Anypoint VPN of Transit Gateway NAT: wêr't de oersetting bart
Anypoint VPN oerset adressen net sels. Kies tusken in PAT-ûntwerp op 'e firewall, in AWS-prefiksmap of in oare oanhing foardat jo NAT tasizze.
In NAT-ferplichting is gjin ferplichting oant se de adressen neamt dy't feroarje en it komponint dat tastien is se te feroarjen. By MuleSoft-konnektiviteit hat dy beslissing trije ynfier: oft de backend in poarte-oersetting fan mannich-nei-ien nedich hat of in prefiks-alias fan ien-nei-ien, oft de AWS-oanhing dy't jo wier besitte dy mapping dwaan kin, en oft it hiele paad binnen in kombinaasje bliuwt dy't de leveransier stipet. Krijst dy ferkeard, dan bouwe jo in laboratoarium dat wurket mar de beoardieling net hellet.
It iene fêste punt is dat Anypoint VPN sels gjin oersettingsapparaat is. De dokumintaasje fan CloudHub 2.0 listet NAT dêr as net stipe, dus elk ûntwerp dat oannimt dat de tunnel de adressen fan jo arbeiders ferbergje sil, is al stikken.
Bepaal wat de oersetting dwaan moat
As in protte applikaasje-arbeiders foar de backend as ien adres ferskine moatte, is de ferplichting in dielde boarne-oersetting, meastentiids stateful SNAT of PAT op in firewall dy't jo beheare. Dat elemint moat op in goedkarde paad sitte, syn tastân hâlde yn 'e hiele libbensdoer fan 'e stream en it weromferkear sjen foar elke ferbining dy't it weromskreaun hat. Tastân ferlieze midden yn 'e sesje ferbeteret de ferbining net; it einiget har. In pear firewalls dat wegeret oersettingstastân te dielen, sil elke sesje falle litte dy't nei de omskeakeling op it reserve-lid telâne komt. Meitsje dat elemint grut genôch foar tagelyk streamen, net foar trochbringen.
As twa netwurken oerlappe en elke host in apart alias nedich hat, is de ferplichting in adresplan fan ien-nei-ien mei ûndûbelsinnige mapte prefiksen, byhearrende rûtes en namme-oplossing dy't mei de mapping oerienkomt. Elke arbeider efter ien adres ferbergje is gjin goedkeapere ferzje dêrfan, en it iene foar it oare útwikselje yn in ûntwerpbekoardieling is hoe't projekten in kwartaal ferlieze.
Skriuw de beslissing yn konkrete termen op foardat jo in produkt kieze: oarspronklike boarne, oarspronklik bestimming, oersetten wearde, rjochting fan begjin, eigner fan 'e oersetter en ferwachte antwurd-rûte. Foegje ta hokker identiteit de backend-logs behâlde, want in ûntwerp dat alle boarnen ferberget, ferneatiget ek de kontrôle per kliïnt.
Kontrolearje oft AWS de mapping foar jo dwaan kin
AWS dokumintearret no beheard NAT fan ien-nei-ien op Transit Gateway- en Cloud WAN-oanhingen, oankundige ein oktober 2026, dus de âlde algemiene bewearing dat in transitoerjefersoening nea oersette kin, is ferâldere. De Transit Gateway NAT-dokumintaasje beskriuwt in tastânleaze IPv4-prefiksmapping: oarspronklike en oersette prefiksen hâlde deselde lingte, en hostbits en transportpoarten oerlibje de oersetting. Lês de yngongs- en útgongsrjochtingen as aparte ûntwerbbeslissingen, want se wurde apart konfigurearre en de iene kin klear wêze wylst de oare dat net is. Neat yn dy beskriuwing ymplisearret tastân per stream, dus ferwachtsje net dat de mapping ferbiningen foar jo folget.
