NAT privato

Private NAT consente Network Address Translation private-to-private (NAT).

Specifiche

Cloud NAT supporta i seguenti tipi di conversione degli indirizzi per Private NAT:

  • Da IPv4 a IPv4 o NAT44. Per saperne di più, consulta NAT44 in NAT privato.

  • Da IPv6 a IPv4 o NAT64 (anteprima). NAT64 è disponibile per le istanze VM di Compute Engine. Per i nodi Google Kubernetes Engine (GKE) e gli endpoint serverless, Cloud NAT converte solo gli indirizzi IPv4. Per saperne di più, consulta NAT64 in NAT privato.

Specifiche generali

  • Private NAT consente le connessioni in uscita e le risposte in entrata a queste connessioni. Ogni gateway Cloud NAT per Private NAT esegue il source NAT sul traffico in uscita e il destination NAT per i pacchetti di risposta stabiliti.

  • Private NAT non supporta le reti Virtual Private Cloud (VPC) in modalità automatica.

  • Private NAT non consente richieste in entrata non richieste dalle reti connesse, anche se le regole firewall altrimenti le consentirebbero. Per saperne di più, consulta RFC applicabili.

  • Ogni gateway Cloud NAT per Private NAT è associato a una singola rete VPC, regione e router Cloud. Il gateway Cloud NAT e il router Cloud forniscono un control plane, non sono coinvolti nel data plane, quindi i pacchetti non passano attraverso il gateway Cloud NAT o il router Cloud.

    Anche se un gateway Cloud NAT per NAT privato è gestito da un router Cloud, NAT privato non utilizza né dipende dal Border Gateway Protocol.

  • NAT privato non supporta il mapping indipendente dagli endpoint.
  • Non puoi utilizzare NAT privato per tradurre un intervallo di indirizzi IP primari o secondari specifico per una determinata subnet. Un gateway Cloud NAT per Private NAT esegue la NAT su tutti gli intervalli di indirizzi IPv4 per una determinata subnet o un elenco di subnet.
  • Dopo aver creato la subnet, non puoi aumentare o diminuire le dimensioni della subnet NAT privata. Tuttavia, puoi specificare più intervalli di subnet NAT privata per un determinato gateway.
  • Private NAT supporta un massimo di 64.000 connessioni simultanee per endpoint.
  • Private NAT supporta solo TCP e UDP. ICMP e altri protocolli non sono supportati.
  • Un'istanza di macchina virtuale (VM) in una rete VPC può accedere solo a destinazioni in una subnet non sovrapposta, non in una sovrapposta, in una rete connessa.

Route e regole firewall

Private NAT utilizza le seguenti route.

Route Tipo NAT Descrizione
  • Route di subnet NCC
  • Route dinamiche NCC
 NAT44 e NAT64

Per il traffico tra spoke VPC di un hub NCC, il gateway NAT utilizza le route di subnet.

Per gli hub NCC che hanno sia spoke VPC sia spoke ibridi, il gateway NAT utilizza route di subnet e route dinamiche.
Route dinamiche locali NAT44 e NAT64 Per NAT ibrido, il gateway NAT utilizza route dinamiche che router Cloud apprende tramite Cloud Interconnect o Cloud VPN.
  • Route di subnet locali
  • Route statiche locali
 Solo NAT64 Il gateway NAT utilizza queste route per il traffico all'interno della stessa rete VPC.

Considerazioni sul routing per NAT64:

  • Route basate su criteri: NAT64 non utilizza route basate su criteri IPv4 e IPv6. Se NAT64 è abilitato e la destinazione si trova nell'intervallo 64:ff9b::/96, si verifica il seguente comportamento:
    • Il pacchetto viene convertito in IPv4 e inviato se corrisponde a una delle route applicabili elencate nella tabella precedente.
    • NAT64 viene eseguito anche se il pacchetto corrisponde a una route basata su policy IPv6.
  • Route di peering della rete VPC: se NAT64 è abilitato e l'indirizzo IPv4 di destinazione incorporato corrisponde a una route di peering, il pacchetto viene eliminato.
  • Route internet: se l'indirizzo IPv4 di destinazione incorporato corrisponde a una route che instrada i pacchetti a internet, NAT64 non viene eseguito. Utilizza NAT64 in Public NAT per il traffico internet.

