Cách định tuyến lưu lượng SaaS đến VPN đúng của khách hàng
Các mạng con khách hàng chồng lấn làm hỏng định tuyến chung. Chọn một mô hình cô lập, gắn mỗi công việc với một bên thuê đã xác minh và kiểm tra các đường đi giữa các bên thuê trước khi ra mắt.
Một nền tảng SaaS kết nối ra hàng chục mạng khách hàng, và hai trong số các khách hàng đó đều dùng 10.20.0.10 cho cơ sở dữ liệu chính của họ. Một worker nhận địa chỉ đó trong một công việc không có cách nào biết công việc muốn nói đến cơ sở dữ liệu nào, và một bảng định tuyến dùng chung sẽ vui vẻ gửi nó đến đường hầm mà tiền tố chỉ tới. Giải pháp không phải là thêm đường hầm; mà là quyết định nơi danh tính bên thuê đi vào đường đi và mô hình cô lập nào mà kế hoạch địa chỉ yêu cầu. Ba điều kiện quyết định lựa chọn: các tiền tố khách hàng có chồng lấn không, một lỗi có thể lan xa đến đâu, và ai vận hành bộ kết nối.
Hai cơ sở dữ liệu khách hàng, một địa chỉ đích
Địa chỉ IP là một vị trí, không phải danh tính. Yêu cầu phải mang một bên thuê mà máy chủ đã xác minh, và bên thuê đó phải chọn ngữ cảnh mạng trước khi đích được phân giải.
Khi điều đó không xảy ra, thất bại diễn ra âm thầm. Kết nối thành công, truy vấn chạy, và câu trả lời đến từ cơ sở dữ liệu của khách hàng sai vì bảng định tuyến chỉ có một mục cho 10.20.0.10. DNS làm tệ hơn: một tên đã lưu trong bộ nhớ đệm được phân giải trong ngữ cảnh của bên thuê A có thể bị một công việc chạy cho bên thuê B dùng lại. Không có gì trong gói tin phân biệt hai bên, nên không lượng logic thử lại nào sửa được.
Quyết định mô hình cô lập trước
Viết ba điều kiện ra trước khi so sánh sản phẩm. Sự chồng lấn quyết định liệu một không gian địa chỉ có thể được chia sẻ; bán kính ảnh hưởng quyết định liệu một lỗi định tuyến là phiếu hỗ trợ hay vi phạm; quyền sở hữu vận hành quyết định liệu bạn có thể vận hành một đội bộ kết nối cho mỗi bên thuê.
| Condition | Hub with per-tenant route tables | Per-tenant connector context |
|---|---|---|
| Customer CIDRs overlap | No, unless you add 1:1 NAT | Yes, each context keeps its own view |
| A mistake must stay inside one VPC | Weak, routing is shared infrastructure | Strong, each connector has its own egress |
| You can run one fleet per tenant | Not required | Required |
Nếu các tiền tố khác nhau và chính sách cho phép một trung tâm được kiểm soát, một Transit Gateway với bảng định tuyến cho mỗi bên thuê là khả thi. Liên kết gắn kết chọn bảng định tuyến dùng cho lưu lượng đi vào từ gắn kết đó, và việc lan truyền chọn những tuyến nào xuất hiện trong một bảng. Một gắn kết của bên thuê chỉ liên kết với bảng của chính nó và chỉ lan truyền các tiền tố của chính nó sẽ đến trung tâm và không đến nơi nào khác. Đó là một quyết định định tuyến, và nó chỉ đúng chừng nào không ai thêm một tuyến mặc định vào bảng dùng chung.
Nếu các tiền tố chồng lấn, chỉ định tuyến không thể tách chúng. Bạn cần ngữ cảnh mạng riêng cho mỗi bên thuê hoặc một kế hoạch chuyển đổi cho mỗi không gian khách hàng một ý nghĩa rõ ràng.
