La red es donde se pierde tiempo en las implementaciones, no porque sea difícil, sino porque sus aportaciones están en manos de equipos que no participaron en las conversaciones de ventas. Involúcrelos desde el principio.
| Opción | Estado | Elígelo cuando |
|---|---|---|
| HTTPS público | Por defecto | Los usuarios son navegadores y las integraciones son HTTPS. No se requiere configuración de red. |
| VPN de sitio a sitio | Opcional | Integraciones privadas (MES, sistemas heredados) o restricciones administrativas. |
| Conexión privada | Opcional | Se requiere un ancho de banda y una latencia predecibles, o bien, no se permite el acceso a Internet. La VPN se mantiene como ruta de respaldo. |
| Interconexión / enlace privado | Opcional | El cliente ya dispone de una zona de aterrizaje en la misma nube. |
| centro de tránsito | Opcional | La zona de aterrizaje tiene una configuración radial; TRANXACT se acopla como un radio. |
Lo que aporta el equipo de red
| VPN de sitio a sitio | Conexión privada | |
|---|---|---|
| Dispositivo | Cortafuegos o enrutador compatible con IPsec con una IP pública estática | Enrutador perimetral en una ubicación de encuentro en la nube |
| Redundancia | Dos túneles por región para separar las puertas de acceso. | Circuitos redundantes; VPN como respaldo |
| Protocolo | IKEv2, AES-256, SHA-256, grupo DH 14+ (propuesto) | BGP sobre una interfaz virtual privada |
| Enrutamiento | Se prefiere BGP; se aceptan enlaces estáticos. | BGP con ASNs acordados y filtros de ruta |
| Live DR | Un segundo par de túneles hacia la región DR. | Un circuito o VPN a la región DR |
| El cliente es propietario | Reglas del firewall local, de la línea del ISP y del dispositivo | Contrato de circuito y operador |
Los circuitos suelen tardar semanas en llegar desde el operador. Solicítelos al firmar el contrato y úselos mediante VPN hasta que el circuito esté activo.
Planificación de direcciones
Al menos un /22 de espacio privado RFC 1918 por región (1024 direcciones) y un segundo /22 diferente para la región Live DR. Ninguno puede superponerse con la red de ningún cliente, socio o zona de aterrizaje. Los rangos de pods y servicios se planifican dentro o junto a ellos, bajo la misma regla si se enrutan. Evite los rangos reservados y de enlace local del proveedor.
Primary 10.40.0.0/22 ingress /26 · gateway /27 · admin /27 · egress /27
database AZ1 /27 · database AZ2 /27
nodes AZ1 /24 · nodes AZ2 /24 · nodes AZ3 /24
Live DR 10.40.4.0/22 same layoutModificar los rangos después de la compilación implica una recompilación, un servicio adicional solicitado mediante cambios (INFRA_2.2.12). Una superposición bloquea simultáneamente la VPN, el emparejamiento y el enrutamiento de recuperación ante desastres, y la falta de un /22 puede contener toda la compilación.
Centro y radios
En el sistema de interconexión o de tránsito, TRANXACT es el nodo y la zona de destino del cliente es el nodo; la interconexión es el punto de demarcación. El cliente controla el enrutamiento y la inspección del nodo, y debe permitir explícitamente el enrutamiento transitivo; de lo contrario, las oficinas detrás del nodo no podrán acceder al nodo, aunque la interconexión esté activa.
Un nombre, dos regiones
El cliente proporciona el FQDN, un certificado de CA pública (a menos que se contrate la opción de certificado gestionado), el registro DNS público y una zona privada o reenvío condicional si se utiliza acceso privado. TRANXACT proporciona acceso de entrada en ambas regiones activas tras un gestor de tráfico global, un TTL bajo, nombres de host específicos de la región para monitorización y simulacros, y el manual de procedimientos de conmutación por error.
Nunca utilice sufijos .local, direcciones IP ni nombres específicos de región en una integración, ya que fallan en la primera conmutación por error. Un certificado caducado o un registro de recuperación ante desastres faltante es la causa más común de interrupción evitable.
Salida y cómo entran los operadores
Cada destino de salida es especificado por el cliente y autorizado por TRANXACT, con una solicitud de servicio para cada uno. Los operadores acceden a través de un punto de acceso de confianza cero o bastión en la subred de administración, con elevación de privilegios justo a tiempo que el cliente aprueba, autenticación multifactor (MFA) y registro de cada sesión.
Las oficinas de Calderwood utilizan 10.0.0.0/12 y su zona de aterrizaje de Azure utiliza 10.32.0.0/13, que abarca desde 10.32.0.0 hasta 10.39.255.255. Por lo tanto, 10.40.0.0/22 para el servidor principal y 10.40.4.0/22 para Live DR están libres de ambas redes. Su MES se encuentra en la VPN; su portal bancario y tributario pasa por la lista de salida permitida.
Pruébalo El equipo de redes de Calderwood propone 10.36.0.0/22 como región principal "porque no se utiliza en nuestra red". ¿Es cierto?
La IP 10.36.0.0/22 se encuentra dentro de la zona de aterrizaje 10.32.0.0/13 (10.32.0.0–10.39.255.255). Si bien actualmente puede estar sin usar, está enrutada a la zona de aterrizaje, por lo que el peering, la VPN y el enrutamiento de recuperación ante desastres entrarían en conflicto. Revise todo el plan de IP: oficinas, centros de datos, todas las nubes, no solo lo que está en uso.