नेटवर्क टोपोलॉजी
ग्राहक नेटवर्क TRANXACT पर्यंत पोहोचण्याचे पाच मार्ग, VPN किंवा खाजगी कनेक्शनसाठी नेटवर्क टीम काय तयारी करते, /22 ॲड्रेस नियोजन आणि सबनेट लेआउट, हब-अँड-स्पोक पीअरिंग, DNS आणि प्रमाणपत्रे, इग्रेस आणि ऑपरेटर ॲक्सेस.
नेटवर्कमध्येच बहुतेक डिप्लॉयमेंटमध्ये वेळ वाया जातो. खालील प्रत्येक पर्याय AWS, Microsoft Azure आणि Google Cloud वर उपलब्ध आहे; फक्त उत्पादनांची नावे वेगळी आहेत.
पाच कनेक्टिव्हिटी पर्याय
| पर्याय | स्थिती | ते काय आहे | जेव्हा योग्य बसते | विश्रांती आणि आराम |
|---|---|---|---|---|
| सार्वजनिक HTTPS | डीफॉल्ट | वापरकर्ते लोड बॅलेंसर आणि WAF द्वारे TLS 1.2+ वरून TRANXACT पर्यंत पोहोचतात; कस्टमर आयडीपी द्वारे SSO द्वारे. | सर्व काही वेब वापरकर्ता किंवा HTTPS एकत्रीकरण आहे. नेटवर्क उभारणीची आवश्यकता नाही; सर्वात जलदपणे कार्यान्वित होते. | इन्फ्रा_२.६.०१ (मानक) |
| साइट-टू-साइट व्हीपीएन | ऐच्छिक | ग्राहक नेटवर्कपासून TRANXACT VPC/VNet पर्यंत अतिरिक्त IPsec टनेल्स. | खाजगी एकीकरणे (एमईएस, लेगसी), प्रशासकीय निर्बंध. | इन्फ्रा_२.२.०३ – २.२.०५ |
| खाजगी कनेक्शन | ऐच्छिक | एडब्ल्यूएस डायरेक्ट कनेक्ट, अझ्युर एक्सप्रेसरूट, गूगल क्लाउड इंटरकनेक्ट. अंदाज लावता येण्याजोगी बँडविड्थ आणि लेटन्सी; स्वयंचलित बॅकअप मार्ग म्हणून व्हीपीएन. | उच्च, स्थिर व्हॉल्यूम किंवा इंटरनेट मार्गावर बंदी घालणारे धोरण. | इन्फ्रा_२.२.०६ – २.२.०७ |
| पिअरिंग / खाजगी लिंक | ऐच्छिक | त्याच क्लाउडमधील ग्राहकाच्या लँडिंग झोनसह VPC/VNet पीअरिंग; निवडक सेवांसाठी खाजगी एंडपॉइंट्स; स्थानिक किंवा जागतिक पीअरिंग. | ग्राहक आधीपासूनच त्याच क्लाउडमध्ये एक लँडिंग झोन चालवतो — जो सर्वात कमी विलंब असलेला खाजगी मार्ग आहे. | इन्फ्रा_२.२.०८, २.२.१० |
| ट्रान्झिट हब | ऐच्छिक | AWS ट्रान्झिट गेटवे, अझ्युर व्हर्च्युअल WAN किंवा GCP नेटवर्क कनेक्टिव्हिटी सेंटर; ट्रँक्सॅक्ट (TRANXACT) एका स्पोकप्रमाणे जोडले जाते. | हब-अँड-स्पोक लँडिंग झोन. | इन्फ्रा_२.२.०९ – २.२.१० |
ग्राहक नेटवर्क टीम प्रत्येक प्रदेशानुसार काय तयार करते
| वस्तू | साइट-टू-साइट व्हीपीएन (आयपीसेक) | खाजगी कनेक्शन |
|---|---|---|
| ग्राहक डिव्हाइस | स्थिर सार्वजनिक आयपी असलेला आयपीसेक-सक्षम फायरवॉल किंवा राउटर | क्लाउड मीट-मी लोकेशनवरील ग्राहक किंवा कॅरियर एज राउटर |
| बोगदे / परिपथ | प्रत्येक प्रदेशात स्वतंत्र क्लाउड गेटवेसाठी दोन टनेल | अतिरिक्त सर्किट्सची शिफारस केली आहे; बॅकअप मार्ग म्हणून व्हीपीएन (VPN) वापरा. |
| प्रोटोकॉल | IKEv2, AES-256, SHA-256, DH गट 14 किंवा त्याहून अधिक (प्रस्तावित डीफॉल्ट) | खाजगी व्हर्च्युअल इंटरफेस / पीअरिंगद्वारे BGP |
| मार्गक्रमण | BGP ला प्राधान्य; स्टॅटिक रूट्स स्वीकारले जातील. | सहमत ASN आणि रूट फिल्टरसह BGP |
| बँडविड्थ | निवडलेल्या क्लाउडच्या गेटवे मर्यादेपर्यंत | ग्राहकाने मागवलेला सर्किटचा आकार, उदा. १-१० Gbps |
| Live DR प्रदेश | Live DR रीजनकडे जाणारी बोगद्यांची दुसरी जोडी (INFRA_2.2.04) | Live DR प्रदेशासाठी सर्किट किंवा व्हीपीएन |
| मालकी | ग्राहक: डिव्हाइस, आयएसपी, ऑन-प्रिमाइस फायरवॉल नियम (वगळलेले). TRANXACT: क्लाउड गेटवे. | ग्राहक: सर्किट आणि कॅरियर करार (वगळलेले). TRANXACT: गेटवे संलग्नक. |
करारावर सही करताना खाजगी-कनेक्शन सर्किटची ऑर्डर द्या. कॅरियरकडून सर्किट येण्यासाठी अनेकदा आठवडे लागतात; सर्किट सुरू होईपर्यंत VPN वर चालवा.
