TRANXACT.AI সাহায্য

নেটওয়ার্ক টপোলজি

গ্রাহকের নেটওয়ার্ক TRANXACT-এ পৌঁছানোর পাঁচটি উপায়, একটি VPN বা প্রাইভেট কানেকশনের জন্য নেটওয়ার্ক টিম কী প্রস্তুতি নেয়, /22 অ্যাড্রেস পরিকল্পনা এবং সাবনেট লেআউট, হাব-অ্যান্ড-স্পোক পিয়ারিং, DNS এবং সার্টিফিকেট, ইগ্রেস, এবং অপারেটর অ্যাক্সেস।

নেটওয়ার্কের কারণেই বেশিরভাগ ডেপ্লয়মেন্টে সময় নষ্ট হয়। নিচের প্রতিটি অপশনই AWS, Microsoft Azure এবং Google Cloud-এ পাওয়া যায়; শুধু প্রোডাক্টের নামগুলো ভিন্ন।

পাঁচটি সংযোগ বিকল্প

বিকল্পঅবস্থাএটা কিযখন মানানসই হয়আরএন্ডআর
পাবলিক HTTPSডিফল্টব্যবহারকারীরা লোড ব্যালেন্সার এবং WAF-এর মাধ্যমে TLS 1.2+ ব্যবহার করে TRANXACT-এ পৌঁছান; গ্রাহকের IdP-এর মাধ্যমে SSO সম্পন্ন হয়।সবকিছুই ওয়েব ব্যবহারকারী অথবা HTTPS ইন্টিগ্রেশন। কোনো নেটওয়ার্ক তৈরির প্রয়োজন নেই; সবচেয়ে দ্রুত লাইভ হয়।INFRA_2.6.01 (মানক)
সাইট-টু-সাইট ভিপিএনঐচ্ছিকগ্রাহক নেটওয়ার্ক থেকে TRANXACT VPC/VNet পর্যন্ত রিডান্ড্যান্ট IPsec টানেল।ব্যক্তিগত ইন্টিগ্রেশন (এমইএস, লিগ্যাসি), অ্যাডমিন সীমাবদ্ধতা।ইনফ্রা_২.২.০৩ – ২.২.০৫
ব্যক্তিগত সংযোগঐচ্ছিকAWS Direct Connect, Azure ExpressRoute, Google Cloud Interconnect। অনুমানযোগ্য ব্যান্ডউইথ ও ল্যাটেন্সি; স্বয়ংক্রিয় ব্যাকআপ পাথ হিসেবে ভিপিএন।উচ্চ ও স্থিতিশীল পরিমাণ অথবা এমন একটি নীতি যা ইন্টারনেট সংযোগ নিষিদ্ধ করে।ইনফ্রা_২.২.০৬ – ২.২.০৭
পিয়ারিং / ব্যক্তিগত লিঙ্কঐচ্ছিকএকই ক্লাউডে গ্রাহকের ল্যান্ডিং জোনের সাথে VPC/VNet পিয়ারিং; নির্বাচিত পরিষেবাগুলির জন্য প্রাইভেট এন্ডপয়েন্ট; লোকাল বা গ্লোবাল পিয়ারিং।গ্রাহক ইতিমধ্যেই একই ক্লাউডে একটি ল্যান্ডিং জোন পরিচালনা করেন — যা সর্বনিম্ন ল্যাটেন্সির প্রাইভেট পাথ।ইনফ্রা_২.২.০৮, ২.২.১০
ট্রানজিট হাবঐচ্ছিকAWS ট্রানজিট গেটওয়ে, অ্যাজুর ভার্চুয়াল ওয়ান বা জিসিপি নেটওয়ার্ক কানেক্টিভিটি সেন্টার; TRANXACT একটি স্পোক হিসেবে সংযুক্ত হয়।হাব-অ্যান্ড-স্পোক ল্যান্ডিং জোন।ইনফ্রা_২.২.০৯ – ২.২.১০

