Anypoint VPN ar Transit Gateway NAT: kur atliekamas vertimas

NAT reikalavimas nėra reikalavimas, kol jis neįvardija adresų, kurie keičiasi, ir komponento, kuriam leidžiama juos keisti. MuleSoft jungtyje šis sprendimas turi tris įvestis: ar backendui reikia daugelio-i-vieną prievadų vertimo, ar vienas-i-vieną prefikso aliaso, ar AWS jungtis, kurią iš tikrųjų turite, gali atlikti tą susiejimą, ir ar visas kelias išlieka tiekėjo palaikomoje kombinacijoje. Suklydę pastatysite veikiančią laboratoriją, kuri nepraeina peržiūros.

Vienintelis fiksuotas taškas yra tai, kad pats Anypoint VPN nėra vertimo įrenginys. CloudHub 2.0 dokumentacija NAT ten nurodo kaip nepalaikomą, todėl bet kokia konstrukcija, kuri daro prielaidą, kad tunelis paslėps jūsų darbuotojų adresus, jau yra sugedusi.

Nuspręskite, ką turi daryti vertimas

Jei daugelis programos darbuotojų turi atrodyti backendui kaip vienas adresas, reikalavimas yra bendras šaltinio vertimas, paprastai būseną išlaikantis SNAT arba PAT ugniasienėje, kurią kontroliuojate. Tas elementas turi stovėti patvirtintame kelyje, išlaikyti savo būseną per visą srauto gyvavimo laiką ir matyti grįžtamąjį srautą kiekvienam ryšiui, kurį perrašė. Būsenos praradimas sesijos viduryje neblogina ryšio; jis jį užbaigia. Ugniasienių pora, kuri atsisako dalytis vertimo būsena, numes kiekvieną sesiją, kuri po perjungimo atsidurs atsarginiame naryje. Matuokite tą elementą pagal vienalaikius srautus, o ne pagal pralaidumą.

Jei vietoj to du tinklai persidengia ir kiekvienam mazgui reikia atskiro aliaso, reikalavimas yra vienas-i-vieną adresų planas su vienareikšmiškai susietais prefiksais, atitinkančiais maršrutais ir su susiejimu suderintu vardų sprendimu. Visų darbuotojų slėpimas už vieno adreso nėra pigesnė to versija, o vieno keitimas kitu dizaino peržiūroje yra būdas, kuriuo projektai praranda ketvirtį.

Užrašykite sprendimą konkrečiais terminais prieš rinkdamiesi produktą: pradinis šaltinis, pradinė paskirties vieta, išversta reikšmė, inicijavimo kryptis, vertėjo savininkas ir numatomas atsakymo maršrutas. Pridėkite, kokią tapatybę išsaugos backend žurnalai, nes dizainas, slepiantis visus šaltinius, sunaikina ir audito pagal klientą galimybę.

Patikrinkite, ar AWS gali atlikti susiejimą už jus

AWS dabar dokumentuoja valdomą vienas-i-vieną NAT „Transit Gateway“ ir „Cloud WAN“ jungtyse, paskelbtą 2026 m. spalio pabaigoje, todėl senas bendras teiginys, kad tranzitinė sąsaja niekada negali versti, jau pasenęs. Transit Gateway NAT dokumentacija aprašo būsenos neturintį IPv4 prefiksų susiejimą: pradiniai ir išversti prefiksai išlaiko tą patį ilgį, o mazgo bitai ir transporto prievadai išlieka po vertimo. Skaitykite įeinančią ir išeinančią kryptis kaip atskirus dizaino sprendimus, nes jos konfigūruojamos atskirai ir viena gali būti paruošta, kol kita ne. Niekas tame apraše nereiškia būsenos pagal srautą, todėl nesitikėkite, kad susiejimas stebės ryšius už jus.

Tai reiškia, kad 10.80.0.0/16 susietas su 172.28.0.0/16 paverčia 10.80.10.23 į 172.28.10.23. Jis nesuglaudžia /16 į vieną adresą ir nepakeičia PAT reikalavimo. Jis taip pat apima pasirinktus jungčių tipus, tarp jų VPC ir Site-to-Site VPN, bet ne Client VPN jungtis, o konfigūracija yra pas tranzitinės sąsajos savininką, ne Anypoint pusėje.

Traktuokite funkciją kaip dar vieną galimą kontrolės tašką, o ne kaip įrodymą, kad jūsų diegimas gali ją naudoti. CloudHub 2.0 dokumentuoja privačios erdvės jungtis prie tranzitinės sąsajos kliento pačio AWS paskyroje, su regioninėmis ir teisių sąlygomis, todėl prieš projektuodami aplink naują variantą patvirtinkite tikrąjį jungties tipą, jo savininką ir tiekėjo palaikymo poziciją.

Laikykite kelią palaikomoje riboje

Ugniasienės vertėjui naudokite to produkto palaikomą VPN, vertimo ir maršrutizavimo modelį, o ne įklijuokite bendrą NAT taisyklę į veikiantį tunelį. Backend atsakymas turi grįžti per tą patį vertimo elementą, o sveikas išeinantis tunelis nieko nesako apie tą grįžtamąjį kelią.

Tranzitinės sąsajos maršrutui inventorizuokite privačios erdvės jungtį, susijusias maršrutų lenteles, vietinę jungtį ir dalis, kurias klientas iš tikrųjų gali konfigūruoti. Tai kita jungiamumo architektūra, o ne NAT žymės langelis, pritvirtintas prie esamos Anypoint VPN jungties, ir palaikymo riba juda kartu su ja.

Palyginkite tris variantus vienoje lentelėje

Daugumai komandų reikia atsakyti tik į du klausimus: daugelio-i-vieną ar vienas-i-vieną, ir kam priklauso jungtis. Žemiau esanti lentelė paverčia tuos atsakymus pradiniu variantu.

Skaitykite trečią stulpelį kaip peržiūros klausimą, o ne kaip vėlesnę mintį. Prefiksų žemėlapis, leidžiamas popieriuje, bet sukonfigūruotas jungtyje, kurios neturite, vis dar yra užblokuotas projektas, o PAT taisyklė, kuri praleidžia srautą, bet sugriauna registravimą pagal klientą, nepraeina po to sekančio audito.

Patikrinkite susiejimą prieš jį žadėdami

Siųskite vieną naują programos operaciją per kelią ir patvirtinkite atsakymą, ne tik užklausą. Paklauskite backend savininko, kokį šaltinio adresą įrašė jų žurnalai, patikrinkite, ar adresų šeimos apdorojimas atitinka planą abiem kryptimis, ir patvirtinkite, kad kelias, kuris turėtų būti atmestas, vis dar atmetamas. Senas ryšys nieko neįrodo apie susiejimą, kurį ką tik pakeitėte.

Laikykite backend autentifikavimą nepriklausomą nuo to, kuris išverstas adresas tenkina jo leidžiamų sąrašą, nes susiejimas yra tinklo santechnika, o ne prieigos kontrolės sprendimas. Tą akimirką, kai slaptažodžio atkūrimas priklauso nuo NAT prefikso, kiekvienas būsimas diapazono pakeitimas tampa sutrikimu.

Prieš patvirtinimą užrašykite tris atsakymus: vertimo tipą, vertėjo savininką ir palaikomą jungtį ar produkto kelią, kuris jį neša. Jei kuris nors iš jų vis dar spėjimas, dizainas nėra paruoštas pakeitimų langui.