NAT פרטי

‫NAT פרטי מאפשר תרגום כתובות רשת (NAT) מרשת פרטית לרשת פרטית.

מפרטים

‫Cloud NAT תומך בסוגים הבאים של תרגום כתובות ל-Private NAT:

  • מ-IPv4 ל-IPv4, או NAT44. מידע נוסף זמין במאמר בנושא NAT44 ב-Private NAT.

  • מ-IPv6 ל-IPv4, או NAT64 (תצוגה מקדימה). ‫NAT64 זמין למכונות וירטואליות ב-Compute Engine. בצמתים של Google Kubernetes Engine ‏ (GKE) ובנקודות קצה ללא שרת,‏ Cloud NAT מתרגם רק כתובות IPv4. מידע נוסף זמין במאמר בנושא NAT64 ב-Private NAT.

מפרטים כלליים

  • ‫NAT פרטי מאפשר חיבורים יוצאים ותשובות נכנסות לחיבורים האלה. כל שער Cloud NAT ל-NAT פרטי מבצע NAT למקור בתעבורת נתונים יוצאת ו-NAT ליעד בחבילות תגובה שנוצרו.

  • ‫NAT פרטי לא תומך ברשתות של ענן וירטואלי פרטי (VPC) במצב אוטומטי.

  • ‫NAT פרטי לא מאפשר בקשות נכנסות לא רצויות מרשתות מחוברות, גם אם כללי חומת האש מאפשרים את הבקשות האלה. מידע נוסף זמין במאמר בנושא RFC רלוונטיים.

  • כל שער Cloud NAT ל-Private NAT משויך לרשת VPC אחת, לאזור אחד ול-Cloud Router אחד. שער Cloud NAT ו-Cloud Router מספקים מישור בקרה – הם לא מעורבים במישור הנתונים – ולכן מנות לא עוברות דרך שער Cloud NAT או Cloud Router.

    למרות ששער Cloud NAT ל-NAT פרטי מנוהל על ידי Cloud Router, ‏ NAT פרטי לא משתמש בפרוטוקול Border Gateway Protocol ‏(BGP) ולא תלוי בו.

  • ‫NAT פרטי לא תומך במיפוי ללא תלות בנקודת קצה.
  • אי אפשר להשתמש ב-Private NAT כדי לתרגם טווח כתובות IP ראשיות או משניות ספציפי עבור תת-רשת נתונה. שער Cloud NAT ל-NAT פרטי מבצע NAT בכל טווחי כתובות ה-IPv4 עבור רשת משנה נתונה או רשימה של רשתות משנה.
  • אחרי שיוצרים את רשת המשנה, אי אפשר להגדיל או להקטין את הגודל של רשת המשנה של NAT פרטי. עם זאת, אפשר לציין כמה טווחי רשתות משנה של NAT פרטי לשער נתון.
  • ‫NAT פרטי תומך במספר מקסימלי של 64,000 חיבורים בו-זמניים לכל נקודת קצה.
  • ‫NAT פרטי תומך רק ב-TCP וב-UDP. אין תמיכה ב-ICMP ובפרוטוקולים אחרים.
  • מכונה וירטואלית (VM) ברשת VPC יכולה לגשת רק ליעדים ברשת משנה לא חופפת – לא ברשת משנה חופפת – ברשת מקושרת.

מסלולים וכללים לחומת אש

ב-NAT פרטי נעשה שימוש במסלולים הבאים.

מסלול סוג NAT תיאור
  • נתיבי תת-רשת של NCC
  • מסלולים דינמיים של NCC
 ‫NAT44 ו-NAT64

בתנועה בין רשתות משנה של VPC של רכזת NCC, שער ה-NAT משתמש בנתיבי רשת משנה.

