网络部署环节是耗时的关键所在——并非因为网络部署本身难度高，而是因为网络输入信息掌握在那些并未参与销售洽谈的团队手中。务必尽早让他们参与进来。
| 选项 | 地位 | 选择何时 |
|---|---|---|
| 公共 HTTPS | 默认 | 用户即浏览器，集成采用 HTTPS。无需构建网络。 |
| 站点到站点 VPN | 选修的 | 私有集成（MES、传统系统）或管理员限制。 |
| 私人连接 | 选修的 | 带宽和延迟必须稳定，否则互联网路径将被禁用。VPN 将作为备用路径。 |
| 对等互连/私有链接 | 选修的 | 客户已在同一云平台上拥有一个着陆区。 |
| 交通枢纽 | 选修的 | 着陆区采用轮辐式结构；TRANXACT 作为辐条连接。 |
网络团队带来了什么
| 站点到站点 VPN | 私人连接 | |
|---|---|---|
| 设备 | 支持 IPsec 的防火墙或路由器，并配备静态公网 IP 地址 | 位于云端会面地点的边缘路由器 |
| 冗余 | 每个区域两条隧道通往不同的入口 | 冗余电路；VPN 作为备份 |
| 协议 | IKEv2、AES-256、SHA-256、DH group 14+（提议） | 通过私有虚拟接口进行 BGP 连接 |
| 路由 | 首选 BGP；静态 IP 也可接受 | 使用约定的ASN和路由过滤器的BGP |
| Live DR | 通往多米尼加共和国的第二对隧道 | 通往灾备区域的电路或 VPN |
| 客户拥有 | 设备、ISP线路、本地防火墙规则 | 电路和运营商合同 |
线路通常需要几周时间才能从运营商处开通。签订合同后即可下单，并在线路开通前使用 VPN 运行。
地址规划
每个区域至少需要一个 /22 的私有 RFC 1918 地址空间（1024 个地址），以及第二个不同的 /22 地址空间用于Live DR区域。这两个地址空间均不得与任何客户、合作伙伴或着陆区网络重叠。如果路由相同，则 Pod 和服务范围应规划在内部或相邻地址空间内。避免使用提供商的保留地址和链路本地地址范围。
Primary 10.40.0.0/22 ingress /26 · gateway /27 · admin /27 · egress /27
database AZ1 /27 · database AZ2 /27
nodes AZ1 /24 · nodes AZ2 /24 · nodes AZ3 /24
Live DR 10.40.4.0/22 same layout构建完成后更改地址范围意味着需要重新构建——这是一项通过变更请求提交的附加服务 (INFRA_2.2.12)。一个重叠地址范围会同时阻塞 VPN、对等互连和灾难恢复路由，而一个缺失的 /22 地址范围则可能导致整个构建失败。
中心辐射式结构
通过对等互联或中转枢纽，TRANXACT 是分支，客户的着陆区是枢纽；对等互联是分界点。客户拥有枢纽的路由和检查权限，并且必须明确允许传递路由——否则，即使对等互联已建立，枢纽后面的办公室也无法访问分支。
一个名字，两个地区
客户需提供完全限定域名 (FQDN)、相应的公共 CA 证书（除非已签订托管证书服务合同）、公共 DNS 记录，以及私有区域或条件转发（如果使用私有访问）。TRANXACT 提供全局流量管理器后方两个实时区域的入口流量、低生存时间 (TTL)、用于监控和演练的区域特定主机名，以及故障转移运行手册。
集成中切勿使用 .local 后缀、IP 地址或特定区域名称——它们会在首次故障转移时导致服务中断。证书过期或灾难恢复记录缺失是最常见的可避免服务中断原因。
出口，以及操作员如何进入
所有出站目的地均由客户列出，并由 TRANXACT 添加到允许列表中，每个目的地对应一个服务请求。操作员通过管理子网中的零信任或堡垒点接入，权限提升需经客户批准，并启用多因素身份验证 (MFA)，且每个会话均会被记录。
Calderwood 的办公室使用 10.0.0.0/12 网段，其 Azure 登陆区使用 10.32.0.0/13 网段——该网段覆盖 10.32.0.0 到 10.39.255.255 的Live DR 10.40.4.0/22 网段均不受这两个网段的限制。其 MES 系统位于 VPN 上；其银行和税务门户网站则通过出口允许列表访问。
试试看 Calderwood 的网络团队提议将 10.36.0.0/22 作为主区域，“因为该区域在我们的网络中未使用”。真是如此吗？
10.36.0.0/22 网段位于登陆区 10.32.0.0/13 网段（10.32.0.0–10.39.255.255）内。虽然它目前可能未使用，但由于它被路由到登陆区，因此对等互连、VPN 和灾难恢复路由都会发生冲突。请检查整个 IP 地址规划——包括办公室、数据中心和所有云平台——而不仅仅是当前正在使用的地址。