混合 NAT

借助混合 NAT（一种 Private NAT），您可以在虚拟私有云 (VPC) 网络与本地网络或其他云服务商网络之间执行网络地址转换 (NAT)。非 Google Cloud 网络必须是 通过使用 Google Cloud 的 Network Connectivity 产品，例如 Cloud Interconnect 或 Cloud VPN。

规格

除了常规 Private NAT 规范之外，混合 NAT 还具有以下规范：

  • 借助混合 NAT，VPC 网络可以与本地网络或其他云服务提供商网络通信，即使这些网络的子网 IP 地址范围重叠也是如此。通过使用 type=PRIVATE 的 NAT 配置，VPC 网络的重叠子网和非重叠子网中的资源都可以连接到非 Google Cloud 网络的非重叠子网中的资源。

  • 如需启用混合 NAT，非 Google Cloud 网络必须 通告其动态路由，以便您的 VPC 网络可以 学习和使用它们。Cloud Router 会从 Google Cloud 的网络连接产品（例如 Cloud Interconnect、高可用性 VPN 或配置了动态路由的传统 VPN）学习这些动态路由。 这些动态路由是 VPC 之外的 IP 地址范围 。

    同样，对于返回流量，您的 VPC 网络 投放广告 通过 Cloud Router 路由器配置专用 NAT 子网路由 并且此子网路由不得与 连接网络。

  • 混合 NAT 会对源自某个 IP 地址的流量执行 NAT， VPC 网络连接到本地网络或其他云 提供商网络。这些网络必须通过 Cloud Interconnect 或 Cloud VPN 连接。

  • 只有在启用动态路由的情况下，混合 NAT 才支持现有的传统 VPN 隧道。

  • 您需要创建具有匹配表达式的自定义 NAT 规则 nexthop.is_hybrid。NAT 规则指定来自用途为 PRIVATE_NAT 的子网的 NAT IP 地址范围，VPC 网络中的资源可使用该子网与其他网络进行通信。

  • 您配置混合 NAT 的 Cloud Router 路由器必须位于与 VPC 网络相同的区域。

  • 您配置混合 NAT 的 Cloud Router 路由器不能包含任何其他 NAT 配置。

基本的混合 NAT 配置和工作流

下图展示了基本的混合 NAT 配置：

Hybrid NAT 转换示例。
混合 NAT 转换示例（点击可放大）。

在此示例中，混合 NAT 的设置如下：

  • pvt-nat-gw 网关在 vpc-a 中进行配置，以应用于 us-east1 区域中 subnet-a 的所有 IP 地址范围。
  • Cloud Router 路由器和本地路由器或其他云服务商的路由器 交换以下子网路由：
    • Cloud Router 路由器会将 10.1.2.0/29 通告给 外部路由器
    • 外部路由器将 192.168.2.0/24 通告到 Cloud Router 路由器。
  • 通过使用 pvt-nat-gw 的 NAT IP 地址范围，虚拟机 (VM) 位于 vpc-a 的 subnet-a 中的实例可以将流量发送到位于 subnet-b 的 本地网络或其他云服务商网络 vpc-a 中的 subnet-a 与以下子网中的另一个子网重叠 非 Google Cloud 网络。

混合 NAT 工作流示例

在上图中，vm-a，内部 IP 地址 192.168.1.2 vpc-a 上的 subnet-a 需要使用内部 API 从 vm-b 下载更新 本地 subnet-b 中的 IP 地址 192.168.2.2 或其他云服务提供商网络Cloud Interconnect 连接 从 VPC 网络连接到本地网络或其他云环境， 提供商网络。假设非 Google Cloud 网络包含另一个子网 192.168.1.0/24，该子网与 vpc-a 中的子网重叠。对于vpc-a的subnet-a与subnet-b的 非 Google Cloud 网络，则需要配置一个 vpc-a 中的专用 NAT 网关 pvt-nat-gw，如下所示：

  • 指定用途为 PRIVATE_NAT 的 Private NAT 子网，例如 10.1.2.0/29。在配置 Private NAT 网关之前，请先创建此子网。确保此子网与任何已连接网络中的现有子网不重叠。
  • 使用 match='nexthop.is_hybrid' 创建 NAT 规则。
  • 将 Private NAT 网关配置为应用于所有 IP 地址 范围为 subnet-a。

Hybrid NAT 按照端口预留过程为网络中的每个虚拟机预留以下 NAT 来源 IP 地址和来源端口元组。例如，Private NAT 网关会为 vm-a 预留 64 个源端口：10.1.2.2:34000 到 10.1.2.2:34063。

当虚拟机使用 TCP 协议将数据包发送到目标端口 80 上的更新服务器 192.168.2.2 时，会发生以下情况：

  1. 虚拟机发送的请求包具有以下属性：

    • 来源 IP 地址：192.168.1.2，虚拟机的内部 IP 地址
    • 来源端口：24000，虚拟机操作系统选择的临时来源端口
    • 目标地址：192.168.2.2，更新服务器的 IP 地址
    • 目标端口：80，指向更新服务器的 HTTP 流量的目标端口
    • 协议：TCP

  2. pvt-nat-gw 网关会对出站流量执行来源网络地址转换 (SNAT 或来源 NAT)，并重写请求数据包的 NAT 来源 IP 地址和来源端口：

    • NAT 来源 IP 地址：10.1.2.2，来自虚拟机预留的 NAT 来源 IP 地址和来源端口元组
    • 来源端口：34022，来自虚拟机预留的来源端口元组之一的未使用的来源端口
    • 目标地址：192.168.2.2，未更改
    • 目标端口：80，未更改
    • 协议：TCP，保持不变

  3. 更新服务器发送一个响应数据包，该数据包到达 具有以下特性的 pvt-nat-gw 网关：

    • 来源 IP 地址：192.168.2.2，更新服务器的内部 IP 地址
    • 来源端口：80，来自更新服务器的 HTTP 响应
    • 目标地址：10.1.2.2，与原始 NAT 来源 IP 地址一致 请求数据包的
    • 目标端口：34022，与请求数据包的来源端口一致
    • 协议：TCP，保持不变

  4. pvt-nat-gw 网关会执行目标网络地址转换 (DNAT)，并重写响应数据包的目标 地址和目标端口，以便将数据包传送到 使用以下属性请求更新：

    • 来源 IP 地址：192.168.2.2，未更改
    • 来源端口：80，未更改
    • 目标地址：192.168.1.2，虚拟机的内部 IP 地址
    • 目标端口：24000，与请求数据包的原始临时来源端口一致
    • 协议：TCP，保持不变

后续步骤