La fase di rete è quella in cui si perdono tempo nelle implementazioni, non perché sia difficile, ma perché i dati necessari vengono raccolti da team che non hanno partecipato alla discussione di vendita. Coinvolgeteli fin da subito.
| Opzione | Stato | Sceglilo quando |
|---|---|---|
| HTTPS pubblico | Predefinito | Gli utenti sono i browser e le integrazioni sono HTTPS. Nessuna configurazione di rete. |
| VPN da sito a sito | Opzionale | Integrazioni private (MES, legacy) o restrizioni amministrative. |
| Rete privata | Opzionale | Larghezza di banda e latenza prevedibili, oppure il percorso Internet non è consentito. La VPN rimane come percorso di backup. |
| Peering / collegamento privato | Opzionale | Il cliente dispone già di una landing zone nello stesso cloud. |
| Snodo di transito | Opzionale | La zona di atterraggio è a raggiera; TRANXACT si collega come un raggio. |
Cosa apporta il team di rete
| VPN da sito a sito | Rete privata | |
|---|---|---|
| Dispositivo | Firewall o router compatibile con IPsec con indirizzo IP pubblico statico. | Router di bordo in un punto di incontro cloud |
| Ridondanza | Due tunnel per regione per separare i varchi di accesso | Circuiti ridondanti; VPN come backup |
| Protocollo | IKEv2, AES-256, SHA-256, gruppo DH 14+ (proposto) | BGP su un'interfaccia virtuale privata |
| Instradamento | BGP preferito; statico accettato | BGP con ASN concordati e filtri di rotta |
| Live DR | Una seconda coppia di tunnel verso la regione della Repubblica Dominicana. | Un circuito o una VPN verso la regione DR |
| Il cliente possiede | Dispositivo, linea ISP, regole del firewall locale | Contratto tra circuito e vettore |
Spesso l'attivazione dei circuiti da parte del gestore telefonico richiede settimane. Ordina il circuito al momento della firma del contratto e utilizza una VPN finché il circuito non è attivo.
Pianificazione degli indirizzi
Almeno uno spazio /22 privato RFC 1918 per regione — 1.024 indirizzi — e un secondo /22 diverso per la regione Live DR. Nessuno dei due può sovrapporsi alla rete di clienti, partner o landing zone. Gli intervalli di pod e di servizio sono pianificati all'interno o a fianco, secondo la stessa regola se instradati. Evitare gli intervalli riservati e link-local del provider.
Primary 10.40.0.0/22 ingress /26 · gateway /27 · admin /27 · egress /27
database AZ1 /27 · database AZ2 /27
nodes AZ1 /24 · nodes AZ2 /24 · nodes AZ3 /24
Live DR 10.40.4.0/22 same layoutLa modifica degli intervalli dopo la build comporta una ricostruzione: un servizio aggiuntivo tramite richiesta di modifica (INFRA_2.2.12). Una sovrapposizione blocca contemporaneamente VPN, peering e routing DR, e una /22 mancante può contenere l'intera build.
Hub e parlato
Con il peering o un hub di transito, TRANXACT rappresenta lo spoke e la zona di destinazione del cliente l'hub; il peering è il punto di demarcazione. Il cliente è responsabile del routing e dell'ispezione dell'hub e deve consentire esplicitamente il routing transitivo, altrimenti gli uffici a valle dell'hub non possono raggiungere lo spoke anche se il peering è attivo.
Un nome, due regioni
Il cliente fornisce il FQDN, un certificato CA pubblico per esso (a meno che non sia stata sottoscritta l'opzione di certificato gestito), il record DNS pubblico e una zona privata o l'inoltro condizionale se viene utilizzato l'accesso privato. TRANXACT fornisce l'ingresso in entrambe le regioni di produzione dietro un gestore del traffico globale, un TTL basso, nomi host specifici per regione per il monitoraggio e le esercitazioni e il runbook di failover.
Non utilizzare mai suffissi .local, indirizzi IP o nomi specifici di regione in un'integrazione: si interromperanno al primo failover. Un certificato scaduto o un record di ripristino d'emergenza mancante sono le cause più comuni di interruzione del servizio che si possono evitare.
Uscita e modalità di accesso per gli operatori
Ogni destinazione in uscita è elencata dal cliente e inserita nella lista delle destinazioni consentite da TRANXACT, con una richiesta di servizio per ciascuna. Gli operatori accedono tramite un punto di accesso zero-trust o bastion point nella sottorete amministrativa, con elevazione dei privilegi just-in-time approvata dal cliente, autenticazione a più fattori (MFA) e registrazione di ogni sessione.
Gli uffici di Calderwood utilizzano la rete 10.0.0.0/12 e la sua landing zone di Azure utilizza la rete 10.32.0.0/13, che copre l'intervallo da 10.32.0.0 a 10.39.255.255. Pertanto, le reti 10.40.0.0/22 per l'infrastruttura primaria e 10.40.4.0/22 per Live DR sono libere da entrambi gli indirizzi IP. Il sistema MES si trova sulla VPN; il portale bancario e fiscale utilizza la lista di indirizzi IP consentiti in uscita.
Provalo Il team di rete di Calderwood propone 10.36.0.0/22 come regione primaria "perché non è utilizzata sulla nostra rete". È vero?
L'indirizzo 10.36.0.0/22 si trova all'interno della sottorete 10.32.0.0/13 (10.32.0.0–10.39.255.255) della landing zone. Potrebbe non essere utilizzato al momento, ma è instradato verso la landing zone, quindi il peering, la VPN e il routing di disaster recovery sarebbero tutti in conflitto. Verifica l'intero piano IP, comprese le sedi, i data center e ogni cloud, non solo gli indirizzi IP attualmente in uso.