অঞ্চল অনুযায়ী গ্রাহক নেটওয়ার্ক টিম যা প্রস্তুত করে

আইটেমসাইট-টু-সাইট ভিপিএন (আইপিএসইসি)ব্যক্তিগত সংযোগ
গ্রাহকের ডিভাইসএকটি স্ট্যাটিক পাবলিক আইপি সহ একটি IPsec-সক্ষম ফায়ারওয়াল বা রাউটারক্লাউড মিট-মি লোকেশনে অবস্থিত একটি কাস্টমার বা ক্যারিয়ার এজ রাউটার
টানেল / সার্কিটপ্রতিটি অঞ্চলের জন্য দুটি টানেল পৃথক ক্লাউড গেটওয়েতেঅতিরিক্ত সার্কিট ব্যবহারের পরামর্শ দেওয়া হচ্ছে; ব্যাকআপ পথ হিসেবে ভিপিএন ব্যবহার করুন।
প্রোটোকলIKEv2, AES-256, SHA-256, DH গ্রুপ ১৪ বা উচ্চতর (প্রস্তাবিত ডিফল্ট)একটি ব্যক্তিগত ভার্চুয়াল ইন্টারফেস / পিয়ারিং এর মাধ্যমে BGP
রাউটিংবিজিপি পছন্দনীয়; স্ট্যাটিক রুট গ্রহণযোগ্য।সম্মত ASN এবং রুট ফিল্টার সহ BGP
ব্যান্ডউইথনির্বাচিত ক্লাউডের গেটওয়ে সীমা পর্যন্তগ্রাহকের অর্ডার করা সার্কিটের আকার, যেমন—১–১০ জিবিপিএস
Live DR অঞ্চলLive DR অঞ্চলে (INFRA_2.2.04) যাওয়ার জন্য দ্বিতীয় জোড়া টানেলLive DR অঞ্চলে একটি সার্কিট বা ভিপিএন
মালিকানাগ্রাহক: ডিভাইস, আইএসপি, অন-প্রিমিস ফায়ারওয়াল নিয়মাবলী (বাদ দেওয়া হয়েছে)। TRANXACT: ক্লাউড গেটওয়ে।গ্রাহক: সার্কিট এবং ক্যারিয়ার চুক্তি (বাদ দেওয়া হয়েছে)। TRANXACT: গেটওয়ে সংযুক্তি।

চুক্তি স্বাক্ষরের সময় একটি প্রাইভেট-কানেকশন সার্কিটের অর্ডার দিন। ক্যারিয়ারের কাছ থেকে সার্কিট পেতে প্রায়ই কয়েক সপ্তাহ সময় লাগে; সার্কিটটি চালু না হওয়া পর্যন্ত ভিপিএন ব্যবহার করুন।

ঠিকানা পরিকল্পনা

  • প্রতিটি অঞ্চলের জন্য কমপক্ষে একটি /22 ব্যক্তিগত (RFC 1918) রেঞ্জ — ১,০২৪টি অ্যাড্রেস।
  • Live DR অঞ্চলের জন্য একটি দ্বিতীয়, ভিন্ন /22।
  • কোনোটিই কোনো গ্রাহক, অংশীদার বা ল্যান্ডিং-জোন নেটওয়ার্ক—যেমন অফিস, ডেটা সেন্টার বা অন্যান্য ক্লাউড—এর সাথে ওভারল্যাপ করতে পারবে না।
  • Kubernetes পড এবং সার্ভিস রেঞ্জগুলো একটি রেঞ্জের ভিতরে বা পাশাপাশি পরিকল্পনা করা হয়, এবং যদি সেগুলোকে রাউট করা হয়, তবে সেগুলো একই ওভারল্যাপ-না-করার নিয়মের অধীন থাকে।
  • ক্লাউড প্রোভাইডারের সংরক্ষিত এবং লিঙ্ক-লোকাল রেঞ্জগুলো এড়িয়ে চলুন।
  • রেঞ্জগুলো সরবরাহ করা গ্রাহকের কাজ (INFRA_2.2.02, বর্জিত)। বিল্ডের পরে সেগুলো পরিবর্তন করার অর্থ হলো রিবিল্ড (INFRA_2.2.12, অতিরিক্ত পরিষেবা, পরিবর্তন অনুরোধের মাধ্যমে)।

