ملخص
- لا تقتصر خدمة Cloud NAT على توفير وسيلة لأحمال العمل الخاصة للوصول إلى الإنترنت. في مجالات السحابة الناضجة، تصبح هوية الخروج العام التي تتعرف من خلالها البنوك والعملاء وأنظمة مكافحة الاحتيال والموردون وأدوات الأمن ومراجعو الحسابات على الشركة.
- تزداد قوة المنصات عندما تجعل عناوين NAT المملوكة للمورد، ورسوم IPv4 الخارجية، والقياس عن بعد، وضوابط الحساب، وتاريخ السمعة، هوية الخروج للمنصة أسهل في الاحتفاظ بها من خطة عناوين محمولة مستقلة.
- الدور البناء لـ ARIN محدود: الحفاظ على سجلات دقيقة، الاعتراف بعمليات النقل، قابلية الوصول، استمرارية DNS العكسي، أدلة التوجيه، ويقين الموارد التاريخية بحيث تظل البادئات التي يتحكم فيها العميل خيارات خارجية موثوقة. يجب على ARIN تأديب الخروج الذي تسيطر عليه المنصة من خلال دعم قابلية النقل، وليس من خلال أن تصبح منظمًا لسياسات السحابة.
الفاتورة السحابية تكشف العنوان العام الذي أخفته مخططات التصميم
ليس المؤشر عطلًا في جهاز التوجيه. بل هو سطر في فاتورة سحابية. قامت شركة برمجيات في أمريكا الشمالية بنقل معظم أعباء عملها إلى شبكات فرعية خاصة. فريق الأمن يقدر النتيجة: قواعد البيانات غير قابلة للوصول المباشر، عُقد البناء لا تحمل عناوين عامة، عُقد التطبيق يمكن استبدالها دون تعرض عام، وحركة المرور الصادرة تخرج عبر بوابات NAT مُدارة. مراجعة البنية تقول "خاص افتراضيًا". الفاتورة تقول شيئًا أكثر دقة: ساعات بوابة NAT، البيانات المعالجة عبر البوابة، رسوم عنوان IPv4 العام، نقل البيانات الصادر، تخزين السجلات، استعلامات السجلات، والتواصل بين الحسابات.
في البداية، يتعامل الفريق المالي مع هذه الرسوم كرسوم تقنية. ثم يسأل فريق مخاطر الشركاء عن عناوين المصدر التي قامت معالجات الدفع والبنوك وعملاء المؤسسات للشركة بإدراجها في القائمة البيضاء. الجواب ليس في كود التطبيق. بل هو في تصميم الخروج المُدار. حفنة من عناوين IPv4 العامة تحمل المكالمات إلى واجهات برمجة التطبيقات المصرفية، جدران الحماية للعملاء، مستودعات البرمجيات، خدمات مكافحة الاحتيال، تدفقات الاستخبارات الأمنية، بوابات الضرائب، منصات المراسلة، وموردي الدعم. هذه العناوين لم تعد مجرد عناوين. إنها الهوية العامة الصادرة للشركة.
وبالتالي، فإن Cloud NAT هو كيان اقتصادي مختلف عن NAT على مستوى المشغل في شبكة الوصول. مشاركة على مستوى المشتركين تنقل تكلفة ندرة IPv4 إلى المنافذ، سجلات التخصيص، ومكالمات الدعم للأسر والشركات الصغيرة. Cloud NAT ينقل التكلفة إلى البنية، التزويد، حوكمة الحسابات، FinOps، القياس عن بعد، واستراتيجية الخروج. يتم اختياره من قبل فرق محترفة لأنه مفيد. يحافظ على أعباء العمل خاصة، يقلل التعرض العام، يوحد التوجيه الصادر، ويمنح المنصة نقطة تحكم مُدارة. المشكلة ليست في وجود الخدمة. المشكلة هي أن الخدمة تقرر بصمت أي هوية عامة تتعلم الشركة أن تثق بها في السوق.