Le regole firewall Cloud NGFW vengono applicate direttamente alle interfacce di rete delle VM Compute Engine, non ai gateway Cloud NAT per NAT privato.

Quando un gateway Cloud NAT per Private NAT fornisce NAT per l'interfaccia di rete di una VM, le regole firewall di uscita applicabili vengono valutate come pacchetti per quell'interfaccia di rete prima di NAT. Le regole firewall di ingresso vengono valutate dopo che i pacchetti sono stati elaborati da NAT. Non è necessario creare regole firewall specifiche per NAT.

Applicabilità dell'intervallo di indirizzi IP della subnet

Private NAT fornisce NAT per intervalli di subnet IPv4, intervalli di subnet IPv6 o entrambi:

  • Per gli intervalli di subnet IPv4, puoi utilizzare le seguenti opzioni per configurare NAT:

    • Intervalli di indirizzi IP primari e secondari di tutte le subnet nella regione. Un singolo gateway Cloud NAT fornisce NAT per gli indirizzi IP interni primari e tutti gli intervalli IP alias delle VM idonee le cui interfacce di rete utilizzano una subnet nella regione.

    • Elenco di subnet personalizzato: un singolo gateway Cloud NAT fornisce NAT per gli indirizzi IP interni principali e tutti gli intervalli IP alias delle VM idonee le cui interfacce di rete utilizzano una subnet da un elenco di subnet specificate.

  • Per gli intervalli di subnet IPv6, puoi utilizzare le seguenti opzioni per configurare NAT:

    • Intervalli di indirizzi IP interni ed esterni di tutte le subnet nella regione: un singolo gateway Cloud NAT fornisce NAT per tutti gli intervalli di indirizzi IP interni ed esterni nella regione.
    • Elenco di subnet personalizzato: un singolo gateway Cloud NAT fornisce NAT per gli intervalli di indirizzi IP interni ed esterni delle VM idonee le cui interfacce di rete utilizzano una subnet da un elenco di subnet specificate.

Larghezza di banda

L'utilizzo di un gateway Cloud NAT per Private NAT non modifica la quantità di larghezza di banda in uscita o in entrata che una VM può utilizzare. Per le specifiche della larghezza di banda, che variano in base al tipo di macchina, consulta Larghezza di banda di rete nella documentazione di Compute Engine.

VM con più interfacce di rete

Se configuri una VM in modo che abbia più interfacce di rete, le interfacce possono trovarsi nella stessa rete VPC o in reti VPC diverse.

Considera quanto segue:

  • Per una VM con più interfacce di rete nella stessa rete VPC, un singolo gateway Cloud NAT per Private NAT si applica a tutte le interfacce nella rete VPC.
  • Per una VM con più interfacce di rete, ognuna in una rete VPC diversa, un singolo gateway Cloud NAT per Private NAT può essere applicato solo a una singola interfaccia di rete della VM. Gateway Cloud NAT separati per NAT privato possono fornire NAT alla stessa VM, dove ogni gateway si applica a un'interfaccia separata.

Indirizzi IP e porte NAT

Quando crei un gateway Cloud NAT per Private NAT, devi specificare una subnet di destinazione PRIVATE_NAT da cui vengono assegnati gli indirizzi IP NAT per le VM. Per saperne di più sull'assegnazione dell'indirizzo IP NAT privato, consulta Indirizzi IP NAT privati.

Puoi configurare il numero di porte di origine che ogni gateway Cloud NAT per NAT privato riserva su ogni VM per cui deve fornire servizi NAT. Puoi configurare l'allocazione statica delle porte, in cui lo stesso numero di porte viene riservato per ogni VM, oppure l'allocazione dinamica delle porte, in cui il numero di porte riservate può variare tra i limiti minimo e massimo specificati.

Le VM per le quali deve essere fornito NAT sono determinate dagli intervalli di indirizzi IP subnet che il gateway è configurato per gestire.

Per saperne di più sulle porte, consulta Porte.

RFC applicabili

Private NAT è un NAT cono con porta limitata, come definito nella RFC 3489.

Timeout NAT

Private NAT imposta i timeout per le connessioni di protocollo. Per informazioni su questi timeout e sui relativi valori predefiniti, consulta Timeout NAT.

