Öffentliche NAT

Mit Public NAT können Ihre Google Cloud-VM-Instanzen, die keine öffentlichen IP-Adressen haben, über eine Reihe freigegebener öffentlicher IP-Adressen mit dem Internet kommunizieren. Cloud NAT verwendet ein öffentliches NAT-Gateway, das jeder VM, die über das Gateway ausgehende Verbindungen zum Internet herstellt, eine Reihe externer IP-Adressen und Quellports zuweist.

Grundlegende öffentliche NAT-Konfiguration und -Workflow

Das folgende Diagramm zeigt eine grundlegende Public NAT-Konfiguration:

Beispiel für eine öffentliche NAT-Übersetzung.
Beispiel für öffentliche NAT-Übersetzung (zum Vergrößern anklicken)

In diesem Fall gilt Folgendes:

  • Das Gateway nat-gw-us-east ist so konfiguriert, dass es auf den primären IP-Adressbereich von subnet-1 in der Region us-east1 angewendet wird. Eine VM, deren Netzwerkschnittstelle keine externe IP-Adresse hat, kann Traffic über die primäre interne IP-Adresse oder einen Alias-IP-Bereich aus dem primären IP-Adressbereich von subnet-1, 10.240.0.0/16, an das Internet senden.

  • Eine VM, deren Netzwerkschnittstelle keine externe IP-Adresse hat und deren primäre interne IP-Adresse sich in subnet-2 befindet, kann nicht auf das Internet zugreifen, da kein öffentliches NAT-Gateway auf einen IP-Adressbereich dieses Subnetzes angewendet wird.

  • Das Gateway nat-gw-eu ist so konfiguriert, dass es auf den primären IP-Adressbereich von subnet-3 in der Region europe-west1 angewendet wird. Eine VM, deren Netzwerkschnittstelle keine externe IP-Adresse hat, kann Traffic über die primäre interne IP-Adresse oder einen Alias-IP-Bereich aus dem primären IP-Adressbereich von subnet-3, 192.168.1.0/24, an das Internet senden.

Beispiel für einen öffentlichen NAT-Workflow

Im vorherigen Diagramm muss eine VM mit der primären internen IP-Adresse 10.240.0.4 ohne externe IP-Adresse ein Update von der externen IP-Adresse 203.0.113.1 herunterladen. Im Diagramm ist das nat-gw-us-east-Gateway so konfiguriert:

  • Mindestanzahl an Ports pro Instanz: 64
  • Zwei NAT-IP-Adressen (Network Address Translation) wurden manuell zugewiesen: 192.0.2.50 und 192.0.2.60
  • Bereitgestellte NAT für den primären IP-Adressbereich von subnet-1

Public NAT folgt dem Portreservierungsverfahren, um die folgenden Tupel aus NAT-Quell-IP-Adresse und Quellport für jede der VMs im Netzwerk zu reservieren. Das Public NAT-Gateway reserviert beispielsweise 64 Quellports für die VM mit der internen IP-Adresse 10.240.0.4. Die NAT-IP-Adresse 192.0.2.50 hat 64 nicht reservierte Ports. Deshalb reserviert das Gateway die folgenden 64 Tupel aus NAT-Quell-IP-Adresse und Quellport für diese VM:

  • 192.0.2.50:34000 bis 192.0.2.50:34063

Wenn die VM ein Paket mit dem TCP-Protokoll an den Update-Server 203.0.113.1 auf dem Zielport 80 sendet, geschieht Folgendes:

  • Die VM sendet ein Anfragepaket mit folgenden Attributen:

    • Quell-IP-Adresse: 10.240.0.4, die primäre interne IP-Adresse der VM
    • Quellport: 24000, der sitzungsspezifische Quellport, der vom Betriebssystem der VM ausgewählt wurde
    • Zieladresse: 203.0.113.1, die externe IP-Adresse des Update-Servers
    • Zielport: 80, der Zielport für HTTP-Traffic zum Update-Server
    • Protokoll: TCP

