Public NAT

Public NAT memungkinkan instance virtual machine (VM) Compute Engine Anda berkomunikasi dengan internet dengan mengalokasikan kumpulan alamat IPv4 eksternal bersama dan port sumber ke setiap VM yang menggunakan Public NAT untuk membuat koneksi keluar ke internet.

Dengan Public NAT, instance VM yang tidak memiliki alamat IPv4 eksternal dapat berkomunikasi dengan tujuan IPv4 di internet. Public NAT juga memungkinkan instance VM Anda dengan alamat IPv6 eksternal atau internal terhubung ke tujuan IPv4 di internet.

Spesifikasi

Cloud NAT mendukung jenis penafsiran alamat berikut untuk Public NAT:

  • Dari IPv4 ke IPv4, atau NAT44. Untuk mengetahui informasi selengkapnya, lihat NAT44 di Public NAT.

  • Dari IPv6 ke IPv4, atau NAT64. NAT64 tersedia untuk instance VM Compute Engine. Untuk node Google Kubernetes Engine (GKE), endpoint tanpa server, dan grup endpoint jaringan internet regional, Cloud NAT hanya menerjemahkan alamat IPv4. Untuk mengetahui informasi selengkapnya, lihat NAT64 di Public NAT.

Spesifikasi umum

  • Public NAT memungkinkan koneksi keluar dan respons masuk ke koneksi tersebut. Setiap gateway Cloud NAT untuk Public NAT melakukan NAT sumber pada traffic keluar dan NAT tujuan untuk paket respons yang telah ditetapkan.

  • Public NAT tidak mengizinkan permintaan masuk yang tidak diminta dari internet, meskipun aturan firewall akan mengizinkan permintaan tersebut. Untuk mengetahui informasi selengkapnya, lihat RFC yang Berlaku.

  • Setiap gateway Cloud NAT untuk Public NAT dikaitkan dengan satu jaringan VPC network, region, dan Cloud Router. Gateway Cloud NAT dan Cloud Router menyediakan bidang kontrol—keduanya tidak terlibat dalam bidang data—sehingga paket tidak melewati gateway Cloud NAT atau Cloud Router.

    Meskipun gateway Cloud NAT untuk Public NAT di kelola oleh Cloud Router, Public NAT tidak menggunakan atau bergantung pada Border Gateway Protocol.

  • Untuk NAT44, Public NAT dapat menyediakan NAT untuk paket keluar yang dikirim dari hal berikut:

    • Alamat IP internal utama antarmuka jaringan VM, asalkan antarmuka jaringan tidak memiliki alamat IP eksternal yang ditetapkan: jika antarmuka jaringan memiliki alamat IP eksternal yang ditetapkan, Google Cloud secara otomatis melakukan NAT satu-ke-satu untuk paket yang sumbernya cocok dengan alamat IP internal utama antarmuka karena antarmuka jaringan memenuhi Google Cloud persyaratan akses internet. Keberadaan alamat IP eksternal pada antarmuka selalu diutamakan dan selalu melakukan NAT satu-ke-satu, tanpa menggunakan Public NAT.

    • Rentang IP alias yang ditetapkan ke antarmuka jaringan VM: meskipun antarmuka jaringan memiliki alamat IP eksternal yang ditetapkan, Anda dapat mengonfigurasi gateway Cloud NAT untuk Public NAT guna menyediakan NAT untuk paket yang sumbernya berasal dari rentang IP alias antarmuka. Alamat IP eksternal pada antarmuka tidak pernah melakukan NAT satu-ke-satu untuk alamat IP alias.

    • Alamat IP yang digunakan oleh VM untuk penerusan IP. Untuk mengonfigurasi NAT untuk alamat ini, Anda membuat aturan NAT untuk mencocokkan alamat IP sumber yang digunakan VM saat meneruskan paket. Untuk mengetahui informasi selengkapnya, lihat Aturan berbasis sumber.

    • Cluster GKE: Public NAT dapat menyediakan layanan meskipun cluster memiliki alamat IP eksternal dalam keadaan tertentu. Untuk mengetahui detailnya, lihat Interaksi GKE.

  • Untuk NAT64, Public NAT dapat menyediakan NAT untuk paket keluar yang dikirim dari hal berikut:

    • Rentang alamat IP /96 internal antarmuka jaringan khusus IPv6 VM.
    • Rentang alamat IP /96 eksternal antarmuka jaringan khusus IPv6 VM.