במרכזי NCC שיש בהם גם רשתות VPC מסוג Spokes וגם רשתות היברידיות מסוג Spokes, שער ה-NAT משתמש במסלולים של רשתות משנה ובמסלולים דינמיים.
מסלולים דינמיים מקומיים ‫NAT44 ו-NAT64 ב-Hybrid NAT, שער ה-NAT משתמש בנתיבים דינמיים ש-Cloud Router לומד דרך Cloud Interconnect או Cloud VPN.
  • נתיבי תת-רשת מקומיים
  • מסלולים מקומיים סטטיים
 ‫NAT64 בלבד שער ה-NAT משתמש בנתיבים האלה לתעבורה בתוך אותה רשת VPC.

שיקולים לגבי ניתוב ב-NAT64:

  • ניתוב על סמך מדיניות: NAT64 לא משתמש בניתוב על סמך מדיניות של IPv4 ו-IPv6. אם NAT64 מופעל והיעד נמצא בטווח 64:ff9b::/96:
    • החבילה מתורגמת ל-IPv4 ונשלחת אם היא תואמת לאחד מהנתיבים הרלוונטיים שמפורטים בטבלה הקודמת.
    • ה-NAT64 מתבצע גם אם החבילה תואמת לנתיב מבוסס-מדיניות של IPv6.
  • נתיבים של קישור בין רשתות VPC שכנות: אם NAT64 מופעל וכתובת היעד המוטמעת של IPv4 תואמת לנתיב של קישור בין רשתות שכנות, החבילה נמחקת.
  • נתיבי אינטרנט: אם כתובת ה-IPv4 של היעד שמוטמעת תואמת לנתיב שמנתב מנות לאינטרנט, לא מתבצע NAT64. משתמשים ב-NAT64 ב-NAT ציבורי לתעבורת אינטרנט.

כללי חומת האש של Cloud NGFW מוחלים ישירות על ממשקי הרשת של מכונות וירטואליות ב-Compute Engine, ולא על שערים של Cloud NAT ל-NAT פרטי.

כששער Cloud NAT ל-NAT פרטי מספק NAT לממשק רשת של מכונה וירטואלית, כללי חומת אש רלוונטיים לתעבורת נתונים יוצאת נבדקים כמנות עבור ממשק הרשת הזה לפני NAT. כללי חומת אש לתעבורת נתונים נכנסת נבדקים אחרי שמנות עוברות עיבוד על ידי NAT. אין צורך ליצור כללי חומת אש במיוחד בשביל NAT.

היקף החלות של טווח כתובות IP של רשת משנה

‫NAT פרטי מספק NAT לטווחים של תת-רשתות IPv4, לטווחים של תת-רשתות IPv6 או לשניהם:

  • כדי להגדיר NAT לטווחים של רשתות משנה ב-IPv4, אפשר להשתמש באפשרויות הבאות:

    • טווחים ראשיים ומשניים של כתובות IP בכל רשתות המשנה באזור. שער Cloud NAT יחיד מספק NAT לכתובות ה-IP הפנימיות הראשיות ולכל טווחי כתובות ה-IP של הכינויים של מכונות וירטואליות שעומדות בדרישות, שממשקי הרשת שלהן משתמשים בתת-רשת באזור.

    • רשימת רשתות משנה בהתאמה אישית: שער Cloud NAT יחיד מספק NAT לכתובות ה-IP הפנימיות הראשיות ולכל טווחי כתובות ה-IP של כינויים של מכונות וירטואליות שעומדות בדרישות, שממשקי הרשת שלהן משתמשים ברשת משנה מתוך רשימה של רשתות משנה שצוינו.

  • כדי להגדיר NAT לטווחים של רשתות משנה ב-IPv6, אפשר להשתמש באפשרויות הבאות:

    • טווחים של כתובות IP פנימיות וחיצוניות של כל רשתות המשנה באזור: שער Cloud NAT יחיד מספק NAT לכל הטווחים של כתובות IP פנימיות וחיצוניות באזור.
    • רשימה מותאמת אישית של רשתות משנה: שער Cloud NAT יחיד מספק NAT לטווחים של כתובות IP פנימיות וכתובות IP חיצוניות של מכונות וירטואליות שעומדות בדרישות, שממשקי הרשת שלהן משתמשים ברשת משנה מתוך רשימה של רשתות משנה שצוינו.

