Anypoint Platform与AWS对接：单API定向传输及VPC对等转发问题

一、仅允许Anypoint Platform中指定单个API向AWS VPC传输信息 #

• 在Anypoint Platform的API Manager中，给目标API单独配置出站流量策略：
  • 进入该API的策略配置页，添加IP Whitelisting策略，只放行AWS VPC的公网入口IP或私有IP（如果是通过VPN/Direct Connect连接的场景）。
  • 给其他API配置Deny All的出站策略，或者限制它们的出站目标范围，确保只有指定API能发起对AWS VPC的请求。
• 在Mule应用代码层面，仅在目标API的流中编写指向AWS VPC资源的调用逻辑，其他API的流里不包含相关出站请求代码。

二、QA环境中仅让指定API向AWS发送信息 #

• 利用Anypoint Platform的环境隔离机制：
  • 在QA环境的API Manager中，只为目标API配置访问AWS VPC的权限，其他QA环境API保持默认的出站限制。
  • 配合AWS Security Group配置，仅开放Anypoint Platform中QA环境指定API的出口IP段访问AWS VPC的目标端口/资源，拒绝其他IP的访问。
• 使用Anypoint的Environment Specific Properties，给目标API单独配置AWS相关的连接属性（比如VPC端点URL、访问密钥），其他API不配置这些属性，从配置层面阻断其连接能力。

三、将Anypoint Platform的流量重定向至已对等连接的合作伙伴VPC #

无需Transit Gateway的方案（避免影响全局环境） #

1. AWS端路由配置：
   • 在接收Anypoint流量的AWS VPC路由表中，添加一条路由规则：目标为Anypoint Platform的源IP段，下一跳指向VPC对等连接ID。
   • 确保合作伙伴VPC的路由表中也添加反向路由：目标为Anypoint的源IP段，下一跳指向该对等连接ID。
2. 流量过滤控制：
   • 在AWS VPC的Security Group中，仅允许来自指定API的源IP访问VPC内用于转发的资源（比如NAT实例或内部负载均衡）。
   • 配置网络ACL（NACL），仅放行指定API的流量通过VPC对等连接，拒绝其他无关流量。

若使用Transit Gateway的安全配置（最小化影响） #

• 创建单独的Transit Gateway路由表，仅将指定API的流量路由到合作伙伴VPC的对等连接，其他流量使用默认路由表。
• 在Transit Gateway的附件配置中，只为接收Anypoint流量的VPC和合作伙伴VPC关联该专用路由表，其他VPC不关联，避免全局影响。
• 配合Transit Gateway的安全组和路由策略，仅允许指定源IP（目标API的出口IP）的流量通过该路由表转发。

关键注意事项 #

• 所有配置遵循最小权限原则，仅开放必要的IP、端口和资源访问权限。
• 测试阶段先在非生产环境验证流量路径，确保只有指定API的流量能到达合作伙伴VPC，其他流量被正确阻断。

内容的提问来源于stack exchange，提问作者Roberto Romo