Topologies de réseau

Les cinq façons dont un réseau client atteint TRANXACT, ce que l'équipe réseau prépare pour un VPN ou une connexion privée, la planification des adresses /22 et la disposition du sous-réseau, le peering hub-and-spoke, le DNS et les certificats, la sortie et l'accès de l'opérateur.

C’est au niveau du réseau que la plupart des déploiements prennent du temps. Toutes les options ci-dessous sont disponibles sur AWS, Microsoft Azure et Google Cloud ; seuls les noms des produits diffèrent.

Cinq options de connectivité

Ce que prépare l'équipe du réseau client, par région

Planification d'adresse

• Au moins une plage privée /22 (RFC 1918) par région — 1 024 adresses.
• Un deuxième /22 différent pour la région Live DR.
• Aucun des deux ne doit chevaucher un réseau de client, de partenaire ou de zone d'atterrissage (bureaux, centres de données, autres clouds).
• Les plages de pods et de services Kubernetes sont planifiées à l'intérieur ou à côté de la plage, et sont soumises à la même règle de non-chevauchement si elles sont routées.
• Évitez les plages réservées et locales au lien du fournisseur de cloud.
• Il incombe au client de fournir les plages de valeurs (INFRA_2.2.02, Exclu). Toute modification ultérieure nécessite une nouvelle compilation (INFRA_2.2.12, Service supplémentaire, sur demande de modification).

Avant de faire votre choix, recueillez l'intégralité du plan d'adressage IP du client. Un seul chevauchement bloque simultanément le VPN, le peering et le routage en cas de sinistre, et un seul /22 manquant peut paralyser l'ensemble du système.

Les sous-réseaux à l'intérieur d'une région

Une façon d'exploiter 10.40.0.0/22 — une illustration à des fins de formation, et non une norme TRANXACT ; Ledger Architect définit le plan réel lors de la conception :

Primary region   10.40.0.0/22   (10.40.0.0 - 10.40.3.255)
  ingress        10.40.0.0/26
  gateway        10.40.0.64/27
  admin          10.40.0.96/27
  egress (NAT)   10.40.0.128/27
  database AZ1   10.40.0.192/27
  database AZ2   10.40.0.224/27
  nodes AZ1      10.40.1.0/24
  nodes AZ2      10.40.2.0/24
  nodes AZ3      10.40.3.0/24

Live DR region   10.40.4.0/22   (same layout, never overlapping the primary)

Interconnexion : hub et spoke

Pour un client disposant déjà d'une zone d'atterrissage dans le même cloud, TRANXACT fait office de point d'accès distant (spoke) et sa zone d'atterrissage de point d'accès central (hub). Le peering constitue le point de démarcation. La passerelle du hub achemine le trafic vers les bureaux et les centres de données, et le client peut y déployer ses propres pare-feu ou appliances virtuelles réseau.

Résolution de noms et certificats

Les utilisateurs et les intégrations se connectent à un nom unique, indépendant de la localisation. Ce nom est résolu par le gestionnaire de trafic sur les deux régions actives, ce qui permet d'éviter toute reconfiguration lors d'un basculement Live DR.

Données en transit

Le client liste toutes les destinations sortantes (INFRA_2.6.03, Exclus) ; TRANXACT maintient la liste d'autorisation, une demande de service par destination (INFRA_2.6.02).

Comment les opérateurs de TRANXACT s'y prennent

• Via un point d'accès de type « zéro confiance » ou bastion dans le sous-réseau d'administration dédié. Aucun nœud ni base de données n'est exposé directement.
• Élévation juste à temps, à durée déterminée, approuvée par changement ou incident — approuvée par le client (TO_4.5.05, Exclu).
• L'authentification multifacteur (MFA) est requise pour chaque identité d'opérateur ; le moindre privilège ; l'authentification basée sur les rôles.
• Chaque session d'administration et chaque appel d'API cloud sont enregistrés et exportables vers le SIEM du client.
• La plateforme est administrée par des opérateurs. L'accès aux données commerciales est conditionné par l'approbation du client.

Scénarios d'intégration courants

Chaque intégration passe par les API TRANXACT ou par un transfert de fichiers géré. Aucune connexion à la base de données n'est établie.

Suivez le cours à ce sujet, avec des schémas et une vérification.