Private NAT untuk spoke NCC

Dengan Private NAT, Anda dapat membuat gateway Cloud NAT yang berfungsi bersama dengan spoke Network Connectivity Center untuk melakukan penerjemahan alamat jaringan (NAT) antara jaringan berikut:

  • Jaringan Virtual Private Cloud (VPC): dalam konfigurasi ini, jaringan VPC yang ingin Anda hubungkan harus dilampirkan ke hub NCC sebagai spoke VPC.
  • Jaringan VPC dan jaringan di luar Google Cloud: dalam konfigurasi ini, jaringan VPC sumber harus dilampirkan ke hub NCC sebagai spoke VPC, dan harus bertukar rute dengan jaringan lokal atau penyedia cloud lain melalui spoke hybrid.

Informasi di halaman ini hanya berlaku untuk traffic IPv4. Untuk traffic IPv6, lihat NAT64 di Private NAT (Pratinjau).

Spesifikasi

Selain spesifikasi Private NAT umum, Private NAT untuk spoke NCC memiliki spesifikasi berikut:

  • Private NAT menggunakan konfigurasi NAT type=PRIVATE untuk memungkinkan jaringan dengan rentang alamat IP subnet yang tumpang-tindih berkomunikasi. Namun, hanya subnet yang tidak tumpang-tindih yang dapat terhubung satu sama lain.
  • Anda perlu membuat aturan NAT kustom dengan merujuk ke hub NCC. Aturan NAT menentukan rentang alamat IP NAT dari subnet dengan tujuan PRIVATE_NAT yang digunakan Private NAT untuk melakukan NAT pada traffic antara jaringan yang terhubung.
  • Saat Anda membuat instance VM dalam rentang subnet tempat Private NAT diterapkan, semua traffic keluar dari instance virtual machine (VM) ini akan diterjemahkan oleh gateway jika spoke tujuan berada di hub NCC yang sama dengan gateway. Private NAT menerjemahkan traffic ke spoke tujuan dalam region yang sama dengan gateway Private NAT serta di seluruh region.
  • Gateway Private NAT dikaitkan dengan rentang alamat IP subnet di satu region dalam satu jaringan VPC. Artinya, gateway Private NAT yang dibuat di satu Jaringan VPC tidak menyediakan layanan NAT untuk VM di spoke hub NCC lainnya, meskipun VM berada di region yang sama dengan gateway.

Traffic antar-jaringan VPC

Spesifikasi tambahan berikut berlaku untuk traffic antarjaringan VPC (NAT Antar-VPC):

  • Untuk mengaktifkan Inter-VPC NAT antara dua jaringan VPC, setiap jaringan VPC harus dikonfigurasi sebagai spoke VPC hub NCC. Anda harus memastikan tidak ada rentang alamat IP yang tumpang-tindih di seluruh spoke VPC Anda. Untuk mengetahui informasi selengkapnya, lihat Membuat spoke VPC.
  • Hub NCC yang terkait dengan gateway Private NAT harus memiliki minimal dua spoke VPC, dengan salah satu spoke VPC adalah jaringan VPC dari gateway Private NAT.
  • Inter-VPC NAT hanya mendukung NAT antara spoke VPC NCC, dan bukan antara jaringan VPC yang terhubung menggunakan Peering Jaringan VPC.

Traffic antara jaringan VPC dan jaringan lainnya

Spesifikasi tambahan berikut berlaku untuk traffic antara jaringan VPC dan jaringan di luar Google Cloud:

  • Jaringan VPC sumber harus dikonfigurasi sebagai spoke VPC dari hub NCC.
  • Spoke hybrid harus terhubung ke hub NCC yang sama untuk membuat konektivitas antara spoke VPC dan jaringan tujuan di luar Google Cloud. Untuk mengetahui informasi selengkapnya, lihat Membuat konektivitas antara spoke hybrid dan spoke VPC.

Untuk mengetahui informasi tentang persyaratan penggunaan spoke VPC dan spoke hybrid di hub NCC yang sama, lihat Pertukaran rute dengan spoke VPC.

Konfigurasi dan alur kerja dasar

Diagram berikut menunjukkan konfigurasi Private NAT dasar untuk traffic antara dua spoke VPC:

Contoh penerjemahan Inter-VPC NAT.
Contoh terjemahan Inter-VPC NAT (klik untuk memperbesar).

Dalam contoh ini, Private NAT disiapkan sebagai berikut:

  • Gateway pvt-nat-gw dikonfigurasi di vpc-a untuk diterapkan ke semua rentang alamat IP subnet-a di region us-east1. Dengan menggunakan rentang IP NAT pvt-nat-gw, instance virtual machine (VM) di subnet-a vpc-a dapat mengirim traffic ke VM di subnet-b vpc-b, meskipun subnet-a vpc-a tumpang-tindih dengan subnet-c vpc-b.
  • vpc-a dan vpc-b dikonfigurasi sebagai spoke hub NCC.
  • Gateway pvt-nat-gw dikonfigurasi untuk menyediakan NAT antara jaringan VPC yang dikonfigurasi sebagai spoke VPC di hub NCC yang sama.

