Configura y administra la traducción de direcciones de red con NAT privada

En esta página, se describe cómo configurar la traducción de direcciones de red (NAT) de privado a privado en Cloud NAT.

Antes de comenzar

Completa las siguientes tareas antes de configurar la NAT privada.

Revisa las especificaciones de NAT privada

Consulta las siguientes especificaciones y requisitos:

• Para conocer las especificaciones generales, consulta NAT privada.
• Para el tráfico entre radios de un concentrador de Network Connectivity Center, incluidos los radios de VPC y los radios híbridos, consulta NAT privada para radios de Network Connectivity Center.
• Para el tráfico entre redes de nube privada virtual (VPC) y redes que no son de Google Cloud a través de Cloud Interconnect o Cloud VPN, consulta Hybrid NAT.

Obtén permisos de IAM

El rol de administrador de redes de procesamiento (roles/compute.networkAdmin) te otorga permisos para crear una puerta de enlace NAT en Cloud Router, reservar y asignar direcciones IP de NAT, y especificar subredes cuyo tráfico debería usar la traducción de direcciones de red a través de la puerta de enlace NAT.

Configura Google Cloud

Antes de comenzar, configura los siguientes elementos en Google Cloud.

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. Enable the Compute Engine API.

   Enable the API

5. Install the Google Cloud CLI.

6. To initialize the gcloud CLI, run the following command:

   gcloud init

   Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

8. Make sure that billing is enabled for your Google Cloud project.

9. Enable the Compute Engine API.

   Enable the API

10. Install the Google Cloud CLI.

11. To initialize the gcloud CLI, run the following command:

    gcloud init

    Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.

En las instrucciones de la CLI de Google Cloud de esta página, se da por hecho que estableciste el ID del proyecto antes de emitir comandos.

1. Puedes configurar un ID del proyecto con el siguiente comando:

   gcloud config set project PROJECT_ID
   

2. También puedes ver el ID de un proyecto que ya está configurado:

   gcloud config list --format='text(core.project)'
   

Crea una subred de NAT con el propósito PRIVATE_NAT

Antes de configurar Private NAT, creas una subred de NAT con el propósito PRIVATE_NAT. La subred de NAT debe estar en la misma región en la que planeas crear tu puerta de enlace de NAT privada. La puerta de enlace de NAT privada usa rangos de direcciones IP de esta subred para realizar NAT. Asegúrate de que esta subred no se superponga con una subred existente en ninguna de las redes conectadas. No puedes crear ningún recurso en esta subred. Esta subred solo se usa para NAT privada.

Console

1. En la consola de Google Cloud, ve a la página Redes de VPC.

   Ir a las redes de VPC

2. Para mostrar la página de detalles de la red de VPC, haz clic en el nombre de una red de VPC.

3. Haz clic en la pestaña Subredes.

4. Haz clic en Agregar subred. En el cuadro de diálogo Agregar una subred, haz lo siguiente:

   1. Proporciona un nombre para la subred.
   2. Selecciona una región.
   3. En Propósito, selecciona NAT privada.

   4. Ingresa un rango de direcciones IP, que es el rango IPv4 principal de la subred.

      Si seleccionas un rango que no es una dirección RFC 1918, confirma que el rango no entre en conflicto con una configuración existente. Para obtener más información sobre los rangos de subredes IPv4 válidos, consulta Rangos de subredes IPv4.

      Nota: No se admiten los rangos de direcciones IP que tienen direcciones IPv4 públicas de uso privado. Para obtener más información, consulta Nodos de VPC y el intercambio de tráfico entre redes de VPC.

