नेटवर्क टोपोलॉजी
ग्राहक नेटवर्क द्वारा TRANXACT तक पहुंचने के पांच तरीके, वीपीएन या निजी कनेक्शन के लिए नेटवर्क टीम द्वारा की जाने वाली तैयारी, /22 एड्रेस प्लानिंग और सबनेट लेआउट, हब-एंड-स्पोक पीयरिंग, डीएनएस और प्रमाणपत्र, इग्रेस और ऑपरेटर एक्सेस।
नेटवर्क ही वह जगह है जहां ज्यादातर तैनाती में समय बर्बाद होता है। नीचे दिए गए सभी विकल्प AWS, Microsoft Azure और Google Cloud पर उपलब्ध हैं; केवल उत्पाद के नाम अलग हैं।
पांच कनेक्टिविटी विकल्प
| विकल्प | स्थिति | यह क्या है | जब उपयुक्त हो | आर एंड आर |
|---|---|---|---|---|
| सार्वजनिक HTTPS | डिफ़ॉल्ट | उपयोगकर्ता लोड बैलेंसर और WAF के माध्यम से TLS 1.2+ पर TRANXACT तक पहुंचते हैं; SSO ग्राहक IdP के माध्यम से होता है। | सब कुछ वेब यूजर या HTTPS इंटीग्रेशन पर आधारित है। नेटवर्क बनाने की कोई ज़रूरत नहीं; सबसे तेज़ लाइव होने का विकल्प। | INFRA_2.6.01 (मानक) |
| साइट-टू-साइट वीपीएन | वैकल्पिक | ग्राहक नेटवर्क से TRANXACT VPC/VNet तक रिडंडेंट IPsec टनल। | निजी एकीकरण (एमईएस, लेगेसी), प्रशासनिक प्रतिबंध। | INFRA_2.2.03 – 2.2.05 |
| निजी कनेक्शन | वैकल्पिक | AWS डायरेक्ट कनेक्ट, Azure एक्सप्रेस रूट, Google क्लाउड इंटरकनेक्ट। अनुमानित बैंडविड्थ और लेटेंसी; VPN स्वचालित बैकअप पथ के रूप में। | उच्च, स्थिर मात्रा या ऐसी नीति जो इंटरनेट के उपयोग पर प्रतिबंध लगाती है। | INFRA_2.2.06 – 2.2.07 |
| पीयरिंग / निजी लिंक | वैकल्पिक | ग्राहक के लैंडिंग ज़ोन के साथ एक ही क्लाउड में VPC/VNet पीयरिंग; चुनिंदा सेवाओं के लिए निजी एंडपॉइंट; स्थानीय या वैश्विक पीयरिंग। | ग्राहक पहले से ही उसी क्लाउड में एक लैंडिंग ज़ोन चला रहा है - जो सबसे कम विलंबता वाला निजी पथ है। | INFRA_2.2.08, 2.2.10 |
| ट्रांजिट हब | वैकल्पिक | AWS ट्रांजिट गेटवे, Azure वर्चुअल WAN या GCP नेटवर्क कनेक्टिविटी सेंटर; TRANXACT एक स्पोक के रूप में जुड़ता है। | हब-एंड-स्पोक लैंडिंग ज़ोन। | INFRA_2.2.09 – 2.2.10 |
ग्राहक नेटवर्क टीम प्रत्येक क्षेत्र के लिए क्या तैयार करती है
| वस्तु | साइट-टू-साइट वीपीएन (आईपीसेक) | निजी कनेक्शन |
|---|---|---|
| ग्राहक उपकरण | एक आईपीसेक-सक्षम फ़ायरवॉल या राउटर जिसमें एक स्थिर सार्वजनिक आईपी हो। | क्लाउड मीट-मी लोकेशन पर एक ग्राहक या कैरियर एज राउटर |
| सुरंगें / सर्किट | क्लाउड गेटवे को अलग करने के लिए प्रति क्षेत्र दो सुरंगें | अतिरिक्त सर्किट की अनुशंसा की जाती है; वीपीएन को बैकअप पथ के रूप में उपयोग करें। |
| प्रोटोकॉल | IKEv2, AES-256, SHA-256, DH समूह 14 या उससे अधिक (प्रस्तावित डिफ़ॉल्ट) | निजी वर्चुअल इंटरफ़ेस पर बीजीपी / पीयरिंग |
