Topologías de red

Las cinco formas en que una red de clientes se conecta a TRANXACT, lo que el equipo de red prepara para una VPN o una conexión privada, la planificación de direcciones /22 y el diseño de la subred, el emparejamiento de concentrador y radios, DNS y certificados, salida y acceso del operador.

La red es donde la mayoría de las implementaciones pierden tiempo. Todas las opciones que se muestran a continuación están disponibles en AWS, Microsoft Azure y Google Cloud; solo varían los nombres de los productos.

Cinco opciones de conectividad

Lo que prepara el equipo de red de clientes, por región.

Planificación de direcciones

• Al menos un rango privado /22 (RFC 1918) por región: 1024 direcciones.
• Un segundo /22 diferente para la región Live DR.
• Ninguna de ellas puede superponerse con ninguna red de clientes, socios o zonas de aterrizaje: oficinas, centros de datos, otras nubes.
• Los rangos de pods y servicios de Kubernetes se planifican dentro o junto al rango, y están sujetos a la misma regla de no superposición si se enrutan.
• Evite los rangos reservados y de enlace local del proveedor de la nube.
• La definición de los rangos es responsabilidad del cliente (INFRA_2.2.02, Excluido). Modificarlos después de la compilación implica una recompilación (INFRA_2.2.12, Servicio adicional, mediante solicitud de cambio).

Recopile el plan de IP completo del cliente antes de elegir. Una superposición bloquea la VPN, el peering y el enrutamiento de recuperación ante desastres simultáneamente, y una subred /22 faltante puede retrasar toda la implementación.

Las subredes dentro de una región

Una forma de crear 10.40.0.0/22: una ilustración para fines de capacitación, no un estándar de TRANXACT; el Ledger Architect establece el plan real en la fase de diseño:

Primary region   10.40.0.0/22   (10.40.0.0 - 10.40.3.255)
  ingress        10.40.0.0/26
  gateway        10.40.0.64/27
  admin          10.40.0.96/27
  egress (NAT)   10.40.0.128/27
  database AZ1   10.40.0.192/27
  database AZ2   10.40.0.224/27
  nodes AZ1      10.40.1.0/24
  nodes AZ2      10.40.2.0/24
  nodes AZ3      10.40.3.0/24

Live DR region   10.40.4.0/22   (same layout, never overlapping the primary)

Interconexión: red centralizada

Para un cliente con una zona de aterrizaje existente en la misma nube, TRANXACT actúa como nodo y la zona de aterrizaje del cliente como centro. El punto de demarcación es el punto de interconexión. La puerta de enlace del centro distribuye el tráfico a las oficinas y centros de datos, y el cliente puede instalar sus propios firewalls o dispositivos virtuales de red en el centro.

Resolución de nombres y certificados

Los usuarios y las integraciones se conectan a un nombre independiente de la ubicación. Este se resuelve a través del administrador de tráfico en ambas regiones activas, por lo que una conmutación por error de Live DR no requiere ninguna reconfiguración.

Datos en tránsito

El cliente enumera todos los destinos de salida (INFRA_2.6.03, Excluidos); TRANXACT mantiene la lista de permitidos, una solicitud de servicio por destino (INFRA_2.6.02).

Cómo entran los operadores de TRANXACT

• Mediante un punto de acceso de confianza cero o bastión en la subred de administración dedicada. Ningún nodo ni base de datos queda expuesto directamente.
• Elevación justo a tiempo, con plazos definidos, aprobada por cambio o incidente — aprobada por el cliente (TO_4.5.05, Excluido).
• Autenticación multifactor en cada identidad de operador; mínimo privilegio; basado en roles.
• Todas las sesiones de administración y las llamadas a la API en la nube quedan registradas y se pueden exportar al SIEM del cliente.
• Los operadores administran la plataforma. El acceso a los datos comerciales solo es posible mediante un ticket aprobado por el cliente.

Escenarios de integración comunes

Todas las integraciones se realizan a través de las API de TRANXACT o mediante transferencia de archivos gestionada. Nada se conecta a la base de datos.

Realiza el curso sobre este tema, con diagramas y una verificación.