Contoh alur kerja

Dalam diagram sebelumnya, vm-a dengan alamat IP internal 192.168.1.2 di subnet-a dari vpc-a perlu mendownload update dari vm-b dengan alamat IP internal 192.168.2.2 di subnet-b dari vpc-b. Kedua jaringan VPC terhubung ke hub NCC yang sama sebagai spoke VPC. Asumsikan bahwa vpc-b berisi subnet 192.168.1.0/24 lain yang tumpang-tindih dengan subnet di vpc-a. Agar subnet-a dari vpc-a dapat berkomunikasi dengan subnet-b dari vpc-b, Anda perlu mengonfigurasi gateway Private NAT, pvt-nat-gw, di vpc-a sebagai berikut:

  • Subnet Private NAT: sebelum mengonfigurasi gateway Private NAT, buat subnet Private NAT dengan tujuan PRIVATE_NAT, misalnya, 10.1.2.0/29. Pastikan subnet ini tidak tumpang-tindih dengan subnet yang ada di spoke VPC yang terpasang ke hub NCC yang sama.

  • Aturan NAT yang nexthop.hub-nya cocok dengan URL hub NCC.

  • NAT untuk semua rentang alamat subnet-a.

Tabel berikut meringkas konfigurasi jaringan yang ditentukan dalam contoh sebelumnya:

Nama jaringan Komponen jaringan Alamat/rentang IP Wilayah
vpc-a

 subnet-a 192.168.1.0/24 us-east1
vm-a 192.168.1.2
pvt-nat-gw 10.1.2.0/29
vpc-b

 subnet-b 192.168.2.0/24 us-west1
vm-b 192.168.2.2
subnet-c 192.168.1.0/24
vm-c 192.168.1.3

NAT pribadi untuk spoke NCC mengikuti prosedur reservasi port untuk mencadangkan alamat IP sumber NAT dan tuple port sumber berikut untuk setiap VM di jaringan. Misalnya, gateway Private NAT mencadangkan 64 port sumber untuk vm-a: 10.1.2.2:34000 melalui 10.1.2.2:34063.

Saat VM menggunakan protokol TCP untuk mengirim paket ke server update 192.168.2.2 di port tujuan 80, hal berikut akan terjadi:

  1. VM mengirimkan paket permintaan dengan atribut berikut:

    • Alamat IP sumber: 192.168.1.2, alamat IP internal VM
    • Port sumber: 24000, port sumber ephemeral yang dipilih oleh sistem operasi VM
    • Alamat tujuan: 192.168.2.2, alamat IP server update
    • Port tujuan: 80, port tujuan untuk traffic HTTP ke server update
    • Protokol: TCP

  2. Gateway pvt-nat-gw menjalankan penafsiran alamat jaringan sumber (SNAT atau NAT sumber) untuk traffic keluar, menulis ulang alamat IP sumber NAT dan port sumber paket permintaan:

    • Alamat IP sumber NAT: 10.1.2.2, dari salah satu tuple port sumber dan alamat IP sumber NAT yang dicadangkan VM
    • Port sumber: 34022, port sumber yang tidak digunakan dari salah satu tuple port sumber yang dicadangkan VM
    • Alamat tujuan: 192.168.2.2, tidak berubah
    • Port tujuan: 80, tidak berubah
    • Protokol: TCP, tidak berubah

  3. Server update mengirimkan paket respons yang tiba di gateway pvt-nat-gw dengan atribut berikut:

    • Alamat IP sumber: 192.168.2.2, alamat IP internal server update
    • Port sumber: 80, respons HTTP dari server update
    • Alamat tujuan: 10.1.2.2, yang cocok dengan alamat IP sumber NAT asli dari paket permintaan
    • Port tujuan: 34022, yang cocok dengan port sumber paket permintaan
    • Protokol: TCP, tidak berubah

  4. Gateway pvt-nat-gw melakukan terjemahan alamat jaringan tujuan (DNAT) pada paket respons, menulis ulang alamat tujuan dan port tujuan paket respons sehingga paket dikirimkan ke VM yang meminta update dengan atribut berikut:

    • Alamat IP sumber: 192.168.2.2, tidak berubah
    • Port sumber: 80, tidak berubah
    • Alamat tujuan: 192.168.1.2, alamat IP internal VM
    • Port tujuan: 24000, cocok dengan port sumber sementara asli dari paket permintaan
    • Protokol: TCP, tidak berubah

Langkah berikutnya