Anypoint VPN või Transit Gateway NAT: kus tõlge toimub
Anypoint VPN ei tõlgi aadresse ise. Otsustage tulemüüril tehtava PAT-i, AWS-i prefiksimapi või muu ühenduse vahel enne, kui NAT-i lubate.
NAT-i nõue ei ole nõue enne, kui see nimetab aadressid, mis muutuvad, ja komponendi, millel on lubatud neid muuta. MuleSofti ühenduvuses on sellel otsusel kolm sisendit: kas backend vajab paljude-ühele porditõlget või üks-ühele prefiksiallast, kas AWS-i ühendus, mis tegelikult teie käes on, suudab selle vastenduse teha, ja kas kogu tee jääb tarnija toetatud kombinatsiooni sisse. Kui need valesti lähevad, ehitate töötava labori, mis kukub ülevaatusel läbi.
Ainus kindel punkt on see, et Anypoint VPN ise ei ole tõlkesaade. CloudHub 2.0 dokumentatsioon loetleb NAT-i seal toetamata, seega iga kavand, mis eeldab, et tunnel peidab teie töötajate aadressid, on juba katki.
Määrake, mida tõlge peab tegema
Kui paljud rakenduse töötajad peavad backendi jaoks paistma ühe aadressina, on nõue jagatud lähtetõlge, tavaliselt olekut säilitav SNAT või PAT tulemüüril, mida te kontrollite. See element peab asuma heakskiidetud teel, hoidma oma olekut kogu voo eluea jooksul ja nägema tagasiliiklust iga ühenduse jaoks, mille see ümber kirjutas. Olekukadu keset seanssi ei halvenda ühendust; see lõpetab selle. Tulemüüride paar, mis keeldub tõlkeolekut jagamast, kaotab iga seansi, mis pärast ümberlülitust varuliikmele satub. Mõõtke see element välja samaaegsete voogude, mitte läbilaskevõime järgi.
Kui seevastu kaks võrku kattuvad ja iga host vajab eraldi alias, on nõue üks-ühele aadressiplaan ühemõtteliste vastendatud prefiksite, sobivate marsruutide ja vastendusega kooskõlas oleva nimehaldusega. Kõigi töötajate peitmine ühe aadressi taha ei ole selle odavam variant ning ühe teisega asendamine kavandi ülevaatusel on viis, kuidas projektid kaotavad kvartali.
Pange otsus konkreetsete mõistetega kirja enne toote valimist: algne allikas, algne sihtkoht, tõlgitud väärtus, algatuse suund, tõlkija omanik ja eeldatav vastusmarsruut. Lisage, millise identiteedi backendi logid säilitavad, sest kavand, mis peidab kõik allikad, hävitab ka kliendipõhise auditi.
Kontrollige, kas AWS saab vastenduse teie eest teha
AWS dokumenteerib nüüd hallatavat üks-ühele NAT-i Transit Gateway ja Cloud WAN ühendustel, mis teatati 2026. aasta oktoobri lõpus, seega vana üldine väide, et transiitlüüs ei saa kunagi tõlkida, on aegunud. Transit Gateway NAT dokumentatsioon kirjeldab olekuta IPv4 prefiksi vastendust: algne ja tõlgitud prefiks säilitavad sama pikkuse ning hostibitid ja transpordipordid jäävad tõlkimisel alles. Lugege sisse- ja väljundsuundi eraldi kavandusotsustena, sest neid konfigureeritakse eraldi ja üks võib olla valmis, samal ajal kui teine ei ole. Miski selles kirjelduses ei eelda voopõhist olekut, seega ärge oodake, et vastendus jälgib ühendusi teie eest.
See tähendab, et 10.80.0.0/16 vastendamine 172.28.0.0/16-ga muudab 10.80.10.23 aadressiks 172.28.10.23. See ei suru /16 üheks aadressiks kokku ega asenda PAT-i nõuet. See katab ka valitud ühendusetüüpe, nende hulgas VPC ja Site-to-Site VPN, kuid mitte Client VPN-i ühendusi, ja konfiguratsioon elab transiitlüüsi omaniku juures, mitte Anypointi poolel.
Käsitlege seda funktsiooni veel ühe võimaliku kontrollpunktina, mitte tõendina, et teie juurutus saab seda kasutada. CloudHub 2.0 dokumenteerib privaatruumi ühendusi transiitlüüsiga kliendi enda AWS-kontos, koos piirkondlike ja õigustingimustega, seega kinnitage tegelik ühendusetüüp, selle omanik ja tarnija tugipositsioon enne, kui uue valiku ümber projekteerite.
Hoidke tee toetatud piiri sees
Tulemüüri tõlkija puhul kasutage selle toote toetatud VPN-, tõlke- ja marsruutimismudelit, selle asemel et kleepida töötavasse tunnelisse üldine NAT-reegel. Backendi vastus peab tagasi tulema sama tõlkeelemendi kaudu ja terve väljaminev tunnel ei ütle selle tagasitee kohta midagi.
Transiitlüüsi marsruudi puhul inventariseerige privaatruumi ühendus, asjakohased marsruutimistabelid, kohapealne ühendus ja need osad, mida klient tegelikult konfigureerida saab. See on teistsugune ühenduvusarhitektuur, mitte olemasoleva Anypoint VPN-i ühenduse külge kruvitud NAT-i märkeruut, ja tugipiir liigub koos sellega.
Võrrelge kolme valikut ühes tabelis
Enamik meeskondi peab vastama vaid kahele küsimusele: palju-ühele või üks-ühele, ja kes ühendust omab. Allolev tabel muudab need vastused algseks valikuks.
| Requirement | Starting option | What breaks it |
|---|---|---|
| Many workers, one backend address | Stateful PAT on your firewall | Asymmetric return path, expired state |
| Overlapping /16s, one-to-one | AWS prefix mapping on a supported attachment | Client VPN attachment, no explicit config |
| Per-client audit must survive | Keep original sources, translate downstream | Any many-to-one hiding of sources |
Lugege kolmandat veergu ülevaatuse küsimusena, mitte hilisema mõttena. Prefiksimap, mis on paberil lubatud, kuid konfigureeritud ühendusel, mida te ei oma, on endiselt blokeeritud projekt, ja PAT-reegel, mis laseb liikluse läbi, kuid rikub kliendipõhise logimise, kukub järgneval auditis läbi.
Valideerige vastendus enne, kui seda lubate
Saatke läbi tee üks värske rakendusoperatsioon ja kinnitage vastus, mitte ainult päring. Küsige backendi omanikult, millise lähteaadressi nende logid salvestasid, kontrollige, et aadressiperekonna käsitlemine vastab plaanile mõlemas suunas, ja veenduge, et üks tee, mis peaks olema keelatud, on endiselt keelatud. Vananenud ühendus ei tõesta vastenduse kohta midagi, mille just muutsite.
Hoidke backendi autentimine sõltumatuna sellest, milline tõlgitud aadress rahuldab selle lubatud loendi, sest vastendus on võrgutehnika, mitte juurdepääsukontrolli otsus. Hetkest, mil parooli lähtestamine sõltub NAT-i prefiksist, muutub iga tulevane vahemikumuudatus katkestuseks.
Enne kinnitamist kirjutage üles kolm vastust: tõlke tüüp, tõlkija omanik ja toetatud ühendus või tootetee, mis seda kannab. Kui mõni neist on endiselt oletus, ei ole kavand muudatusaknaks valmis.