Anypoint VPN или NAT в Transit Gateway: къде се извършва транслацията
Anypoint VPN не транслира адреси сам. Решете между PAT на защитна стена, карта на префикси в AWS или друго свързване, преди да обещаете NAT.
Едно изискване за NAT не е изискване, докато не назове адресите, които се променят, и компонента, на който е разрешено да ги променя. При свързаност с MuleSoft това решение има три входа: дали бекендът се нуждае от транслация на портове „много към едно“ или от псевдоним на префикс „едно към едно“, дали AWS свързването, което реално притежавате, може да извърши това съпоставяне, и дали целият път остава в комбинация, която доставчикът поддържа. Сгрешете ли тези неща, ще построите работеща лаборатория, която не минава преглед.
Единствената фиксирана точка е, че самият Anypoint VPN не е устройство за транслация. Документацията на CloudHub 2.0 посочва NAT като неподдържан там, така че всеки дизайн, който предполага, че тунелът ще скрие адресите на вашите работници, вече е счупен.
Определете какво трябва да прави транслацията
Ако много работни процеси на приложението трябва да изглеждат за бекенда като един адрес, изискването е споделена транслация на източника, обикновено SNAT или PAT със запазване на състоянието на защитна стена, която контролирате. Този елемент трябва да стои на одобрен път, да пази състоянието си през целия живот на потока и да вижда ответния трафик за всяка връзка, която е пренаписал. Загубата на състояние по средата на сесията не влошава връзката; тя я прекратява. Двойка защитни стени, която отказва да споделя състояние на транслация, ще изпусне всяка сесия, която след превключване попадне на резервния член. Оразмерете този елемент за едновременни потоци, а не за пропускателна способност.
Ако вместо това две мрежи се припокриват и всеки хост се нуждае от отделен псевдоним, изискването е план на адресите „едно към едно“ с недвусмислени съпоставени префикси, съответстващи маршрути и разрешаване на имена, което е в съгласие със съпоставянето. Скриването на всеки работник зад един адрес не е по-евтина версия на това, а разменянето на едното с другото при преглед на дизайна е начинът, по който проектите губят едно тримесечие.
Запишете решението в конкретни термини, преди да изберете продукт: първоначален източник, първоначална дестинация, трансформирана стойност, посока на иницииране, собственик на транслатора и очакван обратен маршрут. Добавете каква идентичност ще запазят логовете на бекенда, защото дизайн, който скрива всички източници, унищожава и одита по клиенти.
Проверете дали AWS може да направи съпоставянето вместо вас
AWS вече документира управляван NAT „едно към едно“ върху свързвания към Transit Gateway и Cloud WAN, обявен в края на октомври 2026, така че старото общо твърдение, че транзитният шлюз никога не може да транслира, вече е остаряло. Документацията Transit Gateway NAT описва съпоставяне на префикси IPv4 без състояние: оригиналните и трансформираните префикси запазват същата дължина, а битовете на хоста и транспортните портове оцеляват при транслацията. Четете посоките на входящия и изходящия трафик като отделни дизайнерски решения, защото те се конфигурират отделно и едното може да е готово, докато другото не е. Нищо в това описание не предполага състояние за всеки поток, така че не очаквайте съпоставянето да следи връзките вместо вас.
Това означава, че 10.80.0.0/16, съпоставен на 172.28.0.0/16, превръща 10.80.10.23 в 172.28.10.23. Той не свива /16 в един адрес и не замества изискване за PAT. Покрива и избрани типове свързвания, сред които VPC и Site-to-Site VPN, но не и свързвания на Client VPN, а конфигурацията живее при собственика на транзитния шлюз, не при страната Anypoint.
Отнасяйте се към функцията като към още една възможна точка за контрол, а не като към доказателство, че внедряването ви може да я използва. CloudHub 2.0 документира свързвания на частно пространство към транзитен шлюз в собствения акаунт на клиента в AWS, с регионални условия и условия за право, затова потвърдете реалния тип свързване, собственика му и позицията за поддръжка на доставчика, преди да проектирате около новата опция.
Дръжте пътя в поддържана граница
За транслатор на защитна стена използвайте поддържания модел за VPN, транслация и маршрутизация на този продукт, вместо да поставяте общо правило за NAT в работещ тунел. Отговорът на бекенда трябва да се върне през същия елемент за транслация, а здравият изходящ тунел не казва нищо за този обратен път.
За маршрута през транзитния шлюз инвентаризирайте свързването на частното пространство, съответните таблици за маршрути, свързването на място и частите, които клиентът реално може да конфигурира. Това е различна архитектура на свързаност, а не отметка за NAT, прикрепена към съществуваща връзка на Anypoint VPN, и границата на поддръжка се мести заедно с нея.
Сравнете трите опции в една таблица
Повечето екипи трябва да отговорят само на два въпроса: много към едно или едно към едно, и кой притежава свързването. Таблицата по-долу превръща тези отговори в начална опция.
| Requirement | Starting option | What breaks it |
|---|---|---|
| Many workers, one backend address | Stateful PAT on your firewall | Asymmetric return path, expired state |
| Overlapping /16s, one-to-one | AWS prefix mapping on a supported attachment | Client VPN attachment, no explicit config |
| Per-client audit must survive | Keep original sources, translate downstream | Any many-to-one hiding of sources |
Четете третата колона като въпроса за прегледа, а не като добавка. Карта на префикси, разрешена на хартия, но конфигурирана върху свързване, което не притежавате, все още е блокиран проект, а правило за PAT, което пропуска трафик, но чупи логовете по клиенти, се проваля на одита, който следва.
Проверете съпоставянето, преди да го обещаете
Пуснете една нова операция на приложението през пътя и потвърдете отговора, не само заявката. Попитайте собственика на бекенда кой адрес на източника са записали логовете му, проверете дали работата със семейството адреси съответства на плана в двете посоки и се уверете, че един път, който трябва да бъде отказан, все още е отказан. Остаряла връзка не доказва нищо за съпоставянето, което току-що сте променили.
Дръжте автентикацията на бекенда независима от това кой трансформиран адрес удовлетворява неговия списък за разрешение, защото съпоставянето е мрежова техника, а не решение за контрол на достъпа. В момента, в който нулирането на парола зависи от префикс за NAT, всяка бъдеща промяна на диапазона става прекъсване.
Преди одобрение запишете трите отговора: тип на транслацията, собственик на транслатора и поддържаното свързване или продуктов път, който го носи. Ако някой от тях все още е догадка, дизайнът не е готов за прозорец за промени.