Anypoint VPN veya Transit Gateway NAT: çeviri nerede yapılır

Bir NAT gereksinimi, değişen adresleri ve bunları değiştirmesine izin verilen bileşeni adlandırmadıkça gereksinim sayılmaz. MuleSoft bağlantısında bu kararın üç girdisi vardır: arka ucun çoktan-bire port çevirisine mi yoksa bire-bir önek diğer adına mı ihtiyacı olduğu, gerçekten sahip olduğunuz AWS bağlantısının bu eşlemeyi yapıp yapamayacağı ve tüm yolun sağlayıcının desteklediği bir bileşim içinde kalıp kalmadığı. Bunları yanlış yaparsanız çalışan ama incelemede kalan bir laboratuvar kurarsınız.

Tek sabit nokta, Anypoint VPNin kendisinin bir çeviri aygıtı olmadığıdır. CloudHub 2.0 belgeleri NATı orada desteklenmiyor olarak listeler, yani tünelin çalışan adreslerinizi gizleyeceğini varsayan her tasarım zaten bozuktur.

Çevirinin ne yapması gerektiğine karar verin

Birçok uygulama çalışanının arka uca tek bir adres olarak görünmesi gerekiyorsa gereksinim, genellikle denetlediğiniz bir güvenlik duvarında durum tutan SNAT veya PAT olan paylaşımlı kaynak çevirisidir. O öğe onaylanmış bir yolda oturmalı, durumunu akışın tüm ömrü boyunca korumalı ve yeniden yazdığı her bağlantının dönüş trafiğini görmelidir. Oturumun ortasında durum kaybı bağlantıyı bozmaz; onu bitirir. Çeviri durumunu paylaşmayı reddeden bir güvenlik duvarı çifti, yük devrinden sonra yedek üyeye düşen her oturumu düşürür. O öğeyi eşzamanlı akışlara göre boyutlandırın, verim için değil.

Bunun yerine iki ağ çakışıyorsa ve her ana bilgisayar ayrı bir diğer ada ihtiyaç duyuyorsa gereksinim, açıkça eşlenmiş önekler, uyumlu rotalar ve eşlemeyle tutarlı ad çözümlemesi olan bire-bir adres planıdır. Her çalışanı tek bir adresin arkasına saklamak bunun daha ucuz bir sürümü değildir ve tasarım incelemesinde birini diğeriyle değiştirmek projelerin çeyrek kaybetme yoludur.

Ürün seçmeden önce kararı somut terimlerle kaydedin: özgün kaynak, özgün hedef, çevrilmiş değer, başlatma yönü, çevirici sahibi ve beklenen yanıt rotası. Arka uç günlüklerinin hangi kimliği saklayacağını da ekleyin, çünkü tüm kaynakları gizleyen bir tasarım istemci başına denetimi de yok eder.

AWS eşlemeyi sizin için yapabilir mi kontrol edin

AWS artık Transit Gateway ve Cloud WAN bağlantılarında yönetilen bire-bir NATı belgeliyor; Ekim 2026 sonunda duyuruldu, yani bir transit geçidin asla çeviri yapamayacağı yönündeki eski genel iddia artık güncelliğini yitirdi. Transit Gateway NAT belgeleri, durum tutmayan bir IPv4 önek eşlemesi tanımlar: özgün ve çevrilmiş önekler aynı uzunluğu korur, ana bilgisayar bitleri ve taşıma portları çeviriden sağ çıkar. Giriş ve çıkış yönlerini ayrı tasarım kararları olarak okuyun, çünkü ayrı yapılandırılırlar ve biri hazırken diğeri olmayabilir. O açıklamada hiçbir şey akış başına durum ima etmez, bu yüzden eşlemenin bağlantıları sizin yerinize izlemesini beklemeyin.

Bu, 10.80.0.0/16 adresinin 172.28.0.0/16 adresine eşlenmesinin 10.80.10.23 adresini 172.28.10.23 adresine çevirdiği anlamına gelir. /16yı tek bir adrese sıkıştırmaz ve bir PAT gereksinimini değiştirmez. Ayrıca VPC ve Site-to-Site VPN dahil seçili bağlantı türlerini kapsar, ancak Client VPN bağlantılarını kapsamaz ve yapılandırma Anypoint tarafında değil, transit geçit sahibinde yaşar.

Bu özelliği olası bir kontrol noktası daha olarak görün, dağıtımınızın onu kullanabileceğinin kanıtı olarak değil. CloudHub 2.0, müşterinin kendi AWS hesabındaki bir transit geçide özel alan bağlantılarını bölgesel ve hak koşullarıyla belgeler, bu yüzden yeni seçenek etrafında tasarım yapmadan önce gerçek bağlantı türünü, sahibini ve sağlayıcının destek tutumunu doğrulayın.

Yolu desteklenen bir sınır içinde tutun

Güvenlik duvarı çeviricisi için, çalışan bir tünele genel bir NAT kuralı yapıştırmak yerine o ürünün desteklenen VPN, çeviri ve yönlendirme modelini kullanın. Arka ucun yanıtı aynı çeviri öğesinden geri gelmelidir ve sağlıklı bir giden tünel o dönüş yolu hakkında hiçbir şey söylemez.

Transit geçit rotası için özel alan bağlantısını, ilgili rota tablolarını, yerinde bağlantıyı ve müşterinin gerçekten yapılandırabildiği parçaları envanterleyin. Bu farklı bir bağlantı mimarisidir; mevcut bir Anypoint VPN bağlantısına cıvatalanmış bir NAT onay kutusu değildir ve destek sınırı onunla birlikte kayar.

Üç seçeneği tek bir tabloda karşılaştırın

Çoğu ekip yalnızca iki soruyu yanıtlamalıdır: çoktan-bire mi bire-bir mi ve bağlantının sahibi kim. Aşağıdaki tablo bu yanıtları bir başlangıç seçeneğine dönüştürür.

Üçüncü sütunu sonradan akla gelen bir düşünce olarak değil, inceleme sorusu olarak okuyun. Kâğıt üzerinde izin verilen ama sahibi olmadığınız bir bağlantıda yapılandırılan önek haritası hâlâ engellenmiş bir projedir ve trafiği geçirip istemci başına günlüklemeyi bozan bir PAT kuralı, ardından gelen denetimde kalır.

Vaat etmeden önce eşlemeyi doğrulayın

Yoldan bir taze uygulama işlemi geçirin ve yalnızca isteği değil yanıtı da doğrulayın. Arka uç sahibine günlüklerinin hangi kaynak adresi kaydettiğini sorun, adres ailesi işlemenin her iki yönde de plana uyduğunu kontrol edin ve reddedilmesi gereken bir yolun hâlâ reddedildiğini doğrulayın. Eski bir bağlantı, az önce değiştirdiğiniz eşleme hakkında hiçbir şey kanıtlamaz.

Arka uç kimlik doğrulamasını, izin listesini hangi çevrilmiş adresin karşıladığından bağımsız tutun, çünkü eşleme ağ tesisatıdır, erişim denetimi kararı değildir. Parola sıfırlaması bir NAT önekine bağlı olduğu anda, gelecekteki her aralık değişikliği bir kesintiye dönüşür.

Onaydan önce üç yanıtı yazın: çeviri türü, çevirici sahibi ve onu taşıyan desteklenen bağlantı veya ürün yolu. Bunlardan biri hâlâ tahminse, tasarım bir değişiklik penceresine hazır değildir.