Regole Cloud NAT

La funzionalità delle regole NAT consente di creare regole di accesso che definiscono la modalità di utilizzo di Cloud NAT per la connessione a internet. Le regole NAT supportano il NAT di origine in base all'indirizzo di destinazione.

Quando configuri un gateway NAT senza regole NAT, le VM che lo utilizzano impiegano lo stesso insieme di indirizzi IP NAT per raggiungere tutti gli indirizzi internet. Se hai bisogno di un maggiore controllo sui pacchetti che passano attraverso Cloud NAT, puoi aggiungere regole NAT. Una regola NAT definisce una condizione di corrispondenza e un'azione corrispondente. Dopo aver specificato le regole NAT, ogni pacchetto viene associato a ogni regola NAT. Se un pacchetto corrisponde alla condizione impostata in una regola, viene eseguita l'azione corrispondente a quella corrispondenza.

Esempio di configurazione della regola Cloud NAT

L'esempio seguente illustra come utilizzare le regole NAT quando la destinazione consente l'accesso solo da alcuni indirizzi IP. Ti consigliamo di eseguire la traduzione NAT di origine per il traffico verso queste destinazioni dalle VM Google Cloud in sottoreti private con solo gli indirizzi IP consentiti. Ti consigliamo di non utilizzare questi indirizzi IP per altre destinazioni.

Prendi in considerazione i seguenti requisiti per le VM in Subnet-1 (10.10.10.0/24), che si trova nella regione A della rete VPC test:

  • Le VM devono utilizzare l'indirizzo IP NAT 203.0.113.20 per inviare traffico alla destinazione198.51.100.20/30.
  • Le VM devono utilizzare l'indirizzo IP NAT 203.0.113.30 per inviare traffico alla destinazione198.51.100.30 o 198.51.100.31.
  • Le VM devono utilizzare l'indirizzo IP NAT 203.0.113.40 per inviare traffico a qualsiasi altra destinazione internet.

Questa rete VPC contiene anche altre due subnet nella stessa regione. Queste VM devono utilizzare l'indirizzo IP NAT 203.0.113.10 per inviare traffico a qualsiasi destinazione.

Configurazione di Cloud NAT con due gateway Cloud NAT.
Configurazione Cloud NAT con due gateway Cloud NAT (fai clic per ingrandire).

Per questo esempio puoi utilizzare le regole NAT, ma hai bisogno di due gateway NAT perchéSubnet-1 (10.10.10.0/24) ha regole NAT diverse dalle altre subnet. Per creare questa configurazione:

  1. Crea un gateway denominato Cloud NAT Gateway 1 per Subnet-1 con indirizzo IP NAT 203.0.113.40 e aggiungi le seguenti regole:
    1. Regola NAT 1 in Cloud NAT Gateway 1: quando la destinazione è 198.51.100.20/30, utilizza il NAT di origine con 203.0.113.20.
    2. Regola NAT 2 in Cloud NAT Gateway 1: quando la destinazione è 198.51.100.30 o 198.51.100.31, utilizza NAT di origine con 203.0.113.30.
  2. Crea un gateway denominato Cloud NAT Gateway 2 per le altre sottoreti della regione e assegna l'indirizzo IP NAT come 203.0.113.10. In questo passaggio non sono necessarie regole NAT.

Specifiche delle regole NAT

Prima di utilizzare le regole NAT, tieni presente le seguenti specifiche:

  • Un numero di regola identifica in modo univoco una regola NAT. Nessuna regola può avere lo stesso numero.
  • Ogni configurazione NAT ha una regola predefinita:
    • La regola predefinita viene applicata se non esiste un'altra regola NAT corrispondente nella stessa configurazione NAT.
    • Il numero della regola predefinita è 65001.
    • L'intervallo CIDR IP di destinazione della regola predefinita è 0.0.0.0/0.
  • Le regole Cloud NAT sono supportate solo quando il valore dell'opzione di allocazione dell'IP NAT è MANUAL_ONLY.

