Private NAT

Private NAT memungkinkan penafsiran alamat jaringan (NAT) pribadi-ke-pribadi.

Spesifikasi

Cloud NAT mendukung jenis terjemahan alamat berikut untuk Private NAT:

  • Dari IPv4 ke IPv4, atau NAT44. Untuk mengetahui informasi selengkapnya, lihat NAT44 di Private NAT.

  • Dari IPv6 ke IPv4, atau NAT64 (Pratinjau). NAT64 tersedia untuk instance VM Compute Engine. Untuk node Google Kubernetes Engine (GKE) dan endpoint serverless, Cloud NAT hanya menerjemahkan alamat IPv4. Untuk mengetahui informasi selengkapnya, lihat NAT64 di Private NAT.

Spesifikasi umum

  • Private NAT memungkinkan koneksi keluar dan respons masuk ke koneksi tersebut. Setiap gateway Cloud NAT untuk Private NAT menjalankan NAT sumber pada traffic egress dan NAT tujuan untuk paket respons yang telah ditetapkan.

  • Private NAT tidak mendukung jaringan Virtual Private Cloud (VPC) mode otomatis.

  • Private NAT tidak mengizinkan permintaan masuk yang tidak diminta dari jaringan yang terhubung, meskipun aturan firewall akan mengizinkan permintaan tersebut. Untuk mengetahui informasi selengkapnya, lihat RFC yang berlaku.

  • Setiap gateway Cloud NAT untuk Private NAT dikaitkan dengan satu jaringan VPC, region, dan Cloud Router. Gateway Cloud NAT dan Cloud Router menyediakan bidang kontrol—keduanya tidak terlibat dalam bidang data—sehingga paket tidak melewati gateway Cloud NAT atau Cloud Router.

    Meskipun gateway Cloud NAT untuk Private NAT dikelola oleh Cloud Router, Private NAT tidak menggunakan atau bergantung pada Border Gateway Protocol.

  • Private NAT tidak mendukung Pemetaan Independen Endpoint.
  • Anda tidak dapat menggunakan NAT Pribadi untuk menerjemahkan rentang alamat IP utama atau sekunder tertentu untuk subnet tertentu. Gateway Cloud NAT untuk Private NAT melakukan NAT pada semua rentang alamat IPv4 untuk subnet atau daftar subnet tertentu.
  • Setelah membuat subnet, Anda tidak dapat menambah atau mengurangi ukuran subnet Private NAT. Namun, Anda dapat menentukan beberapa rentang subnet NAT Pribadi untuk gateway tertentu.
  • Private NAT mendukung maksimum 64.000 koneksi simultan per endpoint.
  • NAT pribadi hanya mendukung TCP dan UDP. ICMP dan protokol lainnya tidak didukung.
  • Instance virtual machine (VM) di jaringan VPC hanya dapat mengakses tujuan di subnetwork yang tidak tumpang-tindih—bukan di subnetwork yang tumpang-tindih— di jaringan yang terhubung.

Rute dan aturan firewall

Private NAT menggunakan rute berikut.

Rute Jenis NAT Deskripsi
  • Rute subnet NCC
  • Rute dinamis NCC
 NAT44 dan NAT64

Untuk traffic antara spoke VPC hub NCC, gateway NAT menggunakan rute subnet.

Untuk hub NCC yang memiliki spoke VPC dan spoke hybrid, gateway NAT menggunakan rute subnet dan rute dinamis.
Rute dinamis lokal NAT44 dan NAT64 Untuk NAT Hybrid, gateway NAT menggunakan rute dinamis yang dipelajari Cloud Router melalui Cloud Interconnect atau Cloud VPN.
  • Rute subnet lokal
  • Rute statis lokal
 Khusus NAT64 Gateway NAT menggunakan rute ini untuk traffic dalam jaringan VPC yang sama.

Pertimbangan pemilihan rute untuk NAT64:

  • Rute berbasis kebijakan: NAT64 tidak menggunakan rute berbasis kebijakan IPv4 dan IPv6. Jika NAT64 diaktifkan dan tujuannya berada dalam rentang 64:ff9b::/96, perilaku berikut akan terjadi:
    • Paket diterjemahkan ke IPv4 dan dikirim jika cocok dengan salah satu rute yang berlaku yang tercantum dalam tabel sebelumnya.
    • NAT64 dilakukan meskipun paket cocok dengan rute berbasis kebijakan IPv6.
  • Rute VPC Network Peering: jika NAT64 diaktifkan dan alamat IPv4 tujuan yang disematkan cocok dengan rute peering, paket akan dihentikan.
  • Rute internet: jika alamat IPv4 tujuan yang disematkan cocok dengan rute yang merutekan paket ke internet, NAT64 tidak dilakukan. Gunakan NAT64 di Public NAT untuk traffic internet.

