Anypoint VPN atau NAT di Transit Gateway: di mana terjemahan berlaku

Keperluan NAT bukan keperluan sehingga ia menamakan alamat yang berubah dan komponen yang dibenarkan mengubahnya. Pada sambungan MuleSoft keputusan itu mempunyai tiga input: sama ada backend memerlukan terjemahan port banyak-ke-satu atau alias awalan satu-ke-satu, sama ada lampiran AWS yang benar-benar anda miliki boleh melakukan pemetaan itu, dan sama ada keseluruhan laluan kekal dalam gabungan yang disokong vendor. Jika salah, anda membina makmal yang berfungsi tetapi gagal dalam semakan.

Satu titik tetap ialah Anypoint VPN sendiri bukan peranti terjemahan. Dokumentasi CloudHub 2.0 menyenaraikan NAT sebagai tidak disokong di sana, jadi mana-mana reka bentuk yang menganggap terowong akan menyembunyikan alamat pekerja anda sudah rosak.

Tentukan apa yang perlu dilakukan oleh terjemahan

Jika banyak pekerja aplikasi mesti muncul kepada backend sebagai satu alamat, keperluannya ialah terjemahan sumber dikongsi, biasanya SNAT atau PAT berkeadaan pada firewall yang anda kawal. Elemen itu mesti berada pada laluan yang diluluskan, mengekalkan keadaannya sepanjang hayat aliran, dan melihat trafik balasan bagi setiap sambungan yang ditulis semula. Kehilangan keadaan di tengah sesi tidak merendahkan sambungan; ia menamatkannya. Sepasang firewall yang enggan berkongsi keadaan terjemahan akan menggugurkan setiap sesi yang mendarat pada anggota siap sedia selepas failover. Saiz elemen itu untuk aliran serentak, bukan untuk daya pengeluaran.

Jika sebaliknya dua rangkaian bertindih dan setiap hos memerlukan alias berbeza, keperluannya ialah pelan alamat satu-ke-satu dengan awalan yang dipetakan tanpa kekaburan, laluan yang sepadan dan penyelesaian nama yang bersetuju dengan pemetaan. Menyembunyikan setiap pekerja di belakang satu alamat bukan versi lebih murah daripada itu, dan menukar yang satu dengan yang lain dalam semakan reka bentuk ialah cara projek kehilangan satu kuartal.

Catat keputusan itu dalam istilah konkrit sebelum memilih produk: sumber asal, destinasi asal, nilai terjemahan, arah permulaan, pemilik penterjemah dan laluan balasan yang dijangka. Tambah identiti apa yang akan dikekalkan oleh log backend, kerana reka bentuk yang menyembunyikan semua sumber juga memusnahkan audit setiap klien.

Semak sama ada AWS boleh melakukan pemetaan untuk anda

AWS kini mendokumenkan NAT satu-ke-satu terurus pada lampiran Transit Gateway dan Cloud WAN, diumumkan pada akhir Oktober 2026, jadi dakwaan lama bahawa gateway transit tidak pernah boleh menterjemah sudah lapuk. Dokumentasi Transit Gateway NAT menerangkan pemetaan awalan IPv4 tanpa keadaan: awalan asal dan terjemahan mengekalkan panjang yang sama, dan bit hos serta port pengangkutan bertahan melalui terjemahan. Baca arah masuk dan keluar sebagai keputusan reka bentuk berasingan, kerana ia dikonfigurasikan secara berasingan dan satu boleh sedia manakala yang lain belum. Tiada apa dalam penerangan itu membayangkan keadaan setiap aliran, jadi jangan harap pemetaan itu menjejaki sambungan untuk anda.

Ini bermakna 10.80.0.0/16 dipetakan ke 172.28.0.0/16 menjadikan 10.80.10.23 sebagai 172.28.10.23. Ia tidak meruntuhkan /16 menjadi satu alamat, dan tidak menggantikan keperluan PAT. Ia juga merangkumi jenis lampiran terpilih, termasuk VPC dan Site-to-Site VPN, tetapi bukan lampiran Client VPN, dan konfigurasinya berada pada pemilik gateway transit, bukan di pihak Anypoint.

Layan ciri ini sebagai satu lagi titik kawalan yang mungkin, bukan sebagai bukti bahawa penggunaan anda boleh menggunakannya. CloudHub 2.0 mendokumenkan lampiran ruang peribadi ke gateway transit dalam akaun AWS pelanggan sendiri, dengan syarat serantau dan syarat hak, jadi sahkan jenis lampiran sebenar, pemiliknya dan pendirian sokongan vendor sebelum mereka bentuk sekitar pilihan baharu itu.

Kekalkan laluan dalam sempadan yang disokong

Untuk penterjemah firewall, gunakan model VPN, terjemahan dan penghalaan yang disokong produk itu dan bukannya menampal peraturan NAT generik ke dalam terowong yang berfungsi. Balasan backend mesti kembali melalui elemen terjemahan yang sama, dan terowong keluar yang sihat tidak mengatakan apa-apa tentang laluan balik itu.

Untuk laluan gateway transit, inventori lampiran ruang peribadi, jadual laluan yang berkaitan, lampiran tempatan dan bahagian yang benar-benar boleh dikonfigurasikan oleh pelanggan. Ini seni bina sambungan yang berbeza, bukan kotak semak NAT yang dibaut pada sambungan Anypoint VPN sedia ada, dan sempadan sokongan bergerak bersamanya.

Bandingkan tiga pilihan dalam satu jadual

Kebanyakan pasukan hanya perlu menjawab dua soalan: banyak-ke-satu atau satu-ke-satu, dan siapa yang memiliki lampiran itu. Jadual di bawah menukar jawapan itu menjadi pilihan permulaan.

Baca lajur ketiga sebagai soalan semakan, bukan sebagai fikiran kemudian. Peta awalan yang dibenarkan di atas kertas tetapi dikonfigurasikan pada lampiran yang anda tidak miliki masih projek yang tersekat, dan peraturan PAT yang meloloskan trafik tetapi merosakkan log setiap klien gagal dalam audit yang menyusul.

Sahkan pemetaan sebelum menjanjikannya

Hantar satu operasi aplikasi baharu melalui laluan itu dan sahkan balasannya, bukan hanya permintaannya. Tanya pemilik backend alamat sumber mana yang direkodkan oleh log mereka, semak bahawa pengendalian keluarga alamat sepadan dengan pelan dalam kedua-dua arah, dan sahkan bahawa satu laluan yang sepatutnya ditolak masih ditolak. Sambungan lama tidak membuktikan apa-apa tentang pemetaan yang baru anda ubah.

Kekalkan pengesahan backend bebas daripada alamat terjemahan mana yang memenuhi senarai benarnya, kerana pemetaan ialah paip rangkaian dan bukan keputusan kawalan akses. Saat kata laluan semula bergantung pada awalan NAT, setiap perubahan julat masa depan menjadi gangguan.

Sebelum kelulusan, tuliskan tiga jawapan: jenis terjemahan, pemilik penterjemah, dan lampiran atau laluan produk yang disokong yang membawanya. Jika mana-mana satu masih tekaan, reka bentuk itu belum bersedia untuk tetingkap perubahan.