רוחב פס

השימוש בשער Cloud NAT ל-NAT פרטי לא משנה את כמות רוחב הפס היוצא או הנכנס שמכונה וירטואלית יכולה להשתמש בו. מפרטי רוחב הפס משתנים בהתאם לסוג המכונה. אפשר לקרוא על כך במאמר רוחב פס ברשת במאמרי העזרה של Compute Engine.

מכונות וירטואליות עם כמה ממשקי רשת

אם מגדירים למכונה וירטואלית כמה ממשקי רשת, הממשקים יכולים להיות באותה רשת VPC או ברשתות VPC שונות.

כמה נקודות שכדאי לחשוב עליהן:

  • אם למכונה וירטואלית יש כמה ממשקי רשת באותה רשת VPC, שער Cloud NAT יחיד ל-NAT פרטי חל על כל הממשקים ברשת ה-VPC.
  • אם יש מכונה וירטואלית עם כמה ממשקי רשת, שכל אחד מהם נמצא ברשת VPC אחרת, אפשר להשתמש בשער Cloud NAT יחיד ל-NAT פרטי רק לממשק רשת אחד של המכונה הווירטואלית. שערי Cloud NAT נפרדים ל-NAT פרטי יכולים לספק NAT לאותה מכונה וירטואלית, כאשר כל שער חל על ממשק נפרד.

כתובות IP ויציאות של NAT

כשיוצרים שער Cloud NAT ל-NAT פרטי, צריך לציין רשת משנה (subnet) עם ייעוד PRIVATE_NAT שממנה מוקצות כתובות IP של NAT למכונות הווירטואליות. מידע נוסף על הקצאת כתובות IP של NAT פרטי זמין במאמר כתובות IP של NAT פרטי.

אפשר להגדיר את מספר יציאות המקור שכל שער Cloud NAT ל-NAT פרטי שומר בכל מכונה וירטואלית שעבורה הוא מספק שירותי NAT. אתם יכולים להגדיר הקצאת יציאות סטטית, שבה מספר היציאות זהה לכל מכונה וירטואלית, או הקצאת יציאות דינמית, שבה מספר היציאות יכול להיות בין המינימום למקסימום שאתם מציינים.

המכונות הווירטואליות שעבורן יסופק NAT נקבעות לפי טווח כתובות ה-IP של רשת המשנה שהשער מוגדר לשרת.

מידע נוסף על יציאות זמין במאמר יציאות.

מסמכי RFC רלוונטיים

‫NAT פרטי הוא NAT של חרוט מוגבל ליציאה, כפי שמוגדר ב-RFC 3489.

פג הזמן הקצוב של NAT

ב-NAT פרטי מוגדרים ערכי זמן קצוב לתפוגה לחיבורי פרוטוקול. מידע על הזמנים הקצובים האלה וערכי ברירת המחדל שלהם זמין במאמר בנושא זמנים קצובים של NAT.

‫NAT44 ב-Private NAT

‫NAT פרטי תומך באפשרויות ההגדרה הבאות לתעבורת IPv4:

  • NAT פרטי לרשתות מסוג spoke ב-Network Connectivity Center: מאפשר תרגום כתובות פרטיות לרשתות VPC שמחוברות ל-hub של NCC, כולל תעבורה בין רשתות מסוג spoke של VPC ובין רשתות מסוג spoke של VPC לבין רשתות מסוג spoke היברידיות.
  • ‫Hybrid NAT: מאפשר תרגום כתובות פרטיות בין רשת VPC לבין רשת מקומית או רשת של ספק שירותי ענן אחר שמחוברת ל- Google Cloud באמצעות Cloud Interconnect או Cloud VPN.