| मार्गनिर्धारण | BGP को प्राथमिकता दी जाती है; स्थिर रूट स्वीकार्य हैं | सहमत ASN और रूट फ़िल्टर के साथ BGP |
| बैंडविड्थ | चयनित क्लाउड की गेटवे सीमा तक | ग्राहक द्वारा ऑर्डर किए गए सर्किट का आकार, उदाहरण के लिए 1–10 Gbps |
| Live DR क्षेत्र | Live DR क्षेत्र (INFRA_2.2.04) के लिए सुरंगों का एक दूसरा जोड़ा | Live DR क्षेत्र के लिए एक सर्किट या वीपीएन |
| स्वामित्व | ग्राहक: डिवाइस, आईएसपी, ऑन-प्रिमाइस फ़ायरवॉल नियम (शामिल नहीं)। TRANXACT: क्लाउड गेटवे। | ग्राहक: सर्किट और कैरियर अनुबंध (शामिल नहीं)। TRANXACT: गेटवे अटैचमेंट। |
अनुबंध पर हस्ताक्षर करते समय एक निजी कनेक्शन सर्किट का ऑर्डर करें। कैरियर से सर्किट तैयार होने में अक्सर कई सप्ताह लग जाते हैं; सर्किट चालू होने तक वीपीएन का उपयोग करें।
पता योजना
- प्रत्येक क्षेत्र के लिए कम से कम एक /22 निजी (आरएफसी 1918) रेंज — 1,024 पते।
- Live DR क्षेत्र के लिए एक दूसरा, भिन्न /22।
- इनमें से कोई भी ग्राहक, भागीदार या लैंडिंग-ज़ोन नेटवर्क — कार्यालयों, डेटा केंद्रों, अन्य क्लाउड — के साथ ओवरलैप नहीं होना चाहिए।
- Kubernetes पॉड और सेवा रेंज की योजना रेंज के अंदर या उसके साथ बनाई जाती है, और यदि उन्हें रूट किया जाता है तो वे उसी गैर-ओवरलैप नियम के अधीन होते हैं।
- क्लाउड प्रदाता की आरक्षित और लिंक-लोकल श्रेणियों से बचें।
- रेंज उपलब्ध कराना ग्राहक का कार्य है (INFRA_2.2.02, बहिष्कृत)। बिल्ड के बाद उनमें बदलाव करने का अर्थ है रीबिल्ड (INFRA_2.2.12, अतिरिक्त सेवा, परिवर्तन अनुरोध द्वारा)।
चयन करने से पहले ग्राहक का पूरा आईपी प्लान एकत्र कर लें। एक ओवरलैप वीपीएन, पीयरिंग और डीआर राउटिंग को एक साथ ब्लॉक कर देता है, और एक भी /22 पोर्ट न होने से पूरा बिल्ड रुक सकता है।
एक क्षेत्र के भीतर उपनेट
| सबनेट | रोक |
|---|---|
| प्रवेश | लोड बैलेंसर, WAF, सार्वजनिक आईपी |
| नोड · AZ1, AZ2, AZ3 | Kubernetes वर्कर, प्रति ज़ोन एक सबनेट |
| डेटाबेस | केवल निजी उपयोग के लिए, इंटरनेट कनेक्शन उपलब्ध नहीं है। |
| निकास | NAT गेटवे को अनुमत गंतव्यों तक |
| द्वार | वीपीएन / निजी कनेक्शन समाप्ति |
| व्यवस्थापक | ऑपरेटरों के लिए बैस्टियन / ज़ीरो-ट्रस्ट एक्सेस प्वाइंट |
10.40.0.0/22 को उकेरने का एक तरीका - यह प्रशिक्षण के लिए एक उदाहरण है, TRANXACT मानक नहीं; लेजर आर्किटेक्ट डिजाइन के समय वास्तविक योजना निर्धारित करता है:
Primary region 10.40.0.0/22 (10.40.0.0 - 10.40.3.255)
ingress 10.40.0.0/26
gateway 10.40.0.64/27
admin 10.40.0.96/27
egress (NAT) 10.40.0.128/27
database AZ1 10.40.0.192/27
database AZ2 10.40.0.224/27
nodes AZ1 10.40.1.0/24
nodes AZ2 10.40.2.0/24
nodes AZ3 10.40.3.0/24
