ネットワーク構築は、導入作業において時間をロスする要因の一つです。それは、ネットワーク自体が難しいからではなく、ネットワーク構築に必要な情報が、営業担当者と直接やり取りしていないチームに渡ってしまうからです。早い段階で、そうしたチームを会議に参加させましょう。
| オプション | 状態 | 選ぶとき |
|---|---|---|
| パブリックHTTPS | デフォルト | ユーザーはブラウザであり、統合はHTTPSで行われます。ネットワーク構築は不要です。 |
| サイト間VPN | オプション | プライベートな統合（MES、レガシーシステム）または管理者による制限。 |
| プライベート接続 | オプション | 帯域幅と遅延が予測可能であるか、インターネット接続が許可されていない場合は、VPNがバックアップ経路として使用されます。 |
| ピアリング／プライベートリンク | オプション | 顧客は既に同じクラウド内に着陸地点を確保している。 |
| 交通ハブ | オプション | 着陸地点はハブアンドスポーク構造になっており、TRANXACTはスポークとして取り付けられる。 |
ネットワークチームがもたらすもの
| サイト間VPN | プライベート接続 | |
|---|---|---|
| デバイス | 静的パブリックIPアドレスを持つIPsec対応ファイアウォールまたはルーター | クラウド接続地点のエッジルーター |
| 重複 | 各地域に2本のトンネルを設け、ゲートウェイを分離する。 | 冗長回線、VPNをバックアップとして使用 |
| プロトコル | IKEv2、AES-256、SHA-256、DHグループ14以上（提案中） | プライベート仮想インターフェース上のBGP |
| ルーティング | BGPを推奨。静的GPも可。 | 合意されたAS番号とルートフィルタを使用したBGP |
| Live DR | DR地域へ通じる2本目のトンネル | DR地域への回線またはVPN |
| 顧客所有 | デバイス、ISP回線、オンプレミスファイアウォールルール | 回線および通信事業者契約 |
回線開通には通信事業者から数週間かかる場合が多い。契約締結時に注文し、回線が開通するまではVPN接続で運用してください。
住所計画
各リージョンにつき、少なくとも /22 のプライベート RFC 1918 アドレス空間 (1,024 アドレス) と、Live DRリージョン用に別の /22 アドレス空間を 1 つ用意します。どちらも、顧客、パートナー、またはランディング ゾーンのネットワークと重複してはなりません。Pod およびサービス範囲は、ルーティングされる場合は同じルールに従って、内部または隣接して計画します。プロバイダの予約済み範囲およびリンク ローカル範囲は使用しないでください。
Primary 10.40.0.0/22 ingress /26 · gateway /27 · admin /27 · egress /27
database AZ1 /27 · database AZ2 /27
nodes AZ1 /24 · nodes AZ2 /24 · nodes AZ3 /24
Live DR 10.40.4.0/22 same layout構築後に範囲を変更すると再構築が必要になります。これは変更要求による追加サービスです（INFRA_2.2.12）。1つの重複でVPN、ピアリング、DRルーティングが同時にブロックされ、1つの欠落した/22で構築全体がブロックされる可能性があります。
ハブアンドスポーク
ピアリングまたはトランジットハブを使用する場合、TRANXACTはスポーク、顧客のランディングゾーンはハブに相当します。ピアリングは境界点となります。顧客はハブのルーティングと検査を所有しており、推移的ルーティングを明示的に許可する必要があります。そうしないと、ピアリングが確立されていても、ハブの背後にあるオフィスはスポークに到達できません。
一つの名前、二つの地域
お客様は、FQDN、それに対応する公開CA証明書（マネージド証明書オプションをご契約の場合を除く）、公開DNSレコード、およびプライベートアクセスを使用する場合はプライベートゾーンまたは条件付き転送を提供します。TRANXACTは、グローバルトラフィックマネージャの背後にある両方のライブリージョンへのイングレス、短いTTL、監視および訓練用のリージョン固有のホスト名、およびフェイルオーバーランブックを提供します。
統合において、.local 接尾辞、IP アドレス、または地域固有の名前は絶対に使用しないでください。これらは最初のフェイルオーバーで機能しなくなります。有効期限切れの証明書や災害復旧レコードの欠落は、最もよくある回避可能な障害です。
脱出方法、そしてオペレーターがどのように侵入するか
発信先はすべて顧客によってリスト化され、TRANXACTによって許可リストに登録されます（サービスリクエスト1件につき）。オペレーターは、顧客が承認したジャストインタイムの権限昇格、多要素認証（MFA）を経て、管理サブネット内のゼロトラストまたはバスティオンポイント経由で接続し、すべてのセッションがログに記録されます。
カルダーウッドのオフィスは10.0.0.0/12を使用し、Azureランディングゾーンは10.32.0.0/13を使用しています。これは10.32.0.0から10.39.255.255までの範囲をカバーしています。そのため、プライマリ用の10.40.0.0/22とLive DR用の10.40.4.0/22は、どちらのネットワークからも影響を受けません。MESはVPN上にあり、銀行と税務ポータルは送信許可リストを経由します。
試してみて カルダーウッドのネットワークチームは、プライマリリージョンとして10.36.0.0/22を提案しています。「当社のネットワークでは未使用だからです」とのことですが、本当に未使用なのでしょうか？
10.36.0.0/22 は、ランディングゾーン 10.32.0.0/13 (10.32.0.0～10.39.255.255) の範囲内にあります。現在は使用されていないかもしれませんが、ランディングゾーンにルーティングされているため、ピアリング、VPN、および災害復旧ルーティングがすべて競合する可能性があります。使用中のものだけでなく、オフィス、データセンター、すべてのクラウドなど、IP プラン全体を確認してください。