Anypoint VPN of Transit Gateway NAT: waar die vertaling moet gebeur
Anypoint VPN vertaal nie self adresse nie. Kies tussen 'n firewall-PAT-ontwerp, die AWS-prefiksmap of andersoortige aanhegting voordat jy NAT belowe.
'n NAT-vereiste is eers 'n vereiste wanneer dit die adresse noem wat verander en die komponent wat toegelaat word om hulle te verander. Op MuleSoft-konnektiwiteit het daardie besluit drie insette: of die backend baie-tot-een-poortvertaling of een-tot-een-prefiksalias nodig het, of die AWS-aanhegting wat jy werklik besit daardie kartering kan doen, en of die hele pad binne 'n kombinasie bly wat die verskaffer ondersteun. Kry jy dit verkeerd, bou jy 'n werkende lab wat die resensie faal.
Die een vaste punt is dat Anypoint VPN self nie 'n vertaaltoestel is nie. Die CloudHub 2.0-dokumentasie lys NAT as onondersteun daar, so enige ontwerp wat aanneem die tonnel sal jou werkeradresse versteek, is reeds stukkend.
Bepaal wat die vertaling moet doen
As baie toepassingswerkers vir die backend as een adres moet verskyn, is die vereiste gedeelde bronvertaling, gewoonlik stateful SNAT of PAT op 'n firewall wat jy beheer. Daardie element moet op 'n goedgekeurde pad sit, sy toestand vir die lewensduur van die vloei behou en die retourverkeer sien vir elke verbinding wat dit herskryf het. Om toestand midde-in die sessie te verloor, verswak nie die verbinding nie; dit beëindig dit. 'n Firewallpaar wat weier om vertaaltoestand te deel, sal elke sessie laat val wat ná failover op die standby-lid beland. Bepaal die grootte van daardie element vir gelyktydige vloei, nie vir deurset nie.
As twee netwerke eerder oorvleuel en elke gasheer afsonderlike alias nodig het, vereis dit een-tot-een-adresplan met ondubbelsinnige gekarteerde prefikse, passende roetes en naamresolusie wat met die kartering ooreenstem. Om elke werker agter een adres te versteek is nie 'n goedkoper weergawe daarvan nie, en om die een vir die ander in ontwerpsoorsigte te ruil, is hoe projekte 'n kwartaal verloor.
Teken die besluit in konkrete terme op voordat jy 'n produk kies: oorspronklike bron, oorspronklike bestemming, vertaalde waarde, rigting van inisiasie, eienaar van die vertaler en verwagte antwoordroete. Voeg by watter identiteit die backend-logs sal behou, want wanneer die ontwerp alle bronne versteek, vernietig dit ook die oudit per kliënt.
Kyk of AWS die kartering vir jou kan doen
AWS dokumenteer nou bestuurde een-tot-een NAT op Transit Gateway- en Cloud WAN-aanhegtings, aangekondig in laat Oktober 2026, so die ou algemene bewering dat 'n transit gateway nooit kan vertaal nie, is verouderd. Die Transit Gateway NAT-dokumentasie beskryf 'n stateless IPv4-prefikskartering: oorspronklike en vertaalde prefikse behou dieselfde lengte, en gasheerbits en transportpoorte oorleef die vertaling. Lees die inkomende en uitgaande rigtings as aparte ontwerpbesluite, want hulle word apart gekonfigureer en een kan gereed wees terwyl die ander nie is nie. Niks in daardie beskrywing impliseer per-vloei-toestand nie, so moenie verwag dat die kartering verbindings vir jou volg nie.
Dit beteken 10.80.0.0/16 gekarteer na 172.28.0.0/16 verander 10.80.10.23 in 172.28.10.23. Dit vou nie die /16 in een adres in nie, en dit vervang nie 'n PAT-vereiste nie. Dit dek ook geselekteerde aanhegtingtipes, VPC en Site-to-Site VPN onder andere, maar nie Client VPN-aanhegtings nie, en die konfigurasie lê by die eienaar van die transit gateway eerder as by die Anypoint-kant.
Behandel die funksie as nog een moontlike beheerpunt, nie as bewys dat jou ontplooiing dit kan gebruik nie. CloudHub 2.0 dokumenteer private-space-aanhegtings aan 'n transit gateway in die kliënt se eie AWS-rekening, met streek- en regtevoorwaardes daaraan verbonde, so bevestig die werklike aanhegtingtipe, die eienaar daarvan en die verskaffer se ondersteuningsposisie voordat jy rondom die nuwe opsie ontwerp.
Hou die pad binne die ondersteunde grens
Vir 'n firewallvertaler, gebruik daardie produk se ondersteunde VPN-, vertaal- en roeteringsmodel eerder as om 'n generiese NAT-reël in 'n werkende tonnel te plak. Die backend se antwoord moet deur dieselfde vertaalelement terugkom, en 'n gesonde uitgaande tonnel sê niks oor daardie terugroete nie.
Vir die transit gateway-roete, inventariseer die private-space-aanhegting, die relevante roetetabelle, die aanhegting op die perseel en die stukke wat die kliënt werklik kan konfigureer. Dit is 'n heel ander konnektiwiteitsargitektuur, nie 'n NAT-merkblokkie wat op 'n bestaande Anypoint VPN-verbinding vasgebout word nie, en die ondersteuningsgrens skuif daarmee saam.
Vergelyk die drie opsies in een tabel
Die meeste spanne hoef net twee vrae te antwoord: baie-tot-een of een-tot-een, en wie besit die aanhegting. Die tabel hieronder verander daardie antwoorde in 'n beginopsie.
| Requirement | Starting option | What breaks it |
|---|---|---|
| Many workers, one backend address | Stateful PAT on your firewall | Asymmetric return path, expired state |
| Overlapping /16s, one-to-one | AWS prefix mapping on a supported attachment | Client VPN attachment, no explicit config |
| Per-client audit must survive | Keep original sources, translate downstream | Any many-to-one hiding of sources |
Lees die derde kolom as die resensievraag, nie as 'n nagedagte nie. 'n Prefiksmap wat op papier toegelaat word maar op aanhegtings gekonfigureer word wat jy nie besit nie, is steeds 'n geblokkeerde projek, en 'n PAT-reël wat verkeer deurlaat maar oudit per kliënt breek, faal die oudit wat volg.
Valideer die kartering voordat jy dit belowe
Stuur een nuwe toepassingsoperasie deur die pad en bevestig die antwoord, nie net die versoek nie. Vra die backend-eienaar watter bronadres hulle logs aangeteken het, kontroleer dat adresfamiliehantering in beide rigtings by die plan pas, en verifieer dat een pad wat geweier moet word, steeds geweier word. 'n Verouderde verbinding bewys niks oor die kartering wat jy pas verander het nie.
Hou backend-verifikasie onafhanklik van watter vertaalde adres ook al sy toelaatlys bevredig, want die kartering is netwerklymwerk en nie 'n toegangsbehearbesluit nie. Die oomblik wanneer 'n wagwoordherstel van 'n NAT-prefiks afhang, word elke toekomstige reeksverandering 'n diensonderbreking.
Voor goedkeuring, skryf die drie antwoorde neer: vertalingtipe, eienaar van die vertaler, en die ondersteunde aanhegting of produkpad wat dit dra. As enige een van hulle nog 'n raaiskoot is, is die ontwerp nie gereed vir 'n veranderingsvenster nie.