Private NAT

Private NAT consente la Network Address Translation (NAT) private-to-private.

Specifiche

Cloud NAT supporta i seguenti tipi di conversione degli indirizzi per Private NAT:

  • Da IPv4 a IPv4 o NAT44. Per saperne di più, consulta NAT44 in Private NAT.

  • Da IPv6 a IPv4 o NAT64 (anteprima). NAT64 è disponibile per le istanze VM di Compute Engine. Per i nodi Google Kubernetes Engine (GKE) e gli endpoint serverless, Cloud NAT converte solo gli indirizzi IPv4. Per saperne di più, consulta NAT64 in Private NAT.

Specifiche generali

  • Private NAT consente le connessioni in uscita e le risposte in entrata a queste connessioni. Ogni gateway Cloud NAT per Private NAT esegue il source NAT sul traffico in uscita e destination NAT per i pacchetti di risposta stabiliti.

  • Private NAT non supporta le reti Virtual Private Cloud (VPC) in modalità automatica.

  • Private NAT non consente le richieste in entrata non richieste dalle reti connesse, anche se le regole firewall altrimenti le consentirebbero. Per saperne di più, consulta RFC applicabili.

  • Ogni gateway Cloud NAT per Private NAT è associato a una singola rete VPC regione e router Cloud. Il gateway Cloud NAT e il router Cloud forniscono un piano di controllo, non sono coinvolti nel piano dati, quindi i pacchetti non passano attraverso il gateway Cloud NAT o il router Cloud.

    Anche se un gateway Cloud NAT per Private NAT è gestito da un router Cloud, Private NAT non utilizza né dipende dal Border Gateway Protocol.

  • Private NAT non supporta il mapping indipendente dall'endpoint.
  • Non puoi utilizzare Private NAT per convertire un intervallo di indirizzi IP primari o secondari specifico per una determinata subnet. Un gateway Cloud NAT per Private NAT esegue NAT su tutti gli intervalli di indirizzi IPv4 per una determinata subnet o un elenco di subnet.
  • Dopo aver creato la subnet, non puoi aumentare o diminuire le dimensioni della subnet Private NAT. Tuttavia, puoi specificare più intervalli di subnet Private NAT per un determinato gateway.
  • Private NAT supporta un massimo di 64.000 connessioni simultanee per endpoint.
  • Private NAT supporta solo TCP e UDP. ICMP e altri protocolli non sono supportati.
  • Un'istanza di macchina virtuale (VM) in una rete VPC può accedere solo alle destinazioni in una subnet non sovrapposta, non in una subnet sovrapposta, in una rete connessa.

Route e regole firewall

Private NAT utilizza le seguenti route.

Route Tipo NAT Descrizione
  • Route di subnet NCC
  • Route dinamiche NCC
 NAT44 e NAT64

Per il traffico tra spoke VPC di un hub NCC, il gateway NAT utilizza le route di subnet.

Per gli hub NCC che hanno sia spoke VPC sia spoke ibridi, il gateway NAT utilizza route di subnet e route dinamiche.
Route dinamiche locali NAT44 e NAT64 Per Hybrid NAT, il gateway NAT utilizza le route dinamiche che il router Cloud apprende tramite Cloud Interconnect o Cloud VPN.
  • Route di subnet locali
  • Route statiche locali
 Solo NAT64 Il gateway NAT utilizza queste route per il traffico all'interno della stessa VPC network.

Considerazioni sul routing per NAT64:

  • Route basate su policy: NAT64 non utilizza route basate su policy IPv4 e IPv6. Se NAT64 è abilitato e la destinazione è nell'intervallo 64:ff9b::/96, si verifica il seguente comportamento:
    • Il pacchetto viene convertito in IPv4 e inviato se corrisponde a una delle route applicabili elencate nella tabella precedente.
    • NAT64 viene eseguito anche se il pacchetto corrisponde a una route basata su policy IPv6.
  • Route di peering di rete VPC: se NAT64 è abilitato e l' indirizzo IPv4 di destinazione incorporato corrisponde a una route di peering, il pacchetto viene eliminato.
  • Route internet: se l'indirizzo IPv4 di destinazione incorporato corrisponde a una route che instrada i pacchetti a internet, NAT64 non viene eseguito. Utilizza NAT64 in Public NAT per il traffico internet.

