Private NAT

O Private NAT permite a conversão de endereços de rede (NAT) particular para particular.

Especificações

O Cloud NAT é compatível com os seguintes tipos de conversão de endereços para Private NAT:

  • De IPv4 para IPv4 ou NAT44. Saiba mais em NAT44 no Private NAT.

  • De IPv6 para IPv4 ou NAT64 (prévia). O NAT64 está disponível para instâncias de VM do Compute Engine. Para nós do Google Kubernetes Engine (GKE) e endpoints sem servidor, o Cloud NAT traduz apenas endereços IPv4. Saiba mais em NAT64 no Private NAT.

Especificações gerais

  • O Private NAT permite conexões de saída e as respostas de entrada para essas conexões. Cada gateway do Cloud NAT para o Private NAT realiza NAT de origem no tráfego de saída e NAT de destino para pacotes de resposta estabelecidos.

  • O Private NAT não é compatível com redes de nuvem privada virtual (VPC) de modo automático.

  • O Private NAT não permite solicitações de entrada não solicitadas de redes conectadas, mesmo que as regras de firewall permitam essas solicitações. Saiba mais em RFCs aplicáveis.

  • Cada gateway do Cloud NAT para Private NAT está associado a uma única rede VPC, região e Cloud Router. O gateway do Cloud NAT e o Cloud Router fornecem um plano de controle. Eles não estão envolvidos no plano de dados, portanto, os pacotes não passam pelo gateway do Cloud NAT ou pelo Cloud Router.

    Embora um gateway do Cloud NAT para Private NAT seja gerenciado por um Cloud Router, o Private NAT não usa nem depende do protocolo de gateway de borda.

  • O Private NAT não é compatível com o mapeamento independente de endpoint.
  • Não é possível usar o NAT particular para converter um intervalo de endereços IP primário ou secundário específico para uma determinada sub-rede. Um gateway do Cloud NAT para Private NAT executa NAT em todos os intervalos de endereços IPv4 de uma determinada sub-rede ou lista de sub-redes.
  • Depois de criar a sub-rede, não é possível aumentar ou diminuir o tamanho dela. No entanto, é possível especificar vários intervalos de sub-redes do Private NAT para um determinado gateway.
  • O Private NAT é compatível com, no máximo, 64.000 conexões simultâneas por endpoint.
  • O NAT particular é compatível apenas com TCP e UDP. O ICMP e outros protocolos não são compatíveis.
  • Uma instância de máquina virtual (VM) em uma rede VPC só pode acessar destinos em uma sub-rede não sobreposta, e não em uma sobreposta, em uma rede conectada.

Rotas e regras de firewall

O Private NAT usa as seguintes rotas.

Rota Tipo NAT Descrição
  • Rotas de sub-rede do NCC
  • Rotas dinâmicas do NCC
 NAT44 e NAT64

Para o tráfego entre spokes de VPC de um hub do NCC, o gateway NAT usa rotas de sub-rede.

Para hubs do NCC que têm spokes de VPC e spokes híbridos, o gateway NAT usa rotas de sub-rede e rotas dinâmicas.
Rotas dinâmicas locais NAT44 e NAT64 Para o NAT híbrido, o gateway NAT usa rotas dinâmicas que o Cloud Router aprende com o Cloud Interconnect ou o Cloud VPN.
  • Rotas de sub-rede local
  • Rotas estáticas locais
 Somente NAT64 O gateway NAT usa essas rotas para o tráfego na mesma rede VPC.

Considerações sobre o roteamento para NAT64:

  • Rotas com base em políticas: o NAT64 não usa rotas com base em políticas IPv4 e IPv6. Se o NAT64 estiver ativado e o destino estiver no intervalo 64:ff9b::/96, o seguinte comportamento vai ocorrer:
    • O pacote é traduzido para IPv4 e enviado se corresponder a alguma das rotas aplicáveis listadas na tabela anterior.
    • O NAT64 é realizado mesmo que o pacote corresponda a uma rota IPv6 com base em políticas.
  • Rotas de peering de rede VPC: se o NAT64 estiver ativado e o endereço IPv4 de destino incorporado corresponder a uma rota de peering, o pacote será descartado.
  • Rotas da Internet: se o endereço IPv4 de destino incorporado corresponder a uma rota que roteia pacotes para a Internet, o NAT64 não será realizado. Use o NAT64 no Public NAT para tráfego da Internet.

