Hybrid NAT

O Hybrid NAT permite a conversão de endereços de rede (NAT) entre uma rede de nuvem privada virtual (VPC) e destinos em uma rede local ou de outro provedor de nuvem. As redes precisam estar conectadas usando produtos de conectividade de rede do Google Cloud, como o Cloud Interconnect ou o Cloud VPN.

As informações nesta página se aplicam apenas ao tráfego IPv4. Para tráfego IPv6, consulte NAT64 no Private NAT.

Especificações

Além das especificações gerais do Private NAT, o Hybrid NAT tem as seguintes especificações:

  • Com o Hybrid NAT, uma rede VPC pode se comunicar com uma rede local ou de outro provedor de nuvem, mesmo que os intervalos de endereços IP de sub-rede das redes se sobreponham. Ao usar uma configuração NAT de type=PRIVATE, os recursos nas sub-redes sobrepostas e não sobrepostas da rede VPC podem se conectar aos recursos nas sub-redes não sobrepostas da rede nãoGoogle Cloud.

  • Para ativar o NAT híbrido, a rede nãoGoogle Cloud precisa anunciar as rotas dinâmicas para que sua rede VPC possa aprendê-las e usá-las. O Cloud Router aprende essas rotas dinâmicas com os produtos de conectividade de rede do Google Cloud, como o Cloud Interconnect, a VPN de alta disponibilidade ou a VPN clássica com roteamento dinâmico configurado. Os destinos dessas rotas dinâmicas são intervalos de endereços IP fora da rede VPC.

    Da mesma forma, para o tráfego de retorno, a rede VPC precisa anunciar a rota de sub-rede do Private NAT usando um Cloud Router, e essa rota de sub-rede não pode se sobrepor a uma sub-rede existente nas redes conectadas.

  • O Hybrid NAT faz a conversão de endereços de rede (NAT) no tráfego originado de uma rede VPC para uma rede local ou de outro provedor de nuvem. As redes precisam estar conectadas pelo Cloud Interconnect ou pelo Cloud VPN.

  • O NAT híbrido só é compatível com túneis de VPN clássica se o roteamento dinâmico estiver ativado.

  • Você precisa criar uma regra NAT personalizada com uma expressão de correspondência nexthop.is_hybrid. A regra NAT especifica um intervalo de endereços IP NAT de uma sub-rede de finalidade PRIVATE_NAT que os recursos na sua rede VPC podem usar para se comunicar com outras redes.

  • O Cloud Router em que você configura o Hybrid NAT precisa estar na mesma região que a rede VPC.

  • O Hybrid NAT não traduz o tráfego para Hybrid Subnets. Para mais informações, consulte Interações de Hybrid Subnets.

Fluxo de trabalho e configuração básica do Hybrid NAT

O diagrama a seguir mostra uma configuração básica do Hybrid NAT:

Exemplo de conversão do Hybrid NAT.
Exemplo de conversão de NAT híbrido (clique para ampliar).

Neste exemplo, a NAT híbrida é configurada da seguinte maneira:

  • O gateway pvt-nat-gw está configurado em vpc-a para ser aplicado a todos os intervalos de endereços IP de subnet-a na região us-east1.
  • O Cloud Router e o roteador local ou de outro provedor de nuvem trocam as seguintes rotas de sub-rede:
    • O Cloud Router anuncia 10.1.2.0/29 para o roteador externo.
    • O roteador externo anuncia 192.168.2.0/24 para o Cloud Router.
  • Ao usar o intervalo de endereços IP NAT de pvt-nat-gw, uma instância de máquina virtual (VM) em subnet-a de vpc-a pode enviar tráfego para uma VM em subnet-b da rede local ou de outro provedor de nuvem, mesmo que subnet-a de vpc-a se sobreponha a outra sub-rede na rede que não éGoogle Cloud .