  • Das Gateway nat-gw-us-east führt SNAT (Source Network Address Translation) für ausgehenden Traffic aus und schreibt die NAT-Quell-IP-Adresse und den Quellport des Anfragepakets um. Das geänderte Paket wird an den Internet, wenn das VPC-Netzwerk (Virtual Private Cloud) eine Route für die 203.0.113.1 hat Ziel, dessen nächster Hop das Standard-Internetgateway ist. Eine Standardroute erfüllt diese Anforderung in der Regel.

    • NAT-Quell-IP-Adresse: 192.0.2.50 von einem der reservierten Tupel aus NAT-Quell-IP-Adresse und Quellport
    • Quellport: 34022, ein nicht verwendeter Quellport aus einem der reservierten Quellport-Tupel der VM
    • Zieladresse: 203.0.113.1, unverändert
    • Zielport: 80, unverändert
    • Protokoll: TCP, unverändert

  • Wenn der Update-Server ein Antwortpaket sendet, kommt dieses Paket mit folgenden Attributen am nat-gw-us-east Gateway an:

    • Quell-IP-Adresse: 203.0.113.1, die externe IP-Adresse des Update-Servers
    • Quellport: 80, die HTTP-Antwort vom Update-Server
    • Zieladresse: 192.0.2.50, entspricht der ursprünglichen NAT-Quell-IP-Adresse des Anfragepakets
    • Zielport: 34022, entspricht dem Quellport des Anfragepakets
    • Protokoll: TCP, unverändert

  • Das Gateway nat-gw-us-east führt DNAT für das Antwortpaket aus und schreibt die Zieladresse und den Zielport des Antwortpakets um, damit das Paket an die VM gesendet wird:

    • Quell-IP-Adresse: 203.0.113.1, unverändert
    • Quellport: 80, unverändert
    • Zieladresse: 10.240.0.4, die primäre interne IP-Adresse der VM
    • Zielport: 24000, entspricht dem ursprünglichen sitzungsspezifischen Quellport des Anfragepakets
    • Protokoll: TCP, unverändert

Spezifikationen

Allgemeine Spezifikationen

Sie können ein öffentliches NAT-Gateway so konfigurieren, dass dem Internet NAT für Pakete bereitgestellt wird, die gesendet werden über:

  • Die primäre interne IP-Adresse der Compute Engine VM-Schnittstelle, sofern der Netzwerkschnittstelle keine externe IP-Adresse zugewiesen ist. Wenn der Netzwerkschnittstelle eine externe IP-Adresse zugewiesen ist, führt Google Cloud automatisch eine 1:1-NAT für Pakete aus, deren Quellen mit der primären internen IP-Adresse der Schnittstelle übereinstimmen, da die Netzwerkschnittstelle die Anforderungen für den Internetzugriff von Google Cloud erfüllt. Das Vorhandensein eines der externen IP-Adresse einer Schnittstelle hat immer Vorrang führt 1:1-NAT ohne öffentliche NAT aus.

  • Ein Alias-IP-Bereich, der der Netzwerkschnittstelle der VM zugewiesen ist. Auch wenn der Netzwerkschnittstelle eine externe IP-Adresse zugewiesen ist, können Sie ein öffentliches NAT-Gateway konfigurieren, um NAT für Pakete bereitzustellen, deren Quellen aus einem Alias-IP-Bereich der Schnittstelle stammen. Wenn eine externe IP-Adresse einer Schnittstelle zugewiesen ist, wird für Alias-IP-Adressen nie 1:1-NAT ausgeführt.

  • Für GKE-Cluster (Google Kubernetes Engine) kann öffentliche NAT auch dann Dienste bereitstellen, wenn hat der Cluster unter bestimmten Umständen externe IP-Adressen. Weitere Informationen finden Sie unter GKE-Interaktion.