As regras de firewall do Cloud NGFW são aplicadas diretamente às interfaces de rede das VMs do Compute Engine, não aos gateways do Cloud NAT para Private NAT.

Quando um gateway do Cloud NAT para Private NAT fornece NAT para a interface de rede de uma VM, as regras de firewall de saída aplicáveis são avaliadas como pacotes para essa interface de rede antes de NAT. As regras de firewall de entrada são avaliadas depois que os pacotes são processados pelo NAT. Não é necessário criar regras de firewall especificamente para NAT.

Aplicabilidade do intervalo de endereços IP de sub-rede

O Private NAT faz a conversão para intervalos de sub-rede IPv4, intervalos de sub-rede IPv6 ou ambos:

  • Para intervalos de sub-rede IPv4, use as seguintes opções para configurar o NAT:

    • Intervalos de endereços IP primários e secundários de todas as sub-redes na região. Um único gateway do Cloud NAT fornece NAT para os endereços IP internos principais e todos os intervalos de IP do alias das VMs qualificadas com interfaces de rede que usam uma sub-rede na região.

    • Lista de sub-redes personalizadas: um único gateway do Cloud NAT faz a conversão para os endereços IP internos principais e todos os intervalos de IP de alias das VMs qualificadas cujas interfaces de rede usam uma sub-rede de uma determinada lista.

  • Para intervalos de sub-rede IPv6, use as seguintes opções para configurar o NAT:

    • Intervalos de endereços IP internos e externos de todas as sub-redes na região: um único gateway do Cloud NAT faz a conversão para todos os intervalos de endereços IP internos e externos na região.
    • Lista personalizada de sub-redes: um único gateway do Cloud NAT faz a conversão para os intervalos de endereços IP internos e externos das VMs qualificadas cujas interfaces de rede usam uma sub-rede da lista especificada.

Largura de banda

Usar um gateway do Cloud NAT para Private NAT não muda a quantidade de largura de banda de entrada ou de saída que uma VM pode usar. As especificações de largura de banda variam por tipo de máquina e estão disponíveis em Largura de banda de rede na documentação do Compute Engine.

VMs com mais de uma interface de rede

Se você configurar uma VM para ter várias interfaces de rede, elas poderão estar na mesma rede VPC ou em redes VPC diferentes.

Considere o seguinte:

  • Para uma VM com várias interfaces de rede na mesma rede VPC, um único gateway do Cloud NAT para Private NAT se aplica a todas as interfaces na rede VPC.
  • Para uma VM com várias interfaces de rede, cada uma em redes VPC diferentes, um único gateway do Cloud NAT para Private NAT só pode ser aplicado a uma única interface de rede da VM. Gateways separados do Cloud NAT para Private NAT podem fornecer NAT para a mesma VM, onde cada gateway se aplica a uma interface separada.

Portas e endereços IP de NAT

Ao criar um gateway do Cloud NAT para o Private NAT, é preciso especificar uma sub-rede de finalidade PRIVATE_NAT a partir da qual os endereços IP NAT são atribuídos para as VMs. Para mais informações sobre a atribuição de endereços IP do Private NAT, consulte Endereços IP do Private NAT.

É possível configurar o número de portas de origem que cada gateway do Cloud NAT para Private NAT reserva em cada VM em que a conversão é feita. É possível configurar a alocação estática de porta, em que o mesmo número de portas é reservado para cada VM, ou alocação dinâmica de porta, em que o número de portas reservadas pode variar entre os limites mínimo e máximo especificados.

A configuração de intervalos de endereço IP da sub-rede atendidos pelo gateway determina quais VMs vão receber a NAT.

Saiba mais em Portas.

RFCs aplicáveis

O Private NAT é uma NAT cone restrito de porta, conforme definido no RFC 3489.