Live DR region 10.40.4.0/22 (same layout, never overlapping the primary)झाँकना: केंद्र और तीली
यदि किसी ग्राहक का उसी क्लाउड में पहले से ही एक लैंडिंग ज़ोन है, तो TRANXACT स्पोक (मुख्य कड़ी) है और ग्राहक का लैंडिंग ज़ोन हब (हब) है। पीयरिंग ही सीमांकक बिंदु है। हब गेटवे ट्रैफ़िक को कार्यालयों और डेटा केंद्रों तक ले जाता है, और ग्राहक अपने फ़ायरवॉल या नेटवर्क वर्चुअल उपकरणों को हब में स्थापित कर सकता है।
हब के माध्यम से ट्रांजिटिव रूटिंग को स्पष्ट रूप से अनुमति दी जानी चाहिए, और हब रूटिंग और निरीक्षण ग्राहक के स्वामित्व में हैं (INFRA_2.2.10, बहिष्कृत)। बिल्ड से पहले ग्राहक की क्लाउड टीम के साथ रूट स्वामित्व और निरीक्षण बिंदुओं पर सहमति बनाएं।
नाम निर्धारण और प्रमाणपत्र
| ग्राहक प्रदान करता है | TRANXACT प्रदान करता है |
|---|---|
| डोमेन या सबडोमेन, उदाहरण के लिए erp.customer.com (INFRA_2.3.01) | ग्लोबल ट्रैफिक मैनेजर (INFRA_2.3.03) के पीछे दोनों लाइव क्षेत्रों में इनग्रेस एंडपॉइंट्स |
| FQDN के लिए एक सार्वजनिक-CA प्रमाणपत्र, वाइल्डकार्ड की अनुमति है (INFRA_2.3.02) — जब तक कि प्रबंधित प्रमाणपत्र विकल्प अनुबंधित न हो (INFRA_2.3.06) | प्रमाणपत्र की स्थापना और नवीनीकरण, समाप्ति से 30 दिन पहले की चेतावनी के साथ (INFRA_2.3.05, TO_4.11.01) |
| सार्वजनिक DNS रिकॉर्ड; निजी ज़ोन या सशर्त फ़ॉरवर्डिंग यदि निजी पहुँच का उपयोग किया जाता है | कम DNS TTL, निगरानी और अभ्यास के लिए क्षेत्र-विशिष्ट होस्टनाम, और DNS फ़ेलओवर रनबुक (INFRA_2.3.04) |
उपयोगकर्ता और एकीकरण एक ही स्थान-स्वतंत्र नाम से जुड़ते हैं। यह दोनों लाइव क्षेत्रों में ट्रैफ़िक प्रबंधक के माध्यम से हल हो जाता है, इसलिए Live DR फ़ेलओवर के लिए कहीं भी किसी पुनर्संरचना की आवश्यकता नहीं होती है।
एकीकरण में कभी भी .local प्रत्यय, हार्ड-कोडेड आईपी पते या क्षेत्र-विशिष्ट नामों का उपयोग न करें। एक समाप्त हो चुका प्रमाणपत्र या एक अनुपलब्ध डीआर रिकॉर्ड सबसे आम टाले जा सकने वाले व्यवधान हैं - इन दोनों को संयुक्त रनबुक में दर्ज करें।
डेटा ट्रांजिट में है
| TRANXACT में आने वाली वस्तुएं | TRANXACT से बाहर जाने वाली यात्रा |
|---|---|
| लोड बैलेंसर और WAF के माध्यम से केवल HTTPS (TLS 1.2+) का उपयोग करें। | गंतव्यों की अनुमति सूची के साथ NAT के माध्यम से निकास |
| ग्राहक आईडीपी के माध्यम से एसएसओ; वहां एमएफए लागू है। | सामान्य उदाहरण: बैंक, कर/ई-चालान पोर्टल, वेतन प्रदाता, ईमेल, एआई इंजन |
| स्कोप किए गए भूमिकाओं के साथ प्रत्येक एकीकरण क्लाइंट द्वारा प्रमाणित एपीआई। | आउटबाउंड कॉल TLS का उपयोग करते हैं; क्रेडेंशियल एक गुप्त स्टोर में रखे जाते हैं। |