Rute dan aturan firewall

Public NAT mengandalkan rute statis lokal yang hop berikutnya adalah gateway internet default. Rute default biasanya memenuhi persyaratan ini. Untuk mengetahui informasi selengkapnya, lihat interaksi rute.

Aturan firewall Cloud NGFW diterapkan langsung ke antarmuka jaringan VM Compute Engine, bukan gateway Cloud NAT untuk Public NAT.

Saat gateway Cloud NAT untuk Public NAT menyediakan NAT untuk antarmuka jaringan VM, aturan firewall keluar yang berlaku akan dievaluasi sebagai paket untuk antarmuka jaringan tersebut sebelum NAT. Aturan firewall masuk dievaluasi setelah paket diproses oleh NAT. Anda tidak perlu membuat aturan firewall apa pun secara khusus untuk NAT.

Namun, jika Anda ingin mengaktifkan NAT64 di jaringan VPC yang memiliki aturan firewall tolak keluar untuk tujuan IPv4, sebaiknya Anda buat aturan firewall tolak keluar tambahan untuk alamat IPv6 yang disematkan IPv4 dari tujuan tersebut. Hal ini memastikan bahwa traffic dari VM yang menggunakan NAT64 tidak dapat melewati aturan firewall IPv4. Misalnya, jika tujuan dalam aturan IPv4 Anda adalah 1.2.3.4/32, tujuan dalam aturan IPv6 harus 64:ff9b:0102:0304/128. Untuk mempelajari lebih lanjut alamat IPv6 yang disematkan IPv4, lihat NAT64.

Penerapan rentang alamat IP subnet

Public NAT menyediakan NAT untuk rentang subnet IPv4, rentang subnet IPv6, atau keduanya:

  • Untuk rentang subnet IPv4, Anda dapat menggunakan opsi berikut untuk mengonfigurasi NAT untuk rentang alamat IP utama, rentang IP alias, atau keduanya:

    • Rentang alamat IPv4 utama dan sekunder dari semua subnet di region: satu gateway Cloud NAT menyediakan NAT untuk alamat IP internal utama dan semua rentang IP alias VM yang memenuhi syarat yang antarmuka jaringannya menggunakan subnet IPv4 di region tersebut.

    • Rentang alamat IPv4 utama dari semua subnet di region: satu gateway Cloud NAT menyediakan NAT untuk alamat IP internal utama dan rentang IP alias dari rentang alamat IP utama subnet VM yang memenuhi syarat yang antarmuka jaringannya menggunakan subnet IPv4 di region tersebut. Anda dapat membuat gateway Cloud NAT tambahan untuk Public NAT di region tersebut guna menyediakan NAT untuk rentang IP alias dari rentang alamat IP sekunder subnet VM yang memenuhi syarat.

    • Daftar subnet kustom: satu gateway Cloud NAT menyediakan NAT untuk alamat IP internal utama dan semua rentang IP alias VM yang memenuhi syarat yang antarmuka jaringannya menggunakan subnet dari daftar subnet yang ditentukan.

    • Rentang alamat IPv4 subnet kustom: Anda dapat membuat gateway Cloud NAT untuk Public NAT sebanyak yang diperlukan, dengan tunduk pada kuota dan batas Public NAT. Anda memilih rentang alamat IP utama atau sekunder subnet yang akan ditayangkan oleh setiap gateway.

  • Untuk rentang subnet IPv6, Anda dapat menggunakan opsi berikut untuk mengonfigurasi NAT untuk rentang alamat IP internal, rentang alamat IP eksternal, atau keduanya:

    • Rentang alamat IP internal dan eksternal dari semua subnet di region: satu gateway Cloud NAT menyediakan NAT untuk semua rentang alamat IP internal dan eksternal di region tersebut.
    • Daftar subnet kustom: satu gateway Cloud NAT menyediakan NAT untuk rentang alamat IP internal dan eksternal VM yang memenuhi syarat yang antarmuka jaringannya menggunakan subnet dari daftar subnet yang ditentukan.

Beberapa gateway Cloud NAT

Anda dapat memiliki beberapa gateway Cloud NAT untuk Public NAT di region yang sama dari jaringan VPC jika salah satu kondisi berikut terpenuhi:

Selama gateway NAT yang dipetakan tidak tumpang-tindih, Anda dapat membuat gateway Cloud NAT untuk Public NAT sebanyak yang diperlukan, dengan tunduk pada kuota dan batas Public NAT. Untuk mengetahui informasi selengkapnya, lihat Batasan gateway Cloud NAT.

