SaaS போக்குவரத்தை சரியான வாடிக்கையாளர் VPN-க்கு எவ்வாறு வழிமாற்றுவது
ஒன்றின் மீது ஒன்று படரும் வாடிக்கையாளர் துணைப்பிணையங்கள் பகிரப்பட்ட வழிமாற்றலை உடைக்கின்றன. ஒரு தனிமைப்படுத்தல் மாதிரியைத் தேர்ந்தெடுத்து, ஒவ்வொரு பணியையும் சரிபார்க்கப்பட்ட குத்தகைதாரருடன் இணைத்து, தொடக்கத்திற்கு முன் குத்தகைதாரர்களுக்கு இடையேயான பாதைகளைச் சோதிக்கவும்.
ஒரு SaaS தளம் பன்னிரண்டு வாடிக்கையாளர் வலையமைப்புகளுடன் இணைகிறது, அந்த வாடிக்கையாளர்களில் இருவர் தங்கள் முதன்மை தரவுத்தளத்திற்கு 10.20.0.10 பயன்படுத்துகின்றனர். ஒரு பணியில் அந்த முகவரியைப் பெறும் பணியாளருக்கு பணி எந்த தரவுத்தளத்தைக் குறிக்கிறது என்பதை அறிய வழியில்லை, பகிரப்பட்ட வழிமாற்றல் அட்டவணை முன்னொட்டு சுட்டும் சுரங்கப்பாதைக்கு அதை மகிழ்ச்சியுடன் அனுப்பும். தீர்வு அதிக சுரங்கப்பாதைகள் அல்ல; தீர்வு என்பது குத்தகைதாரர் அடையாளம் பாதையில் எங்கு நுழைகிறது, முகவரி திட்டத்திற்கு எந்த தனிமைப்படுத்தல் மாதிரி தேவை என்பதை முடிவு செய்வதாகும். மூன்று நிபந்தனைகள் இந்தத் தேர்வைத் தீர்மானிக்கின்றன: வாடிக்கையாளர் முன்னொட்டுகள் ஒன்றின் மீது ஒன்று படர்கின்றனவா, ஒரு பிழை எவ்வளவு தூரம் பரவலாம், இணைப்பியை யார் இயக்குகிறார்.
இரண்டு வாடிக்கையாளர் தரவுத்தளங்கள், ஒரு இலக்கு முகவரி
IP முகவரி ஒரு இடம், அடையாளம் அல்ல. கோரிக்கை சேவையகம் சரிபார்த்த குத்தகைதாரரைக் கொண்டு செல்ல வேண்டும், இலக்கு தீர்க்கப்படும் முன் அந்தக் குத்தகைதாரர் வலையமைப்பு சூழலைத் தேர்ந்தெடுக்க வேண்டும்.
அவ்வாறு நடக்காதபோது, தோல்வி அமைதியாக இருக்கும். இணைப்பு வெற்றி பெறுகிறது, வினவல் இயங்குகிறது, வழிமாற்றல் அட்டவணையில் 10.20.0.10-க்கு ஒரே பதிவு இருந்ததால் பதில் தவறான வாடிக்கையாளரின் தரவுத்தளத்திலிருந்து வருகிறது. DNS இதை மோசமாக்குகிறது: குத்தகைதாரர் A சூழலில் தீர்க்கப்பட்ட தற்காலிகச் சேமிப்பில் உள்ள பெயரை குத்தகைதாரர் B-க்காக இயங்கும் பணி மீண்டும் பயன்படுத்தலாம். தொகுப்பில் எதுவும் இரண்டையும் வேறுபடுத்தாது, எனவே எந்த மறுமுயற்சி தர்க்கமும் இதைச் சரிசெய்யாது.
முதலில் தனிமைப்படுத்தல் மாதிரியை முடிவு செய்யுங்கள்
தயாரிப்புகளை ஒப்பிடுவதற்கு முன் மூன்று நிபந்தனைகளையும் எழுதுங்கள். மேற்பொருந்துதல் ஒரு முகவரி இடத்தைப் பகிர முடியுமா என்பதைத் தீர்மானிக்கிறது; தாக்க வீச்சு வழிமாற்றல் பிழை ஒரு ஆதரவு டிக்கெட்டா அல்லது மீறலா என்பதைத் தீர்மானிக்கிறது; செயல்பாட்டு உரிமை ஒவ்வொரு குத்தகைதாரருக்கும் ஒரு இணைப்பி கடற்படையை இயக்க முடியுமா என்பதைத் தீர்மானிக்கிறது.
