C’est au niveau du réseau que les déploiements perdent du temps, non pas par difficulté, mais parce que les informations nécessaires sont transmises à des équipes qui n’ont pas participé aux discussions commerciales. Il est donc essentiel de les impliquer au plus tôt.
| Option | Statut | Choisissez-le quand |
|---|---|---|
| HTTPS public | Défaut | Les utilisateurs utilisent des navigateurs et les intégrations sont sécurisées par HTTPS. Aucune infrastructure réseau n'est déployée. |
| VPN de site à site | Facultatif | Intégrations privées (MES, systèmes hérités) ou restrictions d'administration. |
| Connexion privée | Facultatif | Si la bande passante et la latence sont prévisibles, ou si la connexion Internet est impossible, le VPN reste la solution de secours. |
| Interconnexion / lien privé | Facultatif | Le client dispose déjà d'une zone d'atterrissage dans le même cloud. |
| Plateforme de transit | Facultatif | La zone d'atterrissage est en étoile ; TRANXACT s'y fixe comme un rayon. |
Ce que l'équipe réseau apporte
| VPN de site à site | Connexion privée | |
|---|---|---|
| Appareil | Pare-feu ou routeur compatible IPsec avec une adresse IP publique statique | Routeur Edge à un point de rencontre cloud |
| Redondance | Deux tunnels par région pour séparer les points d'accès | Circuits redondants ; VPN en tant que solution de secours |
| Protocole | IKEv2, AES-256, SHA-256, DH groupe 14+ (proposé) | BGP sur une interface virtuelle privée |
| Routage | BGP privilégié ; protocole statique accepté | BGP avec ASN et filtres de routage convenus |
| Live DR | Une deuxième paire de tunnels vers la région de la République dominicaine | Un circuit ou un VPN vers la région DR |
| Le client possède | Appareil, ligne FAI, règles de pare-feu sur site | Contrat de circuit et d'opérateur |
L'établissement des connexions prend souvent plusieurs semaines avec l'opérateur. Commandez-les dès la signature du contrat et utilisez un VPN jusqu'à ce que la connexion soit opérationnelle.
Planification d'adresse
Au moins un espace d'adressage privé RFC 1918 /22 par région (soit 1 024 adresses) et un second espace /22 distinct pour la région de reprise Live DR. Ces espaces ne doivent pas chevaucher les réseaux de clients, de partenaires ou de zones d'atterrissage. Les plages d'adresses des pods et des services sont planifiées à l'intérieur ou à côté de ces plages, selon la même règle en cas de routage. Évitez les plages réservées et locales du fournisseur.
Primary 10.40.0.0/22 ingress /26 · gateway /27 · admin /27 · egress /27
database AZ1 /27 · database AZ2 /27
nodes AZ1 /24 · nodes AZ2 /24 · nodes AZ3 /24
Live DR 10.40.4.0/22 same layoutToute modification des plages après la compilation nécessite une reconstruction — une demande de service supplémentaire (INFRA_2.2.12). Un seul chevauchement bloque simultanément le VPN, le peering et le routage DR, tandis qu’un seul /22 manquant peut contenir l’ensemble de la compilation.
Centre et rayon
Avec un peering ou un hub de transit, TRANXACT joue le rôle de la périphérie et la zone d'atterrissage du client celui du hub ; le peering constitue le point de démarcation. Le client est responsable du routage et de l'inspection du hub et doit autoriser explicitement le routage transitif ; à défaut, les bureaux situés derrière le hub ne pourront pas atteindre la périphérie, même si le peering est opérationnel.
Un nom, deux régions
Le client fournit le nom de domaine complet (FQDN), un certificat d'autorité de certification publique (sauf si l'option de certificat géré est souscrite), l'enregistrement DNS public et une zone privée ou un transfert conditionnel en cas d'accès privé. TRANXACT assure le contrôle d'entrée dans les deux régions de production, derrière un gestionnaire de trafic global, un TTL court, des noms d'hôtes spécifiques à chaque région pour la surveillance et les exercices de simulation, ainsi que le plan de reprise après incident.
N’utilisez jamais de suffixes .local, d’adresses IP ou de noms spécifiques à une région dans une intégration : ils provoquent une panne dès le premier basculement. Un certificat expiré ou un enregistrement de reprise après sinistre manquant est la cause d’interruption de service évitable la plus fréquente.
Sortie et comment les opérateurs y accèdent
Chaque destination sortante est définie par le client et autorisée par TRANXACT, une requête de service étant effectuée pour chacune. Les opérateurs se connectent via un point d'accès Zero Trust ou un bastion du sous-réseau d'administration, avec une élévation de privilèges à la demande approuvée par le client, une authentification multifacteur et un enregistrement de chaque session.
Les bureaux de Calderwood utilisent le réseau 10.0.0.0/12 et sa zone d'atterrissage Azure utilise le réseau 10.32.0.0/13, couvrant la plage d'adresses de 10.32.0.0 à 10.39.255.255. Les Live DR sont donc exempts de ces restrictions. Son système MES est hébergé sur le VPN ; ses portails bancaire et fiscal sont autorisés à sortir du réseau.
Essayez-le L’équipe réseau de Calderwood propose 10.36.0.0/22 comme région principale « car elle est inutilisée sur notre réseau ». Vraiment ?
L'adresse 10.36.0.0/22 se trouve dans la zone d'atterrissage 10.32.0.0/13 (10.32.0.0–10.39.255.255). Bien qu'elle soit actuellement inutilisée, elle est routée vers la zone d'atterrissage, ce qui entraînerait des conflits lors du peering, du VPN et du routage de reprise après sinistre. Il est donc essentiel de vérifier l'ensemble du plan d'adressage IP (bureaux, centres de données, cloud, etc.) et pas seulement l'adresse IP actuellement utilisée.