Anypoint VPN eller Transit Gateway NAT: hvor oversættelsen foregår
Anypoint VPN oversætter ikke adresser selv. Vælg mellem PAT på din firewall, et AWS-prefixkort eller en anden attachment, før du lover NAT.
Et NAT-krav er ikke et krav, før det navngiver de adresser, der ændres, og den komponent, der har lov til at ændre dem. I MuleSoft-forbindelser har den beslutning tre input: om backenden har brug for mange-til-en-portoversættelse eller et en-til-en-prefixalias, om den AWS-attachment, du faktisk ejer, kan udføre den mapping, og om hele vejen bliver inden for en kombination, som leverandøren understøtter. Tager du fejl af det, bygger du et laboratorium, der virker, men fejler i review.
Det ene faste punkt er, at Anypoint VPN ikke selv er en oversættelsesenhed. CloudHub 2.0-dokumentationen angiver NAT som ikke understøttet der, så ethvert design, der antager, at tunnelen skjuler dine worker-adresser, er allerede brudt.
Afgør, hvad oversættelsen skal gøre
Hvis mange applikationsworkere skal fremstå som én adresse for backenden, er kravet delt kildeoversættelse, normalt stateful SNAT eller PAT på en firewall, du kontrollerer. Det element skal ligge på en godkendt vej, holde sin tilstand gennem hele flowets levetid og se returtrafikken for hver forbindelse, den har skrevet om. At miste tilstand midt i en session forringer ikke forbindelsen; den afslutter den. Et firewallpar, der nægter at dele oversættelsestilstand, dropper hver session, der efter failover lander på standby-medlemmet. Dimensionér det element til samtidige flows, ikke til gennemstrømning.
Hvis to netværk i stedet overlapper, og hver vært har brug for et særskilt alias, er kravet en en-til-en-adresseplan med entydige mappede prefixes, matchende ruter og navneopløsning, der stemmer med mappingen. At skjule hver worker bag én adresse er ikke en billigere udgave af det, og at bytte det ene ud med det andet i et designreview er måden, projekter mister et kvartal på.
Skriv beslutningen ned i konkrete termer, før du vælger et produkt: oprindelig kilde, oprindelig destination, oversat værdi, initieringsretning, oversætterens ejer og forventet svarvej. Tilføj hvilken identitet backend-loggen vil bevare, fordi et design, der skjuler alle kilder, også ødelægger revision pr. klient.
Undersøg, om AWS kan udføre mappingen for dig
AWS dokumenterer nu administreret en-til-en-NAT på Transit Gateway- og Cloud WAN-attachments, annonceret i slutningen af oktober 2026, så den gamle generelle påstand om, at en transit gateway aldrig kan oversætte, er forældet. Transit Gateway NAT-dokumentationen beskriver en stateless IPv4-prefixmapping: oprindelige og oversatte prefixes bevarer samme længde, og værtsbits og transportporte overlever oversættelsen. Læs ingress- og egress-retningerne som separate designbeslutninger, fordi de konfigureres separat, og den ene kan være klar, mens den anden ikke er. Intet i den beskrivelse antyder tilstand pr. flow, så forvent ikke, at mappingen følger forbindelser for dig.
Det betyder, at 10.80.0.0/16 mappet til 172.28.0.0/16 gør 10.80.10.23 til 172.28.10.23. Det kollapser ikke /16 til én adresse og erstatter ikke et PAT-krav. Det dækker også udvalgte attachment-typer, blandt andre VPC og Site-to-Site VPN, men ikke Client VPN-attachments, og konfigurationen ligger hos transit gateway-ejeren og ikke hos Anypoint-siden.
Behandl funktionen som endnu et muligt kontrolpunkt, ikke som bevis for, at din udrulning kan bruge den. CloudHub 2.0 dokumenterer private-space-attachments til en transit gateway i kundens egen AWS-konto, med regionale betingelser og rettighedsbetingelser, så bekræft den reelle attachment-type, dens ejer og leverandørens supportposition, før du designer omkring den nye mulighed.
Hold vejen inden for en understøttet grænse
Brug til en firewall-oversætter det pågældende produkts understøttede VPN-, oversættelses- og routingmodel i stedet for at klistre en generisk NAT-regel ind i en fungerende tunnel. Backendens svar skal komme tilbage gennem det samme oversættelseselement, og en sund udgående tunnel siger intet om den returvej.
Inventér til transit gateway-ruten private-space-attachmenten, de relevante rutetabeller, on-premises-attachmenten og de dele, kunden faktisk kan konfigurere. Det er en anden connectivity-arkitektur, ikke et NAT-afkrydsningsfelt boltet på en eksisterende Anypoint VPN-forbindelse, og supportgrænsen flytter med.
Sammenlign de tre muligheder i én tabel
De fleste teams behøver kun at svare på to spørgsmål: mange-til-en eller en-til-en, og hvem ejer attachmenten. Tabellen nedenfor omsætter de svar til en startmulighed.
| Requirement | Starting option | What breaks it |
|---|---|---|
| Many workers, one backend address | Stateful PAT on your firewall | Asymmetric return path, expired state |
| Overlapping /16s, one-to-one | AWS prefix mapping on a supported attachment | Client VPN attachment, no explicit config |
| Per-client audit must survive | Keep original sources, translate downstream | Any many-to-one hiding of sources |
Læs den tredje kolonne som reviewspørgsmålet, ikke som en eftertanke. Et prefixkort, der er tilladt på papiret, men konfigureret på en attachment, du ikke ejer, er stadig et blokeret projekt, og en PAT-regel, der slipper trafik igennem, men ødelægger logning pr. klient, fejler den revision, der følger.
Validér mappingen, før du lover den
Send én ny applikationsoperation gennem vejen, og bekræft svaret, ikke kun anmodningen. Spørg backend-ejeren, hvilken kildeadresse deres logge registrerede, kontrollér, at håndteringen af adressefamilier stemmer med planen i begge retninger, og verificér, at én vej, der bør afvises, stadig afvises. En gammel forbindelse beviser intet om den mapping, du netop har ændret.
Hold backend-godkendelse uafhængig af, hvilken oversat adresse der opfylder dens allowlist, fordi mappingen er netværksrør og ikke en adgangskontrolbeslutning. I det øjeblik en nulstilling af adgangskoden afhænger af et NAT-prefix, bliver enhver fremtidig ændring af intervallet et nedbrud.
Før godkendelse skal du skrive de tre svar ned: oversættelsestype, oversætterens ejer og den understøttede attachment eller produktvej, der bærer den. Hvis et af dem stadig er et gæt, er designet ikke klar til et ændringsvindue.