Anypoint VPN czy NAT w Transit Gateway: gdzie odbywa się tłumaczenie

Wymaganie NAT nie jest wymaganiem, dopóki nie nazwie adresów, które się zmieniają, i komponentu, któremu wolno je zmieniać. W łączności MuleSoft ta decyzja ma trzy wejścia: czy backend potrzebuje tłumaczenia portów wiele-do-jednego, czy aliasu prefiksu jeden-do-jednego, czy połączenie AWS, które naprawdę posiadasz, potrafi wykonać to mapowanie, oraz czy cała ścieżka mieści się w kombinacji obsługiwanej przez dostawcę. Jeśli to pomylisz, zbudujesz laboratorium, które działa, ale nie przechodzi przeglądu.

Jedynym stałym punktem jest to, że sam Anypoint VPN nie jest urządzeniem tłumaczącym. Dokumentacja CloudHub 2.0 wymienia NAT jako tam nieobsługiwany, więc każdy projekt zakładający, że tunel ukryje adresy Twoich workerów, jest już zepsuty.

Ustal, co ma robić tłumaczenie

Jeśli wielu workerów aplikacji ma wyglądać dla backendu jak jeden adres, wymaganiem jest współdzielone tłumaczenie źródła, zwykle stanowa translacja SNAT lub PAT na zaporze, którą kontrolujesz. Ten element musi stać na zatwierdzonej ścieżce, utrzymywać swój stan przez cały czas życia przepływu i widzieć ruch powrotny dla każdego przepisanego połączenia. Utrata stanu w połowie sesji nie pogarsza połączenia; kończy je. Para zapór, która odmawia współdzielenia stanu tłumaczenia, odrzuci każdą sesję, która po przełączeniu trafi na jednostkę zapasową. Rozmiar tego elementu dobierz do równoczesnych przepływów, nie do przepustowości.

Jeśli natomiast dwie sieci się nakładają i każdy host potrzebuje odrębnego aliasu, wymaganiem jest plan adresacji jeden-do-jednego z jednoznacznymi zmapowanymi prefiksami, pasującymi trasami i rozwiązywaniem nazw zgodnym z mapowaniem. Ukrycie każdego workera za jednym adresem nie jest tańszą wersją tego, a zamiana jednego na drugie w przeglądzie projektu to sposób, w jaki projekty tracą kwartał.

Zapisz decyzję konkretnymi słowami, zanim wybierzesz produkt: źródło pierwotne, cel pierwotny, wartość przetłumaczona, kierunek inicjacji, właściciel tłumacza i oczekiwana trasa odpowiedzi. Dopisz, jaką tożsamość zachowają logi backendu, bo projekt ukrywający wszystkie źródła niszczy też audyt na klienta.

Sprawdź, czy AWS może wykonać mapowanie za Ciebie

AWS dokumentuje teraz zarządzany NAT jeden-do-jednego na połączeniach Transit Gateway i Cloud WAN, ogłoszony pod koniec października 2026, więc stare ogólne twierdzenie, że brama tranzytowa nigdy nie może tłumaczyć, jest nieaktualne. Dokumentacja Transit Gateway NAT opisuje bezstanowe mapowanie prefiksów IPv4: prefiksy pierwotne i przetłumaczone zachowują tę samą długość, a bity hosta i porty transportowe przeżywają tłumaczenie. Czytaj kierunki wejściowy i wyjściowy jako osobne decyzje projektowe, bo konfiguruje się je osobno i jeden może być gotowy, a drugi nie. Nic w tym opisie nie zakłada stanu na przepływ, więc nie oczekuj, że mapowanie będzie śledzić połączenia za Ciebie.

To znaczy, że 10.80.0.0/16 zmapowany na 172.28.0.0/16 zamienia 10.80.10.23 na 172.28.10.23. Nie składa /16 w jeden adres i nie zastępuje wymagania PAT. Obejmuje też wybrane typy połączeń, w tym VPC i Site-to-Site VPN, ale nie połączenia Client VPN, a konfiguracja należy do właściciela bramy tranzytowej, nie do strony Anypoint.

Traktuj funkcję jako jeszcze jeden możliwy punkt kontroli, a nie jako dowód, że Twoje wdrożenie może jej użyć. CloudHub 2.0 dokumentuje połączenia przestrzeni prywatnej do bramy tranzytowej na własnym koncie AWS klienta, z warunkami regionalnymi i warunkami uprawnień, więc potwierdź rzeczywisty typ połączenia, jego właściciela i stanowisko dostawcy w sprawie wsparcia, zanim zaprojektujesz wokół nowej opcji.

Utrzymaj ścieżkę w obsługiwanej granicy

Dla tłumacza na zaporze użyj obsługiwanego modelu VPN, tłumaczenia i routingu tego produktu, zamiast wklejać ogólną regułę NAT do działającego tunelu. Odpowiedź backendu musi wrócić przez ten sam element tłumaczący, a zdrowy tunel wychodzący nic nie mówi o tej drodze powrotnej.

Dla trasy przez bramę tranzytową zinwentaryzuj połączenie przestrzeni prywatnej, odpowiednie tabele tras, połączenie lokalne i części, które klient naprawdę może skonfigurować. To inna architektura łączności, a nie pole wyboru NAT przykręcone do istniejącego połączenia Anypoint VPN, i granica wsparcia przesuwa się razem z nią.

Porównaj trzy opcje w jednej tabeli

Większość zespołów musi odpowiedzieć tylko na dwa pytania: wiele-do-jednego czy jeden-do-jednego, i kto jest właścicielem połączenia. Poniższa tabela zamienia te odpowiedzi w opcję startową.

Czytaj trzecią kolumnę jako pytanie przeglądowe, nie jako myśl po fakcie. Mapa prefiksów dozwolona na papierze, ale skonfigurowana na połączeniu, którego nie posiadasz, wciąż jest zablokowanym projektem, a reguła PAT, która przepuszcza ruch, ale psuje logowanie na klienta, oblewa audyt, który następuje.

Zweryfikuj mapowanie, zanim je obiecasz

Przepuść jedną świeżą operację aplikacji przez ścieżkę i potwierdź odpowiedź, nie tylko żądanie. Zapytaj właściciela backendu, jaki adres źródłowy zapisały ich logi, sprawdź, czy obsługa rodziny adresów zgadza się z planem w obu kierunkach, i zweryfikuj, że ścieżka, która powinna być odrzucona, nadal jest odrzucana. Stare połączenie niczego nie dowodzi w sprawie mapowania, które właśnie zmieniłeś.

Utrzymuj uwierzytelnianie backendu niezależne od tego, który przetłumaczony adres spełnia jego listę dozwolonych, bo mapowanie to hydraulika sieci, a nie decyzja o kontroli dostępu. W momencie, gdy reset hasła zależy od prefiksu NAT, każda przyszła zmiana zakresu staje się awarią.

Przed zatwierdzeniem zapisz trzy odpowiedzi: typ tłumaczenia, właściciela tłumacza i obsługiwane połączenie lub ścieżkę produktu, która je niesie. Jeśli któraś z nich jest wciąż domysłem, projekt nie jest gotowy na okno zmian.