Anypoint VPN atau NAT di Transit Gateway: di mana penerjemahannya

Persyaratan NAT bukanlah persyaratan sampai ia menyebutkan alamat yang berubah dan komponen yang diizinkan mengubahnya. Pada konektivitas MuleSoft keputusan itu punya tiga masukan: apakah backend membutuhkan terjemahan porta banyak-ke-satu atau alias prefiks satu-ke-satu, apakah lampiran AWS yang benar-benar Anda miliki dapat melakukan pemetaan itu, dan apakah seluruh jalur tetap berada dalam kombinasi yang didukung vendor. Jika salah, Anda membangun laboratorium yang berfungsi tetapi gagal dalam tinjauan.

Satu titik tetapnya adalah Anypoint VPN sendiri bukan perangkat terjemahan. Dokumentasi CloudHub 2.0 mencantumkan NAT sebagai tidak didukung di sana, jadi rancangan apa pun yang menganggap terowongan akan menyembunyikan alamat pekerja Anda sudah rusak.

Tentukan apa yang harus dilakukan terjemahan

Jika banyak pekerja aplikasi harus tampil ke backend sebagai satu alamat, persyaratannya adalah terjemahan sumber bersama, biasanya SNAT atau PAT stateful pada firewall yang Anda kendalikan. Elemen itu harus berada di jalur yang disetujui, menyimpan statusnya sepanjang umur aliran, dan melihat lalu lintas balasan untuk setiap koneksi yang ditulis ulang. Kehilangan status di tengah sesi tidak menurunkan kualitas koneksi; ia mengakhirinya. Sepasang firewall yang menolak berbagi status terjemahan akan menjatuhkan setiap sesi yang mendarat di anggota siaga setelah failover. Ukur elemen itu untuk aliran bersamaan, bukan untuk throughput.

Jika sebaliknya dua jaringan tumpang tindih dan setiap host memerlukan alias berbeda, persyaratannya adalah rencana alamat satu-ke-satu dengan prefiks terpetakan yang tidak ambigu, rute yang cocok, dan resolusi nama yang sesuai dengan pemetaan. Menyembunyikan setiap pekerja di balik satu alamat bukan versi yang lebih murah dari itu, dan menukar yang satu dengan yang lain dalam tinjauan rancangan adalah cara proyek kehilangan satu kuartal.

Catat keputusan itu dalam istilah konkret sebelum memilih produk: sumber asli, tujuan asli, nilai terjemahan, arah inisiasi, pemilik penerjemah, dan rute balasan yang diharapkan. Tambahkan identitas apa yang akan dipertahankan log backend, karena rancangan yang menyembunyikan semua sumber juga menghancurkan audit per klien.

Periksa apakah AWS dapat melakukan pemetaan untuk Anda

AWS kini mendokumentasikan NAT satu-ke-satu terkelola pada lampiran Transit Gateway dan Cloud WAN, diumumkan pada akhir Oktober 2026, jadi klaim lama bahwa gateway transit tidak pernah bisa menerjemahkan sudah usang. Dokumentasi Transit Gateway NAT menjelaskan pemetaan prefiks IPv4 tanpa status: prefiks asli dan terjemahan tetap sama panjangnya, serta bit host dan porta transport bertahan melewati terjemahan. Bacalah arah masuk dan keluar sebagai keputusan rancangan terpisah, karena keduanya dikonfigurasi terpisah dan satu bisa siap sementara yang lain belum. Tidak ada dalam deskripsi itu yang menyiratkan status per aliran, jadi jangan berharap pemetaan melacak koneksi untuk Anda.

Artinya 10.80.0.0/16 yang dipetakan ke 172.28.0.0/16 mengubah 10.80.10.23 menjadi 172.28.10.23. Ia tidak meruntuhkan /16 menjadi satu alamat, dan tidak menggantikan persyaratan PAT. Ia juga mencakup jenis lampiran tertentu, termasuk VPC dan Site-to-Site VPN, tetapi bukan lampiran Client VPN, dan konfigurasinya berada pada pemilik gateway transit, bukan di sisi Anypoint.

Perlakukan fitur ini sebagai satu titik kendali lain yang mungkin, bukan sebagai bukti bahwa penerapan Anda dapat memakainya. CloudHub 2.0 mendokumentasikan lampiran ruang privat ke gateway transit di akun AWS pelanggan sendiri, dengan syarat regional dan syarat hak, jadi pastikan jenis lampiran sebenarnya, pemiliknya, dan posisi dukungan vendor sebelum merancang di sekitar opsi baru itu.

Jaga jalur tetap di dalam batas yang didukung

Untuk penerjemah firewall, gunakan model VPN, terjemahan, dan perutean yang didukung produk itu alih-alih menempelkan aturan NAT generik ke terowongan yang berfungsi. Balasan backend harus kembali melalui elemen terjemahan yang sama, dan terowongan keluar yang sehat tidak mengatakan apa pun tentang jalur balik itu.

Untuk rute gateway transit, inventarisasikan lampiran ruang privat, tabel rute yang relevan, lampiran lokal, dan bagian yang benar-benar dapat dikonfigurasi pelanggan. Ini arsitektur konektivitas yang berbeda, bukan kotak centang NAT yang dibautkan ke koneksi Anypoint VPN yang ada, dan batas dukungan bergeser bersamanya.

Bandingkan tiga opsi dalam satu tabel

Sebagian besar tim hanya perlu menjawab dua pertanyaan: banyak-ke-satu atau satu-ke-satu, dan siapa yang memiliki lampiran. Tabel di bawah mengubah jawaban itu menjadi opsi awal.

Bacalah kolom ketiga sebagai pertanyaan tinjauan, bukan sebagai renungan belakangan. Peta prefiks yang diizinkan di atas kertas tetapi dikonfigurasi pada lampiran yang tidak Anda miliki tetap merupakan proyek yang terhambat, dan aturan PAT yang meloloskan lalu lintas tetapi merusak pencatatan per klien gagal pada audit yang menyusul.

Validasi pemetaan sebelum menjanjikannya

Kirimkan satu operasi aplikasi baru melalui jalur itu dan pastikan balasannya, bukan hanya permintaannya. Tanyakan kepada pemilik backend alamat sumber mana yang dicatat log mereka, periksa bahwa penanganan keluarga alamat sesuai rencana di kedua arah, dan verifikasi bahwa satu jalur yang seharusnya ditolak masih ditolak. Koneksi lama tidak membuktikan apa pun tentang pemetaan yang baru saja Anda ubah.

Jaga autentikasi backend tetap independen dari alamat terjemahan mana pun yang memenuhi daftar izinnya, karena pemetaan adalah perpipaan jaringan dan bukan keputusan kendali akses. Begitu reset kata sandi bergantung pada prefiks NAT, setiap perubahan rentang di masa depan menjadi gangguan layanan.

Sebelum persetujuan, tuliskan tiga jawabannya: jenis terjemahan, pemilik penerjemah, dan lampiran atau jalur produk yang didukung yang membawanya. Jika salah satunya masih dugaan, rancangan belum siap untuk jendela perubahan.