نیٹ ورک ٹوپولوجیز
کسٹمر نیٹ ورک TRANXACT تک پہنچنے کے پانچ طریقے، نیٹ ورک ٹیم VPN یا پرائیویٹ کنکشن کے لیے کیا تیاری کرتی ہے، /22 ایڈریس پلاننگ اور سب نیٹ لے آؤٹ، ہب اینڈ اسپوک پیئرنگ، DNS اور سرٹیفکیٹس، ایگریس، اور آپریٹر تک رسائی۔
نیٹ ورک وہ جگہ ہے جہاں زیادہ تر تعیناتیوں کا وقت ضائع ہوتا ہے۔ ذیل میں موجود ہر آپشن AWS، Microsoft Azure اور Google Cloud پر دستیاب ہے۔ صرف پروڈکٹ کے نام مختلف ہیں۔
کنیکٹیویٹی کے پانچ اختیارات
| آپشن | حیثیت | یہ کیا ہے | فٹ بیٹھتا ہے جب | آر اینڈ آر |
|---|---|---|---|---|
| عوامی HTTPS | طے شدہ | صارفین TLS 1.2+ پر لوڈ بیلنسر اور WAF کے ذریعے TRANXACT تک پہنچتے ہیں۔ کسٹمر آئی ڈی پی کے ذریعے SSO۔ | ہر چیز ایک ویب صارف یا HTTPS انضمام ہے۔ کوئی نیٹ ورک تعمیر نہیں؛ لائیو جانے کے لیے سب سے تیز۔ | INFRA_2.6.01 (معیاری) |
| سائٹ ٹو سائٹ وی پی این | اختیاری | کسٹمر نیٹ ورک سے TRANXACT VPC/VNet تک بے کار IPsec سرنگیں۔ | نجی انضمام (MES، میراث)، منتظم کی پابندیاں۔ | INFRA_2.2.03 - 2.2.05 |
| پرائیویٹ کنکشن | اختیاری | AWS Direct Connect، Azure ExpressRoute، Google Cloud Interconnect۔ متوقع بینڈوڈتھ اور تاخیر؛ خودکار بیک اپ پاتھ کے طور پر VPN۔ | اعلی، مستحکم حجم یا ایسی پالیسی جو انٹرنیٹ کے راستے پر پابندی لگاتی ہے۔ | INFRA_2.2.06 - 2.2.07 |
| پیئرنگ / نجی لنک | اختیاری | اسی کلاؤڈ میں گاہک کے لینڈنگ زون کے ساتھ VPC/VNet پیئرنگ؛ منتخب خدمات کے لیے پرائیویٹ اینڈ پوائنٹس؛ مقامی یا عالمی پیئرنگ۔ | گاہک پہلے سے ہی اسی کلاؤڈ میں لینڈنگ زون چلاتا ہے - سب سے کم تاخیر والا نجی راستہ۔ | INFRA_2.2.08، 2.2.10 |
| ٹرانزٹ ہب | اختیاری | AWS ٹرانزٹ گیٹ وے، Azure ورچوئل WAN یا GCP نیٹ ورک کنیکٹیویٹی سینٹر؛ TRANXACT بطور اسپوک منسلک کرتا ہے۔ | حب اور اسپوک لینڈنگ زون۔ | INFRA_2.2.09 - 2.2.10 |
کسٹمر نیٹ ورک ٹیم کیا تیار کرتی ہے، فی علاقہ
| آئٹم | سائٹ سے سائٹ VPN (IPsec) | پرائیویٹ کنکشن |
|---|---|---|
| کسٹمر ڈیوائس | جامد عوامی IP کے ساتھ ایک IPsec کے قابل فائر وال یا روٹر | کلاؤڈ میٹ-می مقام پر ایک کسٹمر یا کیریئر ایج روٹر |
| سرنگیں / سرکٹس | کلاؤڈ گیٹ ویز کو الگ کرنے کے لیے فی علاقہ دو سرنگیں۔ | بے کار سرکٹس کی سفارش کی جاتی ہے۔ بیک اپ پاتھ کے طور پر VPN |
| پروٹوکول | IKEv2, AES-256, SHA-256, DH گروپ 14 یا اس سے زیادہ (مجوزہ ڈیفالٹ) | نجی ورچوئل انٹرفیس / پیئرنگ پر بی جی پی |
