Anypoint VPN vai Transit Gateway NAT: missä käännös tapahtuu
Anypoint VPN ei käännä osoitteita itse. Valitse palomuurin PAT-ratkaisun, AWS:n etuliitekartan tai muun liitännän välillä ennen kuin lupaat NAT:n.
NAT-vaatimus ei ole vaatimus ennen kuin se nimeää muuttuvat osoitteet ja komponentin, jolla on lupa muuttaa niitä. MuleSoft-yhteyksissä tällä päätöksellä on kolme syötettä: tarvitseeko backend monesta-yhteen-porttikäännöstä vai yksi-yhteen-etuliitealiaksen, voiko AWS-liitäntä, joka sinulla todella on, tehdä tämän kartoituksen, ja pysyykö koko polku toimittajan tukemassa yhdistelmässä. Jos nämä menevät pieleen, rakennat laboratorion, joka toimii mutta epäonnistuu katselmoinnissa.
Ainoa kiinteä kohta on, että Anypoint VPN itse ei ole käännöslaite. CloudHub 2.0:n dokumentaatio listaa NAT:n siellä tukemattomaksi, joten jokainen suunnitelma, joka olettaa tunnelin piilottavan työntekijöidesi osoitteet, on jo rikki.
Määritä, mitä käännöksen on tehtävä
Jos monen sovellustyöntekijän on näyttävä backendille yhtenä osoitteena, vaatimus on jaettu lähdekäännös, yleensä tilallinen SNAT tai PAT hallitsemassasi palomuurissa. Tämän elementin on sijaittava hyväksytyllä polulla, pidettävä tilansa koko virran elinkaaren ajan ja nähtävä paluuliikenne jokaiselle yhteydelle, jonka se kirjoitti uudelleen. Tilan menetys kesken istunnon ei heikennä yhteyttä; se lopettaa sen. Palomuuripari, joka kieltäytyy jakamasta käännöstilaa, pudottaa jokaisen istunnon, joka failoverin jälkeen päätyy valmiustilassa olevalle jäsenelle. Mitoita tämä elementti samanaikaisille virroille, ei läpäisylle.
Jos taas kaksi verkkoa menevät päällekkäin ja jokainen isäntä tarvitsee erillisen aliaksen, vaatimus on yksi-yhteen-osoitesuunnitelma, jossa on yksiselitteiset kartatut etuliitteet, vastaavat reitit ja kartoituksen kanssa yhtäpitävä nimien selvitys. Kaikkien työntekijöiden piilottaminen yhden osoitteen taakse ei ole tämän halvempi versio, ja toisen vaihtaminen toiseen suunnittelukatselmuksessa on tapa, jolla projektit menettävät neljänneksen.
Kirjaa päätös konkreettisin termein ennen tuotteen valintaa: alkuperäinen lähde, alkuperäinen kohde, käännetty arvo, aloituksen suunta, kääntäjän omistaja ja odotettu vastausreitti. Lisää, minkä identiteetin backendin lokit säilyttävät, koska kaikki lähteet piilottava suunnitelma tuhoaa myös asiakaskohtaisen auditoinnin.
Tarkista, voiko AWS tehdä kartoituksen puolestasi
AWS dokumentoi nyt hallitun yksi-yhteen-NAT:n Transit Gateway- ja Cloud WAN -liitännöissä, julkistettu lokakuun 2026 lopussa, joten vanha yleinen väite, ettei siirtoyhdyskäytävä voi koskaan kääntää, on vanhentunut. Transit Gateway NAT -dokumentaatio kuvaa tilattoman IPv4-etuliitekartoituksen: alkuperäiset ja käännetyt etuliitteet säilyttävät saman pituuden ja isäntäbitit ja kuljetusportit säilyvät käännöksessä. Lue sisään- ja ulosmenevät suunnat erillisinä suunnittelupäätöksinä, koska ne konfiguroidaan erikseen ja toinen voi olla valmis, kun toinen ei. Mikään kuvauksessa ei edellytä virtakohtaista tilaa, joten älä odota kartoituksen seuraavan yhteyksiä puolestasi.