पत्ता नियोजन
- प्रत्येक प्रदेशात किमान एक /22 खाजगी (RFC 1918) श्रेणी — 1,024 पत्ते.
- Live DR प्रदेशासाठी दुसरा, वेगळा /22.
- यापैकी काहीही कोणत्याही ग्राहक, भागीदार किंवा लँडिंग-झोन नेटवर्क — कार्यालये, डेटा सेंटर्स, इतर क्लाउड्स — यांच्याशी ओव्हरलॅप होऊ शकत नाही.
- कुबर्नेटीस पॉड आणि सर्व्हिस रेंजची योजना रेंजच्या आत किंवा सोबत केली जाते आणि जर ते राउट केलेले असतील तर त्यांना तोच नो-ओव्हरलॅप नियम लागू होतो.
- क्लाउड प्रोव्हायडरच्या रिझर्व्हड आणि लिंक-लोकल रेंज टाळा.
- श्रेणी प्रदान करणे हे ग्राहकाचे काम आहे (INFRA_2.2.02, वगळलेले). बिल्डनंतर त्या बदलणे म्हणजे पुनर्बांधणी करणे (INFRA_2.2.12, अतिरिक्त सेवा, बदल विनंतीद्वारे).
निवड करण्यापूर्वी ग्राहकाचा संपूर्ण आयपी प्लॅन गोळा करा. एक ओव्हरलॅप एकाच वेळी व्हीपीएन, पीअरिंग आणि डीआर राउटिंगला अवरोधित करतो, आणि एक गहाळ /22 संपूर्ण बिल्डला थांबवू शकतो.
एका प्रदेशातील सबनेट
| सबनेट | धारण करतो |
|---|---|
| प्रवेश | लोड बॅलेंसर, WAF, सार्वजनिक आयपी |
| नोड · AZ1, AZ2, AZ3 | कुबरनेट्स वर्कर्स, प्रत्येक झोनमध्ये एक सबनेट |
| डेटाबेस | केवळ खाजगी, इंटरनेट कनेक्शनशिवाय |
| बाहेर पडणे | अनुमत-सूचीबद्ध गंतव्यस्थानांसाठी NAT गेटवे |
| गेटवे | व्हीपीएन / खाजगी-कनेक्शन समाप्ती |
| प्रशासक | ऑपरेटर्ससाठी बॅस्टियन / झिरो-ट्रस्ट ऍक्सेस पॉईंट |
10.40.0.0/22 तयार करण्याचा एक मार्ग — हे प्रशिक्षणासाठीचे एक उदाहरण आहे, TRANXACT मानक नाही; लेजर आर्किटेक्ट डिझाइनच्या वेळीच खरी योजना निश्चित करतो:
Primary region 10.40.0.0/22 (10.40.0.0 - 10.40.3.255)
ingress 10.40.0.0/26
gateway 10.40.0.64/27
admin 10.40.0.96/27
egress (NAT) 10.40.0.128/27
database AZ1 10.40.0.192/27
database AZ2 10.40.0.224/27
nodes AZ1 10.40.1.0/24
nodes AZ2 10.40.2.0/24
nodes AZ3 10.40.3.0/24
Live DR region 10.40.4.0/22 (same layout, never overlapping the primary)पिअरिंग: हब आणि स्पोक
त्याच क्लाउडमध्ये आधीपासूनच लँडिंग झोन असलेल्या ग्राहकासाठी, TRANXACT हा स्पोक (spoke) असतो आणि ग्राहकाचा लँडिंग झोन हा हब (hub) असतो. पीअरिंग (peering) हा सीमांकन बिंदू असतो. हब गेटवे कार्यालये आणि डेटा सेंटर्सकडे ट्रॅफिक वाहून नेतो आणि ग्राहक हबमध्ये स्वतःचे फायरवॉल किंवा नेटवर्क व्हर्च्युअल अप्लायन्सेस ठेवू शकतो.
