Anypoint VPN vai NAT Transit Gateway: kur notiek tulkošana
Anypoint VPN pats netulko adreses. Izvēlieties starp PAT ugunsmūrī, AWS prefiksu karti vai citu savienojumu, pirms apsolāt NAT.
NAT prasība nav prasība, kamēr tā nenosauc adreses, kas mainās, un komponentu, kam ir atļauts tās mainīt. MuleSoft savienojamībā šim lēmumam ir trīs ievades: vai backendam vajag daudz-uz-vienu portu tulkošanu vai viens-uz-vienu prefiksa aizstājvārdu, vai AWS savienojums, kas jums patiešām pieder, spēj veikt šo kartēšanu, un vai viss ceļš paliek piegādātāja atbalstītā kombinācijā. Ja tas tiks saprasts nepareizi, jūs uzbūvēsiet strādājošu laboratoriju, kas neiztur pārbaudi.
Vienīgais fiksētais punkts ir tas, ka pats Anypoint VPN nav tulkošanas ierīce. CloudHub 2.0 dokumentācija tur uzskaita NAT kā neatbalstītu, tāpēc jebkurš projekts, kas pieņem, ka tunelis paslēps jūsu darbinieku adreses, jau ir salauzts.
Nosakiet, kas tulkošanai jādara
Ja daudziem lietojumprogrammu darbiniekiem backendam jāparādās kā vienai adresei, prasība ir koplietota avota tulkošana, parasti stāvokli saglabājoša SNAT vai PAT ugunsmūrī, kuru jūs kontrolējat. Šim elementam jāatrodas apstiprinātā ceļā, jāsaglabā savs stāvoklis visā plūsmas dzīves laikā un jāredz atgaitas trafiks katram savienojumam, kuru tas pārrakstīja. Stāvokļa zaudēšana sesijas vidū savienojumu nepasliktina; tā to izbeidz. Ugunsmūru pāris, kas atsakās koplietot tulkošanas stāvokli, izmetīs katru sesiju, kas pēc pārslēgšanās nonāk rezerves dalībniekā. Izmēriet šo elementu vienlaicīgām plūsmām, nevis caurlaidībai.
Ja divi tīkli pārklājas un katram resursdatoram vajag atsevišķu aizstājvārdu, prasība ir viens-uz-vienu adrešu plāns ar viennozīmīgi kartētiem prefiksiem, atbilstošiem maršrutiem un kartēšanai atbilstošu nosaukumu izšķiršanu. Visu darbinieku slēpšana aiz vienas adreses nav lētāka tā versija, un viena aizstāšana ar otru dizaina pārbaudē ir veids, kā projekti zaudē ceturksni.
Pirms produkta izvēles pierakstiet lēmumu konkrētos terminos: sākotnējais avots, sākotnējais galamērķis, tulkotā vērtība, iniciēšanas virziens, tulkotāja īpašnieks un sagaidāmais atbildes maršruts. Pievienojiet, kādu identitāti saglabās backend žurnāli, jo projekts, kas slēpj visus avotus, iznīcina arī auditu katram klientam.
Pārbaudiet, vai AWS var veikt kartēšanu jūsu vietā
AWS tagad dokumentē pārvaldītu viens-uz-vienu NAT Transit Gateway un Cloud WAN savienojumos, kas paziņots 2026. gada oktobra beigās, tāpēc vecais vispārīgais apgalvojums, ka tranzīta vārteja nekad nevar tulkot, ir novecojis. Transit Gateway NAT dokumentācija apraksta bezstāvokļa IPv4 prefiksu kartēšanu: sākotnējie un tulkotie prefiksi saglabā vienādu garumu, un resursdatora biti un transporta porti pārdzīvo tulkošanu. Lasiet ienākošo un izejošo virzienu kā atsevišķus dizaina lēmumus, jo tie tiek konfigurēti atsevišķi un viens var būt gatavs, kamēr otrs nav. Nekas šajā aprakstā nenozīmē stāvokli uz plūsmu, tāpēc negaidiet, ka kartēšana izsekos savienojumus jūsu vietā.