  • Tutti gli indirizzi IP configurati in una determinata regola devono essere dello stesso livello.

    Non puoi utilizzare una combinazione di indirizzi IP di livello Premium e di livello Standard all'interno della stessa regola (inclusa la regola predefinita).

  • Gli intervalli CIDR IP di destinazione nella condizione di corrispondenza non devono sovrapporsi tra le regole NAT. Può esistere al massimo una regola che può corrispondere a un determinato pacchetto.

    Non puoi creare una regola NAT con un intervallo CIDR IP di destinazione 0.0.0.0/0, perché questo intervallo viene utilizzato nella regola predefinita.

  • Gli indirizzi IP NAT nelle regole NAT non devono sovrapporsi.

  • Una regola deve avere un indirizzo IP Active o Drain non vuoto. Se la regola ha un indirizzo IP Active vuoto, le nuove connessioni che coincidono con la regola NAT vengono interrotte.

  • Le regole NAT non possono essere aggiunte a un gateway NAT con la mappatura indipendente dagli endpoint abilitata. Non puoi attivare la mappatura indipendente dagli endpoint su un gateway NAT contenente regole NAT.

Inoltre, a tutte le VM vengono assegnate le porte dal valore del numero minimo di porte per VM per ogni regola Cloud NAT. Se le porte allocate a una VM da una regola NAT sono esaurite, le nuove connessioni che corrispondono alla regola NAT vengono interrotte.

Ad esempio, se configuri 4096 porte per VM e hai 16 VM e 2 regole NAT (rule1 con 1 indirizzo IP e rule2 con 2 indirizzi IP), oltre alla regola predefinita (default) con 2 indirizzi IP, tutte le 16 VM riceveranno 4096 porte in ogni insieme di regole NAT. In questo esempio, non ci sono problemi in default o rule2 per tutte le VM, ma rule1 non è in grado di allocare porte per tutte le VM. Di conseguenza, il traffico proveniente dalle VM che deve passare per rule1 potrebbe essere interrotto e mostrare segni di esaurimento delle risorse perché il traffico non utilizza la regola predefinita.

Linguaggio di espressione di regole

Le regole NAT vengono scritte utilizzando la sintassi di Common Expression Language.

Un'espressione richiede due componenti:

  • Attributi che possono essere ispezionati nelle espressioni delle regole.
  • Operazioni che possono essere eseguite sugli attributi all'interno di un'espressione.

Ad esempio, la seguente espressione utilizza gli attributi destination.ip e 198.51.100.0/24 nell'operazione inIpRange(). In questo caso, l'espressione restituisce true se destination.ip è compreso nell'intervallo di indirizzi IP 198.51.100.0/24.

inIpRange(destination.ip, '198.51.100.0/24')

Le regole NAT supportano solo i seguenti attributi e operazioni:

Attributi

Gli attributi rappresentano le informazioni di un pacchetto in uscita, ad esempio l'indirizzo IP di destinazione.

Nome attributo Descrizione
destination.ip Indirizzo IP di destinazione del pacchetto

Operazioni

La seguente documentazione di riferimento descrive gli operatori che puoi utilizzare con gli attributi per definire le espressioni delle regole.

Operazione Descrizione
inIpRange(string, string) -> bool inIpRange(X, Y) restituisce true se l'intervallo CIDR IP Y contiene l'indirizzo IP X.
|| Operatore logico. x || y restituisce true se x o y è true.
== Operatore di uguaglianza. x == y restituisce true se x è uguale a y.

Espressioni di esempio

Associa il traffico all'indirizzo IP di destinazione 198.51.100.20.

"destination.ip == '198.51.100.20'"

Associa il traffico all'indirizzo IP di destinazione 198.51.100.10/30 o 198.51.100.20.

"inIpRange(destination.ip, '198.51.100.10/30') || destination.ip == '198.51.100.20'"

Passaggi successivi