Topologias de rede

As cinco maneiras pelas quais uma rede de cliente se conecta à TRANXACT, o que a equipe de rede prepara para uma VPN ou uma conexão privada, planejamento de endereços /22 e o layout da sub-rede, peering em estrela, DNS e certificados, saída de dados e acesso do operador.

A rede é onde a maioria das implantações perde tempo. Todas as opções abaixo estão disponíveis na AWS, Microsoft Azure e Google Cloud; apenas os nomes dos produtos diferem.

Cinco opções de conectividade

O que a equipe da rede de clientes prepara, por região.

Planejamento de endereços

• Pelo menos um intervalo privado /22 (RFC 1918) por região — 1.024 endereços.
• Uma segunda /22 diferente para a região Live DR.
• Nenhuma delas pode se sobrepor a qualquer rede de cliente, parceiro ou zona de aterrissagem — escritórios, centros de dados, outras nuvens.
• Os intervalos de pods e serviços do Kubernetes são planejados dentro ou ao lado do intervalo e estão sujeitos à mesma regra de não sobreposição, caso sejam roteados.
• Evite os intervalos de endereços IP reservados e locais do provedor de nuvem.
• Fornecer os intervalos é tarefa do cliente (INFRA_2.2.02, Excluído). Alterá-los após a compilação implica em uma nova compilação (INFRA_2.2.12, Serviço Adicional, mediante solicitação de alteração).

Antes de escolher o plano de IP completo do cliente, colete-o. Uma única sobreposição bloqueia VPN, peering e roteamento de recuperação de desastres simultaneamente, e a ausência de um único /22 pode atrasar toda a configuração.

As sub-redes dentro de uma região

Uma forma de representar 10.40.0.0/22 — uma ilustração para fins de treinamento, não um padrão TRANXACT; o Ledger Architect define o plano real na fase de projeto:

Primary region   10.40.0.0/22   (10.40.0.0 - 10.40.3.255)
  ingress        10.40.0.0/26
  gateway        10.40.0.64/27
  admin          10.40.0.96/27
  egress (NAT)   10.40.0.128/27
  database AZ1   10.40.0.192/27
  database AZ2   10.40.0.224/27
  nodes AZ1      10.40.1.0/24
  nodes AZ2      10.40.2.0/24
  nodes AZ3      10.40.3.0/24

Live DR region   10.40.4.0/22   (same layout, never overlapping the primary)

Interconexão: modelo hub-and-spoke

Para um cliente com uma landing zone existente na mesma nuvem, a TRANXACT funciona como um spoke (ponto de conexão) e a landing zone do cliente como um hub. O peering é o ponto de demarcação. O gateway do hub encaminha o tráfego para escritórios e data centers, e o cliente pode instalar seus próprios firewalls ou appliances virtuais de rede no hub.

Resolução de nomes e certificados

Usuários e integrações se conectam a um único nome independente de localização. Ele é resolvido pelo gerenciador de tráfego em ambas as regiões ativas, portanto, uma recuperação Live DR não requer nenhuma reconfiguração.

Dados em trânsito

O cliente lista todos os destinos de saída (INFRA_2.6.03, Excluídos); a TRANXACT mantém a lista de permissões, uma solicitação de serviço por destino (INFRA_2.6.02).

Como os operadores da TRANXACT entram

• Por meio de um ponto de acesso de confiança zero ou bastião na sub-rede administrativa dedicada. Nenhum nó ou banco de dados é exposto diretamente.
• Elevação just-in-time, com tempo limitado, aprovada por alteração ou incidente — aprovada pelo cliente (TO_4.5.05, Excluído).
• Autenticação multifator (MFA) em cada identidade de operador; privilégio mínimo; baseada em funções.
• Cada sessão administrativa e chamada de API na nuvem é registrada e pode ser exportada para o SIEM do cliente.
• Os operadores administram a plataforma. O acesso aos dados comerciais é feito somente mediante um ticket aprovado pelo cliente.

Cenários comuns de integração

Toda a integração é feita através das APIs da TRANXACT ou por transferência gerenciada de arquivos. Nada se conecta ao banco de dados.

Faça o curso sobre isso, com diagramas e uma verificação.