Tempo limite de NAT

O Private NAT define tempos limite para conexões de protocolo. Consulte os tempos limite e os valores padrão deles neste link.

NAT44 no Private NAT

O Private NAT oferece as seguintes opções de configuração para tráfego IPv4:

  • Private NAT para spokes do Network Connectivity Center: permite a conversão de endereços particular para particular em redes VPC conectadas a um hub do NCC, incluindo o tráfego entre spokes VPC e entre spokes VPC e híbridos.
  • Hybrid NAT: permite a conversão de endereços particulares para particulares entre uma rede VPC e uma rede local ou de outro provedor de nuvem conectada ao Google Cloud usando o Cloud Interconnect ou o Cloud VPN.

NAT64 no Private NAT

O NAT64 permite que instâncias de VM com interfaces de rede somente IPv6 se comuniquem com os seguintes destinos IPv4:

  • Destinos na mesma rede VPC
  • Destinos em redes VPC conectadas ao mesmo hub do NCC que a rede VPC de origem (spokes VPC)
  • Destinos em redes locais ou de outros provedores de nuvem que estão conectados à rede VPC de origem por Cloud Interconnect, Cloud VPN ou hubs híbridos do NCC

A ativação do NAT64 aplica a tradução a todos esses destinos.

O exemplo de configuração a seguir mostra conexões NAT na mesma rede VPC, com spokes VPC de um hub da NCC e conexões pelo Cloud Interconnect.

Conversão de IPv6 para IPv4 no Private NAT.
Conversão de NAT64 em Private NAT (clique para ampliar).

Nessa configuração, um gateway do Cloud NAT de type=PRIVATE fornece NAT64 para subnet-a e subnet-b. Para realizar o NAT64, o gateway substitui os endereços IPv6 de origem e as portas por endereços IPv4 e portas do intervalo de sub-rede atribuído ao gateway. Neste exemplo, 10.1.1.0/24.

Para mais informações, consulte Como funciona.

Como funciona

Para usar o NAT64, os endereços de destino precisam estar no intervalo 64:ff9b::/96. É possível configurar o DNS64 para sintetizar automaticamente endereços IPv6 incorporados ao IPv4 adicionando esse prefixo aos seus endereços IPv4 de destino.

Quando uma instância de VM somente IPv6 envia uma solicitação a um destino no intervalo 64:ff9b::/96 e a solicitação chega ao gateway do Cloud NAT com o NAT64 ativado, o gateway realiza a NAT fazendo o seguinte:

  • Traduzir o endereço IPv6 de origem e a porta para um dos endereços IPv4 e portas do intervalo de sub-rede alocado ao gateway.

  • Convertendo o endereço IPv6 de destino sintetizado no endereço IPv4 original ao extrair os últimos 32 bits do endereço sintetizado.

    O gateway do Cloud NAT também usa os últimos 32 bits do endereço IPv6 sintetizado para determinar como o pacote de solicitação é encaminhado ao destino. Quando uma instância de VM somente IPv6 envia um pacote a um destino no intervalo 64:ff9b::/96, o gateway aplica a tabela de roteamento IPv4 da rede VPC ao endereço IPv4 extraído. Se a tabela de roteamento IPv4 tiver uma rota compatível para esse endereço, o pacote modificado será enviado ao destino.

Quando a resposta é recebida, o gateway do Cloud NAT realiza o NAT fazendo o seguinte:

  • Adiciona o prefixo 64:ff9b::/96 ao endereço IP de origem do pacote de resposta.
  • Reescreve o endereço e a porta de destino do pacote de resposta para o endereço e a porta originais da VM.

Antes de configurar o NAT64, leia as Limitações e as Rotas e regras de firewall.

Limitações

O NAT64 tem as seguintes limitações:

  • O NAT64 está disponível apenas para instâncias de VM do Compute Engine somente IPv6 destas séries de máquinas:

    • Todas as séries da segunda geração ou anteriores
    • Série M3

    Saiba mais em Terminologia do Compute Engine.

  • Os endpoints IPv4 do Private Service Connect na mesma rede VPC que o gateway do Cloud NAT não podem ser acessados pelo NAT64.

A seguir