Anypoint VPN ali NAT v Transit Gateway: kje se izvaja prevajanje
Anypoint VPN sam ne prevaja naslovov. Odločite se med PAT na požarnem zidu, zemljevidom predpon AWS ali drugo povezavo, preden obljubite NAT.
Zahteva po NAT ni zahteva, dokler ne poimenuje naslovov, ki se spreminjajo, in komponente, ki jim jih je dovoljeno spreminjati. Pri povezljivosti MuleSoft ima ta odločitev tri vhode: ali backend potrebuje prevajanje vrat mnogo-na-eno ali vzdevek predpone ena-na-ena, ali povezava AWS, ki jo resnično imate, lahko izvede to preslikavo, in ali celotna pot ostane znotraj kombinacije, ki jo ponudnik podpira. Če se zmotite, boste zgradili laboratorij, ki deluje, a pade na pregledu.
Edina fiksna točka je, da Anypoint VPN sam ni prevajalna naprava. Dokumentacija CloudHub 2.0 navaja NAT kot tam nepodprt, zato je vsak načrt, ki predpostavlja, da bo tunel skril naslove vaših delavcev, že pokvarjen.
Določite, kaj mora prevajanje narediti
Če se mora veliko aplikacijskih delavcev backendu prikazati kot en naslov, je zahteva skupno prevajanje izvora, običajno SNAT ali PAT s stanjem na požarnem zidu, ki ga nadzorujete. Ta element mora stati na odobreni poti, ohranjati svoje stanje ves čas življenja toka in videti povratni promet za vsako povezavo, ki jo je prepisal. Izguba stanja na sredini seje povezave ne poslabša; konča jo. Par požarnih zidov, ki noče deliti prevajalnega stanja, bo zavrgel vsako sejo, ki po preklopu pristane na rezervnem članu. Ta element dimenzionirajte za sočasne tokove, ne za prepustnost.
Če se namesto tega dve omrežji prekrivata in vsak gostitelj potrebuje ločen vzdevek, je zahteva načrt naslovov ena-na-ena z nedvoumno preslikanimi predponami, ustreznimi potmi in razreševanjem imen, ki se ujema s preslikavo. Skriti vsakega delavca za enim naslovom ni cenejša različica tega, zamenjava enega z drugim na pregledu načrta pa je pot, po kateri projekti izgubijo četrtletje.
Zapišite odločitev s konkretnimi izrazi, preden izberete izdelek: izvorni vir, izvorni cilj, prevedena vrednost, smer sprožitve, lastnik prevajalnika in pričakovana povratna pot. Dodajte, katero identiteto bodo ohranili dnevniška zapisi backenda, ker načrt, ki skrije vse vire, uniči tudi revizijo po strankah.
Preverite, ali lahko AWS izvede preslikavo namesto vas
AWS zdaj dokumentira upravljani NAT ena-na-ena na povezavah Transit Gateway in Cloud WAN, objavljen konec oktobra 2026, zato je stara splošna trditev, da tranzitna prehodna postaja nikoli ne more prevajati, zastarela. Dokumentacija Transit Gateway NAT opisuje preslikavo predpon IPv4 brez stanja: izvorne in prevedene predpone ohranijo enako dolžino, gostiteljski biti in transportna vrata pa prevajanje preživijo. Berite smeri vstopa in izstopa kot ločeni načrtovalski odločitvi, ker se konfigurirata ločeno in ena je lahko pripravljena, medtem ko druga ni. Nič v tem opisu ne pomeni stanja na tok, zato ne pričakujte, da bo preslikava sledila povezavam namesto vas.
To pomeni, da 10.80.0.0/16 preslikan na 172.28.0.0/16 spremeni 10.80.10.23 v 172.28.10.23. Ne stisne /16 v en naslov in ne nadomesti zahteve po PAT. Pokriva tudi izbrane vrste povezav, med njimi VPC in Site-to-Site VPN, ne pa povezav Client VPN, konfiguracija pa je pri lastniku tranzitne prehodne postaje, ne na strani Anypoint.
Obravnavajte funkcijo kot še eno možno kontrolno točko, ne kot dokaz, da jo vaša namestitev lahko uporabi. CloudHub 2.0 dokumentira povezave zasebnega prostora s tranzitno prehodno postajo v strankinem lastnem računu AWS, z regionalnimi pogoji in pogoji pravic, zato pred načrtovanjem okoli nove možnosti potrdite resnično vrsto povezave, njenega lastnika in stališče ponudnika glede podpore.
Držite pot znotraj podprte meje
Za prevajalnik na požarnem zidu uporabite podprti model VPN, prevajanja in usmerjanja tega izdelka, namesto da v delujoč tunel prilepite splošno pravilo NAT. Odgovor backenda se mora vrniti skozi isti prevajalni element, zdrav izhodni tunel pa o tej povratni poti ne pove ničesar.
Za pot skozi tranzitno prehodno postajo popišite povezavo zasebnega prostora, ustrezne tabele poti, lokalno povezavo in dele, ki jih stranka resnično lahko konfigurira. To je druga arhitektura povezljivosti, ne potrditveno polje NAT, privito na obstoječo povezavo Anypoint VPN, in meja podpore se premika z njo.
Primerjajte tri možnosti v eni tabeli
Večina ekip mora odgovoriti le na dve vprašanji: mnogo-na-eno ali ena-na-ena, in kdo ima povezavo. Spodnja tabela te odgovore spremeni v začetno možnost.
| Requirement | Starting option | What breaks it |
|---|---|---|
| Many workers, one backend address | Stateful PAT on your firewall | Asymmetric return path, expired state |
| Overlapping /16s, one-to-one | AWS prefix mapping on a supported attachment | Client VPN attachment, no explicit config |
| Per-client audit must survive | Keep original sources, translate downstream | Any many-to-one hiding of sources |
Tretji stolpec berite kot vprašanje pregleda, ne kot poznejšo misel. Zemljevid predpon, dovoljen na papirju, a konfiguriran na povezavi, ki je ne posedujete, je še vedno blokiran projekt, pravilo PAT, ki spusti promet skozi, a pokvari beleženje po strankah, pa pade na reviziji, ki sledi.
Preverite preslikavo, preden jo obljubite
Pošljite eno svežo aplikacijsko operacijo po poti in potrdite odgovor, ne le zahteve. Vprašajte lastnika backenda, kateri izvorni naslov so zabeležili njihovi dnevniški zapisi, preverite, ali obravnava naslovne družine ustreza načrtu v obeh smereh, in potrdite, da je pot, ki bi morala biti zavrnjena, še vedno zavrnjena. Stara povezava ne dokaže ničesar o preslikavi, ki ste jo pravkar spremenili.
Ohranite preverjanje pristnosti backenda neodvisno od tega, kateri prevedeni naslov zadovolji njegov seznam dovoljenih, ker je preslikava omrežna inštalacija, ne odločitev o nadzoru dostopa. V trenutku, ko je ponastavitev gesla odvisna od predpone NAT, vsaka prihodnja sprememba obsega postane prekinitev.
Pred odobritvijo zapišite tri odgovore: vrsto prevajanja, lastnika prevajalnika in podprto povezavo ali pot izdelka, ki jo nosi. Če je kateri od njih še ugibanje, načrt ni pripravljen na okno sprememb.