বাছাই করার আগে গ্রাহকের সম্পূর্ণ আইপি প্ল্যান সংগ্রহ করুন। একটি ওভারল্যাপ একসাথে ভিপিএন, পিয়ারিং এবং ডিআর রাউটিং ব্লক করে দেয়, এবং একটি /22 অনুপস্থিত থাকলে পুরো বিল্ডটি আটকে যেতে পারে।

একটি অঞ্চলের ভিতরের সাবনেটগুলি

সাবনেটধরে রাখে
প্রবেশলোড ব্যালেন্সার, WAF, পাবলিক আইপি
নোড · AZ1, AZ2, AZ3কুবারনেটিস ওয়ার্কার, প্রতি জোনে একটি সাবনেট
ডাটাবেসশুধুমাত্র ব্যক্তিগত, কোনো ইন্টারনেট সংযোগ নেই
বহির্গমনঅনুমোদিত গন্তব্যগুলির জন্য NAT গেটওয়ে
গেটওয়েভিপিএন / ব্যক্তিগত সংযোগ সমাপ্তি
প্রশাসকঅপারেটরদের জন্য ব্যাস্টিয়ন / জিরো-ট্রাস্ট অ্যাক্সেস পয়েন্ট

10.40.0.0/22 বিন্যাস করার একটি উপায় — এটি প্রশিক্ষণের জন্য একটি দৃষ্টান্ত, কোনো TRANXACT মান নয়; লেজার আর্কিটেক্ট নকশার সময়েই আসল পরিকল্পনাটি নির্ধারণ করে:

Primary region   10.40.0.0/22   (10.40.0.0 - 10.40.3.255)
  ingress        10.40.0.0/26
  gateway        10.40.0.64/27
  admin          10.40.0.96/27
  egress (NAT)   10.40.0.128/27
  database AZ1   10.40.0.192/27
  database AZ2   10.40.0.224/27
  nodes AZ1      10.40.1.0/24
  nodes AZ2      10.40.2.0/24
  nodes AZ3      10.40.3.0/24

Live DR region   10.40.4.0/22   (same layout, never overlapping the primary)

পিয়ারিং: হাব এবং স্পোক

একই ক্লাউডে আগে থেকেই ল্যান্ডিং জোন থাকা কোনো গ্রাহকের জন্য, TRANXACT হলো স্পোক এবং গ্রাহকের ল্যান্ডিং জোনটি হলো হাব। পিয়ারিং হলো বিভাজন বিন্দু। হাব গেটওয়ে অফিস এবং ডেটা সেন্টারে ট্র্যাফিক বহন করে নিয়ে যায়, এবং গ্রাহক হাবে তার নিজস্ব ফায়ারওয়াল বা নেটওয়ার্ক ভার্চুয়াল অ্যাপ্লায়েন্স স্থাপন করতে পারে।

হাবের মাধ্যমে ট্রানজিটিভ রাউটিং অবশ্যই স্পষ্টভাবে অনুমোদিত হতে হবে, এবং হাব রাউটিং ও পরিদর্শন গ্রাহকের দায়িত্বে থাকবে (INFRA_2.2.10, বর্জিত)। বিল্ড শুরু করার আগে গ্রাহকের ক্লাউড টিমের সাথে রুটের মালিকানা এবং পরিদর্শন পয়েন্ট নিয়ে সম্মত হন।

নাম সমাধান এবং শংসাপত্র

গ্রাহক সরবরাহ করেTRANXACT প্রদান করে
ডোমেইন বা সাবডোমেইন, যেমন erp.customer.com (INFRA_2.3.01)উভয় লাইভ অঞ্চলের ইনগ্রেস এন্ডপয়েন্টগুলো একটি গ্লোবাল ট্র্যাফিক ম্যানেজারের (INFRA_2.3.03) পিছনে রয়েছে।
FQDN-এর জন্য একটি পাবলিক-CA সার্টিফিকেট, ওয়াইল্ডকার্ড অনুমোদিত (INFRA_2.3.02) — যদি না ম্যানেজড সার্টিফিকেট বিকল্পটি চুক্তিবদ্ধ করা হয় (INFRA_2.3.06)সার্টিফিকেটের স্থাপন ও নবায়ন, মেয়াদ শেষ হওয়ার ৩০ দিন আগে সতর্কবার্তা সহ (INFRA_2.3.05, TO_4.11.01)
পাবলিক ডিএনএস রেকর্ড; প্রাইভেট অ্যাক্সেস ব্যবহার করা হলে একটি প্রাইভেট জোন বা কন্ডিশনাল ফরওয়ার্ডিং।একটি স্বল্প ডিএনএস টিটিএল, পর্যবেক্ষণ ও মহড়ার জন্য অঞ্চল-নির্দিষ্ট হোস্টনেম, এবং ডিএনএস ফেইলওভার রানবুক (INFRA_2.3.04)

