На этапе развертывания сети теряется время — не потому, что это сложно, а потому, что исходные данные находятся у команд, которые не участвовали в переговорах с отделом продаж. Привлеките их к обсуждению на раннем этапе.
| Вариант | Статус | Выберите его, когда |
|---|---|---|
| Общедоступный HTTPS | По умолчанию | Пользователи — это браузеры, а интеграции осуществляются по протоколу HTTPS. Создание сети не требуется. |
| VPN-соединение между сайтами | Необязательный | Частные интеграции (MES, устаревшие системы) или административные ограничения. |
| Частное соединение | Необязательный | Предсказуемая пропускная способность и задержка, или же использование интернет-канала недопустимы. VPN остается резервным вариантом. |
| Пиринг / приватная ссылка | Необязательный | У клиента уже есть посадочная зона в том же облаке. |
| Транспортный узел | Необязательный | Зона посадки имеет структуру "центр-периферия"; система TRANXACT крепится как спица. |
Что предлагает сетевая команда
| VPN-соединение между сайтами | Частное соединение | |
|---|---|---|
| Устройство | Межсетевой экран или маршрутизатор с поддержкой IPsec и статическим публичным IP-адресом. | Пограничный маршрутизатор в точке встречи с облаком |
| Избыточность | Два туннеля на регион для разделения входов. | Резервные каналы связи; VPN в качестве резервного канала. |
| Протокол | IKEv2, AES-256, SHA-256, группа DH 14+ (предложенная) | BGP через частный виртуальный интерфейс |
| Маршрутизация | Предпочтительный протокол BGP; статический протокол принимается. | BGP с согласованными ASN и фильтрами маршрутов. |
| Live DR | Вторая пара туннелей в регион ДР | Канал связи или VPN-соединение с регионом DR |
| Клиент владеет | Устройство, линия интернет-провайдера, правила локального межсетевого экрана. | Договор о передаче данных и операторе связи |
Зачастую на подключение каналов связи у оператора уходит несколько недель. Заказ оформляется при подписании контракта, и канал подключается через VPN до тех пор, пока не будет запущен.
Планирование адресов
На каждый регион требуется как минимум /22 частного пространства RFC 1918 — 1024 адреса — и второй, отдельный /22 для региона Live DR. Ни один из них не должен перекрываться с сетями клиентов, партнеров или зонами приема. Диапазоны подов и сервисов планируются внутри или рядом, по тому же правилу, если они маршрутизируются. Избегайте зарезервированных и локальных диапазонов провайдера.
Primary 10.40.0.0/22 ingress /26 · gateway /27 · admin /27 · egress /27
database AZ1 /27 · database AZ2 /27
nodes AZ1 /24 · nodes AZ2 /24 · nodes AZ3 /24
Live DR 10.40.4.0/22 same layoutИзменение диапазонов после сборки означает пересборку — дополнительную услугу по запросу на изменение (INFRA_2.2.12). Одно перекрытие блокирует VPN, пиринг и маршрутизацию DR одновременно, а отсутствие одного диапазона /22 может препятствовать всей сборке.
Центр и периферия
При использовании пиринга или транзитного узла TRANXACT является периферийным узлом, а зона приема сигнала клиента — узлом; пиринг — это точка разграничения. Клиент владеет маршрутизацией и проверкой в узле и должен явно разрешить транзитную маршрутизацию — в противном случае офисы за узлом не смогут связаться с периферийным узлом, даже если пиринг установлен.
Одно название, два региона
Заказчик предоставляет полное доменное имя (FQDN), сертификат публичного центра сертификации (если не оговорено об использовании управляемого сертификата), публичную DNS-запись и частную зону или условную переадресацию, если используется частный доступ. TRANXACT обеспечивает входящий трафик в обоих действующих регионах за глобальным менеджером трафика, низкое значение TTL, имена хостов, специфичные для региона, для мониторинга и отладки, а также сценарий аварийного переключения.
Никогда не используйте в интеграции суффиксы .local, IP-адреса или имена, специфичные для региона — они перестанут работать при первом же переключении на резервный сервер. Наиболее распространенной причиной предотвратимых сбоев является истекший срок действия сертификата или отсутствующая запись DR.
Выход и способы входа операторов
Каждый исходящий канал связи указывается клиентом и разрешается системой TRANXACT, для каждого канала выполняется один запрос на обслуживание. Операторы подключаются через точку нулевого доверия или бастион в административной подсети, с повышением уровня доступа в режиме реального времени, одобренным клиентом, многофакторной аутентификацией и регистрацией каждой сессии.
Офисы Calderwood используют IP-адрес 10.0.0.0/12, а зона Azure — 10.32.0.0/13, которая охватывает диапазоны от 10.32.0.0 до 10.39.255.255. Таким образом, IP-адреса 10.40.0.0/22 для основного сервера и 10.40.4.0/22 для Live DR беспрепятственно используются. Система MES размещена через VPN; банковский и налоговый порталы используют список разрешенных исходящих соединений.
Попробуйте! Команда сетевых специалистов Калдервуда предлагает использовать IP-адрес 10.36.0.0/22 в качестве основного региона, «потому что он не используется в нашей сети». Так ли это?
IP-адрес 10.36.0.0/22 находится внутри зоны назначения 10.32.0.0/13 (10.32.0.0–10.39.255.255). Возможно, сегодня он не используется, но маршрутизация осуществляется в зону назначения, поэтому пиринг, VPN и маршрутизация аварийного восстановления будут конфликтовать. Проверьте весь IP-план — офисы, центры обработки данных, все облачные сервисы — а не только то, что используется в данный момент.