Public NAT ermöglicht ausgehende Verbindungen und die eingehenden Antworten auf diese Verbindungen. Jedes öffentliche NAT-Gateway führt Quell-NAT bei ausgehendem Traffic und Ziel-NAT für etablierte Antwortpakete aus.

Public NAT erlaubt keine unerwünschten eingehenden Anfragen aus dem Internet, auch wenn Firewallregeln diese Anfragen andernfalls zulassen würden. Weitere Informationen finden Sie unter Anwendbare RFCs.

Jedes öffentliche NAT-Gateway ist einer einzelnen VPC zugeordnet Netzwerk, Region und Cloud Router. Das öffentliche NAT-Gateway und der Cloud Router bieten eine Steuerungsebene. Sie sind nicht an der Datenebene beteiligt, sodass Pakete nicht über das öffentliche NAT-Gateway oder den Cloud Router geleitet werden.

Routen und Firewallregeln

Public NAT basiert auf benutzerdefinierten statischen Routen, deren nächster Hop das Standard-Internetgateway ist. Damit Sie ein öffentliches NAT-Gateway vollständig nutzen können, Das Virtual Private Cloud-Netzwerk benötigt eine Standardroute, deren nächster Hop die Standardeinstellung ist Internetgateways. Weitere Informationen finden Sie unter Interaktionen mit Routen.

Für Public NAT gelten keine Anforderungen an Cloud NGFW-Regeln. Firewallregeln werden direkt auf die Netzwerkschnittstellen von Compute Engine-VMs angewendet, nicht auf öffentliche NAT-Gateways.

Sie müssen keine spezifischen Firewallregeln erstellen, die Verbindungen zu oder von NAT-IP-Adressen zulassen. Wenn ein öffentliches NAT-Gateway NAT für die Netzwerkschnittstelle einer VM bereitstellt, werden geltende Firewallregeln für ausgehenden Traffic als Pakete für diese Netzwerkschnittstelle vor NAT ausgewertet. Firewallregeln für eingehenden Traffic werden ausgewertet, nachdem Pakete von NAT verarbeitet wurden.

Anwendbarkeit des Subnetz-IP-Adressbereichs

Sie können das öffentliche NAT-Gateway so konfigurieren, dass es NAT für die VM bereitstellt die primäre interne IP-Adresse und/oder Alias-IP-Bereiche der Netzwerkschnittstelle. Ich diese Konfiguration vornehmen, indem Sie Subnetz-IP-Adressbereiche in auf den das Gateway angewendet werden soll.

Sie können ein öffentliches NAT-Gateway konfigurieren, um NAT für Folgendes bereitzustellen:

  • Primäre und sekundäre IP-Adressbereiche aller Subnetze in der Region. Eine einzelne Öffentliches NAT-Gateway bietet NAT für die primäre interne IP-Adresse Adressen und alle Alias-IP-Bereiche zulässiger VMs, deren Netzwerkschnittstellen Verwenden Sie ein Subnetz in der Region. Bei dieser Option wird genau ein NAT-Gateway pro Region

  • Primäre IP-Adressbereiche aller Subnetze in der Region. Ein einzelnes öffentliches NAT-Gateway bietet NAT für die primären internen IP-Adressen und Alias-IP-Bereiche aus den primären IP-Adressbereichen der aktiven VMs, deren Netzwerkschnittstellen ein Subnetz in der Region verwenden. Sie können zusätzliche öffentliche NAT-Gateways in der Region erstellen, NAT für Alias-IP-Bereiche aus den sekundären IP-Adressbereichen des Subnetzes infrage kommenden VMs.

  • Liste der benutzerdefinierten Subnetze. Ein einzelnes öffentliches NAT-Gateway bietet NAT für die primäre interne IP-Adresse Adressen und alle Alias-IP-Bereiche zulässiger VMs, deren Netzwerkschnittstellen ein Subnetz aus einer Liste verwenden bestimmter Subnetze.