ব্যবহারকারী এবং ইন্টিগ্রেশনগুলো একটি অবস্থান-নিরপেক্ষ নামের সাথে সংযুক্ত হয়। এটি ট্র্যাফিক ম্যানেজারের মাধ্যমে উভয় লাইভ রিজিয়ন জুড়ে রিজলভ হয়, তাই একটি Live DR ফেইলওভারের জন্য কোথাও কোনো পুনর্গঠনের প্রয়োজন হয় না।

ইন্টিগ্রেশনে কখনও .local সাফিক্স, হার্ড-কোডেড আইপি অ্যাড্রেস বা অঞ্চল-নির্দিষ্ট নাম ব্যবহার করবেন না। মেয়াদোত্তীর্ণ সার্টিফিকেট বা অনুপস্থিত ডিআর রেকর্ড হলো সবচেয়ে সাধারণ এবং এড়ানো সম্ভব এমন বিভ্রাট — উভয়কেই যৌথ রানবুকে অন্তর্ভুক্ত করুন।

স্থানান্তরাধীন ডেটা

TRANXACT-এ আগমনTRANXACT থেকে বহির্গমন
লোড ব্যালেন্সার এবং WAF-এর মাধ্যমে শুধুমাত্র HTTPS (TLS 1.2+)।গন্তব্যস্থলের অনুমতি-তালিকা সহ NAT-এর মাধ্যমে বহির্গমন
গ্রাহকের IdP-এর মাধ্যমে SSO; সেখানে MFA বলবৎ করা হয়।সাধারণ উদাহরণ: ব্যাংক, ট্যাক্স / ই-ইনভয়েসিং পোর্টাল, পে-রোল প্রদানকারী, ইমেল, এআই ইঞ্জিন
নির্দিষ্ট ভূমিকা সহ প্রতিটি ইন্টিগ্রেশন ক্লায়েন্টের জন্য এপিআই প্রমাণীকরণ করা হয়।আউটবাউন্ড কলে TLS ব্যবহৃত হয়; ক্রেডেনশিয়ালগুলো একটি সিক্রেটস স্টোরে সংরক্ষিত থাকে।
ঐচ্ছিক আইপি অনুমতি-তালিকা বা শুধুমাত্র ব্যক্তিগত অ্যাক্সেসনোড বা ডেটাবেস থেকে অন্য কোনো ইন্টারনেট নির্গমন পথ নেই।
ক্লাস্টারের অভ্যন্তরে পরিষেবা ট্র্যাফিক এনক্রিপ্ট করা হয়েছে

গ্রাহক প্রতিটি বহির্গামী গন্তব্যের তালিকা করে (INFRA_2.6.03, বর্জিত); TRANXACT প্রতিটি গন্তব্যের জন্য একটি পরিষেবা অনুরোধ সহ অনুমতি-তালিকাটি রক্ষণাবেক্ষণ করে (INFRA_2.6.02)।

অনুমতি-তালিকায় একটি এন্ট্রি অনুপস্থিত থাকলে প্রথম দিনেই পেমেন্ট বা ফাইলিং আটকে যায়। ডিজাইন পর্বেই এগুলো তালিকাভুক্ত করুন, গো-লাইভ সপ্তাহে নয়।