Bandwidth

Penggunaan gateway Cloud NAT untuk Public NAT tidak mengubah jumlah bandwidth keluar atau masuk yang dapat digunakan VM. Untuk spesifikasi bandwidth, yang bervariasi menurut jenis mesin, lihat Bandwidth jaringan dalam dokumentasi Compute Engine.

VM dengan beberapa antarmuka jaringan

Jika Anda mengonfigurasi VM untuk memiliki beberapa antarmuka jaringan, antarmuka tersebut dapat berada di jaringan VPC yang sama atau jaringan VPC yang berbeda.

Pertimbangkan hal berikut:

  • Untuk VM yang memiliki beberapa antarmuka jaringan di jaringan VPC yang sama, satu gateway Cloud NAT untuk Public NAT berlaku untuk semua antarmuka di jaringan VPC.
  • Untuk VM yang memiliki beberapa antarmuka jaringan yang masing-masing berada di jaringan VPC yang berbeda, satu gateway Cloud NAT untuk Public NAT hanya dapat diterapkan ke satu antarmuka jaringan VM. Gateway Cloud NAT terpisah untuk Public NAT dapat menyediakan NAT ke VM yang sama, dengan setiap gateway berlaku untuk antarmuka yang terpisah.
  • Satu antarmuka VM dengan beberapa antarmuka jaringan dapat memiliki an alamat IPv4 eksternal, yang membuat antarmuka tersebut tidak memenuhi syarat untuk Public NAT, sementara antarmuka lainnya dapat memenuhi syarat untuk NAT jika antarmuka tersebut tidak memiliki an external alamat IPv4 dan Anda telah mengonfigurasi gateway Cloud NAT untuk Public NAT agar berlaku untuk the rentang alamat IP subnet yang sesuai. Untuk IPv6, alamat IPv6 internal dan eksternal didukung.

Alamat IP dan port NAT

Saat membuat gateway Cloud NAT untuk Public NAT, Anda dapat memilih agar gateway mengalokasikan alamat IP eksternal regional secara otomatis. Atau, Anda dapat menetapkan alamat IP eksternal regional dalam jumlah tetap ke gateway secara manual.

Untuk gateway Cloud NAT untuk Public NAT dengan alokasi alamat IP NAT otomatis, pertimbangkan hal berikut:

  • Anda dapat memilih Network Service Tiers (Tingkat Premium atau Tingkat Standard) tempat gateway Cloud NAT mengalokasikan alamat IP.

  • Saat Anda mengubah tingkat untuk gateway Cloud NAT untuk Public NAT yang telah mengalokasikan alamat IP NAT secara otomatis, Google Cloud semua alamat IP yang ditetapkan untuk gateway tersebut akan dirilis dan semua alokasi port akan dihentikan.

    Kumpulan alamat IP baru dari tingkat yang baru dipilih akan dialokasikan secara otomatis, dan alokasi port baru akan diberikan ke semua endpoint.

Untuk gateway Cloud NAT tertentu untuk Public NAT, Anda juga dapat menetapkan alamat IP secara manual dari Tingkat Premium atau Tingkat Standard atau keduanya, dengan tunduk pada kondisi tertentu.

Untuk mengetahui detail tentang penetapan alamat IP NAT, lihat Alamat IP Public NAT addresses.

Anda dapat mengonfigurasi jumlah port sumber yang dicadangkan oleh setiap gateway Cloud NAT untuk Public NAT di setiap VM yang akan menyediakan layanan NAT. Anda dapat mengonfigurasi alokasi port statis, dengan jumlah port yang sama dicadangkan untuk setiap VM, atau alokasi port dinamis, dengan jumlah port yang dicadangkan dapat bervariasi antara batas minimum dan maksimum yang Anda tentukan.

VM yang akan disediakan NAT ditentukan oleh rentang alamat IP subnet yang dikonfigurasi untuk ditayangkan oleh gateway.

Untuk mengetahui informasi selengkapnya tentang port, lihat Port.

RFC yang Berlaku

Public NAT mendukung Pemetaan Independen Endpoint dan Pemfilteran Bergantung Endpoint seperti yang ditentukan dalam RFC 5128. Anda dapat mengaktifkan atau menonaktifkan Pemetaan Independen Endpoint. Secara default, Pemetaan Independen Endpoint dinonaktifkan saat Anda membuat gateway NAT.