| वैकल्पिक आईपी अनुमति सूची या केवल निजी पहुंच | नोड्स या डेटाबेस से इंटरनेट के माध्यम से कोई अन्य निकास मार्ग नहीं है। |
| क्लस्टर के अंदर सेवा यातायात एन्क्रिप्टेड है। |
ग्राहक प्रत्येक आउटबाउंड गंतव्य (INFRA_2.6.03, बहिष्कृत) को सूचीबद्ध करता है; TRANXACT अनुमति सूची को बनाए रखता है, प्रति गंतव्य एक सेवा अनुरोध (INFRA_2.6.02)।
अनुमति सूची में प्रविष्टि न होने पर पहले दिन भुगतान या फाइलिंग अवरुद्ध हो जाती है। इन्हें डिजाइन के दौरान सूचीबद्ध करें, न कि गो-लाइव सप्ताह के दौरान।
TRANXACT ऑपरेटर कैसे प्रवेश करते हैं
- समर्पित एडमिन सबनेट में ज़ीरो-ट्रस्ट या बैस्टियन एक्सेस प्वाइंट के माध्यम से। कोई भी नोड या डेटाबेस सीधे तौर पर उजागर नहीं होता है।
- जस्ट-इन-टाइम, टाइम-बॉक्सेड एलिवेशन, प्रति परिवर्तन या घटना अनुमोदित - ग्राहक द्वारा अनुमोदित (टीओ_4.5.05, बहिष्कृत)।
- प्रत्येक ऑपरेटर पहचान पर एमएफए; न्यूनतम विशेषाधिकार; भूमिका-आधारित।
- प्रत्येक एडमिन सेशन और क्लाउड-एपीआई कॉल को लॉग किया जाता है, और इसे ग्राहक के एसआईईएम में निर्यात किया जा सकता है।
- प्लेटफ़ॉर्म का संचालन ऑपरेटर्स द्वारा किया जाता है। व्यावसायिक डेटा तक पहुंच केवल ग्राहक द्वारा अनुमोदित टिकट के माध्यम से ही संभव है।
डिजाइन के समय ही यह तय कर लें कि ग्राहक पक्ष की ओर से ऑपरेटर की पदोन्नति को कौन अनुमोदित कर सकता है, और क्या उत्पादन डेटा तक पहुंच के लिए सह-हस्ताक्षर की आवश्यकता है।
सामान्य एकीकरण परिदृश्य
| परिदृश्य | प्रतिरूप | दिशा | कनेक्टिविटी | एंडपॉइंट स्वामी |
|---|---|---|---|---|
| बैंकिंग और भुगतान | एपीआई / होस्ट-टू-होस्ट एसएफटीपी | दोनों | निकास अनुमति सूची; निजी लिंक जहां उपलब्ध हो | ग्राहक |
| कर एवं ई-चालान | एपीआई | आउटबाउंड | निकास अनुमति-सूची | ग्राहक |
| वेतन और लाभ | एपीआई / एसएफटीपी | दोनों | निकास अनुमति-सूची या वीपीएन | ग्राहक |
| पहचान | संघ (SAML / OIDC), SCIM | भीतर का | सार्वजनिक HTTPS | ग्राहक |
| बीआई और डेटा प्लेटफ़ॉर्म | API पढ़ें / निर्धारित समय पर निष्कर्ष निकालें | आउटबाउंड | निजी लिंक या HTTPS | संयुक्त |
| विरासत और दुकान का तल | एपीआई / घटनाएँ | दोनों | वीपीएन या निजी कनेक्शन | ग्राहक |
| ईमेल और सूचनाएं | एसएमटीपी / एपीआई | आउटबाउंड | निकास अनुमति-सूची | संयुक्त |
| ASK के लिए AI इंजन | एपीआई | आउटबाउंड | निकास अनुमति-सूची | TRANXACT, या BYOK वाले ग्राहक |
सभी एकीकरण TRANXACT API या प्रबंधित फ़ाइल स्थानांतरण के माध्यम से होते हैं। डेटाबेस से कोई संबंध नहीं है।
प्रस्तावित डिफ़ॉल्ट के रूप में चिह्नित मान परिनियोजन मार्गदर्शिका के अनुशंसित प्रारंभिक बिंदु हैं। प्रत्येक ग्राहक के लिए इनकी पुष्टि करें; अनुबंध, ऑर्डर फ़ॉर्म, SLA और DPA इस पृष्ठ पर सर्वोपरि हैं।