السجل الأمريكي لأرقام الإنترنت (ARIN) يقف وراء هذه المسألة لأن ARIN يحافظ على السجل العام للموارد الرقمية في الولايات المتحدة وكندا وأجزاء من الكاريبي وشمال الأطلسي. وثائق ARIN الخاصة بـ IPv4 تسجل عالم ما بعد النضوب: تم استنفاد التجمع المجاني في 24 سبتمبر 2015؛ يجب أن يتجه النمو العادي إلى شظايا قائمة الانتظار، التحويلات إلى مستلم محدد، التحويلات بين السجلات المتوافقة، الممتلكات التاريخية، اتفاقيات الموردين، أو IPv6. هذه حقيقة، وليس استنتاجًا. الاستنتاج اقتصادي: عندما يكون IPv4 العام نادرًا ويحمل سمعة، فإن السجل العام الذي يجعل هوية العنوان المستقلة موثوقة يصبح ثقلًا موازنًا لمنصات السحابة.
محور المقال ليس دخول BYOIP. هذا الموضوع ينتمي إلى تحليل أوسع لمخزون عناوين موردي السحابة وقوة التفاوض للعملاء. هنا، الآلية الأضيق هي NAT كطبقة تصدير للمنصة. الشبكات الفرعية الخاصة تجعل العنونة داخل المجال رخيصة. NAT المُدار يحول الوصول الخارجي إلى منتج سحابي مقاس. تسعير IPv4 العام يجعل المدخل النادر مرئيًا. حدود الحساب تقرر من يمكنه تغيير هوية الخروج. السجلات والقياس عن بعد يجعلان المنصة حارس الأدلة. القوائم البيضاء وذاكرة السمعة تجعل الهوية لزجة. خطط الخروج متعدد السحابة والهجين تكتشف التكلفة بمجرد أن يصبح التصميم طبيعيًا.
لا ينبغي لـ ARIN محاولة تنظيم أسعار Cloud NAT، أو فرض مصفوفات ميزات المنصات، أو تقرير متى يجب على العميل استخدام خروج مملوك للمورد. سيكون ذلك المستوى الخطأ. قوته المفيدة أضيق وأهم: الحفاظ على السجل بدقة كافية حتى يتمكن العملاء من إثبات السيطرة على هوية عامة محمولة عندما يحتاجون إليها. إذا كان مسار الإثبات رخيصًا، فإن NAT المنصة ينافس على جودة الخدمة. إذا كان مسار الإثبات بطيئًا أو غامضًا أو تقديريًا، يصبح الخروج المملوك للمورد هو الخيار المحافظ حتى عندما يخلق اعتمادًا طويل الأمد.
البنية الخاصة افتراضيًا تخلق مشكلة تصدير الهوية العامة
الشبكات الفرعية الخاصة هي واحدة من أنجح العادات في السحابة العامة. تمنح فرق الأمن قصة بسيطة: أعباء العمل تعيش داخل شبكة مسيطر عليها، فقط بعض الأبواب المختارة تواجه الإنترنت، ومعظم الخوادم لا تحتاج إلى IPv4 عام قابل للتوجيه. هذه هندسة جيدة. لا ينبغي للشركة ربط عناوين عامة بكل عامل، وذاكرة تخزين مؤقت، وقاعدة بيانات، ومعالج قائمة انتظار، ووظيفة تحليل، أو واجهة برمجة تطبيقات خاصة بالمؤسسة لمجرد أن نماذج الاستضافة القديمة جعلت ذلك سهلاً في الماضي.
لكن العنونة الخاصة لا تلغي الهوية العامة. إنها تنقلها. المجال الخاص لا يزال يتصل بالعالم الخارجي: معالجات الدفع، خدمات تحديث البرمجيات، واجهات برمجة تطبيقات العملاء، موردو الهوية، نقاط المراقبة، موردو البيانات، تدفقات الأمن، خدمات توصيل الرسائل، ولوحات التحكم للسحابة العامة. بالنسبة للعديد من الوجهات، يظل IPv4 ضروريًا تجاريًا حتى عندما يكون IPv6 متاحًا في مكان آخر. عندما تتصل أعباء العمل الخاصة بهذه الخدمات، يظهر عنوان عام في السجل البعيد. هذا العنوان هو نقطة تصدير الوفرة الخاصة إلى الندرة العامة.
