סקירה כללית על Cloud NAT
Cloud NAT הוא התפתחות של הגדרת היציאה שמוגדרת כברירת מחדל בפרויקט. Cloud NAT הוא שירות אזורי בהיקף פרויקט שמוגבל לתעבורת IPv4, והוא מספק את התכונות הבאות:
- כמה שערים לכל פרויקט שיכולים להוציא תעבורת נתונים ממערכות שונות של נקודות קצה.
- כמה כתובות IP ליציאה שאפשר להגדיר לכל שער.
- כמה בוררים של תוויות נקודות קצה שאפשר להגדיר לכל שער.
- אפשר להגדיר פסק זמן לחיבור לכל שער.
- מהימנות גבוהה יותר ורדיוס השפעה קטן יותר במקרה של כשל בצומת יציאה.
בתרשים הבא מוצגת דוגמה לסקירה כללית של Cloud NAT. כל שער מוציא את כל התנועה שמכוונת לכתובות IP לא פנימיות מנקודות קצה של פודים או מכונות וירטואליות (באותו פרויקט כמו השער) שיש להן את כל התוויות בסלקטור התוויות של השער (התאמה מסוג AND). נקודות קצה בפרויקטים שונים או כאלה שלא תואמות באופן מלא לבורר התוויות לא יכולות להוציא תנועה דרך השער. שערי גישה יקצו באופן סטטי אחת מכתובות ה-IP ליציאה שלהם לכל נקודת קצה שיוצאת ממנה תעבורה. כתובות IP מרשתות משנה מסוג leaf משמשות לציון קבוצת כתובות ה-IP ליציאה שכל שער Cloud NAT יכול להשתמש בהן.
לדוגמה, אם פוד ב-project-1, עם התווית app:aa ועם כתובת ה-IP 192.168.0.1, שולח מנה עם כתובת IP של היעד 22.22.22.22, הוא יופנה אל שער Cloud NAT. השער יחליף את כתובת ה-IP של המקור בכתובת ה-IP של תעבורת הנתונים היוצאת (egress) שהוקצתה לנקודת הקצה של ה-Pod (34.1.22.1), ויעביר אותה אל VRF הנתונים. אם תתקבל תשובה מ-VRF, היא תבצע את הפעולה ההפוכה ותעביר את המנה שנוצרה לנקודת הקצה של ה-Pod. אותו מנגנון יחול על מכונות וירטואליות בפרויקט ובתווית האלה.
כברירת מחדל, לחיבורים יוצאים שנוצרים דרך שער Cloud NAT יש את ערכי הזמן הקצוב לתפוגה הבאים. אפשר להגדיר אותם ידנית אם צריך.
פסק זמן |
ערך ברירת המחדל (בשניות) |
חיבורים שהם לא TCP |
60 |
חיבורי TCP במצב לא פעיל |
8000 |
ניתוק חיבורי TCP |
10 |
יצירת חיבור TCP |
60 |
מגבלות
- כל נקודת קצה יכולה לצאת רק דרך שער Cloud NAT אחד באמצעות כתובת IP אחת ליציאה. כתובת ה-IP הזו מוקצית באופן אוטומטי על ידי השער לכל נקודת קצה. ההקצאה הזו לא תשתנה אלא אם תהיה שינוי בהגדרות של נקודת הקצה או של השער.
- כדי להבטיח שהניתוב בין נקודות קצה ושערי NAT יהיה דטרמיניסטי, שערי Cloud NAT לא יכולים להכיל בוררי תוויות חופפים, ונקודות קצה לא יכולות להכיל תוויות שתואמות לכמה שערי NAT.
- אם לנקודת הקצה יש גם מסלולים משערי VPN, הם יקבלו עדיפות על פני המסלולים משערי Cloud NAT.
מגבלות קנה מידה
- המספר המקסימלי של כתובות IP ליציאה בכל פרויקט הוא 100. אם מספר רשתות המשנה שמוקצות ל-Cloud NAT Gateway חורג מ-100, השער ישתמש רק ב-100 כתובות ה-IP הראשונות.
- המספר המקסימלי של חיבורים מקבילים לכל כתובת IP יוצאת לכל פרוטוקול לכתובת IP ויציאה ספציפיות מוגבל ל-32k. חריגה מהמגבלה הזו תגרום לחיבורים להיכשל.
- המספר המקסימלי של מיפויי NAT הוא 1,000 לכל VPC לכל אזור. מיפוי אחד נוצר לכל נקודת קצה שמוקצית לכל שער Cloud NAT. מכיוון שאפשר להקצות נקודת קצה אחת רק לשער NAT אחד, המספר המקסימלי של נקודות קצה שיכולות להשתמש ב-Cloud NAT באזור הוא 1,000. מיפויי NAT לא ניתנים להרחבה בהתאם למספר החיבורים.
התנהגות במעבר לגיבוי
אם צומת יציאה הופך ללא זמין, שערים של Cloud NAT שמשתמשים בצומת היציאה הזה יעבירו באופן אוטומטי את כתובות ה-IP החיצוניות שלהם מהצומת הלא זמין לצמתי יציאה אחרים שזמינים. לאחר מכן, השערים יגדירו מחדש את המערכת כדי להעביר תעבורת נתונים יוצאת (egress) באמצעות הצמתים הזמינים האחרים. אחרי שההגדרה מחדש תושלם, נקודות הקצה שהשתמשו בצומת הלא זמין יוכלו ליצור מחדש את חיבורי היציאה.