  • Benutzerdefinierte IP-Adressbereiche des Subnetzes: Sie können so viele öffentliche NAT wie Gateways bei Bedarf entsprechend den öffentlichen NAT-Kontingenten und . Sie entscheiden, welche primären oder sekundären IP-Adressbereiche von jedem Gateway bereitgestellt werden sollen.

Mehrere öffentliche NAT-Gateways

Sie können mehrere öffentliche NAT-Gateways in derselben Region haben eines VPC-Netzwerk, wenn eine der folgenden Bedingungen erfüllt ist:

  • Jedes Gateway ist für ein anderes Subnetz konfiguriert.

  • Innerhalb eines einzelnen Subnetzes ist jedes Gateway für einen anderen IP-Adressbereich konfiguriert. Sie können ein öffentliches NAT-Gateway mit dem folgenden Befehl einem bestimmten Subnetz oder IP-Adressbereich zuordnen: eine benutzerdefinierte Cloud NAT-Zuordnung.

Solange sich Ihre zugeordneten NAT-Gateways nicht überschneiden, können Sie beliebig viele Öffentliche NAT-Gateways nach Bedarf, vorbehaltlich öffentlicher NAT Kontingente und Limits. Weitere Informationen finden Sie unter Einschränkungen für Cloud NAT-Gateways

Bandbreite

Die Verwendung eines Public NAT-Gateways wirkt sich nicht auf die Größe der von einer VM verwendeten ausgehenden oder eingehenden Bandbreite aus. Informationen zu Bandbreitenspezifikationen, die je nach Maschinentyp variieren, finden Sie unter Netzwerkbandbreite in der Compute Engine-Dokumentation.

VMs mit mehreren Netzwerkschnittstellen

Wenn Sie eine VM mit mehreren Netzwerkschnittstellen konfigurieren, muss sich jede Schnittstelle in einem separaten VPC-Netzwerk befinden. Daher gilt Folgendes:

  • Ein öffentliches NAT-Gateway kann nur auf eine einzelne Netzwerkschnittstelle einer VM angewendet werden. Separate öffentliche NAT-Gateways können demselben NAT-Dienst VM, bei der jedes Gateway für eine separate Schnittstelle gilt.
  • Eine Schnittstelle einer VM mit mehreren Netzwerkschnittstellen kann eine externe IP-Adresse haben Adresse, sodass diese Schnittstelle nicht für öffentliche NAT verfügbar ist, während ein anderer Schnittstellen können für NAT qualifiziert sein, wenn diese Schnittstelle keine externe IP-Adresse hat und Sie haben ein öffentliches NAT-Gateway konfiguriert, das auf den entsprechenden Subnetz-IP-Adressbereich.

NAT-IP-Adressen und -Ports

Wenn Sie ein öffentliches NAT-Gateway erstellen, können Sie Gateway automatisch regionale externe IP-Adressen zu. Alternativ können Sie dem Gateway manuell eine feste Anzahl regionaler externer IP-Adressen zuweisen.

Für ein öffentliches NAT-Gateway mit automatischer NAT-IP-Adresse sollten Sie Folgendes bedenken:

  • Sie können die Netzwerkdienststufen (Premium- oder Standardstufe) auswählen, von denen das öffentliche NAT-Gateway die IP-Adressen zuweist.

  • Wenn Sie die Stufe für ein öffentliches NAT-Gateway ändern, dem automatisch NAT-IP-Adressen zugewiesen wurden, werden alle zugewiesenen IP-Adressen für dieses Gateway in Google Cloud freigegeben und alle Portzuweisungen werden zurückgenommen.

    Es werden automatisch neue IP-Adressen aus der neu ausgewählten Stufe zugewiesen und allen Endpunkten werden neue Portzuweisungen bereitgestellt.