NAT44 in Private NAT

NAT privato supporta le seguenti opzioni di configurazione per il traffico IPv4:

  • Private NAT per gli spoke di Network Connectivity Center: consente la conversione degli indirizzi privati in privati per le reti VPC connesse a un hub NCC, incluso il traffico tra gli spoke VPC e tra gli spoke VPC e gli spoke ibridi.
  • Hybrid NAT: consente la conversione di indirizzi privati in privati tra una rete VPC e una rete on-premise o di un altro provider cloud connessa a Google Cloud tramite Cloud Interconnect o Cloud VPN.

NAT64 in Private NAT

NAT64 consente alle istanze VM con interfacce di rete solo IPv6 di comunicare con le seguenti destinazioni IPv4:

  • Destinazioni nella stessa rete VPC
  • Destinazioni nelle reti VPC connesse allo stesso hub NCC della rete VPC di origine (spoke VPC)
  • Destinazioni nelle reti on-premise o di altri cloud provider connesse alla rete VPC di origine tramite Cloud Interconnect, Cloud VPN o spoke ibridi NCC

L'attivazione di NAT64 applica la traduzione a tutte queste destinazioni.

La seguente configurazione di esempio mostra le connessioni NAT nella stessa rete VPC, agli spoke VPC di un hub NCC e le connessioni tramite Cloud Interconnect.

Conversione da IPv6 a IPv4 in NAT privato.
Traduzione NAT64 in NAT privato (fai clic per ingrandire).

In questa configurazione, un gateway Cloud NAT di type=PRIVATE fornisce NAT64 per subnet-a e subnet-b. Per eseguire NAT64, il gateway sostituisce gli indirizzi e le porte IPv6 di origine con indirizzi e porte IPv4 dell'intervallo di subnet assegnato al gateway. In questo esempio, 10.1.1.0/24.

Per saperne di più, consulta Come funziona.

Come funziona

Per utilizzare NAT64, gli indirizzi di destinazione devono rientrare nell'intervallo 64:ff9b::/96. Puoi configurare DNS64 per sintetizzare automaticamente gli indirizzi IPv6 con IPv4 incorporato anteponendo questo prefisso agli indirizzi IPv4 di destinazione.

Quando un'istanza VM solo IPv6 invia una richiesta a una destinazione nell'intervallo 64:ff9b::/96 e la richiesta raggiunge il gateway Cloud NAT con NAT64 abilitato, il gateway esegue NAT nel seguente modo:

  • Traduzione dell'indirizzo IPv6 e della porta di origine in uno degli indirizzi IPv4 e delle porte dell'intervallo di subnet allocato al gateway.

  • Traduzione dell'indirizzo IPv6 di destinazione sintetizzato nell'indirizzo IPv4 originale estraendo gli ultimi 32 bit dell'indirizzo sintetizzato.

    Il gateway Cloud NAT utilizza anche gli ultimi 32 bit dell'indirizzo IPv6 sintetizzato per determinare il modo in cui il pacchetto di richiesta viene instradato alla destinazione. Quando un'istanza VM solo IPv6 invia un pacchetto a una destinazione nell'intervallo 64:ff9b::/96, il gateway applica la tabella di routing IPv4 della rete VPC all'indirizzo IPv4 estratto. Se la tabella di routing IPv4 contiene una route supportata per quell'indirizzo, il pacchetto modificato viene inviato alla destinazione.

Quando viene ricevuta la risposta, il gateway Cloud NAT esegue NAT nel seguente modo:

  • Aggiunta del prefisso 64:ff9b::/96 all'indirizzo IP di origine del pacchetto di risposta.
  • Riscrivendo l'indirizzo di destinazione e la porta di destinazione del pacchetto di risposta all'indirizzo e alla porta originali della VM.

Prima di configurare NAT64, esamina le limitazioni e le regole di routing e firewall.

Limitazioni

NAT64 presenta le seguenti limitazioni:

  • NAT64 è disponibile solo per le istanze VM di Compute Engine solo IPv6, per le seguenti serie di macchine:

    • Tutte le serie di seconda generazione o precedenti
    • Serie M3

    Per saperne di più, consulta Terminologia di Compute Engine.

  • Gli endpoint Private Service Connect IPv4 nella stessa rete VPC del gateway Cloud NAT non sono raggiungibili tramite NAT64.

Passaggi successivi