TRANXACT.AI 帮助

网络拓扑

客户网络到达 TRANXACT 的五种方式、网络团队为 VPN 或专用连接所做的准备、/22 地址规划和子网布局、星型对等互连、DNS 和证书、出口以及操作员访问。

网络是大多数部署耗时的主要原因。以下所有选项均可在 AWS、Microsoft Azure 和 Google Cloud 上使用；区别仅在于产品名称。

五种连接方式

选项地位它是什么适合休息与恢复
公共 HTTPS默认用户通过负载均衡器和 WAF，经由 TLS 1.2+ 访问 TRANXACT；通过客户 IdP 实现 SSO。所有功能都面向 Web 用户或采用 HTTPS 集成。无需网络建设；上线速度最快。INFRA_2.6.01（标准）
站点到站点 VPN选修的从客户网络到 TRANXACT VPC/VNet 的冗余 IPsec 隧道。私有集成（MES、传统系统）、管理员限制。INFRA_2.2.03 – 2.2.05
私人连接选修的AWS Direct Connect、Azure ExpressRoute、Google Cloud Interconnect。带宽和延迟可预测；VPN 作为自动备份路径。高且稳定的流量，或者禁止互联网路径的政策。INFRA_2.2.06 – 2.2.07
对等互连/私有链接选修的与客户在同一云中的着陆区建立 VPC/VNet 对等连接；为选定的服务提供私有端点；本地或全球对等连接。客户已经在同一云平台上运行一个着陆区——延迟最低的私有路径。INFRA_2.2.08、2.2.10
交通枢纽选修的AWS Transit Gateway、Azure Virtual WAN 或 GCP Network Connectivity Center；TRANXACT 作为分支连接。中心辐射式着陆区。基础设施_2.2.09 – 2.2.10

客户网络团队按区域准备的内容

物品站点到站点 VPN（IPsec）私人连接
客户设备具备 IPsec 功能且拥有静态公网 IP 地址的防火墙或路由器位于云端汇聚点的客户或运营商边缘路由器
隧道/线路每个区域两条隧道连接到独立的云网关建议采用冗余电路；使用 VPN 作为备用路径
协议IKEv2、AES-256、SHA-256、DH 组 14 或更高版本（建议默认值）通过私有虚拟接口/对等体建立BGP
路由首选 BGP；也接受静态路由。使用约定的ASN和路由过滤器的BGP
带宽不超过所选云的网关限制客户订购的电路容量，例如 1–10 Gbps
Live DR区域Live DR区域的第二对隧道（INFRA_2.2.04）连接到Live DR区域的电路或 VPN
所有权客户：设备、互联网服务提供商、本地防火墙规则（已排除）。TRANXACT：云网关。客户：电路和运营商合同（不包含）。TRANXACT：网关附件。

签订合同时，请订购专用连接线路。线路通常需要几周时间才能从运营商处开通；在线路开通之前，请使用 VPN 连接。

地址规划

  • 每个区域至少有一个 /22 私有（RFC 1918）范围——1,024 个地址。
  • 第二个不同的 /22 用于 Live DR 区域。
  • 两者均不得与任何客户、合作伙伴或着陆区网络（办公室、数据中心、其他云）重叠。
  • Kubernetes pod 和服务范围在范围内或范围旁边进行规划，如果它们被路由，则必须遵守相同的无重叠规则。
  • 避免使用云服务提供商的保留地址范围和链路本地地址范围。
  • 提供范围是客户的任务（INFRA_2.2.02，已排除）。构建后更改范围意味着需要重新构建（INFRA_2.2.12，附加服务，通过变更请求）。

选择方案前，请务必收集客户的完整IP地址方案。一个重叠的IP地址会同时阻塞VPN、对等互连和灾难恢复路由，而一个缺失的/22地址则可能导致整个网络建设停滞。

一个区域内的子网

子网持有
Ingress负载均衡器、Web应用防火墙、公网IP
节点 · AZ1、AZ2、AZ3Kubernetes 工作节点，每个区域一个子网
数据库仅限私人用途，无互联网连接
出口NAT 网关到允许列表目标
网关VPN/专用连接终止
行政运营商的堡垒/零信任接入点

刻写 10.40.0.0/22 的一种方法——仅供培训参考，并非 TRANXACT 标准；账簿架构师在设计阶段就设定了真正的方案：

Primary region   10.40.0.0/22   (10.40.0.0 - 10.40.3.255)
  ingress        10.40.0.0/26
  gateway        10.40.0.64/27
  admin          10.40.0.96/27
  egress (NAT)   10.40.0.128/27
  database AZ1   10.40.0.192/27
  database AZ2   10.40.0.224/27
  nodes AZ1      10.40.1.0/24
  nodes AZ2      10.40.2.0/24
  nodes AZ3      10.40.3.0/24

