Anypoint VPN немесе Transit Gateway NAT: аударма қай жерде жасалады
Anypoint VPN мекенжайларды өзі аудармайды. NAT-ты уәде етпей тұрып, брандмауэрдегі PAT, AWS префикс картасы немесе басқа қосылым арасынан таңдаңыз.
NAT талабы — өзгеретін мекенжайларды және оларды өзгертуге рұқсат етілген құрамдас бөлікті атамайынша, ол талап емес. MuleSoft байланысында бұл шешімнің үш кірісі бар: backend-ке көптен бірге порттық аударма қажет пе әлде бірден бірге префикс бүркеншімі ме, өзіңіз шын мәнінде иеленетін AWS қосылымы сол карталауды орындай ала ма, және бүкіл жол жеткізуші қолдайтын үйлесім ішінде қала ма. Осыны қате жасасаңыз, жұмыс істейтін, бірақ шолудан өтпейтін зертхана құрасыз.
Бір ғана тұрақты нүкте — Anypoint VPN өзі аударма құрылғысы емес. CloudHub 2.0 құжаттамасы NAT-ты сол жерде қолдау көрсетілмейтін деп тізеді, сондықтан туннель жұмысшыларыңыздың мекенжайларын жасырады деп болжайтын кез келген жоба әлдеқашан бұзылған.
Аударманың не істеуі керегін анықтаңыз
Егер көптеген қолданба жұмысшылары backend алдында бір мекенжай ретінде көрінуі тиіс болса, талап — ортақ бастау аудармасы, әдетте өзіңіз бақылайтын брандмауэрдегі күйі бар SNAT немесе PAT. Бұл элемент бекітілген жолда тұруы, ағынның бүкіл өмірінде өз күйін сақтауы және қайта жазған әрбір қосылымның қайтарым трафигін көруі керек. Сессия ортасында күйді жоғалту байланысты нашарлатпайды; оны тоқтатады. Аударма күйін бөлісуге бас тартқан брандмауэр жұбы ауысудан кейін қосалқы мүшеге түскен әрбір сессияны тастайды. Бұл элементті бір уақыттағы ағындарға өлшеніз, өткізу қабілетіне емес.
Егер керісінше екі желі қабаттасып, әрбір хостқа бөлек бүркеншімі қажет болса, талап — бірден бірге мекенжай жоспары: бірмәнді карталанған префикстер, сәйкес маршруттар және карталаумен үйлесетін атау шешімі. Әрбір жұмысшыны бір мекенжайдың артына жасыру — оның арзан нұсқасы емес, ал жобалау шолуында бірін екіншісімен ауыстыру — жобалардың тоқсан жоғалтатын жолы.
Өнімді таңдамас бұрын шешімді нақты терминдермен жазыңыз: бастапқы көз, бастапқы тағайындалу, аударылған мән, бастау бағыты, аудармашының иесі және күтілетін жауап маршруты. Backend журналдары қандай сәйкестікті сақтайтынын қосыңыз, өйткені барлық көздерді жасыратын жоба клиент бойынша аудитті де жояды.
AWS карталауды сіз үшін жасай ала ма, тексеріңіз
AWS қазір Transit Gateway және Cloud WAN қосылымдарында басқарылатын бірден бірге NAT-ты құжаттайды, ол 2026 жылдың қазан айының соңында жарияланды, сондықтан транзиттік қақпа ешқашан аудара алмайды деген ескі жалпы тұжырым ескірген. Transit Gateway NAT құжаттамасы күйсіз IPv4 префикстерін карталауды сипаттайды: бастапқы және аударылған префикстер бірдей ұзындықты сақтайды, хост биттері мен тасымал порттары аудармадан өтеді. Кіру және шығу бағыттарын жеке жобалау шешімдері ретінде оқыңыз, өйткені олар бөлек конфигурацияланады және біреуі дайын болғанда екіншісі дайын болмауы мүмкін. Бұл сипаттамада ешнәрсе ағын бойынша күйді білдірмейді, сондықтан карталау қосылымдарды сіздің орныңызға бақылайды деп күтпеңіз.
