi përgjigjet se në cilin tabelë kërkohet një paketë nga kjo bashkëngjitje; përhapja përgjigjet se cilat tabela mësojnë rrugët e kësaj bashkëngjitje. Izolimi vjen duke i bërë të dyja specifike për qiramarrësin, jo duke krijuar më shumë bashkëngjitje.
Një konfigurim i paracaktuar të gjithë-me-të gjithë është i përshtatshëm dhe nuk është izolim. Tabelat e veçanta të rrugëtimit kufizojnë lidhshmërinë, por nuk i japin një adrese destinacioni të pandryshuar dy kuptime brenda të njëjtit kontekst rrugëtimi. Nëse aplikacioni zgjidh 10.20.0.10 përpara se ta njohë qiramarrësin, shtresa e rrugëtimit e ka humbur tashmë informacionin që do t'i duhej.
AWS shtoi më 23 tetor 2026 NAT 1:1 në nivel bashkëngjitjeje për Transit Gateway dhe Cloud WAN, çka ndryshon përgjigjen e mbivendosjes për bashkëngjitjet e mbështetura. Dokumentacioni i NAT të Transit Gateway përshkruan mapime IPv4 statike, pa gjendje dhe me prefiks të barabartë me bitet e hostit të ruajtura. Kontrolloni llojet e bashkëngjitjeve të mbështetura dhe kufizimet rajonale përpara se të projektoni rreth kësaj.
Lidhni punën me një qiramarrës të verifikuar
Çdo punë duhet të mbajë një identitet qiramarrësi të verifikuar nga serveri, dhe ai identitet duhet të zgjedhë një regjistrim lidhjeje në pronësi të administratorit. Regjistrimi emërton kontekstin e miratuar të rrjetit, adresën e shërbimit, referencën e kredencialeve dhe operacionet e lejuara atje. Një kërkesë e pabesueshme nuk duhet të sigurojë kurrë identifikuesin e vet të VPN-së, portalin ose objektivin privat, sepse një hyrje e vlefshme nuk është leje për të hetuar hapësirën e adresave të çdo klienti të lidhur.
Në një dizajn me lidhës të izoluar, puna e qiramarrësit A shkon te një lidhës specifik për A që ekzekutohet në VPC-në e A dhe mund të arrijë vetëm burimet e miratuara të A. Kontejnerët e veçantë në një host nuk e krijojnë vetë atë ndarje; hapësirat e emrave të rrjetit, rrugët dhe politika e daljes duhet ta zbatojnë atë. Lidhësi ka nevojë gjithashtu për kredenciale dhe radhë të kufizuara sipas qiramarrësit, pasi një rrugë private nuk kufizon një sekret të përbashkët ose një artikull pune të përbashkët. Punëtorët e aplikacionit të grupuar janë në rregull përderisa konteksti i rrjetit dhe kredencialet zgjidhen për çdo qiramarrës, jo për çdo host.
Kontrollet e shëndetit duhet të emërtojnë qiramarrësin dhe fazën: tunel i vendosur, rrugë e pranishme dhe një kërkesë reale shërbimi e suksesshme janë tre sinjale të ndryshme. Një numërim i përgjithshëm i tuneleve aktive do të fshehë klientin e vetëm, lidhësi i të cilit është thyer.
Testoni shtigjet që duhet të dështojnë
Ekzekutoni tre teste përpara lancimit. Një operacion A i lejuar duhet të ketë sukses, një operacion B i lejuar duhet të ketë sukses, dhe një punë A e drejtuar qëllimisht drejt lidhësit të B ose aliasit të tij të përkthyer duhet të dështojë e mbyllur. Më pas thyeni një tunel dhe konfirmoni që puna dështon vetëm për atë qiramarrës, pa rënë në nënrrjetin me të njëjtin numër të një klienti tjetër. Edhe rikthimi duhet të testohet, sepse një rrugë e vjetëruar ose kredenciale të ruajtura në cache mund t'i mbijetojnë ndërprerjes.
Arkitektura mund të jetë punëtorë të grupuar me lidhës të izoluar, ose burime qiramarrësi plotësisht të ndara. Invarianti është i njëjtë: konteksti i verifikuar i qiramarrësit zgjedh rrugën dhe kredencialet, dhe asnjë ndryshim rruge nuk i jep kurrë aplikacionit leje mes qiramarrësve.