Le regole firewall di Cloud NGFW vengono applicate direttamente alle interfacce di rete delle VM di Compute Engine, non ai gateway Cloud NAT per Private NAT.

Quando un gateway Cloud NAT per Private NAT fornisce NAT per l'interfaccia di rete di una VM, le regole firewall in uscita applicabili vengono valutate come pacchetti per quell'interfaccia di rete prima di NAT. Le regole firewall in entrata vengono valutate dopo che i pacchetti sono stati elaborati da NAT. Non devi creare regole firewall specifiche per NAT.

Applicabilità dell'intervallo di indirizzi IP della subnet

Private NAT fornisce NAT per gli intervalli di subnet IPv4, gli intervalli di subnet IPv6 o entrambi:

  • Per gli intervalli di subnet IPv4, puoi utilizzare le seguenti opzioni per configurare NAT:

    • Intervalli di indirizzi IP primari e secondari di tutte le subnet nella regione. Un singolo gateway Cloud NAT fornisce NAT per gli indirizzi IP interni primari e tutti gli intervalli IP alias delle VM idonee le cui interfacce di rete utilizzano una subnet nella regione.

    • Elenco di subnet personalizzato: un singolo gateway Cloud NAT fornisce NAT per gli indirizzi IP interni primari e tutti gli intervalli IP alias delle VM idonee le cui interfacce di rete utilizzano una subnet da un elenco di subnet specificate.

  • Per gli intervalli di subnet IPv6, puoi utilizzare le seguenti opzioni per configurare NAT:

    • Intervalli di indirizzi IP interni ed esterni di tutte le subnet nella regione: un singolo gateway Cloud NAT fornisce NAT per tutti gli intervalli di indirizzi IP interni ed esterni nella regione.
    • Elenco di subnet personalizzato: un singolo gateway Cloud NAT fornisce NAT per gli intervalli di indirizzi IP interni ed esterni delle VM idonee le cui interfacce di rete utilizzano una subnet da un elenco di subnet specificate.

Larghezza di banda

L'utilizzo di un gateway Cloud NAT per Private NAT non modifica la quantità di larghezza di banda in uscita o in entrata che una VM può utilizzare. Per le specifiche della larghezza di banda, che variano in base al tipo di macchina, consulta Larghezza di banda di rete nella documentazione di Compute Engine.

VM con più interfacce di rete

Se configuri una VM in modo che abbia più interfacce di rete, le interfacce possono trovarsi nella stessa rete VPC o in reti VPC diverse.

Considera quanto segue:

  • Per una VM con più interfacce di rete nella stessa rete VPC, un singolo gateway Cloud NAT per Private NAT si applica a tutte le interfacce della rete VPC.
  • Per una VM con più interfacce di rete, ognuna in reti VPC diverse, un singolo gateway Cloud NAT per Private NAT può essere applicato solo a una singola interfaccia di rete della VM. I gateway Cloud NAT separati per Private NAT possono fornire NAT alla stessa VM, dove ogni gateway si applica a un'interfaccia separata.

Indirizzi IP e porte NAT

Quando crei un gateway Cloud NAT per Private NAT, devi specificare una subnet con scopo PRIVATE_NAT da cui vengono assegnati gli indirizzi IP NAT per le VM. Per saperne di più sull'assegnazione degli indirizzi IP Private NAT, consulta Indirizzi IP Private NAT.

Puoi configurare il numero di porte di origine che ogni gateway Cloud NAT per Private NAT riserva su ogni VM per cui deve fornire servizi NAT. Puoi configurare l'allocazione statica delle porte, in cui lo stesso numero di porte viene riservato per ogni VM, o l'allocazione dinamica delle porte, in cui il numero di porte riservate può variare tra i limiti minimo e massimo specificati.

Le VM per cui deve essere fornito NAT sono determinate dagli intervalli di indirizzi IP della subnet che il gateway è configurato per gestire.

Per saperne di più sulle porte, consulta Porte.

RFC applicabili

Private NAT è un NAT conico con restrizioni di porta come definito in RFC 3489.

