A rede é onde as implementações perdem tempo — não por ser difícil, mas porque suas informações ficam com equipes que não participaram da negociação de vendas. Envolva-as desde o início.
| Opção | Status | Escolha quando |
|---|---|---|
| HTTPS público | Padrão | Os usuários são navegadores e as integrações são HTTPS. Sem necessidade de configuração de rede. |
| VPN site a site | Opcional | Integrações privadas (MES, sistemas legados) ou restrições administrativas. |
| Conexão privada | Opcional | Largura de banda e latência previsíveis, ou o caminho pela internet não é permitido. A VPN permanece como rota alternativa. |
| Conexão privada / peering | Opcional | O cliente já possui uma área de aterrissagem na mesma nuvem. |
| Centro de transporte | Opcional | A área de aterrissagem é do tipo cubo e raios; o TRANXACT se conecta como um raio. |
O que a equipe de rede traz
| VPN site a site | Conexão privada | |
|---|---|---|
| Dispositivo | Firewall ou roteador compatível com IPsec e com IP público estático. | Roteador de borda em um ponto de encontro na nuvem |
| Redundância | Dois túneis por região para portões separados. | Circuitos redundantes; VPN como backup |
| Protocolo | IKEv2, AES-256, SHA-256, DH grupo 14+ (proposto) | BGP sobre uma interface virtual privada |
| Roteamento | BGP preferencial; estático aceito | BGP com ASNs e filtros de rota acordados |
| Live DR | Um segundo par de túneis para a região da República Dominicana | Um circuito ou VPN para a região de DR |
| Proprietário do cliente | Dispositivo, linha do provedor de internet, regras de firewall locais | Contrato de circuito e operadora |
A instalação dos circuitos geralmente leva semanas por parte da operadora. Faça o pedido na assinatura do contrato e utilize a VPN até que o circuito esteja ativo.
Planejamento de endereços
Pelo menos um bloco /22 de espaço privado RFC 1918 por região — 1.024 endereços — e um segundo bloco /22 diferente para a região de Recuperação de Desastres Live DR. Nenhum deles pode se sobrepor a qualquer rede de cliente, parceiro ou landing zone. Os intervalos de pods e serviços são planejados dentro ou ao lado, seguindo a mesma regra, caso sejam roteados. Evite os intervalos reservados e locais de link do provedor.
Primary 10.40.0.0/22 ingress /26 · gateway /27 · admin /27 · egress /27
database AZ1 /27 · database AZ2 /27
nodes AZ1 /24 · nodes AZ2 /24 · nodes AZ3 /24
Live DR 10.40.4.0/22 same layoutAlterar intervalos após a criação significa uma nova criação — um Serviço Adicional por solicitação de alteração (INFRA_2.2.12). Uma sobreposição bloqueia VPN, peering e roteamento de DR simultaneamente, e um /22 ausente pode comprometer toda a criação.
Hub e raios
Com peering ou um hub de trânsito, o TRANXACT é o spoke (ponto de conexão) e a zona de destino do cliente é o hub; o peering é o ponto de demarcação. O cliente é responsável pelo roteamento e inspeção do hub e deve permitir explicitamente o roteamento transitivo — caso contrário, os escritórios atrás do hub não poderão alcançar o spoke, mesmo que o peering esteja ativo.
Um nome, duas regiões
O cliente fornece o FQDN, um certificado de CA pública para ele (a menos que a opção de certificado gerenciado seja contratada), o registro DNS público e uma zona privada ou encaminhamento condicional, caso o acesso privado seja utilizado. A TRANXACT fornece entrada em ambas as regiões ativas por meio de um gerenciador de tráfego global, um TTL baixo, nomes de host específicos da região para monitoramento e simulações, e o manual de failover.
Nunca utilize sufixos .local, endereços IP ou nomes específicos de região em uma integração — eles falham na primeira transição. Um certificado expirado ou um registro de recuperação de desastres ausente são as interrupções evitáveis mais comuns.
Saída e como os operadores entram.
Cada destino de saída é listado pelo cliente e adicionado à lista de permissões da TRANXACT, com uma solicitação de serviço para cada um. Os operadores acessam a rede por meio de um ponto de acesso de confiança zero ou bastião na sub-rede administrativa, com elevação de privilégios em tempo real aprovada pelo cliente, autenticação multifator (MFA) e registro de todas as sessões.
Os escritórios da Calderwood usam a rede 10.0.0.0/12 e sua zona de aterrissagem do Azure usa a rede 10.32.0.0/13 — que abrange o intervalo de 10.32.0.0 a 10.39.255.255. Portanto, as Live DR estão livres de ambas. Seu sistema MES está na VPN; seus portais bancário e fiscal passam pela lista de permissões de saída.
Experimente A equipe de rede de Calderwood propõe 10.36.0.0/22 para a região primária "porque não está sendo usada em nossa rede". Será mesmo?
O endereço IP 10.36.0.0/22 está dentro da rede 10.32.0.0/13 (10.32.0.0–10.39.255.255) da área de destino. Embora possa estar ocioso atualmente, o roteamento para essa área de destino gera conflitos entre peering, VPN e roteamento de recuperação de desastres. É importante verificar todo o plano de IP — escritórios, data centers, todas as nuvens — e não apenas o que está em uso.