5. Haz clic en Agregar.

gcloud

Usa el comando gcloud compute networks subnet create para crear la subred.

  gcloud compute networks subnets create NAT_SUBNET \
      --network=NETWORK \
      --region=REGION \
      --range=IP_RANGE \
      --purpose=PRIVATE_NAT

Reemplaza lo siguiente:

• NAT_SUBNET: Es el nombre del rango de subred de NAT privada que se creará.
• NETWORK: Es la red a la que pertenece la subred.
• REGION: Es la región de la subred que se creará. Si no se especifica, es posible que se te solicite seleccionar una región (solo modo interactivo).
• IP_RANGE: Es el espacio de IP asignado a esta subred en formato CIDR. Asegúrate de que IP_RANGE tenga en cuenta el uso del doble del tamaño de los puertos necesarios por VM.

Configura NAT privada

Para configurar la NAT privada, crea una puerta de enlace de NAT privada en la red de VPC de origen. Cada puerta de enlace está asociada con una sola red de VPC, una región y un Cloud Router.

Cuando configures la NAT privada, puedes habilitar una o ambas de las siguientes opciones:

• NAT privada para radios de Network Connectivity Center. Habilita NAT para el tráfico entre los siguientes elementos:
  • Una red de VPC de origen y una red de VPC de destino en el mismo concentrador de Network Connectivity Center Ambas redes deben configurarse como radios de VPC.
  • Una red de VPC de origen que está configurada como un radio de VPC en un concentrador de Network Connectivity Center y una red local de destino o de otro proveedor de servicios en la nube que está conectada al concentrador a través de un radio híbrido.
• NAT híbrida: Habilita la NAT para el tráfico entre una red de VPC de origen y una red local de destino o de otro proveedor de servicios en la nube. Las redes deben conectarse a través de Cloud Interconnect o Cloud VPN.

Crea una puerta de enlace de NAT privada

Crea una puerta de enlace de NAT privada en la red de VPC de origen para la que deseas configurar NAT.

Console

1. En la consola de Google Cloud, ve a la página de Cloud NAT.

   Ir a Cloud NAT

2. Haz clic en Comenzar o Crear Cloud NAT.

   Nota: Si esta es la primera puerta de enlace de Cloud NAT que crearás, haz clic en Comenzar. Si ya tienes puertas de enlace existentes, en lugar de Comenzar, Google Cloud muestra el botón Crear puerta de enlace de Cloud NAT. Para crear otra puerta de enlace, haz clic en Crear puerta de enlace de Cloud NAT.

3. Ingresa un nombre para la puerta de enlace.

4. En Tipo de NAT, selecciona Privada.

5. Selecciona una red de VPC para la puerta de enlace NAT.

6. Selecciona la región de la puerta de enlace NAT.

7. Selecciona o crea un Cloud Router en la región.

8. Asegúrate de que Instancias de VM esté seleccionado como el tipo de extremo de origen.

9. En la lista Origen, selecciona Personalizado.

10. Selecciona una subred en la que deseas realizar la NAT.

11. Si deseas especificar rangos adicionales, haz clic en Agregar subred y rango de IP.

12. Haz clic en Agregar una regla.

13. En el campo Número de regla, ingresa cualquier valor entre 1 y 65000.

14. En Coincidencia, selecciona una de las siguientes opciones:

    • Para habilitar Hybrid NAT, selecciona Rutas de conectividad híbrida.
    • Para habilitar la NAT privada para los radios de Network Connectivity Center, selecciona Concentrador de Network Connectivity Center.
    • Para habilitar ambas opciones, selecciona Rutas de conectividad híbridas y Concentrador de Network Connectivity Center.

15. Selecciona o crea un rango de subred de NAT privada.

16. Haz clic en Listo.

17. Opcional: Ajusta cualquiera de los siguientes parámetros de configuración en la sección Configuraciones avanzadas:

    • Si se debe configurar el registro. De forma predeterminada, está seleccionada la opción No logging.
    • Si se debe cambiar la forma en que Cloud NAT asigna puertos. De forma predeterminada, está seleccionada la opción Habilitar la asignación dinámica de puertos. Para configurar la asignación de puertos estáticos, borra la opción Habilitar asignación dinámica de puertos y especifica Cantidad mínima de puertos por instancia de VM. El valor predeterminado es 64.
    • Indica si se deben actualizar los tiempos de espera de NAT para las conexiones de protocolo. Para obtener información sobre estos tiempos de espera y sus valores predeterminados, consulta Tiempos de espera de NAT.

