Private NAT

O Private NAT permite a conversão de endereços de rede (NAT) particular para particular.

Especificações

O Cloud NAT oferece suporte aos seguintes tipos de conversão de endereços para o Private NAT:

  • De IPv4 para IPv4 ou NAT44. Saiba mais em NAT44 no Private NAT.

  • De IPv6 para IPv4 ou NAT64 (visualização). O NAT64 está disponível para instâncias de VM do Compute Engine. Para nós do Google Kubernetes Engine (GKE) e endpoints sem servidor, o Cloud NAT converte apenas endereços IPv4. Saiba mais em NAT64 no Private NAT.

Especificações gerais

  • O Private NAT permite conexões de saída e as respostas de entrada para essas conexões. Cada gateway do Cloud NAT para o Private NAT realiza NAT de origem no tráfego de saída e NAT de destino para pacotes de resposta estabelecidos.

  • O Private NAT não oferece suporte a redes de nuvem privada virtual (VPC) de modo automático.

  • O Private NAT não permite solicitações de entrada não solicitadas de redes conectadas, mesmo que as regras de firewall permitam essas solicitações. Saiba mais em RFCs aplicáveis.

  • Cada gateway do Cloud NAT para Private NAT está associado a uma única rede VPC network, região e Cloud Router. O gateway do Cloud NAT e o Cloud Router fornecem um plano de controle. Eles não estão envolvidos no plano de dados, portanto, os pacotes não passam pelo gateway do Cloud NAT ou pelo Cloud Router.

    Embora um gateway do Cloud NAT para Private NAT seja gerenciado por um Cloud Router, o Private NAT não usa nem depende do protocolo de gateway de borda.

  • O Private NAT não oferece suporte ao mapeamento independente de endpoint.
  • Não é possível usar o Private NAT para converter um intervalo de endereços IP primário ou secundário específico para uma determinada sub-rede. Um gateway do Cloud NAT para Private NAT executa NAT em todos os intervalos de endereços IPv4 de uma determinada sub-rede ou lista de sub-redes.
  • Depois de criar a sub-rede, não é possível aumentar ou diminuir o tamanho da sub-rede do Private NAT. No entanto, é possível especificar vários intervalos de sub-redes do Private NAT para um determinado gateway.
  • O Private NAT oferece suporte a, no máximo, 64.000 conexões simultâneas por endpoint.
  • O Private NAT oferece suporte apenas a TCP e UDP. O ICMP e outros protocolos não são aceitos.
  • Uma instância de máquina virtual (VM) em uma rede VPC só pode acessar destinos em uma sub-rede não sobreposta, e não em uma sobreposta, em uma rede conectada.

Rotas e regras de firewall

O Private NAT usa as seguintes rotas.

Rota Tipo NAT Descrição
  • Rotas de sub-rede do NCC
  • Rotas dinâmicas do NCC
 NAT44 e NAT64

Para o tráfego entre spokes VPC de um hub do NCC, o gateway NAT usa rotas de sub-rede.

Para hubs do NCC que têm spokes VPC e híbridos, o gateway NAT usa rotas de sub-rede e rotas dinâmicas.
Rotas dinâmicas locais NAT44 e NAT64 Para o Hybrid NAT, o gateway NAT usa rotas dinâmicas que o Cloud Router aprende pelo Cloud Interconnect ou pelo Cloud VPN.
  • Rotas de sub-rede locais
  • Rotas estáticas locais
 Somente NAT64 O gateway NAT usa essas rotas para tráfego na mesma rede VPC.

Considerações de roteamento para NAT64:

  • Rotas com base em políticas: o NAT64 não usa rotas com base em políticas IPv4 e IPv6. Se o NAT64 estiver ativado e o destino estiver no intervalo 64:ff9b::/96, o seguinte comportamento ocorrerá:
    • O pacote será convertido para IPv4 e enviado se corresponder a qualquer uma das rotas aplicáveis listadas na tabela anterior.
    • O NAT64 será executado mesmo que o pacote corresponda a uma rota com base em políticas IPv6.
  • Rotas de peering de rede VPC: se o NAT64 estiver ativado e o endereço IPv4 de destino incorporado corresponder a uma rota de peering, o pacote será descartado.
  • Rotas da Internet: se o endereço IPv4 de destino incorporado corresponder a uma rota que encaminha pacotes para a Internet, o NAT64 não será executado. Use o NAT64 no Public NAT para tráfego da Internet.

