طوبولوجيات الشبكة
الطرق الخمس التي تصل بها شبكة العميل إلى TRANXACT، وما يقوم فريق الشبكة بإعداده لشبكة VPN أو اتصال خاص، وتخطيط عنوان /22 وتصميم الشبكة الفرعية، والربط بين المحاور، ونظام أسماء النطاقات والشهادات، والخروج، ووصول المشغل.
تُعدّ الشبكة هي الجزء الذي يُهدر فيه معظم عمليات النشر الوقت. جميع الخيارات المذكورة أدناه متوفرة على AWS وMicrosoft Azure وGoogle Cloud؛ والاختلاف الوحيد هو أسماء المنتجات.
خمسة خيارات للاتصال
| خيار | الحالة | ما هو | يناسب عندما | الراحة والاستجمام |
|---|---|---|---|---|
| بروتوكول HTTPS عام | الافتراضي | يصل المستخدمون إلى TRANXACT من خلال موازن التحميل وجدار حماية تطبيقات الويب عبر TLS 1.2+؛ و SSO من خلال موفر هوية العميل. | كل شيء متاح عبر متصفح الويب أو من خلال تكامل HTTPS. لا حاجة لبناء شبكة؛ أسرع وقت للتشغيل. | INFRA_2.6.01 (قياسي) |
| شبكة VPN من موقع إلى موقع | اختياري | أنفاق IPsec زائدة من شبكة العميل إلى TRANXACT VPC/VNet. | عمليات التكامل الخاصة (MES، الأنظمة القديمة)، قيود الإدارة. | INFRA_2.2.03 – 2.2.05 |
| اتصال خاص | اختياري | AWS Direct Connect، وAzure ExpressRoute، وGoogle Cloud Interconnect. نطاق ترددي وزمن استجابة يمكن التنبؤ بهما؛ وشبكة VPN كمسار احتياطي تلقائي. | حجم بيانات مرتفع وثابت أو سياسة تحظر مسار الإنترنت. | INFRA_2.2.06 – 2.2.07 |
| التناظر / رابط خاص | اختياري | ربط VPC/VNet مع منطقة هبوط العميل في نفس السحابة؛ نقاط نهاية خاصة لخدمات محددة؛ ربط محلي أو عالمي. | يقوم العميل بالفعل بتشغيل منطقة هبوط في نفس السحابة - المسار الخاص ذو أقل زمن استجابة. | INFRA_2.2.08، 2.2.10 |
| مركز النقل | اختياري | بوابة عبور AWS، أو Azure Virtual WAN أو مركز اتصال شبكة GCP؛ يتصل TRANXACT كطرف. | مناطق هبوط محورية. | INFRA_2.2.09 – 2.2.10 |
ما يقوم فريق شبكة العملاء بإعداده، حسب المنطقة
| الصنف | شبكة VPN من موقع إلى موقع (IPsec) | اتصال خاص |
|---|---|---|
| جهاز العميل | جدار حماية أو جهاز توجيه يدعم بروتوكول IPsec مع عنوان IP عام ثابت | جهاز توجيه طرفي للعميل أو مزود الخدمة في موقع التقاء السحابة |
| الأنفاق / الدوائر | نفقان لكل منطقة لفصل بوابات السحابة | يوصى باستخدام دوائر احتياطية؛ وشبكة VPN كمسار احتياطي |
| البروتوكول | IKEv2، AES-256، SHA-256، مجموعة DH 14 أو أعلى (الافتراضي المقترح) | بروتوكول BGP عبر واجهة افتراضية خاصة / اتصال نظير |
| التوجيه | يفضل استخدام بروتوكول BGP؛ ويتم قبول المسارات الثابتة | بروتوكول BGP مع أرقام الأنظمة المستقلة المتفق عليها وفلاتر المسار |
| عرض النطاق الترددي | حتى حد بوابة السحابة المختارة | حجم الدائرة الذي يطلبه العميل، على سبيل المثال 1-10 جيجابت في الثانية |
| منطقة Live DR | زوج ثانٍ من الأنفاق إلى منطقة Live DR (INFRA_2.2.04) | دائرة أو شبكة افتراضية خاصة (VPN) لمنطقة Live DR |
| ملكية | العميل: الجهاز، مزود خدمة الإنترنت، قواعد جدار الحماية المحلية (مستثناة). TRANXACT: بوابة السحابة. | العميل: عقد الدائرة وعقد شركة الاتصالات (مستثنى). TRANXACT: ملحق البوابة. |
اطلب خط اتصال خاص عند توقيع العقد. تستغرق الخطوط عادةً أسابيع من مزود الخدمة؛ استخدم شبكة VPN حتى يصبح الخط جاهزًا.
تخطيط العناوين
- نطاق خاص لا يقل عن /22 (RFC 1918) لكل منطقة - 1024 عنوانًا.
- منطقة ثانية مختلفة /22 لمنطقة Live DR.
- لا يجوز لأي منهما أن يتداخل مع أي شبكة عملاء أو شركاء أو منطقة هبوط - مكاتب أو مراكز بيانات أو سحابات أخرى.