18. Haz clic en Crear.

gcloud

1. Crea un Cloud Router en la red de VPC para la que deseas configurar NAT.

   Usa el comando gcloud compute routers create.

   gcloud compute routers create ROUTER_NAME \
       --network=NETWORK --region=REGION
   

   Reemplaza lo siguiente:

   • ROUTER_NAME: Es un nombre para el Cloud Router.
   • NETWORK: Es la red de VPC en la que se creará el Cloud Router.
   • REGION: Es la región en la que se creará el Cloud Router.

2. Crea una puerta de enlace de NAT privada y especifica una o más subredes de la red de VPC de origen para la que deseas configurar la NAT.

   Usa el comando gcloud compute routers nats create con la marca --type configurada como PRIVATE.

   gcloud compute routers nats create NAT_CONFIG \
       --router=ROUTER_NAME --type=PRIVATE --region=REGION \
       --nat-custom-subnet-ip-ranges=SUBNETWORK:ALL|[SUBNETWORK_1:ALL,SUBNETWORK_2:ALL,...] | \
       [--nat-all-subnet-ip-ranges]
   

   Reemplaza lo siguiente:

   • NAT_CONFIG: Es un nombre para la configuración de NAT privada que estás creando.
   • ROUTER_NAME: Es el nombre del Cloud Router que se usará con esta puerta de enlace. Este es el Cloud Router que creaste en el paso anterior y ningún otro recurso debe estar usándolo.

   • SUBNETWORK: Es el nombre de la subred o la lista de subredes para las que deseas usar NAT.

     También puedes especificar una lista de subredes en un formato separado por comas, como SUBNETWORK_1, SUBNETWORK_2. La NAT privada siempre realiza la NAT en todos los rangos de IP de la subred para la subred o la lista de subredes determinada.

   De forma predeterminada, la NAT privada usa la asignación dinámica de puertos. Si deseas crear una puerta de enlace de NAT privada con asignación de puertos estáticos, ejecuta el comando anterior con la marca --no-enable-dynamic-port-allocation:

   gcloud compute routers nats create NAT_CONFIG \
       --router=ROUTER_NAME --type=PRIVATE --region=REGION \
       --nat-custom-subnet-ip-ranges=SUBNETWORK:ALL|[SUBNETWORK_1:ALL,SUBNETWORK_2:ALL,...] | \
       [--nat-all-subnet-ip-ranges]
       --no-enable-dynamic-port-allocation \
       [--min-ports-per-vm=VALUE]
   

   Reemplaza VALUE por la cantidad mínima de puertos que se asignarán por VM. Si no se especifica, Google Cloud asigna el valor predeterminado de 64.

3. Crea una regla de NAT para que coincida con el tráfico según el tipo de NAT que configures.

   Usa el comando gcloud compute routers nats rules create con la marca --match establecida en una de las siguientes opciones:

   • nexthop.is_hybrid: traduce el tráfico saliente de la red de VPC de origen a una red local o de otro proveedor de servicios en la nube que está conectada a Google Cloud a través de Cloud Interconnect o Cloud VPN.
   • nexthop.hub: traduce el tráfico saliente del radio de VPC de origen a cualquiera de los radios híbridos o de VPC que están conectados al mismo concentrador de Network Connectivity Center que el radio de VPC de origen.
   • nexthop.is_hybrid || nexthop.hub: Configura ambos tipos de NAT privada.