| Condition | Hub with per-tenant route tables | Per-tenant connector context |
|---|---|---|
| Customer CIDRs overlap | No, unless you add 1:1 NAT | Yes, each context keeps its own view |
| A mistake must stay inside one VPC | Weak, routing is shared infrastructure | Strong, each connector has its own egress |
| You can run one fleet per tenant | Not required | Required |
முன்னொட்டுகள் வேறுபட்டிருந்தால், கொள்கை ஒரு கட்டுப்படுத்தப்பட்ட மையத்தை அனுமதித்தால், ஒவ்வொரு குத்தகைதாரருக்கும் வழிமாற்றல் அட்டவணைகளுடன் ஒரு Transit Gateway சாத்தியமாகும். இணைப்புச் சேர்ப்பு அந்த இணைப்பிலிருந்து வரும் போக்குவரத்திற்குப் பயன்படுத்தப்படும் வழிமாற்றல் அட்டவணையைத் தேர்ந்தெடுக்கிறது, பரப்புதல் அட்டவணையில் எந்தப் பாதைகள் தோன்றும் என்பதைத் தேர்ந்தெடுக்கிறது. தனது சொந்த அட்டவணையுடன் மட்டுமே இணைக்கப்பட்டு தனது சொந்த முன்னொட்டுகளை மட்டுமே பரப்பும் குத்தகைதாரர் இணைப்பு மையத்தை அடைகிறது, வேறு எதையும் அடையாது. அது ஒரு வழிமாற்றல் முடிவு, யாரும் பகிரப்பட்ட அட்டவணையில் இயல்புநிலைப் பாதையைச் சேர்க்காத வரை அது சரியாகவே இருக்கும்.
முன்னொட்டுகள் ஒன்றின் மீது ஒன்று படர்ந்தால், வழிமாற்றல் மட்டும் அவற்றைப் பிரிக்க முடியாது. ஒவ்வொரு குத்தகைதாரருக்கும் தனி வலையமைப்பு சூழல் அல்லது ஒவ்வொரு வாடிக்கையாளர் இடத்திற்கும் தெளிவான பொருள் தரும் மொழிபெயர்ப்புத் திட்டம் தேவை.
Transit Gateway தனிமைப்படுத்தல் உண்மையில் என்ன பொருள்
சேர்ப்பும் பரப்புதலும் முக்கியமான இரண்டு கட்டுப்பாடுகள், அவற்றைக் குழப்புவது எளிது. சேர்ப்பு இந்த இணைப்பின் தொகுப்பு எந்த அட்டவணையில் தேடப்படுகிறது என்பதைப் பதிலளிக்கிறது; பரப்புதல் எந்த அட்டவணைகள் இந்த இணைப்பின் பாதைகளைக் கற்கின்றன என்பதைப் பதிலளிக்கிறது. தனிமைப்படுத்தல் இரண்டையும் குத்தகைதாரர்-குறிப்பிட்டதாக ஆக்குவதால் வருகிறது, மேலும் இணைப்புகளை உருவாக்குவதால் அல்ல.
இயல்புநிலை அனைவருக்கும்-அனைவரிடமிருந்தும் அமைப்பு வசதியானது, அது தனிமைப்படுத்தல் அல்ல. தனி வழிமாற்றல் அட்டவணைகள் இணைப்பைக் கட்டுப்படுத்துகின்றன, ஆனால் ஒரே வழிமாற்றல் சூழலில் ஒரு மாறாத இலக்கு முகவரிக்கு இரண்டு பொருள்களைத் தருவதில்லை. பயன்பாடு குத்தகைதாரரை அறியும் முன் 10.20.0.10-ஐத் தீர்த்தால், வழிமாற்றல் அடுக்கு தேவையான தகவலை ஏற்கனவே இழந்துவிட்டது.
AWS 2026 அக்டோபர் 23 அன்று Transit Gateway மற்றும் Cloud WAN-க்கான இணைப்பு-நிலை 1:1 NAT-ஐச் சேர்த்தது, இது ஆதரிக்கப்படும் இணைப்புகளுக்கான மேற்பொருந்துதல் பதிலை மாற்றுகிறது. Transit Gateway NAT ஆவணம் புரவலன் பிட்களைப் பாதுகாத்து நிலையான, நிலையற்ற, சம-முன்னொட்டு IPv4 வரைபடங்களை விவரிக்கிறது. அதைச் சுற்றி வடிவமைப்பதற்கு முன் ஆதரிக்கப்படும் இணைப்பு வகைகளையும் பிராந்தியக் கட்டுப்பாடுகளையும் சரிபார்க்கவும்.