- يتم التخطيط لنطاقات Kubernetes pod و service داخل النطاق أو بجانبه، وتخضع لنفس قاعدة عدم التداخل إذا تم توجيهها.
- تجنب النطاقات المحجوزة والنطاقات المحلية المرتبطة بمزود الخدمة السحابية.
- يُعدّ توفير النطاقات مهمة العميل (INFRA_2.2.02، مستثنى). تغييرها بعد الإنشاء يعني إعادة بناء النظام (INFRA_2.2.12، خدمة إضافية، بناءً على طلب تغيير).
اجمع خطة عناوين IP الكاملة للعميل قبل الاختيار. يؤدي تداخل واحد إلى حظر VPN والربط وتوجيه DR في آن واحد، وقد يؤدي فقدان نطاق /22 واحد إلى تعطيل عملية البناء بأكملها.
الشبكات الفرعية داخل منطقة واحدة
| الشبكة الفرعية | القيود الأكاديمية |
|---|---|
| دخول | موازن الأحمال، جدار حماية تطبيقات الويب، عناوين IP العامة |
| العقدة · AZ1، AZ2، AZ3 | عمال Kubernetes، شبكة فرعية واحدة لكل منطقة |
| قاعدة البيانات | خاص فقط، بدون اتصال بالإنترنت |
| مخرج | بوابة NAT للسماح بالوجهات المدرجة |
| بوابة | إنهاء اتصال VPN / اتصال خاص |
| مسؤل | نقطة وصول معزولة / نقطة وصول بدون ثقة للمشغلين |
إحدى طرق إنشاء 10.40.0.0/22 - مثال توضيحي للتدريب، وليس معيارًا من معايير TRANXACT؛ يحدد مهندس دفتر الأستاذ الخطة الحقيقية في مرحلة التصميم:
Primary region 10.40.0.0/22 (10.40.0.0 - 10.40.3.255)
ingress 10.40.0.0/26
gateway 10.40.0.64/27
admin 10.40.0.96/27
egress (NAT) 10.40.0.128/27
database AZ1 10.40.0.192/27
database AZ2 10.40.0.224/27
nodes AZ1 10.40.1.0/24
nodes AZ2 10.40.2.0/24
nodes AZ3 10.40.3.0/24
Live DR region 10.40.4.0/22 (same layout, never overlapping the primary)التناظر: مركز وأطراف
بالنسبة للعميل الذي لديه منطقة هبوط موجودة في نفس السحابة، تُعتبر TRANXACT بمثابة نقطة ارتكاز، بينما تُعتبر منطقة هبوط العميل بمثابة مركز. وتُمثل نقطة التناظر نقطة الفصل. تنقل بوابة المركز حركة البيانات إلى المكاتب ومراكز البيانات، ويمكن للعميل وضع جدران الحماية الخاصة به أو أجهزة الشبكة الافتراضية في المركز.
يجب السماح صراحةً بالتوجيه المتعدي عبر المركز، ويُعدّ توجيه المركز وفحصه من مسؤولية العميل (INFRA_2.2.10، مستثنى). يجب الاتفاق مع فريق الحوسبة السحابية لدى العميل على ملكية المسارات ونقاط الفحص قبل بدء عملية البناء.
حل الأسماء والشهادات
| يقدم العميل | توفر TRANXACT |
|---|---|
| النطاق أو النطاق الفرعي، على سبيل المثال erp.customer.com (INFRA_2.3.01) | نقاط الدخول في كلا المنطقتين المباشرتين خلف مدير حركة المرور العالمي (INFRA_2.3.03) |
| شهادة CA عامة لاسم المجال المؤهل بالكامل، يُسمح باستخدام الأحرف البديلة (INFRA_2.3.02) - ما لم يتم التعاقد على خيار الشهادة المُدارة (INFRA_2.3.06) | تثبيت وتجديد الشهادة، مع تنبيه انتهاء الصلاحية قبل 30 يومًا (INFRA_2.3.05، TO_4.11.01) |
| سجل نظام أسماء النطاقات العام؛ منطقة خاصة أو إعادة توجيه مشروطة في حالة استخدام الوصول الخاص | مدة صلاحية منخفضة لنظام أسماء النطاقات (DNS TTL)، وأسماء مضيفين خاصة بالمنطقة للمراقبة والتدريبات، ودليل تشغيل تجاوز الفشل لنظام أسماء النطاقات (INFRA_2.3.04). |
يتصل المستخدمون والتكاملات باسم واحد مستقل عن الموقع. ويتم حله من خلال مدير حركة البيانات عبر كلا المنطقتين النشطتين، لذا فإن تجاوز الفشل Live DR لا يتطلب إعادة تكوين في أي مكان.
تجنب استخدام لاحقات .local أو عناوين IP الثابتة أو الأسماء الخاصة بمنطقة معينة في عمليات التكامل. يُعدّ انتهاء صلاحية الشهادة أو فقدان سجل التعافي من الكوارث من أكثر حالات انقطاع الخدمة شيوعًا والتي يمكن تجنبها - لذا أدرج كليهما في دليل التشغيل المشترك.
