Топологии сети

Пять способов подключения клиентской сети к TRANXACT, подготовка сетевой командой VPN или частного соединения, планирование адресов /22 и структура подсети, пиринг по схеме "звезда", DNS и сертификаты, исходящий трафик и доступ оператора.

В сети чаще всего теряются ресурсы при развертывании. Все представленные ниже варианты доступны на платформах AWS, Microsoft Azure и Google Cloud; различаются только названия продуктов.

Пять вариантов подключения

Что готовит команда по работе с клиентской сетью по регионам

Планирование адресов

• По меньшей мере один частный диапазон /22 (RFC 1918) на регион — 1024 адреса.
• Второй, другой /22 для региона Live DR.
• Ни один из них не должен пересекаться с сетями клиентов, партнеров или посадочными зонами — офисами, центрами обработки данных, другими облачными сервисами.
• Диапазоны подов и сервисов Kubernetes планируются внутри или параллельно с заданным диапазоном и подчиняются тому же правилу отсутствия пересечений, если они маршрутизируются.
• Избегайте использования зарезервированных и локальных диапазонов IP-адресов, предоставляемых облачным провайдером.
• Предоставление диапазонов — задача заказчика (INFRA_2.2.02, Исключено). Изменение их после сборки означает пересборку (INFRA_2.2.12, Дополнительная услуга, по запросу на изменение).

Перед выбором тарифного плана соберите полный список IP-адресов клиента. Одно перекрытие одновременно блокирует VPN, пиринг и маршрутизацию аварийного восстановления, а отсутствие одного блока /22 может затормозить всю инфраструктуру.

Подсети внутри одного региона

Один из способов вырезать 10.40.0.0/22 — это иллюстрация для обучения, а не стандарт TRANXACT; Ledger Architect задает реальный план на этапе проектирования:

Primary region   10.40.0.0/22   (10.40.0.0 - 10.40.3.255)
  ingress        10.40.0.0/26
  gateway        10.40.0.64/27
  admin          10.40.0.96/27
  egress (NAT)   10.40.0.128/27
  database AZ1   10.40.0.192/27
  database AZ2   10.40.0.224/27
  nodes AZ1      10.40.1.0/24
  nodes AZ2      10.40.2.0/24
  nodes AZ3      10.40.3.0/24

Live DR region   10.40.4.0/22   (same layout, never overlapping the primary)

Пиринг: центральная и периферийная сети

Для клиента, у которого уже есть зона приема трафика в том же облаке, TRANXACT является периферийным узлом, а зона приема трафика клиента — центральным узлом. Пиринг — это точка разграничения. Центральный шлюз передает трафик в офисы и центры обработки данных, а клиент может разместить в центральном узле свои собственные межсетевые экраны или виртуальные сетевые устройства.

Разрешение имен и сертификаты

Пользователи и интеграции подключаются к одному независимому от местоположения имени. Оно разрешается через менеджер трафика в обоих действующих регионах, поэтому для переключения Live DR не требуется перенастройка.

Данные в процессе передачи

Клиент перечисляет все пункты назначения исходящих рейсов (INFRA_2.6.03, Исключено); TRANXACT ведет список разрешенных пунктов назначения, один запрос на обслуживание для каждого пункта назначения (INFRA_2.6.02).

Как операторы TRANXACT попадают в систему

• Через точку доступа с нулевым доверием или бастионную точку доступа в выделенной административной подсети. Ни один узел или база данных не доступны напрямую.
• Выполнение работ по подъему оборудования точно в срок, с ограничением по времени, утверждается по мере внесения изменений или возникновения инцидентов — утверждается заказчиком (TO_4.5.05, Исключено).
• Многофакторная аутентификация для каждого пользователя; принцип минимальных привилегий; ролевой подход.
• Все административные сессии и вызовы облачных API регистрируются и могут быть экспортированы в SIEM-систему заказчика.
• Администрированием платформы занимаются операторы. Доступ к бизнес-данным осуществляется только по одобренному клиентом запросу.

Типичные сценарии интеграции

Все интеграции осуществляются через API-интерфейсы TRANXACT или посредством управляемой передачи файлов. Никакое соединение с базой данных не устанавливается.

Пройдите этот курс, используя схемы и проверяя результаты.