Cloud NAT – Übersicht
Cloud NAT ist die Weiterentwicklung der Standardkonfiguration für ausgehenden Traffic von Projekten. Cloud NAT ist ein zonenbasierter Dienst auf Projektebene, der auf IPv4-Traffic beschränkt ist und die folgenden Funktionen bietet:
- Mehrere Gateways pro Projekt, über die Traffic von verschiedenen Endpunkten ausgehen kann.
- Mehrere konfigurierbare ausgehende IPs pro Gateway.
- Mehrere konfigurierbare Endpunktlabel-Selektoren pro Gateway.
- Konfigurierbare Verbindungszeitlimits pro Gateway.
- Höhere Zuverlässigkeit und geringerer Blast Radius bei einem Ausfall des Ausgangsknotens.
Das folgende Diagramm zeigt eine Beispielübersicht für Cloud NAT. Über jedes Gateway wird der gesamte Traffic von Endpunkten aus Pods oder VMs (im selben Projekt wie das Gateway) weitergeleitet, der an nicht interne IPs gerichtet ist und alle Labels im Label-Selektor des Gateways enthält (UND-Abgleich). Traffic von Endpunkten in anderen Projekten oder von Endpunkten, die nicht vollständig mit dem Label-Selektor übereinstimmen, kann nicht über das Gateway weitergeleitet werden. Gateways weisen jedem Endpunkt, über den Traffic weitergeleitet wird, statisch eine ihrer ausgehenden IPs zu. Mit IPs aus Leaf-Subnetzen wird die Menge der ausgehenden IPs angegeben, die von den einzelnen Cloud NAT-Gateways verwendet werden können.
Wenn beispielsweise ein Pod in project-1 mit dem Label app:aa und der IP-Adresse 192.168.0.1 ein Paket mit der Ziel-IP-Adresse 22.22.22.22 sendet, wird es an das Cloud NAT-Gateway weitergeleitet. Das Gateway ersetzt die Quell-IP-Adresse durch die ausgehende IP-Adresse, die dem Endpunkt des Pods zugewiesen ist (34.1.22.1), und leitet sie an das Daten-VRF weiter. Wenn eine Antwort von diesem VRF zurückkommt, wird die umgekehrte Operation ausgeführt und das resultierende Paket an den Endpunkt des Pods weitergeleitet. Derselbe Mechanismus gilt für VMs in diesem Projekt und mit diesem Label.
Standardmäßig haben die über ein Cloud NAT-Gateway erstellten ausgehenden Verbindungen die folgenden Zeitlimits. Sie können bei Bedarf manuell konfiguriert werden.
Zeitlimit |
Standardwert (Sekunden) |
Nicht-TCP-Verbindungen |
60 |
Inaktive TCP-Verbindungen |
8000 |
Abbau von TCP-Verbindungen |
10 |
Einrichtung von TCP-Verbindungen |
60 |
Beschränkungen
- Jeder Endpunkt kann nur über ein einzelnes Cloud NAT-Gateway mit einer einzelnen ausgehenden IP-Adresse ausgehenden Traffic senden. Diese IP-Adresse wird automatisch vom Gateway jedem Endpunkt zugewiesen. Diese Zuweisung ändert sich nur, wenn sich die Konfiguration des Endpunkts oder des Gateways ändert.
- Damit das Routing zwischen Endpunkten und Gateways deterministisch ist, dürfen sich die Label-Selektoren von Cloud NAT-Gateways nicht überschneiden und Endpunkte dürfen keine Labels haben, die mit mehreren Gateways übereinstimmen.
- Wenn der Endpunkt auch Routen von VPN-Gateways hat, haben diese Vorrang vor den Routen von Cloud NAT-Gateways.
Skalierungsgrenzen
- Die maximale Anzahl ausgehender IP-Adressen pro Projekt beträgt 100. Wenn die dem Cloud NAT-Gateway zugewiesenen Subnetze 100 übersteigen, werden vom Gateway nur die ersten 100 IPs verwendet.
- Die maximale Anzahl paralleler Verbindungen pro ausgehender IP-Adresse pro Protokoll zu einer bestimmten Ziel-IP-Adresse und einem bestimmten Zielport ist auf 32.000 begrenzt. Wenn dieses Limit überschritten wird, schlagen Verbindungen fehl.
- Die maximale Anzahl von NAT-Zuordnungen beträgt 1.000 pro VPC und Zone. Für jeden Endpunkt, der jedem Cloud NAT-Gateway zugewiesen ist, wird eine Zuordnung erstellt. Da ein Endpunkt nur einem einzelnen NAT-Gateway zugewiesen werden kann, beträgt die maximale Anzahl von Endpunkten, die Cloud NAT in einer Zone verwenden können, 1.000. NAT-Zuordnungen werden NICHT mit der Anzahl der Verbindungen skaliert.
Failover-Verhalten
Wenn ein Ausgangsknoten nicht verfügbar ist, migrieren die Cloud NAT-Gateways, die diesen Ausgangsknoten verwenden, ihre externen IPs automatisch vom nicht verfügbaren Knoten zu anderen verfügbaren Ausgangsknoten. Anschließend konfigurieren die Gateways das System neu, um ausgehenden Traffic über die anderen verfügbaren Knoten weiterzuleiten. Sobald die Neukonfiguration abgeschlossen ist, können die Endpunkte, die den nicht verfügbaren Knoten verwendet haben, die ausgehenden Verbindungen wiederherstellen.