Live DR region   10.40.4.0/22   (same layout, never overlapping the primary)

对等互连：中心辐射式

对于在同一云环境中已拥有落地区域的客户，TRANXACT 是分支，客户的落地区域是中心。对等互连是分界点。中心网关将流量转发到办公室和数据中心，客户可以在中心部署自己的防火墙或网络虚拟设备。

必须明确允许通过中心节点的传递路由，并且中心节点的路由和检查由客户负责（INFRA_2.2.10，已排除）。在构建之前，请与客户的云团队协商路由所有权和检查点。

名称解析和证书

客户提供TRANXACT 提供
域名或子域名，例如 erp.customer.com (INFRA_2.3.01)位于全球流量管理器 (INFRA_2.3.03) 后面的两个实时区域中的入口端点
适用于 FQDN 的公共 CA 证书，允许使用通配符 (INFRA_2.3.02) — 除非已签订托管证书选项合同 (INFRA_2.3.06)证书的安装和续期，到期前 30 天发出提醒（INFRA_2.3.05，TO_4.11.01）
公共 DNS 记录；如果使用私有访问，则为私有区域或条件转发。较低的 DNS TTL、用于监控和演练的区域特定主机名，以及 DNS 故障转移运行手册 (INFRA_2.3.04)

用户和集成都连接到同一个与位置无关的名称。该名称通过流量管理器在两个实时区域中解析，因此Live DR转移无需在任何地方重新配置。

集成中切勿使用 .local 后缀、硬编码的 IP 地址或特定区域的名称。证书过期或缺少灾难恢复记录是最常见的可避免故障——务必将这两项都添加到联合运行手册中。

传输中的数据

入站至 TRANXACTTRANXACT 出站
仅通过负载均衡器和WAF使用HTTPS（TLS 1.2+）。通过NAT出口，并设置目的地允许列表
通过客户身份提供商 (IdP) 实现单点登录 (SSO)；并在此处强制执行多因素身份验证 (MFA)。典型应用场景：银行、税务/电子发票门户网站、薪资服务提供商、电子邮件、人工智能引擎
API 通过集成客户端进行身份验证，并具有作用域角色出站呼叫使用 TLS；凭据保存在密钥存储库中。
可选的 IP 地址白名单或仅限私有访问节点或数据库没有其他互联网出口。
集群内部的服务流量已加密

客户列出所有出站目的地（INFRA_2.6.03，排除）；TRANXACT 维护允许列表，每个目的地一个服务请求（INFRA_2.6.02）。

缺少允许列表条目会导致第一天就无法进行付款或申报。请在设计阶段就列出这些条目，而不是在上线周才列出。

TRANXACT操作员如何进入

  • 通过专用管理子网中的零信任或堡垒机访问点进行访问。没有节点或数据库直接暴露。
  • 准时、限时升级，每次变更或事件均需获得批准——由客户批准（TO_4.5.05，已排除）。
  • 对每个操作员身份进行多因素身份验证；最小权限原则；基于角色。
  • 记录所有管理员会话和云 API 调用，并可导出到客户的 SIEM 系统。
  • 平台由运营商管理。业务数据只有在客户批准的工单下才能访问。

在设计阶段就确定客户方谁可以批准操作员权限提升，以及生产数据访问权限是否需要共同签署。

常见集成场景

设想图案方向连接性端点所有者
银行与支付API/主机到主机SFTP两个都出口允许列表；提供的私有链接顾客
税务与电子发票API出站出口允许列表顾客
薪资及福利API/SFTP两个都出口允许列表或 VPN顾客
身份联合身份验证（SAML/OIDC）、SCIM入境公共 HTTPS顾客
商业智能和数据平台读取 API / 定时提取出站私有链接或 HTTPS联合的
传统与车间API/事件两个都VPN 或专用连接顾客
电子邮件和通知SMTP/API出站出口允许列表联合的
ASK 的 AI 引擎API出站出口允许列表TRANXACT，或拥有 BYOK 的客户

所有集成均通过 TRANXACT API 或托管文件传输进行。不直接连接数据库。

标有“建议默认值”的值是部署指南推荐的起始值。请根据每位客户的具体情况进行确认；合同、订单、服务级别协议 (SLA) 和数据处理协议 (DPA) 的效力高于本页面内容。

参加这门课程，课程包含图表和检查。