हबमधून ट्रान्झिटिव्ह राउटिंगला स्पष्टपणे परवानगी दिली पाहिजे, आणि हब राउटिंग व तपासणी ग्राहकाच्या अखत्यारीत आहे (INFRA_2.2.10, वगळलेले). बिल्ड करण्यापूर्वी ग्राहकाच्या क्लाउड टीमसोबत राउटची मालकी आणि तपासणीच्या ठिकाणांवर सहमत व्हा.
नाव ठराव आणि प्रमाणपत्रे
| ग्राहक पुरवतो | TRANXACT पुरवते |
|---|---|
| डोमेन किंवा सबडोमेन, उदा. erp.customer.com (INFRA_2.3.01) | ग्लोबल ट्रॅफिक मॅनेजर (INFRA_2.3.03) च्या मागे दोन्ही लाइव्ह रिजनमधील इनग्रेस एंडपॉइंट्स |
| FQDN साठी सार्वजनिक-CA प्रमाणपत्र, वाइल्डकार्डला परवानगी आहे (INFRA_2.3.02) — जोपर्यंत व्यवस्थापित प्रमाणपत्र पर्याय करारबद्ध केलेला नाही (INFRA_2.3.06) | प्रमाणपत्राची स्थापना आणि नूतनीकरण, मुदत संपण्याच्या ३० दिवस आधी सूचनेसह (INFRA_2.3.05, TO_4.11.01) |
| सार्वजनिक DNS रेकॉर्ड; खाजगी झोन किंवा खाजगी प्रवेश वापरल्यास सशर्त फॉरवर्डिंग. | कमी DNS TTL, देखरेख आणि सरावासाठी प्रदेश-विशिष्ट होस्टनेम, आणि DNS फेलओव्हर रनबुक (INFRA_2.3.04) |
वापरकर्ते आणि इंटिग्रेशन्स एकाच, स्थान-निरपेक्ष नावाला जोडले जातात. हे नाव दोन्ही लाइव्ह रिजनमध्ये ट्रॅफिक मॅनेजरद्वारे रिझॉल्व्ह होते, त्यामुळे Live DR फेलओव्हरसाठी कुठेही रीकॉन्फिगरेशनची आवश्यकता नसते.
एकीकरणांमध्ये कधीही .local प्रत्यय, हार्ड-कोडेड आयपी पत्ते किंवा प्रदेश-विशिष्ट नावे वापरू नका. कालबाह्य झालेले प्रमाणपत्र किंवा गहाळ झालेला आपत्कालीन पुनर्प्राप्ती रेकॉर्ड (DR record) हे सर्वात सामान्य टाळता येण्याजोगे व्यत्यय आहे — या दोन्ही गोष्टी संयुक्त रनबुकमध्ये ठेवा.
प्रवासातील डेटा
| TRANXACT कडे येणारे | TRANXACT पासून बाहेर |
|---|---|
| लोड बॅलेंसर आणि WAF द्वारे फक्त HTTPS (TLS 1.2+) | गंतव्यस्थानांच्या अनुमत-सूचीसह NAT मधून निर्गमन |
| ग्राहक आयडीपी मार्फत एसएसओ; तिथे एमएफए लागू आहे. | ठराविक: बँका, कर / ई-इनव्हॉइसिंग पोर्टल्स, पेरोल प्रदाते, ईमेल, एआय इंजिन |
| स्कोप केलेल्या भूमिकांसह प्रत्येक इंटिग्रेशन क्लायंटद्वारे API चे प्रमाणीकरण केले जाते. | आउटबाउंड कॉल्ससाठी TLS वापरले जाते; क्रेडेन्शियल्स एका सिक्रेट्स स्टोअरमध्ये ठेवलेली असतात. |
| ऐच्छिक आयपी अलाऊ-लिस्टिंग किंवा केवळ खाजगी प्रवेश | नोड्स किंवा डेटाबेसमधून इंटरनेट बाहेर जाण्याचा इतर कोणताही मार्ग नाही. |
| क्लस्टरमधील सेवा ट्रॅफिक एनक्रिप्टेड आहे. |
ग्राहक प्रत्येक आउटबाउंड डेस्टिनेशनची यादी करतो (INFRA_2.6.03, वगळलेले); TRANXACT प्रत्येक डेस्टिनेशनसाठी एक सेवा विनंती अशी अनुमत-सूची राखते (INFRA_2.6.02).
