Anypoint VPN թե Transit Gateway NAT՝ որտեղ է կատարվում թարգմանությունը
Anypoint VPN-ն ինքը չի թարգմանում հասցեները։ Որոշեք firewall-ի PAT լուծման, AWS նախածանցերի քարտեզի կամ այլ միացման միջև՝ նախքան NAT խոստանալը։
NAT-ի պահանջը պահանջ չէ, քանի դեռ այն չի նշում փոխվող հասցեները և այն բաղադրիչը, որին թույլատրվում է փոխել դրանք։ MuleSoft-ի միացվածության մեջ այդ որոշումն ունի երեք մուտք. արդյոք backend-ին անհրաժեշտ է շատ-ից-մեկ պորտի թարգմանություն, թե մեկ-ից-մեկ նախածանցի կեղծանուն, արդյոք ձեր իրականում ունեցած AWS միացումը կարող է կատարել այդ քարտեզագրումը, և արդյոք ամբողջ ուղին մնում է մատակարարի աջակցած համակցության մեջ։ Եթե սրանք սխալ լինեն, դուք կկառուցեք աշխատող լաբորատորիա, որը ձախողվում է վերանայման ժամանակ։
Միակ հաստատուն կետն այն է, որ Anypoint VPN-ն ինքը թարգմանական սարք չէ։ CloudHub 2.0-ի փաստաթղթերը NAT-ը նշում են որպես այնտեղ չաջակցվող, ուստի ցանկացած նախագիծ, որը ենթադրում է, թե թունելը կթաքցնի ձեր աշխատողների հասցեները, արդեն իսկ խափանված է։
Որոշեք, թե ինչ պետք է անի թարգմանությունը
Եթե բազմաթիվ հավելվածային աշխատողներ պետք է backend-ի առջև երևան որպես մեկ հասցե, պահանջը համօգտագործված աղբյուրի թարգմանությունն է, սովորաբար վիճակ պահող SNAT կամ PAT ձեր վերահսկած firewall-ի վրա։ Այդ տարրը պետք է նստի հաստատված ուղու վրա, պահպանի իր վիճակը հոսքի ողջ կյանքի ընթացքում և տեսնի վերադարձի թրաֆիկը յուրաքանչյուր կապի համար, որը վերագրվել է։ Կես ճանապարհին վիճակի կորուստը չի թուլացնում կապը, այլ վերջացնում է այն։ Firewall-ների զույգը, որը հրաժարվում է կիսել թարգմանության վիճակը, կգցի յուրաքանչյուր սեսիա, որը վերափոխումից հետո ընկնում է պահեստային անդամի վրա։ Չափավորեք այդ տարրը միաժամանակյա հոսքերի համար, ոչ թե թողունակության։
Եթե փոխարենը երկու ցանցեր համընկնում են, և յուրաքանչյուր հոսթի պետք է առանձին կեղծանուն, պահանջը մեկ-ից-մեկ հասցեների պլանն է՝ միանշանակ քարտեզագրված նախածանցներով, համապատասխան երթուղիներով և քարտեզագրմանը համաձայն անունների լուծմամբ։ Յուրաքանչյուր աշխատողի թաքցնելը մեկ հասցեի հետևում դրա ավելի էժան տարբերակը չէ, և նախագծի վերանայման ժամանակ մեկը մյուսով փոխարինելը հենց այն է, ինչից նախագծերը կորցնում են քառորդ։
Ապրանք ընտրելուց առաջ որոշումը գրի առեք կոնկրետ տերմիններով՝ սկզբնական աղբյուր, սկզբնական նպատակակետ, թարգմանված արժեք, սկզբնավորման ուղղություն, թարգմանչի սեփականատեր և սպասվող պատասխանի երթուղի։ Ավելացրեք, թե ինչ ինքնություն կպահեն backend-ի մատյանները, քանի որ բոլոր աղբյուրները թաքցնող նախագիծը ոչնչացնում է նաև յուրաքանչյուր հաճախորդի աուդիտը։
Ստուգեք՝ կարո՞ղ է AWS-ը քարտեզագրումը կատարել ձեր փոխարեն
AWS-ն այժմ փաստաթղթավորում է կառավարվող մեկ-ից-մեկ NAT-ը Transit Gateway և Cloud WAN միացումների վրա, որը հայտարարվել է 2026-ի հոկտեմբերի վերջին, ուստի հին ընդհանուր պնդումը, թե տրանզիտ դարպասը երբեք չի կարող թարգմանել, արդեն հնացած է։ Transit Gateway NAT փաստաթուղթը նկարագրում է վիճակ չպահող IPv4 նախածանցների քարտեզագրում. սկզբնական և թարգմանված նախածանցները պահպանում են նույն երկարությունը, իսկ հոսթի բիթերն ու տրանսպորտային պորտերը վերապրում են թարգմանությունը։ Կարդացեք մուտքի և ելքի ուղղությունները որպես առանձին նախագծային որոշումներ, քանի որ դրանք կարգավորվում են առանձին, և մեկը կարող է պատրաստ լինել, մինչ մյուսը՝ ոչ։ Այդ նկարագրության մեջ ոչինչ չի ենթադրում հոսքով պայմանավորված վիճակ, ուստի մի սպասեք, որ քարտեզագրումը ձեր փոխարեն կհետևի կապերին։