| روٹنگ | بی جی پی کو ترجیح دی گئی۔ جامد راستوں کو قبول کیا گیا۔ | BGP متفقہ ASNs اور روٹ فلٹرز کے ساتھ |
| بینڈوڈتھ | منتخب بادل کے گیٹ وے کی حد تک | سرکٹ کا سائز جس کا گاہک آرڈر کرتا ہے، جیسے 1–10 Gbps |
| Live DR علاقہ | Live DR خطے کے لیے سرنگوں کا دوسرا جوڑا (INFRA_2.2.04) | Live DR خطے کے لیے ایک سرکٹ یا VPN |
| ملکیت | گاہک: ڈیوائس، ISP، آن پریمیس فائر وال رولز (خارج) TRANXACT: کلاؤڈ گیٹ وے۔ | گاہک: سرکٹ اور کیریئر کا معاہدہ (خارج) TRANXACT: گیٹ وے اٹیچمنٹ۔ |
معاہدے کے دستخط پر نجی کنکشن سرکٹ کا آرڈر دیں۔ سرکٹس اکثر کیریئر سے ہفتے لگتے ہیں؛ سرکٹ لائیو ہونے تک VPN پر چلائیں۔
ایڈریس پلاننگ
- کم از کم ایک /22 نجی (RFC 1918) رینج فی علاقہ — 1,024 پتے۔
- Live DR خطے کے لیے ایک سیکنڈ، مختلف/22۔
- نہ ہی کسی گاہک، پارٹنر یا لینڈنگ زون نیٹ ورک — دفاتر، ڈیٹا سینٹرز، دیگر کلاؤڈز کو اوورلیپ کر سکتے ہیں۔
- Kubernetes پوڈ اور سروس رینجز کی منصوبہ بندی رینج کے اندر یا اس کے ساتھ کی جاتی ہے، اور اگر انہیں روٹ کیا جاتا ہے تو وہ اسی نو اوورلیپ اصول کے تابع ہوتے ہیں۔
- کلاؤڈ فراہم کنندہ کے محفوظ اور لنک-لوکل رینجز سے بچیں۔
- رینجز فراہم کرنا کسٹمر کا کام ہے (INFRA_2.2.02، خارج)۔ تعمیر کے بعد انہیں تبدیل کرنے کا مطلب ہے دوبارہ تعمیر (INFRA_2.2.12، ایڈیشنل سروس، بذریعہ تبدیلی کی درخواست)۔
منتخب کرنے سے پہلے گاہک کا مکمل IP پلان جمع کریں۔ ایک اوورلیپ VPN، پیئرنگ اور DR روٹنگ کو ایک ساتھ روکتا ہے، اور ایک غائب /22 پوری تعمیر کو روک سکتا ہے۔
ایک علاقے کے اندر ذیلی نیٹ
| سب نیٹ | رکھتا ہے۔ |
|---|---|
| داخل ہونا | لوڈ بیلنس، ڈبلیو اے ایف، پبلک آئی پی |
| نوڈ · AZ1، AZ2، AZ3 | Kubernetes ورکرز، فی زون ایک سب نیٹ |
| ڈیٹا بیس | صرف نجی، بغیر انٹرنیٹ روٹ کے |
| اخراج | اجازت یافتہ منزلوں کے لیے NAT گیٹ وے |
| گیٹ وے | وی پی این / نجی کنکشن ختم کرنا |
| ایڈمن | آپریٹرز کے لیے بیسشن / زیرو ٹرسٹ رسائی پوائنٹ |
10.40.0.0/22 تراشنے کا ایک طریقہ — تربیت کے لیے ایک مثال، نہ کہ TRANXACT معیار؛ لیجر آرکیٹیکٹ ڈیزائن پر حقیقی منصوبہ ترتیب دیتا ہے:
Primary region 10.40.0.0/22 (10.40.0.0 - 10.40.3.255)
ingress 10.40.0.0/26
gateway 10.40.0.64/27
admin 10.40.0.96/27
egress (NAT) 10.40.0.128/27
database AZ1 10.40.0.192/27
database AZ2 10.40.0.224/27
nodes AZ1 10.40.1.0/24
nodes AZ2 10.40.2.0/24
nodes AZ3 10.40.3.0/24