Se tarkoittaa, että 10.80.0.0/16 kartoitettuna 172.28.0.0/16:ksi muuttaa 10.80.10.23:n osoitteeksi 172.28.10.23. Se ei purista /16:tä yhdeksi osoitteeksi eikä korvaa PAT-vaatimusta. Se kattaa myös valitut liitäntätyypit, muun muassa VPC:n ja Site-to-Site VPN:n, mutta ei Client VPN -liitäntöjä, ja konfiguraatio on siirtoyhdyskäytävän omistajalla, ei Anypointin puolella.
Kohtele ominaisuutta yhtenä mahdollisena valvontapisteenä, älä todisteena siitä, että käyttöönotto voi käyttää sitä. CloudHub 2.0 dokumentoi yksityisen tilan liitäntöjä siirtoyhdyskäytävään asiakkaan omassa AWS-tilissä, alueellisine ja oikeusehtoineen, joten vahvista todellinen liitäntätyyppi, sen omistaja ja toimittajan tukikanta ennen kuin suunnittelet uuden vaihtoehdon ympärille.
Pidä polku tuetun rajan sisällä
Palomuuri-kääntäjälle käytä kyseisen tuotteen tuettua VPN-, käännös- ja reititysmallia sen sijaan, että liimaisit yleisen NAT-säännön toimivaan tunneliin. Backendin vastauksen on tultava takaisin saman käännöselementin kautta, eikä terve lähtevä tunneli kerro mitään siitä paluupolusta.
Siirtoyhdyskäytävän reitille inventoi yksityisen tilan liitäntä, asiaankuuluvat reititystaulut, paikallinen liitäntä ja ne osat, joita asiakas voi todella konfiguroida. Se on erilainen yhteyksien arkkitehtuuri, ei NAT-valintaruutu, joka on ruuvattu olemassa olevaan Anypoint VPN -yhteyteen, ja tukiraja liikkuu sen mukana.
Vertaa kolmea vaihtoehtoa yhdessä taulukossa
Useimpien tiimien tarvitsee vastata vain kahteen kysymykseen: monesta-yhteen vai yksi-yhteen, ja kuka omistaa liitännän. Alla oleva taulukko muuttaa vastaukset aloitusvaihtoehdoksi.
| Requirement | Starting option | What breaks it |
|---|---|---|
| Many workers, one backend address | Stateful PAT on your firewall | Asymmetric return path, expired state |
| Overlapping /16s, one-to-one | AWS prefix mapping on a supported attachment | Client VPN attachment, no explicit config |
| Per-client audit must survive | Keep original sources, translate downstream | Any many-to-one hiding of sources |
Lue kolmas sarake katselmoinnin kysymyksenä, ei jälkikäteen tulleena ajatuksena. Paperilla sallittu mutta liitännässä konfiguroitu etuliitekartta, jota et omista, on edelleen estynyt projekti, ja PAT-sääntö, joka päästää liikenteen läpi mutta rikkoo asiakaskohtaisen lokituksen, epäonnistuu seuraavassa auditoinnissa.
Validoi kartoitus ennen kuin lupaat sen
Lähetä yksi tuore sovellusoperaatio polun läpi ja vahvista vastaus, ei vain pyyntö. Kysy backendin omistajalta, minkä lähdeosoitteen heidän lokinsa kirjasivat, tarkista että osoiteperheen käsittely vastaa suunnitelmaa molemmissa suunnissa ja varmista, että yksi polku, joka pitäisi hylätä, hylätään edelleen. Vanhentunut yhteys ei todista mitään juuri muuttamastasi kartoituksesta.
Pidä backendin todennus riippumattomana siitä, mikä käännetty osoite täyttää sen sallittujen luettelon, koska kartoitus on verkkoputkitusta eikä pääsynhallintapäätös. Heti kun salasanan palautus riippuu NAT-etuliitteestä, jokaisesta tulevasta alueen muutoksesta tulee katkos.
Kirjaa ennen hyväksyntää kolme vastausta: käännöksen tyyppi, kääntäjän omistaja ja tuettu liitäntä tai tuotepolku, joka sen kantaa. Jos jokin niistä on vielä arvaus, suunnitelma ei ole valmis muutosikkunaa varten.