As regras de firewall do Cloud NGFW são aplicadas diretamente às interfaces de rede das VMs do Compute Engine, não aos gateways do Cloud NAT para Private NAT.

Quando um gateway do Cloud NAT para Private NAT faz a conversão para a interface de rede de uma VM, as regras de firewall de saída aplicáveis são avaliadas como pacotes para essa interface de rede antes da NAT. As regras de firewall de entrada são avaliadas depois que os pacotes são processados pela NAT. Não é necessário criar regras de firewall especificamente para NAT.

Aplicabilidade do intervalo de endereços IP de sub-rede

O Private NAT faz a conversão para intervalos de sub-rede IPv4, intervalos de sub-rede IPv6 ou ambos:

  • Para intervalos de sub-rede IPv4, use as seguintes opções para configurar a NAT:

    • Intervalos de endereços IP primários e secundários de todas as sub-redes na região. Um único gateway do Cloud NAT faz a conversão para os endereços IP internos principais e todos os intervalos de IP do alias das VMs qualificadas com interfaces de rede que usam uma sub-rede na região.

    • Lista de sub-redes personalizadas: um único gateway do Cloud NAT faz a conversão para os endereços IP internos principais e todos os intervalos de IP de alias das VMs qualificadas cujas interfaces de rede usam uma sub-rede de uma determinada lista.

  • Para intervalos de sub-rede IPv6, use as seguintes opções para configurar o NAT:

    • Intervalos de endereços IP internos e externos de todas as sub-redes na região: um único gateway do Cloud NAT faz a conversão para todos os intervalos de endereços IP internos e externos na região.
    • Lista personalizada de sub-redes: um único gateway do Cloud NAT faz a conversão para os intervalos de endereços IP internos e externos das VMs qualificadas cujas interfaces de rede usam uma sub-rede da lista especificada.

Largura de banda

Usar um gateway do Cloud NAT para Private NAT não altera a quantidade de largura de banda de saída ou de entrada que uma VM pode usar. As especificações de largura de banda variam por tipo de máquina e estão disponíveis em Largura de banda de rede na documentação do Compute Engine.

VMs com várias interfaces de rede

Se você configurar uma VM para ter várias interfaces de rede, as interfaces poderão estar na mesma rede VPC ou em redes VPC diferentes.

Considere o seguinte:

  • Para uma VM que tem várias interfaces de rede na mesma rede VPC, um único gateway do Cloud NAT para Private NAT se aplica a todas as interfaces na rede VPC.
  • Para uma VM que tem várias interfaces de rede, cada uma em redes VPC diferentes, um único gateway do Cloud NAT para Private NAT só pode ser aplicado a uma única interface de rede da VM. Gateways do Cloud NAT separados para Private NAT podem fornecer NAT para a mesma VM, em que cada gateway se aplica a uma interface separada.

Portas e endereços IP NAT

Ao criar um gateway do Cloud NAT para Private NAT, é preciso especificar uma sub-rede de finalidade PRIVATE_NAT a partir da qual os endereços IP NAT são atribuídos para as VMs. Para mais informações sobre a atribuição de endereços IP do Private NAT, consulte Endereços IP do Private NAT.

É possível configurar o número de portas de origem que cada gateway do Cloud NAT para Private NAT reserva em cada VM que ele fornece serviços NAT. É possível configurar a alocação estática de porta, em que o mesmo número de portas é reservado para cada VM, ou a alocação dinâmica de porta, em que o número de portas reservadas pode variar entre os limites mínimo e máximo especificados.

A configuração de intervalos de endereço IP da sub-rede atendidos pelo gateway determina quais VMs vão receber a NAT.

Saiba mais em Portas.