NAT المُدار يغلف نقطة التصدير هذه. توفر المنصة بوابة أو خدمة مكافئة. تربط عناوين عامة بالبوابة. توجه حركة المرور من الشبكات الفرعية إليها. تقيس الوقت والبيانات. تقدم سجلات ومقاييس وخطافات سياسة. تسمح للعميل بإبقاء الحوسبة خاصة مع استخدام عدد صغير من هويات الخروج المستقرة. بالنسبة لمجال سحابي جاد، هذا جذاب. يقلل سطح الهجوم العام ويجعل القصة الخارجية أسهل في الشرح.
نفس التركيز يخلق سيطرة. من يتحكم في بوابة NAT، العناوين الخارجية، جدول التوجيه، وسياسة التسجيل يتحكم في كيفية رؤية الشركة من قبل الغرباء. تغيير صغير في التوجيه يمكن أن يرسل حركة التسوية عبر نقطة خروج غير معتمدة. بوابة محذوفة يمكن أن تكسر وصول الموردين. تغيير في تخصيص IP العام يمكن أن يؤدي إلى فشل القائمة البيضاء للشركاء. حساب شبكة مركزي يمكن أن يصبح سلطة جانب المؤسسة على قدرة كل فريق على الوصول إلى الخدمات الخارجية. وحدة منصة مكتوبة للراحة يمكن أن تصبح دستور الهوية الصادرة.
لهذا السبب فإن 'لا خوادم عامة' هو تأمين غير كامل. يمكن لبيئة سحابية ألا تحتوي على مثيلات حوسبة قابلة للوصول مباشرة مع الاعتماد على IPv4 العام عبر بوابات NAT، موازنات التحميل، نقاط نهاية VPN، مسارات باستيون، جدران حماية مُدارة، بوابات API، قواعد بيانات مُدارة، أو مسرعات عالمية. السطح العام لم يختف. لقد انتقل إلى منتجات محددة من قبل المورد.
الآلية الاقتصادية هي تحويل تصميم أمني إلى تصميم اعتماد. الشبكات الفرعية الخاصة تجعل الخروج العام أكثر أهمية لأنها تركز الاتصال العام في عناوين أقل. كلما قل عدد العناوين، زادت أهمية كل عنوان. يمكن تحديث قائمة بيضاء مصرفية عندما يتغير مضيف تطوير؛ يصبح ذلك حدث حوكمة عندما تتغير هوية الخروج المشتركة لمجال إنتاج. يمكن لمورد مكافحة الاحتيال تجاهل عنوان اختبار غامض؛ يتفاعل بشكل مختلف عندما يمثل المصدر آلاف المعاملات. قد لا يعرف فريق التزويد كيف تم بناء الشبكة الفرعية، لكنه يسجل عناوين المصدر في ملف مورد.
في منطقة ARIN، سوق المؤسسات الناضجة يجعل هذا التركيز أكثر حدة. الشركات في أمريكا الشمالية تبيع للبنوك، المستشفيات، الوكالات العامة، الجامعات، أنظمة الدفع، سلاسل التوريد المنظمة، وعملاء مؤسسات كبار. غالبًا ما يطلب هؤلاء الأطراف عناوين خروج مستقرة لأن الإدراج في القائمة البيضاء حسب IP المصدر لا يزال متجذرًا في ممارسة الأمن التشغيلي. ليس هذا أمنًا كافيًا، لكنها ممارسة مؤسسية حقيقية. العنوان على حافة NAT يصبح اعتمادًا تجاريًا.
دور ARIN يبدأ عندما يرغب العميل في أن يكون هذا الاعتماد محمولًا بدلاً من أن يولد داخل حساب سحابي. يمكن للعميل امتلاك مساحة تاريخية، شراء مساحة منقولة، استئجار مساحة مرخصة، أو استخدام تخصيص شركة تابعة. كل مسار يتطلب سلسلة من الأدلة العامة: المالك الحالي، السلطة، أدوار الاتصال، DNS العكسي، دعم أصل التوجيه، والاستمرارية بعد التغيير التنظيمي. إذا كانت هذه السلسلة سهلة التحقق، فإن بنية السحابة الخاصة افتراضيًا لا تحتاج إلى أن تعني هوية عامة مملوكة للمورد. إذا كانت السلسلة صعبة التحقق، تصبح الشبكات الفرعية الخاصة مسارًا آخر يصبح من خلاله خروج المنصة الوجه العام الافتراضي للشركة.