   Para crear una regla de NAT para Hybrid NAT, ejecuta el siguiente comando:

   gcloud compute routers nats rules create NAT_RULE_NUMBER \
       --router=ROUTER_NAME --region=REGION \
       --nat=NAT_CONFIG \
       --match='nexthop.is_hybrid' \
       --source-nat-active-ranges=NAT_SUBNET
   

   Para crear una regla de NAT para la NAT privada de los radios de Network Connectivity Center, ejecuta el siguiente comando:

   gcloud compute routers nats rules create NAT_RULE_NUMBER \
       --router=ROUTER_NAME --region=REGION \
       --nat=NAT_CONFIG \
       --match='nexthop.hub == "//networkconnectivity.googleapis.com/projects/PROJECT_ID/locations/global/hubs/HUB"' \
       --source-nat-active-ranges=NAT_SUBNET
   

   Para crear una regla de NAT para Hybrid NAT y NAT privada para radios de Network Connectivity Center, ejecuta el siguiente comando:

   gcloud compute routers nats rules create NAT_RULE_NUMBER \
       --router=ROUTER_NAME --region=REGION \
       --nat=NAT_CONFIG \
       --match='nexthop.is_hybrid || nexthop.hub == "//networkconnectivity.googleapis.com/projects/PROJECT_ID/locations/global/hubs/HUB"' \
       --source-nat-active-ranges=NAT_SUBNET
   

   Reemplaza lo siguiente:

   • NAT_RULE_NUMBER: Es el número de regla que identifica de forma única la regla de NAT, de 1 a 65000.
   • ROUTER_NAME: Es el nombre del Cloud Router que creaste antes.
   • REGION: Es la región del Cloud Router.
   • NAT_CONFIG: Es el nombre de la configuración de NAT privada que creaste antes.
   • PROJECT_ID: Es el proyecto de Google Cloud del centro de Network Connectivity Center.
   • HUB: Es el nombre del concentrador de Network Connectivity Center.
   • NAT_SUBNET: Es el nombre de la subred de NAT privada que creaste antes. También puedes especificar una lista de subredes en un formato separado por comas.

Cómo ver la configuración de NAT privada

Console

1. En la consola de Google Cloud, ve a la página de Cloud NAT.

   Ir a Cloud NAT

2. Para ver los detalles de la puerta de enlace NAT, la información de asignación o los detalles de configuración, haz clic en el nombre de tu puerta de enlace NAT.

3. Para ver el estado de NAT, consulta la columna Estado de la puerta de enlace de NAT.

gcloud

Para ver los detalles de configuración de NAT, ejecuta los siguientes comandos:

• Consulta la configuración de la puerta de enlace de NAT privada.

  gcloud compute routers nats describe NAT_CONFIG \
      --router=ROUTER_NAME \
      --region=REGION
  

  Reemplaza lo siguiente:

  • NAT_CONFIG: Es el nombre de tu configuración de NAT.
  • ROUTER_NAME: Es el nombre de tu Cloud Router.
  • REGION: la región de la NAT que se describirá. Si no se especifica, es posible que se te solicite seleccionar una región (solo modo interactivo).

• Visualiza la asignación de los rangos de IP:port asignados a cada interfaz de VM.

  gcloud compute routers get-nat-mapping-info ROUTER_NAME \
      --region=REGION
  

• Consulta el estado de la puerta de enlace de NAT privada.

  gcloud compute routers get-status ROUTER_NAME \
      --region=REGION
  

Actualiza la configuración de NAT privada

Después de configurar la puerta de enlace de NAT privada, puedes actualizar su configuración según tus requisitos. En las siguientes secciones, se enumeran las tareas que puedes realizar para actualizar tu puerta de enlace NAT privada.

Cambia las subredes asociadas con la NAT privada

Console

1. En la consola de Google Cloud, ve a la página de Cloud NAT.

   Ir a Cloud NAT

2. Haz clic en tu puerta de enlace de NAT.

3. Haz clic en Editar.

4. Para el mapeo de Cloud NAT, en la lista Fuente, selecciona Personalizada.

5. Selecciona una subred nueva de la lista de subredes disponibles.

6. Si deseas especificar rangos adicionales, haz clic en Agregar subred y rango de IP y, luego, selecciona otra subred.

7. Haz clic en Guardar.

gcloud

gcloud compute routers nats update NAT_CONFIG \
    --router=ROUTER_NAME \
    --region=REGION \
    --nat-custom-subnet-ip-ranges=SUBNETWORK:ALL|[SUBNETWORK_1:ALL,SUBNETWORK_2:ALL,..]