பணியைச் சரிபார்க்கப்பட்ட குத்தகைதாரருடன் இணைக்கவும்
ஒவ்வொரு பணியும் சேவையகத்தால் சரிபார்க்கப்பட்ட குத்தகைதாரர் அடையாளத்தைக் கொண்டு செல்ல வேண்டும், அந்த அடையாளம் நிர்வாகியின் உரிமையிலான இணைப்புப் பதிவைத் தேர்ந்தெடுக்க வேண்டும். பதிவு அங்கீகரிக்கப்பட்ட வலையமைப்பு சூழல், சேவை முகவரி, சான்றுகளின் குறிப்பு மற்றும் அங்கு அனுமதிக்கப்பட்ட செயல்பாடுகளைக் குறிப்பிடுகிறது. நம்பத்தகாத கோரிக்கை ஒருபோதும் தனது சொந்த VPN அடையாளங்காட்டி, நுழைவாயில் அல்லது தனிப்பட்ட இலக்கை வழங்கக்கூடாது, ஏனெனில் செல்லுபடியாகும் உள்நுழைவு ஒவ்வொரு இணைக்கப்பட்ட வாடிக்கையாளரின் முகவரி இடத்தையும் ஆராய அனுமதி அல்ல.
தனிமைப்படுத்தப்பட்ட இணைப்பிகள் கொண்ட வடிவமைப்பில், குத்தகைதாரர் A-வின் பணி A-க்கு உரிய இணைப்பிக்குச் செல்கிறது, அது A-வின் VPC-யில் இயங்கி A-வின் அங்கீகரிக்கப்பட்ட வளங்களை மட்டுமே அடையும். ஒரே புரவலனில் தனி கொள்கலன்கள் அந்தப் பிரிப்பைத் தாமாகவே உருவாக்காது; வலையமைப்பு பெயர்வெளிகள், பாதைகள் மற்றும் வெளியேற்றக் கொள்கை அதைச் செயல்படுத்த வேண்டும். இணைப்பிக்கு குத்தகைதாரர் வரம்புடைய சான்றுகளும் வரிசைகளும் தேவை, ஏனெனில் தனிப்பட்ட பாதை பகிரப்பட்ட ரகசியத்தையோ பகிரப்பட்ட பணி உருப்படியையோ வரம்பிடாது. புரவலனுக்கு அல்ல, குத்தகைதாரருக்கு ஏற்ப வலையமைப்பு சூழலும் சான்றுகளும் தேர்ந்தெடுக்கப்படும் வரை பகிரப்பட்ட பயன்பாட்டு பணியாளர்கள் நல்லவர்கள்.
சுகாதாரச் சோதனைகள் குத்தகைதாரரையும் நிலையையும் குறிப்பிட வேண்டும்: சுரங்கப்பாதை நிறுவப்பட்டது, பாதை உள்ளது மற்றும் உண்மையான சேவைக் கோரிக்கை வெற்றி பெற்றது ஆகியவை மூன்று வேறுபட்ட சமிக்ஞைகள். இயங்கும் சுரங்கப்பாதைகளின் மொத்த எண்ணிக்கை இணைப்பி உடைந்த அந்த ஒரே வாடிக்கையாளரை மறைக்கும்.
தோல்வியடைய வேண்டிய பாதைகளைச் சோதிக்கவும்
தொடக்கத்திற்கு முன் மூன்று சோதனைகளை இயக்கவும். அனுமதிக்கப்பட்ட A செயல்பாடு வெற்றி பெற வேண்டும், அனுமதிக்கப்பட்ட B செயல்பாடு வெற்றி பெற வேண்டும், வேண்டுமென்றே B-யின் இணைப்பி அல்லது அதன் மொழிபெயர்க்கப்பட்ட மாற்றுப் பெயரை நோக்கிய A பணி மூடப்பட்டதாகத் தோல்வியடைய வேண்டும். பின்னர் ஒரு சுரங்கப்பாதையை உடைத்து, பணி அந்தக் குத்தகைதாரருக்கு மட்டுமே தோல்வியடைகிறது என்பதை உறுதிப்படுத்தவும், மற்ற வாடிக்கையாளரின் அதே-எண் துணைப்பிணையத்திற்குத் திரும்பாமல். மீட்பும் சோதிக்கப்பட வேண்டும், ஏனெனில் பழைய பாதை அல்லது தற்காலிகச் சேமிப்பில் உள்ள சான்றுகள் இடைநிறுத்தத்தை விட நீடிக்கலாம்.
வடிவமைப்பு தனிமைப்படுத்தப்பட்ட இணைப்பிகளுடன் கூடிய பகிரப்பட்ட பணியாளர்களாகவோ முழுமையாகப் பிரிக்கப்பட்ட குத்தகைதாரர் வளங்களாகவோ இருக்கலாம். மாறாதது ஒன்றே: சரிபார்க்கப்பட்ட குத்தகைதாரர் சூழல் பாதையையும் சான்றுகளையும் தேர்ந்தெடுக்கிறது, எந்தப் பாதை மாற்றமும் குத்தகைதாரர்களிடையே பயன்பாட்டு அனுமதியை ஒருபோதும் தராது.