अलाऊ-लिस्टमधील एखादी नोंद गहाळ असल्यास पहिल्याच दिवशी पेमेंट किंवा फाइलिंगला अडथळा येतो. त्यांची नोंद डिझाइनच्या वेळी करा, गो-लाइव्ह आठवड्यात नाही.
TRANXACT ऑपरेटर कसे सामील होतात
- समर्पित अ‍ॅडमिन सबनेटमधील झिरो-ट्रस्ट किंवा बॅस्टियन अ‍ॅक्सेस पॉईंटद्वारे. कोणताही नोड किंवा डेटाबेस थेट उघड केला जात नाही.
- जस्ट-इन-टाइम, टाइम-बॉक्सड एलिव्हेशन, प्रत्येक बदल किंवा घटनेनुसार मंजूर — ग्राहकाने मंजूर केलेले (TO_4.5.05, वगळलेले).
- प्रत्येक ऑपरेटर ओळखीवर मल्टी-फॅक्टर ऑथेंटिकेशन (MFA); किमान विशेषाधिकार; भूमिकेवर आधारित.
- प्रत्येक अ‍ॅडमिन सेशन आणि क्लाउड-एपीआय कॉलची नोंद ठेवली जाते, आणि ती ग्राहकाच्या SIEM मध्ये निर्यात करता येते.
- ऑपरेटर प्लॅटफॉर्मचे व्यवस्थापन करतात. व्यावसायिक डेटा केवळ ग्राहकाने मंजूर केलेल्या तिकिटाद्वारेच ॲक्सेस केला जातो.
डिझाइनच्या वेळीच ठरवा की ग्राहकाच्या बाजूने ऑपरेटरची पदोन्नती कोण मंजूर करू शकेल, आणि प्रोडक्शन डेटा ऍक्सेससाठी सह-स्वाक्षरी आवश्यक आहे की नाही.
सामान्य एकीकरण परिस्थिती
| परिस्थिती | नमुना | दिशा | कनेक्टिव्हिटी | एंडपॉइंट मालक |
|---|---|---|---|---|
| बँकिंग आणि पेमेंट | एपीआय / होस्ट-टू-होस्ट एसएफटीपी | दोन्ही | बाहेर जाण्याची परवानगी-सूची; उपलब्ध असल्यास खाजगी दुवा | ग्राहक |
| कर आणि ई-इनव्हॉइसिंग | एपीआय | बाहेर | बाहेर जाण्याची परवानगी-सूची | ग्राहक |
| पगार आणि फायदे | एपीआय / एसएफटीपी | दोन्ही | बाहेर जाण्याची परवानगी सूची किंवा व्हीपीएन | ग्राहक |
| ओळख | फेडरेशन (SAML / OIDC), SCIM | येणारे | सार्वजनिक HTTPS | ग्राहक |
| BI आणि डेटा प्लॅटफॉर्म | एपीआय वाचा / नियोजित एक्स्ट्रॅक्ट | बाहेर | खाजगी लिंक किंवा HTTPS | संयुक्त |
| वारसा आणि शॉप फ्लोअर | एपीआय / इव्हेंट्स | दोन्ही | व्हीपीएन किंवा खाजगी कनेक्शन | ग्राहक |
| ईमेल आणि सूचना | एसएमटीपी / एपीआय | बाहेर | बाहेर जाण्याची परवानगी-सूची | संयुक्त |
| ASK साठी एआय इंजिन | एपीआय | बाहेर | बाहेर जाण्याची परवानगी-सूची | TRANXACT, किंवा BYOK असलेला ग्राहक |
प्रत्येक एकीकरण TRANXACT API किंवा व्यवस्थापित फाइल हस्तांतरणाद्वारे होते. डेटाबेसशी काहीही जोडले जात नाही.
'प्रस्तावित डीफॉल्ट' म्हणून चिन्हांकित केलेली मूल्ये ही डिप्लॉयमेंट गाईडने शिफारस केलेले प्रारंभिक बिंदू आहेत. प्रत्येक ग्राहकासाठी याची पुष्टी करा; करार, ऑर्डर फॉर्म, एसएलए आणि डीपीए या पृष्ठापेक्षा श्रेष्ठ ठरतील.