Exemplo de fluxo de trabalho do Hybrid NAT

No diagrama anterior, vm-a com o endereço IP interno 192.168.1.2 em subnet-a de vpc-a precisa fazer o download de uma atualização de vm-b com o endereço IP 192.168.2.2 em subnet-b de uma rede local ou de outro provedor de nuvem. O Cloud Interconnect conecta sua rede VPC à rede local ou a outra rede de provedor de nuvem. Suponha que a rede nãoGoogle Cloud contenha outra sub-rede 192.168.1.0/24 que se sobreponha à sub-rede em vpc-a. Para que subnet-a de vpc-a se comunique com subnet-b da rede nãoGoogle Cloud , é necessário configurar um gateway do Private NAT, pvt-nat-gw, em vpc-a da seguinte maneira:

  • Especifique uma sub-rede do Private NAT com a finalidade PRIVATE_NAT, por exemplo, 10.1.2.0/29. Crie essa sub-rede antes de configurar o gateway do Private NAT. Verifique se essa sub-rede não se sobrepõe a uma sub-rede existente em nenhuma das redes conectadas.
  • Crie uma regra de NAT com match='nexthop.is_hybrid'.
  • Configure o gateway do Private NAT para aplicar a todos os intervalos de endereços IP de subnet-a.

O Hybrid NAT segue o procedimento de reserva de porta para reservar o seguinte endereço IP de origem e as tuplas de porta de origem do NAT para cada uma das VMs na rede. Por exemplo, o gateway do Private NAT reserva 64 portas de origem para vm-a: 10.1.2.2:34000 a 10.1.2.2:34063.

Quando a VM usa o protocolo TCP para enviar um pacote ao servidor de atualização 192.168.2.2 na porta de destino 80, ocorre o seguinte:

  1. A VM envia um pacote de solicitação com estes atributos:

    • Endereço IP de origem: 192.168.1.2, o endereço IP interno da VM
    • Porta de origem: 24000, a porta de origem temporária escolhida pelo sistema operacional da VM
    • Endereço de destino: 192.168.2.2, o endereço IP do servidor de atualização
    • Porta de destino: 80, a porta de destino do tráfego HTTP para o servidor de atualizações
    • Protocolo: TCP

  2. O gateway pvt-nat-gw executa a conversão de endereços de rede de origem (SNAT ou NAT de origem) para o tráfego de saída, reescrevendo o endereço IP de origem e a porta de origem do pacote de solicitação:

    • Endereço IP de origem NAT: 10.1.2.2, de um dos endereços IP de origem NAT reservados da VM e das tuplas da porta de origem
    • Porta de origem: 34022, uma porta de origem não utilizada de uma das tuplas de porta de origem reservadas da VM
    • Endereço de destino: 192.168.2.2, inalterado
    • Porta de destino: 80, inalterada
    • Protocolo: TCP, inalterado

  3. O servidor de atualização envia um pacote de resposta que chega ao gateway pvt-nat-gw com estes atributos:

    • Endereço IP de origem: 192.168.2.2, o endereço IP interno do servidor de atualização
    • Porta de origem: 80, a resposta HTTP do servidor de atualização
    • Endereço de destino: 10.1.2.2, que corresponde ao endereço IP de origem da NAT original do pacote de solicitação
    • Porta de destino: 34022, que corresponde à porta de origem do pacote de solicitação
    • Protocolo: TCP, inalterado

  4. O gateway pvt-nat-gw executa a conversão de endereços de rede de destino (DNAT, na sigla em inglês) no pacote de resposta e reescreve o endereço e a porta de destino do pacote para que ele seja entregue à VM que solicitou a atualização com os seguintes atributos:

    • Endereço IP de origem: 192.168.2.2, inalterado
    • Porta de origem: 80, inalterada
    • Endereço de destino: 192.168.1.2, o endereço IP interno da VM
    • Porta de destino: 24000, que corresponde à porta de origem temporária original do pacote de solicitação
    • Protocolo: TCP, inalterado

A seguir