Anypoint VPN of Transit Gateway NAT: waar de vertaling plaatsvindt

Een NAT-vereiste is geen vereiste voordat zij de adressen noemt die veranderen en het onderdeel dat ze mag veranderen. Bij MuleSoft-connectiviteit heeft die beslissing drie invoeren: of de backend veel-op-één-poortvertaling of een één-op-één-prefixalias nodig heeft, of de AWS-koppeling die u werkelijk bezit die mapping kan uitvoeren, en of het hele pad binnen een door de leverancier ondersteunde combinatie blijft. Gaat dat mis, dan bouwt u een lab dat werkt maar de review niet haalt.

Het ene vaste punt is dat Anypoint VPN zelf geen vertaalapparaat is. De CloudHub 2.0-documentatie vermeldt NAT daar als niet ondersteund, dus elk ontwerp dat aanneemt dat de tunnel de adressen van uw werknemers verbergt, is al kapot.

Bepaal wat de vertaling moet doen

Als veel applicatiewerkers voor de backend als één adres moeten verschijnen, is de vereiste gedeelde bronvertaling, meestal stateful SNAT of PAT op een firewall die u beheert. Dat element moet op een goedgekeurd pad staan, zijn status gedurende de hele levensduur van de flow behouden en het retourverkeer zien voor elke verbinding die het herschreef. Statusverlies midden in een sessie vermindert de verbinding niet; het beëindigt haar. Een firewallpaar dat weigert vertaalstatus te delen, laat elke sessie vallen die na de failover op het standby-lid belandt. Dimensionneer dat element op gelijktijdige flows, niet op doorvoer.

Als daarentegen twee netwerken overlappen en elke host een aparte alias nodig heeft, is de vereiste een één-op-één-adresplan met ondubbelzinnig gemapte prefixen, overeenkomende routes en naamresolutie die met de mapping overeenstemt. Elke werker achter één adres verbergen is daar geen goedkopere versie van, en het ene voor het andere verwisselen in een ontwerpreview is hoe projecten een kwartaal verliezen.

Leg de beslissing in concrete termen vast voordat u een product kiest: oorspronkelijke bron, oorspronkelijke bestemming, vertaalde waarde, richting van initiatie, eigenaar van de vertaler en verwacht antwoordpad. Voeg toe welke identiteit de backend-logs behouden, want een ontwerp dat alle bronnen verbergt, vernietigt ook de controle per klant.

Controleer of AWS de mapping voor u kan doen

AWS documenteert nu beheerde één-op-één-NAT op Transit Gateway- en Cloud WAN-koppelingen, aangekondigd eind oktober 2026, dus de oude algemene bewering dat een transitgateway nooit kan vertalen is verouderd. De Transit Gateway NAT-documentatie beschrijft een stateless IPv4-prefixmapping: oorspronkelijke en vertaalde prefixen behouden dezelfde lengte, en hostbits en transportpoorten overleven de vertaling. Lees de ingress- en egressrichtingen als afzonderlijke ontwerpbeslissingen, want ze worden apart geconfigureerd en de ene kan klaar zijn terwijl de andere dat niet is. Niets in die beschrijving impliceert status per flow, dus verwacht niet dat de mapping verbindingen voor u volgt.

Dat betekent dat 10.80.0.0/16 gemapt naar 172.28.0.0/16 van 10.80.10.23 de 172.28.10.23 maakt. Het perst het /16 niet tot één adres samen en vervangt geen PAT-vereiste. Het dekt ook geselecteerde koppelingstypen, waaronder VPC en Site-to-Site VPN, maar niet Client VPN-koppelingen, en de configuratie zit bij de eigenaar van de transitgateway, niet aan de Anypoint-kant.

Behandel de functie als nog een mogelijk controlepunt, niet als bewijs dat uw implementatie haar kan gebruiken. CloudHub 2.0 documenteert private-space-koppelingen aan een transitgateway in het eigen AWS-account van de klant, met regionale voorwaarden en rechtvoorwaarden, dus bevestig het echte koppelingstype, de eigenaar ervan en het supportstandpunt van de leverancier voordat u rond de nieuwe optie ontwerpt.

Houd het pad binnen een ondersteunde grens

Gebruik voor een firewallvertaler het ondersteunde VPN-, vertaal- en routeringsmodel van dat product in plaats van een generieke NAT-regel in een werkende tunnel te plakken. Het antwoord van de backend moet via hetzelfde vertaalelement terugkomen, en een gezonde uitgaande tunnel zegt niets over dat terugpad.

Inventariseer voor de transitgateway-route de private-space-koppeling, de relevante routetabellen, de on-premises koppeling en de onderdelen die de klant werkelijk kan configureren. Het is een andere connectiviteitsarchitectuur, geen NAT-vinkje dat op een bestaande Anypoint VPN-verbinding is geschroefd, en de supportgrens schuift mee.

Vergelijk de drie opties in één tabel

De meeste teams hoeven maar twee vragen te beantwoorden: veel-op-één of één-op-één, en wie de koppeling bezit. De tabel hieronder zet die antwoorden om in een startoptie.

Lees de derde kolom als de reviewvraag, niet als een gedachte achteraf. Een prefixkaart die op papier is toegestaan maar is geconfigureerd op een koppeling die u niet bezit, blijft een geblokkeerd project, en een PAT-regel die verkeer doorlaat maar de logging per klant breekt, zakt voor de audit die volgt.

Valideer de mapping voordat u haar belooft

Stuur één verse applicatiebewerking door het pad en bevestig het antwoord, niet alleen het verzoek. Vraag de eigenaar van de backend welke bronadres hun logs hebben vastgelegd, controleer dat de behandeling van de adresfamilie in beide richtingen bij het plan past, en verifieer dat een pad dat geweigerd moet worden dat nog steeds wordt. Een oude verbinding bewijst niets over de mapping die u net hebt gewijzigd.

Houd backend-authenticatie onafhankelijk van welk vertaald adres ook aan de allowlist voldoet, want de mapping is netwerkbekabeling en geen toegangscontrolebeslissing. Op het moment dat een wachtwoordreset van een NAT-prefix afhangt, wordt elke toekomstige reekswijziging een storing.

Schrijf vóór de goedkeuring de drie antwoorden op: vertalingstype, eigenaar van de vertaler en de ondersteunde koppeling of productpad die het draagt. Als een daarvan nog een gok is, is het ontwerp niet klaar voor een wijzigingsvenster.