Сервис Wooppay ежемесячно обрабатывает миллионы платежных транзакций, но с ростом нагрузки арендованной облачной инфраструктуры стало не хватать. Главной уязвимостью была зависимость от единственного интернет-канала и IP-адресов провайдера — любая авария на линии могла остановить транзакции по всей стране.

Кроме того, важно было исполнить требования регулятора: Нацбанк РК обязывает платежные системы локализовать данные внутри страны, иметь задокументированные показатели времени восстановления после сбоев (RTO/RPO) и аппаратно отделять базовые IT-сервисы от платежного процессинга. В старой архитектуре обеспечить такую изоляцию и проходить ежегодные аудиты PCI DSS было технологически сложно.

Чтобы заложить фундамент для масштабирования бизнеса и выполнить требования Нацбанка РК, компания решила построить собственную инфраструктуру на базе публичного ЦОД Tier III в Казахстане. Green Light выступил генеральным подрядчиком проекта: спроектировал архитектуру, установил оборудование, настроил и запустил защищенную сеть.

Как отвязать электронные платежи от одного оператора связи и защитить процессинг

На старте проекта инженеры Green Light провели аудит и спроектировали технические решения для повышения отказоустойчивости. Сначала Wooppay отказалась от адресного пространства провайдера и по рекомендации интегратора получила в собственность номер автономной системы (ASN) и два блока PI-адресов, не привязанных к конкретному оператору связи. Затем инженеры настроили автоматическое резервирование каналов связи, чтобы повысить отказоустойчивость WAN-сегмента.

Чтобы соответствовать финансовым стандартам безопасности PCI DSS и ISO 27001, инфраструктуру в ЦОД разделили на два независимых модуля со своими политиками контроля доступа. Базовые корпоративные системы вынесли в одну зону, а платежный процессинг — в физически изолированную среду, защищенную отдельными межсетевыми экранами. Это снижает риск распространения инцидента из корпоративной сети на обработку транзакций.

Высокую скорость работы баз данных обеспечили за счет развертывания оптической сети хранения (Fibre Channel SAN). В ней настроили жесткое зонирование: каждый сервер получает доступ только к разрешенным ресурсам, что исключает утечку данных между модулями.

Внешний периметр защитили с помощью Cloudflare Enterprise. Глобальная Anycast-маршрутизация фильтрует трафик более чем через 300 точек присутствия в мире, отсекая DDoS-атаки и вредоносные запросы к платежным API (OWASP Top 10) до того, как они достигнут серверов в Казахстане. Аппаратную отказоустойчивость дополнили независимым контуром внеполосного управления (OOB Management), который позволяет администрировать оборудование удаленно.

Системный интегратор как единый центр управления

В Wooppay особенно отмечают, что все технические коммуникации можно было вести через одного подрядчика. Команда Green Light координировала согласование параметров пиринга с операторами, обновление прошивок с производителями серверов и активацию Enterprise-функций с Cloudflare. Вся работа шла по инженерной методологии финансового сектора: от спецификации оборудования до жестких испытаний сценариев отказа.

«Ключевой задачей было не просто перенести нагрузку из облака на собственное оборудование, а построить инфраструктуру с независимыми каналами связи, изолированным платежным контуром и возможностью масштабирования без перестройки всей архитектуры. Наша команда отработала как единый механизм — объект запустили точно в срок, несмотря на все технические вызовы», — отметил CTO Green Light Евгений Багрецов.

Эффект Cloud Repatriation: возврат из облака сократил ежемесячные IT-расходы Wooppay на 70%

Отказ от облака в пользу собственного железа отражает глобальный отраслевой тренд на репатриацию систем. Wooppay этот проект дал прямой финансовый эффект. Ежемесячные операционные расходы (OPEX) на поддержку инфраструктуры сократились более чем на 70%, благодаря чему капитальные вложения (CAPEX) в оборудование окупаются менее чем за два года.

Помимо прямого снижения затрат, компания получила рыночную гибкость. Как платежный агрегатор, Wooppay интегрирован по API с сотнями партнеров. Наличие собственных IP-адресов решило проблему «белых списков» — теперь смена оператора связи происходит незаметно для B2B-клиентов и не требует перенастройки доступов. В свою очередь, прямой доступ к дискам по Fibre Channel обеспечил минимальную задержку при записи баз данных. Это ускорило обработку потока мелких транзакций в пиковые часы и улучшило клиентский опыт.