Tas nozīmē, ka 10.80.0.0/16 kartēts uz 172.28.0.0/16 pārvērš 10.80.10.23 par 172.28.10.23. Tas nesaspiež /16 vienā adresē un neaizstāj PAT prasību. Tas aptver arī atlasītus savienojuma tipus, tostarp VPC un Site-to-Site VPN, bet ne Client VPN savienojumus, un konfigurācija atrodas pie tranzīta vārtejas īpašnieka, nevis Anypoint pusē.
Uzlūkojiet funkciju kā vēl vienu iespējamu kontroles punktu, nevis kā pierādījumu, ka jūsu izvietojums to var izmantot. CloudHub 2.0 dokumentē privātās telpas savienojumus ar tranzīta vārteju klienta paša AWS kontā, ar reģionāliem un tiesību nosacījumiem, tāpēc pirms projektēšanas ap jauno iespēju apstipriniet faktisko savienojuma tipu, tā īpašnieku un piegādātāja atbalsta nostāju.
Turiet ceļu atbalstītā robežā
Ugunsmūra tulkotājam izmantojiet šī produkta atbalstīto VPN, tulkošanas un maršrutēšanas modeli, nevis ielīmējiet vispārīgu NAT noteikumu strādājošā tunelī. Backend atbildei jāatgriežas pa to pašu tulkošanas elementu, un veselīgs izejošais tunelis neko nepasaka par šo atgaitas ceļu.
Tranzīta vārtejas maršrutam inventarizējiet privātās telpas savienojumu, attiecīgās maršrutu tabulas, vietējo savienojumu un daļas, ko klients patiešām var konfigurēt. Tā ir cita savienojamības arhitektūra, nevis NAT izvēles rūtiņa, kas pieskrūvēta esošam Anypoint VPN savienojumam, un atbalsta robeža pārvietojas kopā ar to.
Salīdziniet trīs iespējas vienā tabulā
Lielākajai daļai komandu jāatbild tikai uz diviem jautājumiem: daudz-uz-vienu vai viens-uz-vienu, un kam pieder savienojums. Zemāk esošā tabula pārvērš šīs atbildes sākuma iespējā.
| Requirement | Starting option | What breaks it |
|---|---|---|
| Many workers, one backend address | Stateful PAT on your firewall | Asymmetric return path, expired state |
| Overlapping /16s, one-to-one | AWS prefix mapping on a supported attachment | Client VPN attachment, no explicit config |
| Per-client audit must survive | Keep original sources, translate downstream | Any many-to-one hiding of sources |
Lasiet trešo kolonnu kā pārbaudes jautājumu, nevis kā vēlāku domu. Prefiksu karte, kas atļauta uz papīra, bet konfigurēta savienojumā, kas jums nepieder, joprojām ir bloķēts projekts, un PAT noteikums, kas laiž cauri trafiku, bet salauž reģistrēšanu katram klientam, neiztur sekojošo auditu.
Validējiet kartēšanu, pirms to apsolāt
Nosūtiet vienu svaigu lietojumprogrammas darbību pa ceļu un apstipriniet atbildi, ne tikai pieprasījumu. Pajautājiet backend īpašniekam, kādu avota adresi ierakstīja viņu žurnāli, pārbaudiet, vai adrešu saimes apstrāde abos virzienos atbilst plānam, un pārliecinieties, ka ceļš, kuram jābūt atteiktam, joprojām tiek atteikts. Vecs savienojums neko nepierāda par kartēšanu, kuru tikko mainījāt.
Turiet backend autentifikāciju neatkarīgu no tā, kura tulkotā adrese apmierina tā atļauto sarakstu, jo kartēšana ir tīkla santehnika, nevis piekļuves kontroles lēmums. Brīdī, kad paroles atiestatīšana ir atkarīga no NAT prefiksa, katra nākamā diapazona maiņa kļūst par pārtraukumu.
Pirms apstiprināšanas pierakstiet trīs atbildes: tulkošanas tips, tulkotāja īpašnieks un atbalstītais savienojums vai produkta ceļš, kas to nes. Ja kāda no tām joprojām ir minējums, projekts nav gatavs izmaiņu logam.