Aturan firewall Cloud NGFW diterapkan langsung ke antarmuka jaringan VM Compute Engine, bukan gateway Cloud NAT untuk Private NAT.

Saat gateway Cloud NAT untuk Private NAT menyediakan NAT untuk antarmuka jaringan VM, aturan firewall keluar yang berlaku dievaluasi sebagai paket untuk antarmuka jaringan tersebut sebelum NAT. Aturan firewall masuk dievaluasi setelah paket diproses oleh NAT. Anda tidak perlu membuat aturan firewall khusus untuk NAT.

Penerapan rentang alamat IP subnet

Private NAT menyediakan NAT untuk rentang subnet IPv4, rentang subnet IPv6, atau keduanya:

  • Untuk rentang subnet IPv4, Anda dapat menggunakan opsi berikut untuk mengonfigurasi NAT:

    • Rentang alamat IP primer dan sekunder dari semua subnet di region. Satu gateway Cloud NAT menyediakan NAT untuk alamat IP internal utama dan semua rentang IP alias VM yang memenuhi syarat yang antarmuka jaringannya menggunakan subnet di region.

    • Daftar subnet kustom: satu gateway Cloud NAT menyediakan NAT untuk alamat IP internal utama dan semua rentang IP alias VM yang memenuhi syarat yang antarmuka jaringannya menggunakan subnet dari daftar subnet yang ditentukan.

  • Untuk rentang subnet IPv6, Anda dapat menggunakan opsi berikut untuk mengonfigurasi NAT:

    • Rentang alamat IP internal dan eksternal dari semua subnet di region: satu gateway Cloud NAT menyediakan NAT untuk semua rentang alamat IP internal dan eksternal di region.
    • Daftar subnet kustom: satu gateway Cloud NAT menyediakan NAT untuk rentang alamat IP internal dan eksternal VM yang memenuhi syarat yang antarmuka jaringannya menggunakan subnet dari daftar subnet yang ditentukan.

Bandwidth

Penggunaan gateway Cloud NAT untuk Private NAT tidak mengubah jumlah bandwidth keluar atau masuk yang dapat digunakan VM. Untuk spesifikasi bandwidth, yang bervariasi menurut jenis mesin, lihat Bandwidth jaringan dalam dokumentasi Compute Engine.

VM dengan beberapa antarmuka jaringan

Jika Anda mengonfigurasi VM agar memiliki beberapa antarmuka jaringan, antarmuka tersebut dapat berada di jaringan VPC yang sama atau jaringan VPC yang berbeda.

Pertimbangkan hal berikut:

  • Untuk VM yang memiliki beberapa antarmuka jaringan di jaringan VPC yang sama, satu gateway Cloud NAT untuk Private NAT berlaku untuk semua antarmuka di jaringan VPC.
  • Untuk VM yang memiliki beberapa antarmuka jaringan yang masing-masing berada di jaringan VPC yang berbeda, satu gateway Cloud NAT untuk Private NAT hanya dapat diterapkan ke satu antarmuka jaringan VM. Gateway Cloud NAT terpisah untuk Private NAT dapat menyediakan NAT ke VM yang sama, dengan setiap gateway berlaku untuk antarmuka terpisah.

Alamat IP dan port NAT

Saat membuat gateway Cloud NAT untuk Private NAT, Anda harus menentukan subnet dengan tujuan PRIVATE_NAT yang alamat IP NAT-nya ditetapkan untuk VM. Untuk mengetahui informasi selengkapnya tentang penetapan alamat IP Private NAT, lihat Alamat IP Private NAT.

Anda dapat mengonfigurasi jumlah port sumber yang dicadangkan oleh setiap gateway Cloud NAT untuk Private NAT di setiap VM yang akan disediakan layanan NAT-nya. Anda dapat mengonfigurasi alokasi port statis, dengan jumlah port yang sama dicadangkan untuk setiap VM, atau alokasi port dinamis, dengan jumlah port yang dicadangkan dapat bervariasi antara batas minimum dan maksimum yang Anda tentukan.

VM yang akan disediakan NAT ditentukan oleh rentang alamat IP subnet yang dikonfigurasi untuk ditayangkan oleh gateway.

Untuk mengetahui informasi selengkapnya tentang port, lihat Port.

RFC yang berlaku

Private NAT adalah NAT kerucut yang dibatasi port sebagaimana didefinisikan dalam RFC 3489.

