Anypoint VPN alebo NAT v Transit Gateway: kde sa preklad vykonáva
Anypoint VPN sám neprekladá adresy. Rozhodnite sa medzi PAT na firewalle, mapou prefixov AWS alebo iným pripojením, kým sľúbite NAT.
Požiadavka na NAT nie je požiadavkou, kým nepomenuje adresy, ktoré sa menia, a komponent, ktorému je dovolené ich meniť. Pri konektivite MuleSoft má toto rozhodnutie tri vstupy: či backend potrebuje preklad portov many-to-one alebo alias prefixu one-to-one, či pripojenie AWS, ktoré skutočne vlastníte, dokáže toto mapovanie vykonať, a či celá cesta zostáva v kombinácii, ktorú dodávateľ podporuje. Ak to pokazíte, postavíte funkčné laboratórium, ktoré neprejde revíziou.
Jediný pevný bod je, že Anypoint VPN sám nie je prekladové zariadenie. Dokumentácia CloudHub 2.0 uvádza NAT ako nepodporovaný, takže každý návrh, ktorý predpokladá, že tunel skryje adresy vašich workerov, je už pokazený.
Určte, čo má preklad robiť
Ak sa mnoho aplikačných workerov musí backendu javiť ako jediná adresa, požiadavkou je zdieľaný preklad zdroja, zvyčajne stavový SNAT alebo PAT na firewalle, ktorý ovládate. Tento prvok musí stáť na schválenej ceste, držať svoj stav počas celej životnosti toku a vidieť návratovú prevádzku pre každé spojenie, ktoré prepísal. Strata stavu uprostred relácie spojenie nezhorší; ukončí ho. Pár firewallov, ktorý odmieta zdieľať prekladový stav, zahodí každú reláciu, ktorá po failovery skončí na záložnom člene. Dimenziujte tento prvok na súbežné toky, nie na priepustnosť.
Ak sa naopak dve siete prekrývajú a každý hostiteľ potrebuje vlastný alias, požiadavkou je plán adries one-to-one s jednoznačnými mapovanými prefixmi, zodpovedajúcimi trasami a prekladom mien, ktorý s mapovaním súhlasí. Skryť každý worker za jednu adresu nie je lacnejšia verzia tohto a zámena jedného za druhé pri revízii návrhu je spôsob, akým projekty stratia štvrťrok.
Zapíšte rozhodnutie konkrétnymi termínmi, kým vyberiete produkt: pôvodný zdroj, pôvodný cieľ, preložená hodnota, smer inicializácie, vlastník prekladača a očakávaná návratová trasa. Doplňte, akú identitu si backendové logy ponechajú, pretože návrh, ktorý skryje všetky zdroje, ničí aj audit po klientoch.
Overte, či mapovanie môže urobiť AWS za vás
AWS teraz dokumentuje spravovaný NAT one-to-one na pripojeniach Transit Gateway a Cloud WAN, oznámený na konci októbra 2026, takže staré paušálne tvrdenie, že transit gateway nikdy nemôže prekladať, je zastarané. Dokumentácia Transit Gateway NAT opisuje bezstavové mapovanie prefixov IPv4: pôvodné a preložené prefixy si zachovávajú rovnakú dĺžku a hostiteľské bity a transportné porty preklad prežijú. Čítajte smery ingress a egress ako samostatné návrhové rozhodnutia, pretože sa konfigurujú oddelene a jeden môže byť hotový, zatiaľ čo druhý nie. Nič v tomto opise neimplikuje stav na tok, takže nečakajte, že mapovanie bude za vás sledovať spojenia.
To znamená, že 10.80.0.0/16 mapovaný na 172.28.0.0/16 mení 10.80.10.23 na 172.28.10.23. Nezbalí /16 do jednej adresy a nenahrádza požiadavku na PAT. Pokrýva aj vybrané typy pripojení, medzi nimi VPC a Site-to-Site VPN, ale nie pripojenia Client VPN, a konfigurácia žije u vlastníka transit gateway, nie na strane Anypoint.
Berte funkciu ako ďalší možný riadiaci bod, nie ako dôkaz, že ju vaše nasadenie môže použiť. CloudHub 2.0 dokumentuje pripojenia privátneho priestoru k transit gateway vo vlastnom účte AWS zákazníka, s regionálnymi podmienkami a podmienkami nároku, preto pred návrhom okolo novej možnosti potvrďte skutočný typ pripojenia, jeho vlastníka a postoj dodávateľa k podpore.
Držte cestu vnútri podporovanej hranice
Pri prekladači na firewalle použite podporovaný model VPN, prekladu a smerovania daného produktu, namiesto toho, aby ste vložili všeobecné pravidlo NAT do funkčného tunela. Odpoveď backendu sa musí vrátiť cez ten istý prekladový prvok a zdravý odchádzajúci tunel o tejto spiatočnej ceste nič nehovorí.
Pri trase cez transit gateway zinventarizujte pripojenie privátneho priestoru, príslušné smerovacie tabuľky, lokálne pripojenie a časti, ktoré zákazník skutočne môže konfigurovať. Je to iná architektúra konektivity, nie zaškrtávacie políčko NAT priskrutkované k existujúcemu pripojeniu Anypoint VPN, a hranica podpory sa s ňou posúva.
Porovnajte tri možnosti v jednej tabuľke
Väčšina tímov potrebuje odpovedať len na dve otázky: many-to-one alebo one-to-one a kto vlastní pripojenie. Tabuľka nižšie mení tieto odpovede na východiskovú možnosť.
| Requirement | Starting option | What breaks it |
|---|---|---|
| Many workers, one backend address | Stateful PAT on your firewall | Asymmetric return path, expired state |
| Overlapping /16s, one-to-one | AWS prefix mapping on a supported attachment | Client VPN attachment, no explicit config |
| Per-client audit must survive | Keep original sources, translate downstream | Any many-to-one hiding of sources |
Čítajte tretí stĺpec ako otázku revízie, nie ako dodatočnú myšlienku. Mapa prefixov povolená na papieri, ale nakonfigurovaná na pripojení, ktoré nevlastníte, je stále zablokovaný projekt, a pravidlo PAT, ktoré prepustí prevádzku, ale pokazí logovanie po klientoch, neprejde auditom, ktorý nasleduje.
Overte mapovanie, kým ho sľúbite
Pošlite cestou jednu novú operáciu aplikácie a potvrďte odpoveď, nielen požiadavku. Spýtajte sa vlastníka backendu, ktorú zdrojovú adresu ich logy zaznamenali, skontrolujte, či spracovanie adresnej rodiny zodpovedá plánu v oboch smeroch, a overte, že cesta, ktorá má byť zamietnutá, ňou stále je. Zastarané spojenie nič nedokazuje o mapovaní, ktoré ste práve zmenili.
Držte autentifikáciu backendu nezávislú od toho, ktorá preložená adresa spĺňa jeho allowlist, pretože mapovanie je sieťarčina, nie rozhodnutie o riadení prístupu. Vo chvíli, keď reset hesla závisí od prefixu NAT, sa každá budúca zmena rozsahu stane výpadkom.
Pred schválením zapíšte tri odpovede: typ prekladu, vlastníka prekladača a podporované pripojenie alebo produktovú cestu, ktorá ho nesie. Ak je niektorá z nich stále odhad, návrh nie je pripravený na zmenové okno.