RFCs aplicáveis

O Private NAT é uma NAT cone restrito de porta, conforme definido no RFC 3489.

Tempo limite de NAT

O Private NAT define tempos limite para conexões de protocolo. Para obter informações sobre esses tempos limite e seus valores padrão, consulte Tempos limite de NAT.

NAT44 no Private NAT

O Private NAT oferece suporte às seguintes opções de configuração para tráfego IPv4:

  • Private NAT para spokes do Network Connectivity Center: permite a conversão de endereços particular para particular para redes VPC conectadas a um hub do NCC, que inclui tráfego entre spokes VPC e entre spokes VPC e híbridos.
  • Hybrid NAT: permite a conversão de endereços particular para particular entre uma rede VPC e uma rede local ou de outro provedor de nuvem conectada a ela usando Google Cloud o Cloud Interconnect ou o Cloud VPN.

NAT64 no Private NAT

O NAT64 permite que instâncias de VM com interfaces de rede somente IPv6 se comuniquem com os seguintes destinos IPv4:

  • Destinos na mesma rede VPC
  • Destinos em redes VPC conectadas ao mesmo hub do NCC que a rede VPC de origem (spokes VPC)
  • Destinos em redes locais ou de outros provedores de nuvem conectadas à rede VPC de origem pelo Cloud Interconnect, Cloud VPN ou spokes híbridos do NCC

A ativação do NAT64 aplica a conversão a todos esses destinos.

O exemplo de configuração a seguir mostra conexões NAT na mesma rede VPC, para spokes VPC de um hub do NCC e conexões pelo Cloud Interconnect.

Conversão de IPv6 para IPv4 no Private NAT.
Conversão NAT64 no Private NAT (clique para ampliar).

Nessa configuração, um gateway do Cloud NAT de type=PRIVATE fornece NAT64 para subnet-a e subnet-b. Para executar o NAT64, o gateway substitui endereços e portas IPv6 de origem por endereços e portas IPv4 do intervalo de sub-rede atribuído ao gateway. Neste exemplo, 10.1.1.0/24.

Saiba mais em Como funciona.

Como funciona

Para usar o NAT64, os endereços de destino precisam estar no intervalo 64:ff9b::/96. É possível configurar o DNS64 para sintetizar automaticamente endereços IPv6 incorporados ao IPv4, adicionando esse prefixo aos endereços IPv4 de destino.

Quando uma instância de VM somente IPv6 envia uma solicitação a um destino no intervalo 64:ff9b::/96 e a solicitação chega ao gateway do Cloud NAT com o NAT64 ativado, o gateway realiza a NAT fazendo o seguinte:

  • Converte o endereço IPv6 de origem e a porta para um dos endereços IPv4 e portas do intervalo de sub-rede alocado ao gateway.

  • Converte o endereço IPv6 de destino sintetizado no endereço IPv4 original extraindo os últimos 32 bits do endereço sintetizado.

    O gateway do Cloud NAT também usa os últimos 32 bits do endereço IPv6 sintetizado para determinar como o pacote de solicitação é encaminhado ao destino. Quando uma instância de VM somente IPv6 envia um pacote a um destino no intervalo 64:ff9b::/96, o gateway aplica a tabela de roteamento IPv4 da rede VPC ao endereço IPv4 extraído. Se a tabela de roteamento IPv4 tiver uma rota compatível para esse endereço, o pacote modificado será enviado ao destino.

Quando a resposta é recebida, o gateway do Cloud NAT realiza a NAT fazendo o seguinte:

  • Adiciona o prefixo 64:ff9b::/96 ao endereço IP de origem do pacote de resposta.
  • Reescreve o endereço e a porta de destino do pacote de resposta para o endereço e a porta originais da VM.

Antes de configurar o NAT64, revise Limitações e Rotas e regras de firewall.

Limitações

O NAT64 está disponível apenas para instâncias de VM do Compute Engine somente IPv6, para as seguintes séries de máquinas:

  • Todas as séries da segunda geração ou anteriores
  • Série M3

Saiba mais em Terminologia do Compute Engine.

A seguir