NAT privato

NAT privato consente la traduzione di indirizzi da privato a privato tra reti:

  • NAT privato per gli spoke di Network Connectivity Center consente la Network Address Translation (NAT) da privato a privato per le reti Virtual Private Cloud (VPC) connesse a un hub di Network Connectivity Center, che include la NAT da privato a privato per il traffico tra gli spoke VPC e tra gli spoke VPC e gli spoke ibride.
  • NAT ibrido abilita il NAT da privato a privato Reti VPC e reti on-premise o di altri cloud provider collegate a Google Cloud tramite Cloud Interconnect o Cloud VPN.

Specifiche

Le seguenti sezioni descrivono le specifiche del Private NAT. Queste specifiche si applicano sia Private NAT per gli spoke di Network Connectivity Center e NAT ibrido.

Specifiche generali

  • Private NAT consente le connessioni in uscita e le risposte in entrata a queste connessioni. Ogni gateway NAT privato esegue il NAT di origine in uscita e il NAT di destinazione per i pacchetti di risposta stabiliti.

  • Private NAT non supporta le reti VPC in modalità automatica.

  • Private NAT non consente richieste in entrata non richieste da reti collegate, anche se le regole del firewall consentirebbero altrimenti queste richieste. Per ulteriori informazioni, vedi RFC applicabili.

  • Ogni gateway Private NAT è associato a un singolo VPC rete, regione e router Cloud. Il gateway Private NAT e il router Cloud forniscono un piano di controllo: non sono coinvolti nel piano dati, pertanto i pacchetti non passano attraverso il gateway Private NAT o il router Cloud.

  • Private NAT non supporta la mappatura indipendente dagli endpoint.
  • Non puoi utilizzare Private NAT per tradurre un di indirizzi IP secondari per una data subnet. Un gateway NAT privato esegue il NAT su tutti gli intervalli di indirizzi IPv4 per una determinata sottorete o un elenco di sottoreti.
  • Dopo aver creato la subnet, non puoi aumentare o diminuire il Private NAT la dimensione della subnet. Tuttavia, puoi specificare più intervalli di subnet Private NAT per un determinato gateway.
  • Private NAT supporta un massimo di 64.000 connessioni simultanee per endpoint.
  • Private NAT supporta solo le connessioni TCP e UDP.
  • Un'istanza di una macchina virtuale (VM) in una rete VPC può accedere solo destinazioni in una subnet non sovrapposta e non sovrapposta su una rete connessa.

Route e regole firewall

Private NAT utilizza i seguenti route:

  • Per gli spoke di Network Connectivity Center, Private NAT utilizza route di subnet e route dinamiche:
    • Per il traffico tra due spoke VPC collegati un hub Network Connectivity Center contenente solo spoke VPC, Private NAT utilizza le route di subnet scambiati dagli spoke VPC collegati. Per informazioni sugli spoke VPC, consulta Panoramica degli spoke VPC.
    • Se un hub di Network Connectivity Center contiene entrambi gli spoke VPC e spoke ibridi come i collegamenti VLAN per Cloud Interconnect, i tunnel Cloud VPN o VM dell'appliance router; Private NAT utilizza le route dinamiche apprese dagli spoke ibridi tramite BGP (anteprima) e route di subnet scambiate dagli spoke VPC collegati. Per informazioni sugli ambienti spoke, consulta spoke ibridi.
  • Per Hybrid NAT, Private NAT utilizza le route dinamiche imparate dal router Cloud tramite Cloud Interconnect o Cloud VPN.

Private NAT non ha requisiti per le regole Cloud NGFW. Le regole firewall sono applicata direttamente alle interfacce di rete delle VM di Compute Engine, non ai gateway Private NAT.

Non è necessario creare regole firewall speciali che consentano le connessioni da o verso l'IP NAT indirizzi IP esterni. Quando un gateway NAT privato fornisce NAT per l'interfaccia di rete di una VM, le regole firewall in uscita applicabili vengono valutate come pacchetti per l'interfaccia di rete prima di NAT. Le regole firewall in entrata vengono valutate dopo che i pacchetti sono stati elaborati da NAT.

Applicabilità dell'intervallo di indirizzi IP della subnet

Puoi configurare un gateway Private NAT per fornire NAT per quanto segue:

  • Intervalli di indirizzi IP principali e secondari di tutte le subnet nella regione. Un singolo gateway NAT privato fornisce NAT per gli indirizzi IP interni principali e per tutti gli intervalli IP alias delle VM idonee le cui interfacce di rete utilizzano una subnet nella regione. Questa opzione utilizza esattamente un gateway NAT per regione.

  • Elenco di subnet personalizzate. Un singolo gateway Private NAT fornisce il NAT per l'IP interno principale e tutti gli intervalli IP alias delle VM idonee le cui interfacce di rete utilizzano una subnet da un elenco di subnet specificate.

Larghezza di banda

L'uso di un gateway Private NAT non cambia la quantità di messaggi in uscita e la larghezza di banda in entrata utilizzabile da una VM. Per le specifiche della larghezza di banda, che variano di tipo di macchina, consulta Larghezza di banda di rete nell' documentazione di Compute Engine.

VM con più interfacce di rete

Se configuri una VM con più interfacce di rete, ogni interfaccia deve trovarsi in una rete VPC distinta. Di conseguenza, un gateway NAT privato può essere applicato solo a una singola interfaccia di rete di una VM. Gateway NAT privati separati possono fornire NAT alla stessa VM, dove ogni gateway si applica a un'interfaccia separata.

Indirizzi IP e porte NAT

Quando crei un gateway Private NAT, devi specificare una subnet di scopo PRIVATE_NAT da cui vengono assegnati gli indirizzi IP NAT per le VM. Per ulteriori informazioni su Private NAT Per l'assegnazione degli indirizzi IP, vedi Indirizzi IP Private NAT.

Puoi configurare il numero di porte di origine che ogni gateway NAT privato riserva su ogni VM per cui deve fornire servizi NAT. Puoi configurare l'allocazione statica delle porte, in cui lo stesso numero di porte è riservato per ogni VM, o l'allocazione dinamica delle porte, in cui il numero di porte riservate può variare tra i limiti minimo e massimo specificati.

Le VM per le quali deve essere fornito il NAT sono determinate dagli intervalli di indirizzi IP della subnet per i quali il gateway è configurato per il servizio.

Per ulteriori informazioni sulle porte, consulta la sezione Porte.

RFC applicabili

Private NAT è un Cone NAT con limitazioni per le porte, come definito nel documento RFC 3489.

Timeout NAT

Private NAT imposta i timeout per le connessioni di protocollo. Per informazioni su questi timeout e sui relativi valori predefiniti, consulta Timeout NAT.

Passaggi successivi