Cô lập Transit Gateway thực sự có nghĩa là gì
Liên kết và lan truyền là hai núm điều khiển quan trọng, và dễ nhầm lẫn chúng. Liên kết trả lời gói tin từ gắn kết này được tra trong bảng nào; lan truyền trả lời bảng nào học các tuyến của gắn kết này. Cô lập đến từ việc làm cho cả hai đặc thù theo bên thuê, không phải từ việc tạo thêm gắn kết.
Cấu hình mặc định tất cả-với-tất cả là tiện lợi và không phải là cô lập. Các bảng định tuyến riêng hạn chế kết nối, nhưng chúng không cho một địa chỉ đích không đổi hai ý nghĩa trong cùng một ngữ cảnh định tuyến. Nếu ứng dụng phân giải 10.20.0.10 trước khi biết bên thuê, lớp định tuyến đã mất thông tin cần thiết.
AWS đã thêm NAT 1:1 cấp gắn kết cho Transit Gateway và Cloud WAN vào ngày 23 tháng Mười năm 2026, điều này thay đổi câu trả lời về chồng lấn cho các gắn kết được hỗ trợ. Tài liệu NAT của Transit Gateway mô tả các ánh xạ IPv4 tĩnh, không trạng thái và cùng tiền tố với các bit máy chủ được giữ nguyên. Kiểm tra các loại gắn kết được hỗ trợ và ràng buộc khu vực trước khi thiết kế xoay quanh điều này.
Gắn công việc với bên thuê đã xác minh
Mỗi công việc nên mang danh tính bên thuê do máy chủ xác minh, và danh tính đó nên chọn một bản ghi kết nối do quản trị viên sở hữu. Bản ghi nêu ngữ cảnh mạng đã được phê duyệt, địa chỉ dịch vụ, tham chiếu thông tin xác thực và các thao tác được phép ở đó. Một yêu cầu không đáng tin cậy không bao giờ được cung cấp định danh VPN, cổng hay mục tiêu riêng của nó, vì đăng nhập hợp lệ không phải là quyền thăm dò không gian địa chỉ của mọi khách hàng đã kết nối.
Trong thiết kế bộ kết nối cô lập, công việc của bên thuê A đi đến một bộ kết nối riêng cho A chạy trong VPC của A và chỉ có thể chạm tới các tài nguyên được phê duyệt của A. Các container riêng trên một máy chủ không tự tạo ra sự tách biệt đó; không gian tên mạng, tuyến và chính sách ra phải thực hiện nó. Bộ kết nối cũng cần thông tin xác thực và hàng đợi trong phạm vi bên thuê, vì một tuyến riêng không giới hạn một bí mật chung hay một mục công việc chung. Worker ứng dụng dùng chung vẫn ổn miễn là ngữ cảnh mạng và thông tin xác thực được chọn theo bên thuê, không theo máy chủ.
Kiểm tra sức khỏe nên nêu bên thuê và giai đoạn: đường hầm được thiết lập, tuyến hiện diện và một yêu cầu dịch vụ thực sự thành công là ba tín hiệu khác nhau. Một con số tổng hợp các đường hầm đang hoạt động sẽ che giấu khách hàng duy nhất có bộ kết nối bị hỏng.
Kiểm tra các đường đi phải thất bại
Chạy ba bài kiểm tra trước khi ra mắt. Một thao tác A được phép phải thành công, một thao tác B được phép phải thành công, và một công việc A cố ý nhắm vào bộ kết nối của B hoặc bí danh đã dịch của nó phải thất bại theo kiểu đóng. Sau đó cắt một đường hầm và xác nhận công việc chỉ thất bại cho bên thuê đó, không rơi xuống mạng con cùng số của một khách hàng khác. Việc khôi phục cũng nên được kiểm tra, vì một tuyến cũ hoặc thông tin xác thực đã lưu trong bộ nhớ đệm có thể sống lâu hơn sự cố.
Kiến trúc có thể là worker dùng chung với bộ kết nối cô lập, hoặc tài nguyên bên thuê hoàn toàn tách biệt. Bất biến là như nhau: ngữ cảnh bên thuê đã xác minh chọn tuyến và thông tin xác thực, và không thay đổi tuyến nào từng cấp quyền ứng dụng giữa các bên thuê.