البيانات قيد النقل
| وارد إلى TRANXACT | صادر من TRANXACT |
|---|---|
| بروتوكول HTTPS فقط (TLS 1.2+) من خلال موازن الأحمال وجدار حماية تطبيقات الويب (WAF). | الخروج عبر NAT مع قائمة وجهات مسموح بها |
| تسجيل الدخول الموحد عبر موفر هوية العميل؛ وتطبيق المصادقة متعددة العوامل هناك. | أمثلة نموذجية: البنوك، وبوابات الضرائب/الفواتير الإلكترونية، ومقدمو خدمات الرواتب، والبريد الإلكتروني، ومحرك الذكاء الاصطناعي |
| واجهات برمجة التطبيقات (APIs) يتم التحقق من صحتها لكل عميل تكامل بأدوار محددة النطاق | تستخدم المكالمات الصادرة بروتوكول TLS؛ ويتم تخزين بيانات الاعتماد في مخزن بيانات سرية. |
| إمكانية السماح بقائمة عناوين IP أو الوصول الخاص فقط | لا يوجد أي اتصال إنترنت آخر من العقد أو قاعدة البيانات |
| يتم تشفير حركة مرور الخدمة داخل المجموعة |
يقوم العميل بإدراج كل وجهة صادرة (INFRA_2.6.03، مستبعدة)؛ يحتفظ TRANXACT بقائمة السماح، طلب خدمة واحد لكل وجهة (INFRA_2.6.02).
يؤدي عدم وجود عنصر في قائمة السماح إلى منع المدفوعات أو الملفات في اليوم الأول. أضفها أثناء مرحلة التصميم، وليس خلال أسبوع الإطلاق.
كيف يدخل مشغلو TRANXACT
- من خلال نقطة وصول ذات ثقة معدومة أو نقطة وصول حصينة في الشبكة الفرعية الإدارية المخصصة. لا يتم كشف أي عقدة أو قاعدة بيانات بشكل مباشر.
- الترقية في الوقت المناسب، والمحددة زمنيًا، والموافقة عليها لكل تغيير أو حادثة - تمت الموافقة عليها من قبل العميل (TO_4.5.05، مستبعد).
- المصادقة متعددة العوامل على هوية كل مشغل؛ أقل الامتيازات؛ قائم على الأدوار.
- يتم تسجيل كل جلسة إدارية وكل استدعاء لواجهة برمجة التطبيقات السحابية، ويمكن تصديرها إلى نظام إدارة معلومات الأمان (SIEM) الخاص بالعميل.
- يتولى المشغلون إدارة المنصة. ولا يتم الوصول إلى بيانات الأعمال إلا بموجب تذكرة معتمدة من العميل.
الاتفاق في مرحلة التصميم على من من جانب العميل يمكنه الموافقة على رفع مستوى المشغل، وما إذا كان يجب التوقيع المشترك على الوصول إلى بيانات الإنتاج.
سيناريوهات التكامل الشائعة
| سيناريو | النمط | الاتجاه | الاتصال | مالك نقطة النهاية |
|---|---|---|---|---|
| الخدمات المصرفية والمدفوعات | واجهة برمجة التطبيقات / بروتوكول نقل الملفات الآمن (SFTP) من مضيف إلى مضيف | كلاهما | قائمة السماح بالخروج؛ رابط خاص عند توفره | العميل |
| الضرائب والفواتير الإلكترونية | واجهة برمجة التطبيقات (API) | مغادرة | قائمة السماح بالخروج | العميل |
| الرواتب والمزايا | واجهة برمجة التطبيقات / بروتوكول نقل الملفات الآمن | كلاهما | قائمة السماح بالخروج أو شبكة VPN | العميل |
| الهوية | الاتحاد (SAML / OIDC)، SCIM | وارد | بروتوكول HTTPS عام | العميل |
| منصات ذكاء الأعمال والبيانات | قراءة واجهة برمجة التطبيقات / استخراج مجدول | مغادرة | رابط خاص أو HTTPS | مشترك |
| الإرث وأرضية المتجر | واجهة برمجة التطبيقات / الأحداث | كلاهما | شبكة افتراضية خاصة أو اتصال خاص | العميل |
| البريد الإلكتروني والإشعارات | SMTP / API | مغادرة | قائمة السماح بالخروج | مشترك |
| محرك الذكاء الاصطناعي لتطبيق ASK | واجهة برمجة التطبيقات (API) | مغادرة | قائمة السماح بالخروج | TRANXACT، أو العميل الذي لديه جهاز BYOK |
تتم جميع عمليات التكامل من خلال واجهات برمجة تطبيقات TRANXACT أو نقل الملفات المُدار. لا يوجد اتصال مباشر بقاعدة البيانات.
القيم المحددة كقيم افتراضية مقترحة هي نقاط البداية الموصى بها في دليل النشر. يرجى تأكيد كل قيمة على حدة لكل عميل؛ وتُعتبر بنود العقد ونموذج الطلب واتفاقية مستوى الخدمة واتفاقية حماية البيانات هي المرجع الأساسي في هذا الشأن.
خذ الدورة التدريبية حول هذا الموضوع، مع الرسوم التوضيحية والتحقق.