Timeout NAT

Private NAT imposta i timeout per le connessioni di protocollo. Per informazioni su questi timeout e sui relativi valori predefiniti, consulta Timeout NAT.

NAT44 in Private NAT

Private NAT supporta le seguenti opzioni di configurazione per il traffico IPv4:

  • Private NAT per gli spoke di Network Connectivity Center: consente la conversione degli indirizzi private-to-private per le reti VPC connesse a un hub NCC, incluso il traffico tra gli spoke VPC e tra gli spoke VPC e gli spoke ibridi.
  • Hybrid NAT: consente la conversione degli indirizzi private-to-private tra una rete VPC e una rete on-premise o di un altro provider cloud connessa tramite Google Cloud l'utilizzo di Cloud Interconnect o Cloud VPN.

NAT64 in Private NAT

NAT64 consente alle istanze VM con interfacce di rete solo IPv6 di comunicare con le seguenti destinazioni IPv4:

  • Destinazioni nella stessa rete VPC
  • Destinazioni nelle reti VPC connesse allo stesso hub NCC della rete VPC di origine (spoke VPC)
  • Destinazioni nelle reti on-premise o di altri provider cloud connesse alla rete VPC di origine tramite Cloud Interconnect, Cloud VPN o spoke ibridi NCC

L'abilitazione di NAT64 applica la conversione a tutte queste destinazioni.

La seguente configurazione di esempio mostra le connessioni NAT nella stessa rete VPC, agli spoke VPC di un hub NCC e le connessioni tramite Cloud Interconnect.

Conversione da IPv6 a IPv4 in Private NAT.
Conversione NAT64 in Private NAT (fai clic per ingrandire).

In questa configurazione, un gateway Cloud NAT di type=PRIVATE fornisce NAT64 per subnet-a e subnet-b. Per eseguire NAT64, il gateway sostituisce gli indirizzi e le porte IPv6 di origine con indirizzi e porte IPv4 dell'intervallo di subnet assegnato al gateway, in questo esempio 10.1.1.0/24.

Per saperne di più, consulta Come funziona.

Come funziona

Per utilizzare NAT64, gli indirizzi di destinazione devono essere nell'intervallo 64:ff9b::/96. Puoi configurare DNS64 per sintetizzare automaticamente gli indirizzi IPv6 con IPv4 incorporato anteponendo questo prefisso agli indirizzi IPv4 di destinazione.

Quando un'istanza VM solo IPv6 invia una richiesta a una destinazione nell'intervallo 64:ff9b::/96 e la richiesta raggiunge il gateway Cloud NAT con NAT64 abilitato, il gateway esegue NAT nel seguente modo:

  • Conversione dell'indirizzo e della porta IPv6 di origine in uno degli indirizzi e delle porte IPv4 dell'intervallo di subnet allocato al gateway.

  • Conversione dell'indirizzo IPv6 di destinazione sintetizzato nell'indirizzo IPv4 originale estraendo gli ultimi 32 bit dell'indirizzo sintetizzato.

    Il gateway Cloud NAT utilizza anche gli ultimi 32 bit dell'indirizzo IPv6 sintetizzato per determinare come il pacchetto di richiesta viene instradato alla destinazione. Quando un'istanza VM solo IPv6 invia un pacchetto a una destinazione nell'intervallo 64:ff9b::/96, il gateway applica la tabella di routing IPv4 della rete VPC all'indirizzo IPv4 estratto. Se la tabella di routing IPv4 ha una route supportata per quell'indirizzo, il pacchetto modificato viene inviato alla destinazione.

Quando viene ricevuta la risposta, il gateway Cloud NAT esegue NAT nel seguente modo:

  • Anteponendo il prefisso 64:ff9b::/96 all'indirizzo IP di origine del pacchetto di risposta.
  • Riscrivendo l'indirizzo e la porta di destinazione del pacchetto di risposta all'indirizzo e alla porta originali della VM.

Prima di configurare NAT64, consulta Limitazioni e Route e regole firewall.

Limitazioni

NAT64 è disponibile solo per le istanze VM di Compute Engine solo IPv6, per le seguenti serie di macchine:

  • Tutte le serie di seconda generazione o precedenti
  • Serie M3

Per saperne di più, consulta Terminologia di Compute Engine.

Passaggi successivi