TRANXACT অপারেটররা কীভাবে প্রবেশ করে

  • ডেডিকেটেড অ্যাডমিন সাবনেটে একটি জিরো-ট্রাস্ট বা ব্যাস্টিয়ন অ্যাক্সেস পয়েন্টের মাধ্যমে। কোনো নোড বা ডেটাবেস সরাসরি উন্মুক্ত থাকে না।
  • জাস্ট-ইন-টাইম, টাইম-বক্সড এলিভেশন, যা প্রতিটি পরিবর্তন বা ঘটনার জন্য অনুমোদিত — গ্রাহক কর্তৃক অনুমোদিত (TO_4.5.05, বর্জিত)।
  • প্রতিটি অপারেটর পরিচয়ে এমএফএ; সর্বনিম্ন বিশেষাধিকার; ভূমিকা-ভিত্তিক।
  • প্রতিটি অ্যাডমিন সেশন এবং ক্লাউড-এপিআই কল লগ করা হয় এবং গ্রাহকের SIEM-এ এক্সপোর্ট করা যায়।
  • অপারেটররা প্ল্যাটফর্মটি পরিচালনা করেন। শুধুমাত্র গ্রাহক-অনুমোদিত টিকিটের মাধ্যমেই ব্যবসায়িক ডেটা অ্যাক্সেস করা যায়।

ডিজাইনের সময়ই এই বিষয়ে একমত হতে হবে যে, গ্রাহক পক্ষের কে অপারেটরের উচ্চতা বৃদ্ধি অনুমোদন করতে পারবেন এবং প্রোডাকশন ডেটা অ্যাক্সেসের জন্য সহ-স্বাক্ষর প্রয়োজন হবে কিনা।

সাধারণ ইন্টিগ্রেশন পরিস্থিতি

দৃশ্যকল্পপ্যাটার্নদিকনির্দেশনাসংযোগএন্ডপয়েন্ট মালিক
ব্যাংকিং ও পেমেন্টএপিআই / হোস্ট-টু-হোস্ট এসএফটিপিউভয়বহির্গমন অনুমতি তালিকা; যেখানে সুযোগ আছে সেখানে ব্যক্তিগত লিঙ্ক।গ্রাহক
ট্যাক্স ও ই-ইনভয়েসিংএপিআইবহির্গামীবহির্গমন অনুমতি-তালিকাগ্রাহক
বেতন ও সুবিধাদিএপিআই / এসএফটিপিউভয়বহির্গমন অনুমতি-তালিকা বা ভিপিএনগ্রাহক
পরিচয়ফেডারেশন (SAML / OIDC), SCIMইনবাউন্ডপাবলিক HTTPSগ্রাহক
বিআই এবং ডেটা প্ল্যাটফর্মএপিআই পড়ুন / নির্ধারিত নিষ্কাশনবহির্গামীব্যক্তিগত লিঙ্ক বা HTTPSযৌথ
ঐতিহ্য এবং শপ ফ্লোরএপিআই / ইভেন্টউভয়ভিপিএন বা ব্যক্তিগত সংযোগগ্রাহক
ইমেল এবং বিজ্ঞপ্তিSMTP / APIবহির্গামীবহির্গমন অনুমতি-তালিকাযৌথ
ASK-এর জন্য AI ইঞ্জিনএপিআইবহির্গামীবহির্গমন অনুমতি-তালিকাTRANXACT, অথবা BYOK সহ গ্রাহক

প্রতিটি ইন্টিগ্রেশন TRANXACT API অথবা ম্যানেজড ফাইল ট্রান্সফারের মাধ্যমে সম্পন্ন হয়। সরাসরি ডেটাবেসের সাথে সংযোগ স্থাপন করা হয় না।

প্রস্তাবিত ডিফল্ট হিসেবে চিহ্নিত মানগুলো হলো ডেপ্লয়মেন্ট গাইডের সুপারিশকৃত প্রারম্ভিক বিন্দু। প্রতিটি গ্রাহকের জন্য আলাদাভাবে তা নিশ্চিত করুন; চুক্তি, অর্ডার ফর্ম, এসএলএ এবং ডিপিএ এই পৃষ্ঠার চেয়ে প্রাধান্য পাবে।

ডায়াগ্রাম ও যাচাইসহ এই বিষয়ে কোর্সটি করুন।