‫NAT64 ב-Private NAT

‫NAT64 מאפשר למכונות וירטואליות עם ממשקי רשת IPv6 בלבד לתקשר עם היעדים הבאים של IPv4:

  • יעדים באותה רשת VPC
  • יעדים ברשתות VPC שמחוברות לאותו מרכז NCC כמו רשת ה-VPC של המקור (רשתות VPC מסוג Hub-and-Spoke)
  • יעדים ברשתות מקומיות או ברשתות של ספקי שירותי ענן אחרים שמחוברים לרשת ה-VPC של המקור באמצעות Cloud Interconnect,‏ Cloud VPN או רכזות היברידיות של NCC

הפעלת NAT64 גורמת לתרגום של כל היעדים האלה.

הגדרת הדוגמה הבאה מציגה חיבורי NAT באותה רשת VPC, לרשתות VPC מסוג spoke של רכזת NCC, וחיבורים דרך Cloud Interconnect.

‫ תרגום מ-IPv6 ל-IPv4 ב-NAT פרטי.
תרגום NAT64 ב-NAT פרטי (לחצו כדי להגדיל).

בהגדרה הזו, שער Cloud NAT של type=PRIVATE מספק NAT64 ל-subnet-a ול-subnet-b. כדי לבצע NAT64, השער מחליף את כתובות ה-IPv6 והיציאות של המקור בכתובות IPv4 ויציאות מטווח רשת המשנה שהוקצה לשער – בדוגמה הזו, 10.1.1.0/24.

מידע נוסף זמין במאמר בנושא איך זה עובד.

איך זה עובד

כדי להשתמש ב-NAT64, כתובות היעד צריכות להיות בטווח 64:ff9b::/96. אתם יכולים להגדיר DNS64 כדי ליצור באופן אוטומטי כתובות IPv6 שמוטמעות בהן כתובות IPv4, על ידי הוספת הקידומת הזו לפני כתובות היעד של IPv4.

כשמכונה וירטואלית עם IPv6 בלבד שולחת בקשה ליעד בטווח 64:ff9b::/96 והבקשה מגיעה לשער Cloud NAT עם NAT64 מופעל, השער מבצע NAT באופן הבא:

  • תרגום של כתובת ה-IPv6 והיציאה של המקור לאחת מכתובות ה-IPv4 והיציאות מטווח תת-הרשת שהוקצה לשער.

  • תרגום כתובת היעד המסונתזת מסוג IPv6 לכתובת המקורית מסוג IPv4 על ידי חילוץ 32 הביטים האחרונים של הכתובת המסונתזת.

    שער Cloud NAT משתמש גם ב-32 הביטים האחרונים של כתובת ה-IPv6 המסונתזת כדי לקבוע איך חבילת הבקשה מנותבת ליעד. כשמכונה וירטואלית עם IPv6 בלבד שולחת חבילה ליעד בטווח 64:ff9b::/96, השער מחיל את טבלת הניתוב של IPv4 ברשת ה-VPC על כתובת ה-IPv4 שחולצה. אם בטבלת הניתוב של IPv4 יש מסלול נתמך לכתובת הזו, החבילה ששונתה נשלחת ליעד.

כשמתקבלת תגובה, שער Cloud NAT מבצע NAT על ידי הפעולות הבאות:

  • הוספת הקידומת 64:ff9b::/96 לכתובת ה-IP של המקור של מנת הנתונים של התגובה.
  • כתיבה מחדש של כתובת היעד ויציאת היעד של מנת התגובה לכתובת ולפורט המקוריים של המכונה הווירטואלית.

לפני שמגדירים NAT64, כדאי לעיין במגבלות ובכללי הניתוב וחומת האש.

מגבלות

‫NAT64 זמין רק למכונות וירטואליות של Compute Engine עם IPv6 בלבד, בסדרות המכונות הבאות:

  • כל הסדרות מהדור השני או מגרסאות קודמות
  • M3 series

מידע נוסף זמין במאמר בנושא טרמינולוגיה של Compute Engine.

המאמרים הבאים