Live DR region 10.40.4.0/22 (same layout, never overlapping the primary)پیئرنگ: حب اور بولا۔
ایک ہی کلاؤڈ میں موجودہ لینڈنگ زون والے گاہک کے لیے، TRANXACT بات ہے اور گاہک کا لینڈنگ زون مرکز ہے۔ پیئرنگ حد بندی کا نقطہ ہے۔ حب گیٹ وے ٹریفک کو دفاتر اور ڈیٹا سینٹرز تک لے جاتا ہے، اور صارف حب میں اپنی فائر وال یا نیٹ ورک ورچوئل آلات رکھ سکتا ہے۔
حب کے ذریعے عبوری روٹنگ کی واضح طور پر اجازت ہونی چاہیے، اور حب روٹنگ اور معائنہ گاہک کا ہے (INFRA_2.2.10، خارج)۔ تعمیر سے پہلے گاہک کی کلاؤڈ ٹیم کے ساتھ راستے کی ملکیت اور معائنہ کے پوائنٹس سے اتفاق کریں۔
نام کی قرارداد اور سرٹیفکیٹ
| گاہک فراہم کرتا ہے۔ | TRANXACT فراہم کرتا ہے۔ |
|---|---|
| ڈومین یا ذیلی ڈومین، جیسے erp.customer.com (INFRA_2.3.01) | عالمی ٹریفک مینیجر (INFRA_2.3.03) کے پیچھے دونوں رواں خطوں میں اختتامی نقطوں کو داخل کریں |
| FQDN کے لیے ایک عوامی-CA سرٹیفکیٹ، وائلڈ کارڈ کی اجازت ہے (INFRA_2.3.02) — جب تک کہ منظم سرٹیفکیٹ کا اختیار معاہدہ نہ ہو (INFRA_2.3.06) | سرٹیفکیٹ کی تنصیب اور تجدید، 30 دن پہلے ایکسپائری الرٹ کے ساتھ (INFRA_2.3.05, TO_4.11.01) |
| عوامی DNS ریکارڈ؛ نجی زون یا مشروط فارورڈنگ اگر نجی رسائی استعمال کی جاتی ہے۔ | ایک کم DNS TTL، نگرانی اور مشقوں کے لیے خطے کے مخصوص میزبان نام، اور DNS فیل اوور رن بک (INFRA_2.3.04) |
صارفین اور انضمام ایک مقام کے نام سے جڑتے ہیں۔ یہ دونوں لائیو ریجنز میں ٹریفک مینیجر کے ذریعے حل ہوتا ہے، اس لیے Live DR فیل اوور کو کہیں بھی دوبارہ ترتیب دینے کی ضرورت نہیں ہے۔
انضمام میں .local لاحقے، ہارڈ کوڈ والے IP پتے یا علاقے کے مخصوص ناموں کو کبھی استعمال نہ کریں۔ ایک میعاد ختم ہونے والا سرٹیفکیٹ یا گمشدہ DR ریکارڈ سب سے عام قابل گریز بندش ہے - دونوں کو مشترکہ رن بک میں ڈالیں۔
ٹرانزٹ میں ڈیٹا
| TRANXACT پر ان باؤنڈ | TRANXACT سے آؤٹ باؤنڈ |
|---|---|
| صرف HTTPS (TLS 1.2+) لوڈ بیلنسر اور WAF کے ذریعے | منزلوں کی اجازت یافتہ فہرست کے ساتھ NAT کے ذریعے نکلیں۔ |
| کسٹمر آئی ڈی پی کے ذریعے SSO؛ ایم ایف اے وہاں نافذ ہے۔ | عام: بینک، ٹیکس / ای-انوائسنگ پورٹلز، پے رول فراہم کرنے والے، ای میل، اے آئی انجن |
| دائرہ کار والے کرداروں کے ساتھ فی انٹیگریشن کلائنٹ کی توثیق شدہ APIs | آؤٹ باؤنڈ کالز TLS استعمال کرتی ہیں۔ ایک راز کی دکان میں رکھی اسناد |
| اختیاری IP کی اجازت دینے والی فہرست یا صرف نجی رسائی | نوڈس یا ڈیٹا بیس سے کوئی دوسرا انٹرنیٹ نہیں نکلتا |