Reemplaza lo siguiente:

• NAT_CONFIG: Es el nombre de la configuración de NAT privada que se actualizará.
• ROUTER_NAME: Es el nombre del router que se usará con esta puerta de enlace.
• SUBNETWORK: Es el nombre de la subred que se usará.

Borra las subredes asociadas con la NAT privada

Puedes quitar subredes específicas de la puerta de enlace NAT que ya no estén en uso.

Console

1. En la consola de Google Cloud, ve a la página de Cloud NAT.

   Ir a Cloud NAT

2. Haz clic en tu puerta de enlace de NAT.

3. Haz clic en Editar.

4. Borra la subred que quieres quitar de la asignación de NAT.

   Nota: Si la subred que borraste es la única que está asignada a la puerta de enlace de NAT privada, el sistema te pedirá que agregues una subred. Puedes asignar una subred nueva o seleccionar Rangos primarios y secundarios para todas las subredes en la lista Fuente.

5. Haz clic en Guardar.

Agrega subredes de NAT a tu configuración de NAT privada

Para realizar NAT en el tráfico, una configuración de NAT privada usa direcciones IP de NAT de una subred que tiene un propósito de PRIVATE_NAT. Si tu configuración de NAT privada requiere más que la cantidad disponible de direcciones IP de NAT, puedes agregar más subredes de propósito PRIVATE_NAT a la configuración.

Console

1. En la consola de Google Cloud, ve a la página de Cloud NAT.

   Ir a Cloud NAT

2. Haz clic en tu puerta de enlace de NAT.

3. Haz clic en Editar.

4. Expande la regla existente.

5. Haz clic en Agregar rangos de subredes.

6. Selecciona o crea un nuevo rango de subred de NAT y, luego, haz clic en Listo.

   Nota: Para agregar más subredes de NAT, repite el paso.

7. Haz clic en Guardar.

gcloud

gcloud compute routers nats rules update NAT_RULE_NUMBER \
    --nat=NAT_CONFIG \
    --router=ROUTER_NAME \
    --region=REGION \
    --source-nat-active-ranges=NAT_SUBNET_1, NAT_SUBNET_2 ...

Reemplaza lo siguiente:

• NAT_RULE_NUMBER: Es el número que identifica de forma única la regla que se actualizará.
• NAT_CONFIG: Es el nombre de tu configuración de NAT privada para que la regla se actualice.
• ROUTER_NAME: Es el nombre del router que se usará con esta puerta de enlace.
• NAT_SUBNET: Los nombres de las subredes NAT privadas que se agregarán a tu configuración de NAT existente.

Borra la configuración de NAT

Si borras la configuración de una puerta de enlace, se quitará la configuración de NAT de un Cloud Router. No borra el router en sí.

Console

1. En la consola de Google Cloud, ve a la página de Cloud NAT.

   Ir a Cloud NAT

2. Selecciona la casilla de verificación junto a la configuración de la puerta de enlace que deseas borrar.

3. En Menú, haz clic en Borrar.

gcloud

gcloud compute routers nats delete NAT_CONFIG \
    --router=ROUTER_NAME \
    --region=REGION

Reemplaza lo siguiente:

• NAT_CONFIG: Es el nombre de tu configuración de NAT.
• ROUTER_NAME: Es el nombre de tu Cloud Router.
• REGION: Es la región de la NAT que se borrará. Si no se especifica, es posible que se te solicite seleccionar una región (solo modo interactivo).

¿Qué sigue?

• Configura Logging y Monitoring para Cloud NAT.
• Soluciona problemas comunes con las configuraciones de NAT.