Pemetaan Independen Endpoint berarti bahwa jika VM mengirim paket dari alamat IP internal dan pasangan port tertentu ke beberapa tujuan yang berbeda, gateway akan memetakan semua paket tersebut ke alamat IP NAT dan pasangan port yang sama, terlepas dari tujuan paket. Untuk mengetahui detail dan implikasi yang relevan dengan Pemetaan Independen Endpoint, lihat Penggunaan kembali port simultan dan Pemetaan Independen Endpoint.

Pemfilteran Bergantung Endpoint berarti bahwa paket respons dari internet hanya diizinkan masuk jika berasal dari alamat IP dan port yang telah dikirimi paket oleh VM. Pemfilteran bergantung pada endpoint, terlepas dari jenis Pemetaan Endpoint. Fitur ini selalu aktif dan tidak dapat dikonfigurasi oleh pengguna.

Untuk mengetahui informasi selengkapnya tentang hubungan antara port dan koneksi, lihat Port dan koneksi serta contoh alur NAT.

Public NAT adalah Port Restricted Cone NAT seperti yang ditentukan dalam RFC 3489.

Traversal NAT

Jika Pemetaan Independen Endpoint diaktifkan, Public NAT kompatibel dengan protokol traversal NAT umum seperti STUN dan TURN jika Anda men-deploy server STUN atau TURN sendiri:

  • STUN (Session Traversal Utilities for NAT, RFC 5389) memungkinkan komunikasi langsung antara VM di belakang NAT saat saluran komunikasi dibuat.
  • TURN (Traversal Using Relays around NAT, RFC 5766) memungkinkan komunikasi antara VM di belakang NAT melalui server ketiga yang memiliki alamat IP eksternal. Setiap VM terhubung ke alamat IP eksternal server, dan server tersebut meneruskan komunikasi antara kedua VM. TURN lebih kuat, tetapi menggunakan lebih banyak bandwidth dan resource.

Waktu tunggu NAT

Public NAT menetapkan waktu tunggu untuk koneksi protokol. Untuk mengetahui informasi tentang waktu tunggu ini dan nilai defaultnya, lihat Waktu tunggu NAT.

NAT44 di Public NAT

Diagram berikut menunjukkan konfigurasi Public NAT dasar untuk traffic IPv4:

Contoh terjemahan Public NAT IPv4.
Contoh penafsiran Public NAT (klik untuk memperbesar).

Dalam contoh ini:

  • Gateway nat-gw-us-east dikonfigurasi untuk diterapkan ke rentang alamat IP utama subnet-1 di region us-east1. VM yang antarmuka jaringannya tidak memiliki alamat IP eksternal dapat mengirim traffic ke internet menggunakan alamat IP internal utamanya atau rentang IP alias dari rentang alamat IP utama subnet-1, 10.240.0.0/16.

  • VM yang antarmuka jaringannya tidak memiliki alamat IP eksternal dan alamat IP internal utamanya berada di subnet-2 tidak dapat mengakses internet karena tidak ada gateway Cloud NAT yang berlaku untuk rentang alamat IP subnet tersebut.

  • Gateway nat-gw-eu dikonfigurasi untuk diterapkan ke rentang alamat IP utama subnet-3 di region europe-west1. VM yang antarmuka jaringannya tidak memiliki alamat IP eksternal dapat mengirim traffic ke internet menggunakan alamat IP internal utamanya atau rentang IP alias dari rentang alamat IP utama subnet-3, 192.168.1.0/24.

Contoh alur kerja

Dalam diagram sebelumnya, VM dengan alamat IP internal utama 10.240.0.4, tanpa alamat IP eksternal, perlu mendownload update dari alamat IP eksternal 203.0.113.1. Dalam diagram, gateway nat-gw-us-east dikonfigurasi sebagai berikut:

  • Port minimum per instance: 64
  • Dua alamat IP NAT ditetapkan secara manual: 192.0.2.50 dan 192.0.2.60
  • NAT disediakan untuk rentang alamat IP utama subnet-1

Public NAT mengikuti prosedur pencadangan port untuk mencadangkan alamat IP sumber NAT dan tuple port sumber berikut untuk setiap VM di jaringan. Misalnya, gateway Cloud NAT untuk Public NAT mencadangkan 64 port sumber untuk VM dengan alamat IP internal 10.240.0.4. Alamat IP NAT 192.0.2.50 memiliki 64 port yang tidak dicadangkan, sehingga gateway mencadangkan kumpulan 64 alamat IP sumber NAT dan tuple port sumber berikut untuk VM tersebut:

  • 192.0.2.50:34000 hingga 192.0.2.50:34063

Saat VM mengirim paket ke server update 203.0.113.1 di port tujuan 80, menggunakan protokol TCP, hal berikut akan terjadi:

  • VM mengirim paket permintaan dengan atribut berikut:

    • Alamat IP sumber: 10.240.0.4, alamat IP internal utama VM
    • Port sumber: 24000, port sumber sementara yang dipilih oleh sistem operasi VM
    • Alamat tujuan: 203.0.113.1, alamat IP eksternal server update
    • Port tujuan: 80, port tujuan untuk traffic HTTP ke server update
    • Protokol: TCP

  • Gateway nat-gw-us-east melakukan penafsiran alamat jaringan sumber (SNAT) pada traffic keluar, menulis ulang alamat IP sumber NAT dan port sumber paket permintaan. Paket yang diubah dikirim ke internet jika jaringan Virtual Private Cloud (VPC) memiliki rute untuk tujuan 203.0.113.1 yang hop berikutnya adalah gateway internet default. Rute default route biasanya memenuhi persyaratan ini.

    • Alamat IP sumber NAT: 192.0.2.50, dari salah satu alamat IP sumber NAT dan tuple port sumber VM yang dicadangkan
    • Port sumber: 34022, port sumber yang tidak digunakan dari salah satu tuple port sumber VM yang dicadangkan
    • Alamat tujuan: 203.0.113.1, tidak berubah
    • Port tujuan: 80, tidak berubah
    • Protokol: TCP, tidak berubah

  • Saat server update mengirim paket respons, paket tersebut akan tiba di gateway nat-gw-us-east dengan atribut berikut:

    • Alamat IP sumber: 203.0.113.1, alamat IP eksternal server update
    • Port sumber: 80, respons HTTP dari server update
    • Alamat tujuan: 192.0.2.50, cocok dengan alamat IP sumber NAT asli dari paket permintaan
    • Port tujuan: 34022, cocok dengan port sumber paket permintaan
    • Protokol: TCP, tidak berubah

  • Gateway nat-gw-us-east melakukan penafsiran alamat jaringan tujuan (DNAT) pada paket respons, menulis ulang alamat tujuan dan port tujuan paket respons sehingga paket dikirim ke VM:

    • Alamat IP sumber: 203.0.113.1, tidak berubah
    • Port sumber: 80, tidak berubah
    • Alamat tujuan: 10.240.0.4, alamat IP internal utama VM
    • Port tujuan: 24000, cocok dengan port sumber sementara asli dari paket permintaan
    • Protokol: TCP, tidak berubah

NAT64 di Public NAT

NAT64 memungkinkan instance VM dengan antarmuka jaringan khusus IPv6 berkomunikasi dengan tujuan IPv4 di internet.

Untuk menggunakan NAT64, alamat tujuan harus berada dalam rentang 64:ff9b::/96. Anda dapat mengonfigurasi DNS64 untuk secara otomatis mensintesis alamat IPv6 yang disematkan IPv4 dengan menambahkan awalan ini ke alamat IPv4 tujuan Anda.

Saat instance VM khusus IPv6 mengirim permintaan ke tujuan dalam rentang 64:ff9b::/96 dan permintaan mencapai gateway Cloud NAT dengan NAT64 diaktifkan, gateway akan melakukan NAT dengan melakukan hal berikut:

  • Menerjemahkan alamat dan port IPv6 sumber ke salah satu alamat dan port IPv4 eksternal yang dialokasikan ke gateway.

  • Menerjemahkan alamat IPv6 tujuan yang disintesis ke alamat IPv4 asli dengan mengekstrak 32 bit terakhir dari alamat yang disintesis.

    Gateway Cloud NAT juga menggunakan 32 bit terakhir dari alamat IPv6 yang disintesis untuk menentukan cara paket permintaan dirutekan ke internet. Saat instance VM khusus IPv6 mengirim paket ke tujuan dalam rentang 64:ff9b::/96, gateway akan menerapkan tabel perutean IPv4 jaringan VPC ke alamat IPv4 tujuan yang diekstrak. Jika tabel perutean IPv4 memiliki rute untuk alamat tersebut dengan gateway internet default sebagai hop berikutnya, paket yang diubah akan dikirim ke internet.

Saat respons diterima, gateway Cloud NAT akan melakukan NAT dengan melakukan hal berikut:

  • Menambahkan awalan 64:ff9b::/96 ke alamat IP sumber paket respons.
  • Menulis ulang alamat tujuan dan port tujuan paket respons ke alamat dan port asli VM.

Sebelum mengonfigurasi NAT64, tinjau Batasan dan Rute dan aturan firewall.

Langkah berikutnya