Waktu tunggu NAT

Private NAT menetapkan waktu tunggu untuk koneksi protokol. Untuk informasi tentang waktu tunggu ini dan nilai defaultnya, lihat Waktu tunggu NAT.

NAT44 di Private NAT

Private NAT mendukung opsi konfigurasi berikut untuk traffic IPv4:

  • Private NAT untuk spoke Network Connectivity Center: memungkinkan penerjemahan alamat pribadi-ke-pribadi untuk jaringan VPC yang terhubung ke hub NCC, yang mencakup traffic antara spoke VPC dan antara spoke VPC dan spoke hybrid.
  • Hybrid NAT: memungkinkan terjemahan alamat private-to-private antara jaringan VPC dan jaringan lokal atau penyedia cloud lain yang terhubung ke Google Cloud menggunakan Cloud Interconnect atau Cloud VPN.

NAT64 di Private NAT

NAT64 memungkinkan instance VM dengan antarmuka jaringan khusus IPv6 berkomunikasi dengan tujuan IPv4 berikut:

  • Tujuan di jaringan VPC yang sama
  • Tujuan di jaringan VPC yang terhubung ke hub NCC yang sama dengan jaringan VPC sumber (spoke VPC)
  • Tujuan di jaringan lokal atau penyedia cloud lain yang terhubung ke jaringan VPC sumber melalui Cloud Interconnect, Cloud VPN, atau spoke hybrid NCC

Mengaktifkan NAT64 akan menerapkan terjemahan ke semua tujuan ini.

Contoh konfigurasi berikut menunjukkan koneksi NAT di jaringan VPC yang sama, ke jari-jari VPC hub NCC, dan koneksi melalui Cloud Interconnect.

Terjemahan IPv6 ke IPv4 di Private NAT.
Terjemahan NAT64 di Private NAT (klik untuk memperbesar).

Dalam konfigurasi ini, gateway Cloud NAT type=PRIVATE menyediakan NAT64 untuk subnet-a dan subnet-b. Untuk melakukan NAT64, gateway mengganti alamat dan port IPv6 sumber dengan alamat dan port IPv4 dari rentang subnet yang ditetapkan ke gateway—dalam contoh ini, 10.1.1.0/24.

Untuk mengetahui informasi selengkapnya, lihat Cara kerjanya.

Cara kerjanya

Untuk menggunakan NAT64, alamat tujuan harus berada dalam rentang 64:ff9b::/96. Anda dapat mengonfigurasi DNS64 untuk otomatis mensintesis alamat IPv6 yang disematkan IPv4 dengan menambahkan awalan ini ke alamat IPv4 tujuan Anda.

Saat instance VM khusus IPv6 mengirim permintaan ke tujuan dalam rentang 64:ff9b::/96 dan permintaan mencapai gateway Cloud NAT dengan NAT64 diaktifkan, gateway akan melakukan NAT dengan melakukan hal berikut:

  • Menerjemahkan alamat dan port IPv6 sumber ke salah satu alamat dan port IPv4 dari rentang subnet yang dialokasikan ke gateway.

  • Menerjemahkan alamat IPv6 tujuan yang disintesis ke alamat IPv4 asli dengan mengekstrak 32 bit terakhir dari alamat yang disintesis.

    Gateway Cloud NAT juga menggunakan 32 bit terakhir dari alamat IPv6 yang disintesis untuk menentukan cara paket permintaan dirutekan ke tujuan. Saat instance VM khusus IPv6 mengirim paket ke tujuan dalam rentang 64:ff9b::/96, gateway menerapkan tabel perutean IPv4 jaringan VPC ke alamat IPv4 yang diekstrak. Jika tabel perutean IPv4 memiliki rute yang didukung untuk alamat tersebut, paket yang diubah akan dikirim ke tujuan.

Saat respons diterima, gateway Cloud NAT melakukan NAT dengan melakukan hal berikut:

  • Menambahkan awalan 64:ff9b::/96 ke alamat IP sumber paket respons.
  • Menulis ulang alamat tujuan dan porta tujuan paket respons ke alamat dan porta asli VM.

Sebelum mengonfigurasi NAT64, tinjau Batasan dan Aturan rute dan firewall.

Batasan

NAT64 hanya tersedia untuk instance VM Compute Engine khusus IPv6, untuk seri mesin berikut:

  • Semua seri generasi kedua atau yang lebih lama
  • Seri M3

Untuk mengetahui informasi selengkapnya, lihat Terminologi Compute Engine.

Langkah berikutnya