| کلسٹر کے اندر سروس ٹریفک کو خفیہ کردہ |
گاہک ہر باہر جانے والی منزل کی فہرست دیتا ہے (INFRA_2.6.03، خارج کردہ)؛ TRANXACT اجازت کی فہرست کو برقرار رکھتا ہے، فی منزل ایک خدمت کی درخواست (INFRA_2.6.02)۔
اجازت نامے کی فہرست میں داخل نہ ہونے سے پہلے دن ادائیگیوں یا فائلنگ کو روک دیا جاتا ہے۔ انہیں ڈیزائن کے دوران درج کریں، نہ کہ رواں ہفتے کے دوران۔
TRANXACT آپریٹرز کیسے داخل ہوتے ہیں۔
- سرشار ایڈمن سب نیٹ میں زیرو ٹرسٹ یا گڑھ رسائی پوائنٹ کے ذریعے۔ کوئی نوڈ یا ڈیٹا بیس براہ راست بے نقاب نہیں ہوتا ہے۔
- وقتی طور پر، ٹائم باکسڈ ایلیویشن، فی تبدیلی یا واقعہ کی منظوری — گاہک کے ذریعہ منظور شدہ (TO_4.5.05، خارج)۔
- ہر آپریٹر کی شناخت پر MFA؛ کم از کم استحقاق؛ کردار پر مبنی
- ہر ایڈمن سیشن اور کلاؤڈ-API کال لاگ ان، اور گاہک کے SIEM میں قابل برآمد۔
- آپریٹرز پلیٹ فارم کا انتظام کرتے ہیں۔ کاروباری ڈیٹا تک رسائی صرف صارف کے منظور شدہ ٹکٹ کے تحت ہوتی ہے۔
اس ڈیزائن پر متفق ہوں کہ کسٹمر کی طرف سے آپریٹر کی بلندی کو کون منظور کر سکتا ہے، اور آیا پروڈکشن ڈیٹا تک رسائی کو شریک دستخط کرنا ضروری ہے۔
عام انضمام کے منظرنامے۔
| منظر نامہ | پیٹرن | سمت | کنیکٹوٹی | اختتامی نقطہ کا مالک |
|---|---|---|---|---|
| بینکنگ اور ادائیگی | API / میزبان سے میزبان SFTP | دونوں | باہر نکلنے کی اجازت کی فہرست؛ نجی لنک جہاں پیش کیا جاتا ہے۔ | گاہک |
| ٹیکس اور ای انوائسنگ | API | آؤٹ باؤنڈ | باہر نکلنے کی اجازت کی فہرست | گاہک |
| پے رول اور فوائد | API / SFTP | دونوں | باہر نکلنے کی اجازت کی فہرست یا VPN | گاہک |
| شناخت | فیڈریشن (SAML/OIDC)، SCIM | ان باؤنڈ | عوامی HTTPS | گاہک |
| BI اور ڈیٹا پلیٹ فارم | API / شیڈول اقتباس پڑھیں | آؤٹ باؤنڈ | پرائیویٹ لنک یا HTTPS | مشترکہ |
| میراثی اور دکان کا فرش | API / واقعات | دونوں | VPN یا نجی کنکشن | گاہک |
| ای میل اور اطلاعات | SMTP / API | آؤٹ باؤنڈ | باہر نکلنے کی اجازت کی فہرست | مشترکہ |
| ASK کے لیے AI انجن | API | آؤٹ باؤنڈ | باہر نکلنے کی اجازت کی فہرست | TRANXACT، یا BYOK والا صارف |
ہر انضمام TRANXACT APIs یا منظم فائل ٹرانسفر کے ذریعے ہوتا ہے۔ ڈیٹا بیس سے کچھ بھی نہیں جڑتا۔
مجوزہ ڈیفالٹ کے طور پر نشان زد کردہ اقدار تعیناتی گائیڈ کے تجویز کردہ ابتدائی پوائنٹس ہیں۔ فی گاہک ہر ایک کی تصدیق کریں؛ معاہدہ، آرڈر فارم، SLA اور DPA اس صفحہ پر غالب ہیں۔