Dat betsjut dat 10.80.0.0/16 mapt nei 172.28.0.0/16 10.80.10.23 feroaret yn 172.28.10.23. It kollabearret de /16 net ta ien adres en ferfangt gjin PAT-ferplichting. It beslacht ek selektearre oanhingstypen, wêrûnder VPC en Site-to-Site VPN, mar net Client VPN-oanhingen, en de konfiguraasje leit by de eigner fan 'e transitoerjefersoening, net by de Anypoint-kant.
Behannelje de funksje as noch in mooglik kontrôlepunt, net as bewiis dat jo útrôl it brûke kin. CloudHub 2.0 dokumintearret oanhingen fan partikuliere romte oan in transitoerjefersoening yn it eigen AWS-account fan 'e kliïnt, mei regionale betingsten en rjochtbetingsten, dus befêstigje it echte oanhingstype, de eigner dêrfan en it stipe-stânpunt fan 'e leveransier foardat jo om de nije opsje hinne ûntwerpe.
Hâld it paad binnen in stipe grins
Brûk foar in firewall-oersetter it stipe VPN-, oersettings- en rûtearringsmodel fan dat produkt yn plak fan in generike NAT-regel yn in wurkjende tunnel te plakken. It antwurd fan 'e backend moat weromkomme troch itselde oersettingselemint, en in sûne útgeande tunnel seit neat oer dat werompaad.
Foar de rûte fia de transitoerjefersoening: ynventarissearje de oanhing fan 'e partikuliere romte, de relevante rûtetabellen, de oanhing op lokaasje en de stikken dy't de kliïnt wier konfigurearje kin. It is in oare konnektiviteitsarsjitektuer, net in NAT-kontrôlefakje skroeve op in besteande Anypoint VPN-ferbining, en de stipegrins beweecht mei.
Fergelykje de trije opsjes yn ien tabel
De measte teams hoege mar twa fragen te beäntwurdzjen: mannich-nei-ien of ien-nei-ien, en wa't de oanhing besit. De tabel hjirûnder makket fan dy antwurden in startopsje.
| Requirement | Starting option | What breaks it |
|---|---|---|
| Many workers, one backend address | Stateful PAT on your firewall | Asymmetric return path, expired state |
| Overlapping /16s, one-to-one | AWS prefix mapping on a supported attachment | Client VPN attachment, no explicit config |
| Per-client audit must survive | Keep original sources, translate downstream | Any many-to-one hiding of sources |
Lês de tredde kolom as de beoardielingsfraach, net as in neitinksel. In prefiksmap dy't op papier tastien is mar konfigurearre is op in oanhing dy't jo net besitte, bliuwt in blokkearre projekt, en in PAT-regel dy't ferkear trochlitte mar de logging per kliïnt brekt, falt by de kontrôle dy't folget.
Falidearje de mapping foardat jo it tasizze
Stjoer ien nije applikaasje-operaasje troch it paad en befêstigje it antwurd, net allinnich it fersyk. Freegje de backend-eigner hokker boarne-adres har logs opnommen hawwe, kontrolearje dat de behanneling fan adresfamyljes yn beide rjochtingen by it plan past, en ferifiearje dat ien paad dat wegere wurde moat dat noch altyd wurdt. In ferâldere ferbining bewissiget neat oer de mapping dy't jo krekt feroare hawwe.
Hâld de backend-autentikaasje ûnôfhinklik fan hokker oersetten adres de allowlist fan dy backend befrediget, want de mapping is netwurk-lieding en gjin beslissing oer tagongsbehear. Fan it momint dat in wachtwurd-reset fan in NAT-prefiks ôfhinget, wurdt elke takomstige berikferoaring in steuring.
Skriuw foar de goedkarring de trije antwurden op: oersettingstype, eigner fan 'e oersetter en de stipe oanhing of produktpaad dy't it draacht. As ien fan harren noch in gissing is, is it ûntwerp net klear foar in feroaringsfinster.