Бұл 10.80.0.0/16 172.28.0.0/16-ге карталанса, 10.80.10.23 172.28.10.23-ге айналады деген сөз. Ол /16-ны бір мекенжайға жинамайды және PAT талабын алмастырмайды. Ол сондай-ақ таңдалған қосылым түрлерін, соның ішінде VPC және Site-to-Site VPN қамтиды, бірақ Client VPN қосылымдарын емес, ал конфигурация Anypoint жағында емес, транзиттік қақпа иесінде тұрады.
Бұл мүмкіндікті тағы бір ықтимал бақылау нүктесі ретінде қарастырыңыз, сіздің орналастыруыңыз оны пайдалана алады деген дәлел ретінде емес. CloudHub 2.0 жеке кеңістік қосылымдарын клиенттің өз AWS шотындағы транзиттік қақпаға, аймақтық және құқықтық шарттармен бірге құжаттайды, сондықтан жаңа нұсқаның айналасында жобалаудан бұрын нақты қосылым түрін, оның иесін және жеткізушінің қолдау ұстанымын растаңыз.
Жолды қолдау көрсетілетін шекара ішінде ұстаңыз
Брандмауэр аудармашысы үшін жұмыс істеп тұрған туннельге жалпы NAT ережесін жапсырудың орнына сол өнімнің қолдау көрсетілетін VPN, аударма және маршруттау моделін пайдаланыңыз. Backend жауабы сол аударма элементі арқылы қайтуы керек, ал сау шығыс туннелі бұл қайтарым жолы туралы ештеңе айтпайды.
Транзиттік қақпа маршруты үшін жеке кеңістік қосылымын, тиісті маршрут кестелерін, жергілікті қосылымды және клиент шынымен конфигурациялай алатын бөліктерді түгендеңіз. Бұл басқа байланыс архитектурасы, қолданыстағы Anypoint VPN қосылымына бұрап бекітілген NAT белгісі емес, және қолдау шекарасы онымен бірге жылжиды.
Үш нұсқаны бір кестеде салыстырыңыз
Көптеген командаларға тек екі сұраққа жауап беру жеткілікті: көптен бірге немесе бірден бірге, және қосылым кімге тиесілі. Төмендегі кесте сол жауаптарды бастапқы нұсқаға айналдырады.
| Requirement | Starting option | What breaks it |
|---|---|---|
| Many workers, one backend address | Stateful PAT on your firewall | Asymmetric return path, expired state |
| Overlapping /16s, one-to-one | AWS prefix mapping on a supported attachment | Client VPN attachment, no explicit config |
| Per-client audit must survive | Keep original sources, translate downstream | Any many-to-one hiding of sources |
Үшінші бағанды кейінгі ой ретінде емес, шолу сұрағы ретінде оқыңыз. Қағазда рұқсат етілген, бірақ өзіңізге тиесілі емес қосылымда конфигурацияланған префикс картасы әлі де бөгелген жоба, ал трафикті өткізіп, бірақ клиент бойынша журналдауды бұзатын PAT ережесі келесі аудитте сүрінеді.
Уәде бермес бұрын карталауды тексеріңіз
Жол арқылы бір жаңа қолданба операциясын жіберіп, тек сұранысты емес, жауапты да растаңыз. Backend иесінен олардың журналдары қандай бастау мекенжайын жазып алғанын сұраңыз, мекенжайлар отбасын өңдеу екі бағытта да жоспарға сай келетінін тексеріңіз және бас тартылуы тиіс жолдың әлі де бас тартылатынын растаңыз. Ескі қосылым жаңа ғана өзгерткен карталау туралы ештеңе дәлелдемейді.
Backend аутентификациясын оның рұқсат тізімін қанағаттандыратын қандай аударылған мекенжайдан да тәуелсіз ұстаңыз, өйткені карталау — желілік сантехника, қатынасуды бақылау шешімі емес. Құпиясөзді қалпына келтіру NAT префиксіне тәуелді болған сәтте кез келген болашақ ауқым өзгерісі үзіліске айналады.
Бекіту алдында үш жауапты жазыңыз: аударма түрі, аудармашының иесі және оны тасымалдайтын қолдау көрсетілетін қосылым немесе өнім жолы. Егер олардың кез келгені әлі болжам болса, жоба өзгеріс терезесіне дайын емес.