Դա նշանակում է, որ 10.80.0.0/16-ը 172.28.0.0/16-ին քարտեզագրելը 10.80.10.23-ը դարձնում է 172.28.10.23։ Այն /16-ը չի սեղմում մեկ հասցեի մեջ և չի փոխարինում PAT-ի պահանջին։ Այն նաև ընդգրկում է ընտրված միացման տեսակներ, ներառյալ VPC-ն և Site-to-Site VPN-ը, բայց ոչ Client VPN միացումները, և կարգավորումը գտնվում է տրանզիտ դարպասի սեփականատիրոջ մոտ, ոչ թե Anypoint-ի կողմում։
Վերաբերվեք գործառույթին որպես ևս մեկ հնարավոր կառավարման կետի, ոչ որպես ապացույց, որ ձեր տեղակայումը կարող է օգտագործել այն։ CloudHub 2.0-ը փաստաթղթավորում է մասնավոր տարածության միացումները տրանզիտ դարպասին հաճախորդի սեփական AWS հաշվում՝ տարածքային և իրավունքի պայմաններով, ուստի հաստատեք իրական միացման տեսակը, դրա սեփականատերը և մատակարարի աջակցության դիրքորոշումը՝ նախքան նոր տարբերակի շուրջ նախագծելը։
Պահեք ուղին աջակցվող սահմանի մեջ
Firewall-ի թարգմանչի համար օգտագործեք այդ ապրանքի աջակցվող VPN-ի, թարգմանության և երթուղավորման մոդելը՝ աշխատող թունելի մեջ ընդհանուր NAT կանոն փակցնելու փոխարեն։ Backend-ի պատասխանը պետք է վերադառնա նույն թարգմանական տարրով, և առողջ ելքային թունելը ոչինչ չի ասում այդ վերադարձի ուղու մասին։
Տրանզիտ դարպասի երթուղու համար գույքագրեք մասնավոր տարածության միացումը, համապատասխան երթուղային աղյուսակները, տեղում միացումը և այն մասերը, որոնք հաճախորդը իրականում կարող է կարգավորել։ Սա տարբեր միացվածության ճարտարապետություն է, ոչ թե գոյություն ունեցող Anypoint VPN միացմանը պտուտակված NAT վանդակ, և աջակցության սահմանը շարժվում է դրա հետ։
Համեմատեք երեք տարբերակները մեկ աղյուսակում
Թիմերի մեծ մասին պետք է պատասխանել ընդամենը երկու հարցի՝ շատ-ից-մեկ, թե մեկ-ից-մեկ, և ով է միացման սեփականատերը։ Ստորև բերված աղյուսակը այդ պատասխանները դարձնում է մեկնարկային տարբերակ։
| Requirement | Starting option | What breaks it |
|---|---|---|
| Many workers, one backend address | Stateful PAT on your firewall | Asymmetric return path, expired state |
| Overlapping /16s, one-to-one | AWS prefix mapping on a supported attachment | Client VPN attachment, no explicit config |
| Per-client audit must survive | Keep original sources, translate downstream | Any many-to-one hiding of sources |
Երրորդ սյունակը կարդացեք որպես վերանայման հարց, ոչ որպես հետագա միտք։ Թղթի վրա թույլատրված, բայց ձեզ չպատկանող միացման վրա կարգավորված նախածանցների քարտեզը դեռևս արգելափակված նախագիծ է, և թրաֆիկը բաց թողնող, բայց յուրաքանչյուր հաճախորդի գրանցումը կոտրող PAT կանոնը ձախողվում է հաջորդող աուդիտում։
Ստուգեք քարտեզագրումը նախքան այն խոստանալը
Ուղու միջով ուղարկեք մեկ նոր հավելվածային գործողություն և հաստատեք պատասխանը, ոչ միայն հարցումը։ Հարցրեք backend-ի սեփականատիրոջը, թե որ աղբյուրի հասցեն են գրանցել նրանց մատյանները, ստուգեք, որ հասցեների ընտանիքի հետ աշխատանքը երկու ուղղությամբ համապատասխանում է պլանին, և հաստատեք, որ մերժվելիք ուղին դեռ մերժվում է։ Հին կապը ոչինչ չի ապացուցում ձեր հենց նոր փոխած քարտեզագրման մասին։
Backend-ի նույնականացումը պահեք անկախ այն բանից, թե որ թարգմանված հասցեն է բավարարում դրա թույլատրելիների ցանկը, քանի որ քարտեզագրումը ցանցային սանտեխնիկա է, ոչ թե մուտքի վերահսկման որոշում։ Այն պահին, երբ գաղտնաբառի վերականգնումը կախված է NAT նախածանցից, ապագա ցանկացած տիրույթի փոփոխություն դառնում է խափանում։
Հաստատումից առաջ գրեք երեք պատասխանները՝ թարգմանության տեսակը, թարգմանչի սեփականատերը և այն աջակցվող միացումը կամ ապրանքային ուղին, որը կրում է այն։ Եթե դրանցից որևէ մեկը դեռ գուշակություն է, նախագիծը պատրաստ չէ փոփոխության պատուհանին։