Sie können einem bestimmten öffentlichen NAT-Gateway auch manuell IP-Adressen aus der Premium- oder der Standardstufe oder aus beiden Stufen zuweisen, wenn bestimmte Bedingungen erfüllt sind.

Weitere Informationen zur NAT-IP-Adresszuweisung finden Sie unter Öffentliche NAT-IP-Adresse Adressen.

Sie können die Anzahl der Quellports konfigurieren, Gateway für jede VM reserviert, für die NAT-Dienste bereitgestellt werden sollen. Sie können die Zuweisung statischer Ports konfigurieren wobei für jede VM die gleiche Anzahl von Ports reserviert ist. Dynamischer Port Zuordnung, wobei die Anzahl der reservierten Ports können zwischen den von Ihnen angegebenen Mindest- und Höchstwerten variieren.

Die VMs, für die NAT bereitgestellt werden soll, richten sich nach den Subnetz-IP-Adressbereichen, für deren Bereitstellung das Gateway konfiguriert ist.

Weitere Informationen zu Ports finden Sie unter Ports.

Anwendbare RFCs

Öffentliche NAT unterstützt endpunktunabhängige Zuordnung und endpunktabhängige Filterung gemäß RFC 5128. Sie können die endpunktunabhängige Zuordnung aktivieren oder deaktivieren. Standardmäßig ist die endpunktunabhängige Zuordnung deaktiviert, wenn Sie ein NAT-Gateway erstellen.

Endpunktunabhängige Zuordnung bedeutet Folgendes: Wenn eine VM Pakete über ein bestimmtes Paar aus interner IP-Adresse und Port an verschiedene Ziele sendet, ordnet das Gateway alle diese Pakete demselben Paar aus NAT-IP-Adresse und Port zu, unabhängig vom Ziel der Pakete. Weitere Informationen und Auswirkungen auf die endpunktunabhängige Zuordnung finden Sie unter Gleichzeitige Portwiederverwendung und endpunktunabhängige Zuordnung.

Endpunktabhängige Filterung bedeutet, dass Antwortpakete aus dem Internet nur dann eingehen dürfen, wenn sie von einer IP-Adresse und einem Port stammen, an die eine VM bereits Pakete gesendet hat. Die Filterung ist endpunktabhängig, unabhängig davon, des Endpunktzuordnungstyps. Dieses Feature ist immer aktiviert und kann vom Nutzer nicht konfiguriert werden.

Weitere Informationen zur Beziehung zwischen Ports und Verbindungen finden Sie unter Ports und Verbindungen sowie im Beispiel für NAT-Ablauf.

Public NAT ist eine Port-eingeschränkte Cone-NAT, wie in RFC 3489 definiert.

NAT-Durchlauf

Wenn die endpunktunabhängige Zuordnung aktiviert ist, öffentliche NAT ist kompatibel mit gängigen NAT-Traversal-Protokollen wie STUN und TURN, wenn Sie Stellen Sie Ihre eigenen STUN- oder TURN-Server bereit:

  • STUN (Session Traversal Utilities for NAT, RFC 5389) ermöglicht die direkte Kommunikation zwischen VMs hinter NAT, wenn ein Kommunikationskanal eingerichtet wurde.
  • TURN (Traversal Using Relays around NAT, RFC 5766) ermöglicht die Kommunikation zwischen VMs hinter NAT über einen Drittanbieter-Server, auf dem dieser Server eine externe IP-Adresse hat. Jede VM stellt eine Verbindung zur externen IP-Adresse des Servers her und dieser Server leitet die Kommunikation zwischen den beiden VMs weiter. TURN ist robuster, verbraucht jedoch mehr Bandbreite und Ressourcen.

NAT-Zeitlimits

Public NAT legt Zeitlimits für Protokollverbindungen fest. Informationen zu diesen Zeitlimits und ihren Standardwerten finden Sie unter NAT-Zeitlimits.

Nächste Schritte