הגדרה וניהול של תרגום כתובות רשת באמצעות Private NAT

בדף הזה מוסבר איך להגדיר תרגום כתובות רשת (NAT) פרטי לפרטי ב-Cloud NAT.

לפני שמתחילים

לפני שמגדירים NAT פרטי, צריך לבצע את המשימות הבאות.

הכנת הסביבה

בהתאם לאפשרות שבה אתם רוצים להשתמש כדי להגדיר את Private NAT (מסוף Google Cloud או ה-CLI של gcloud), מגדירים את המשאבים הבאים ב- Google Cloud.

המסוף

  1. נכנסים לחשבון Google Cloud . אנחנו ממליצים למשתמשים חדשים ב- Google Cloud ליצור חשבון כדי שיוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. Enable the Compute Engine API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

  5. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  6. Verify that billing is enabled for your Google Cloud project.

  7. Enable the Compute Engine API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

    8.

gcloud

  1. נכנסים לחשבון Google Cloud . אנחנו ממליצים למשתמשים חדשים ב- Google Cloud ליצור חשבון כדי שיוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.

  2. התקינו את ה-CLI של Google Cloud.

  3. אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

  4. כדי לאתחל את ה-CLI של gcloud, הריצו את הפקודה הבאה: 

    gcloud init

  5. יוצרים או בוחרים פרויקט ב- Google Cloud .

    התפקידים שנדרשים כדי לבחור או ליצור פרויקט

    • Select a project: כדי לבחור פרויקט לא צריך תפקיד IAM ספציפי – אפשר לבחור כל פרויקט שקיבלתם בו תפקיד.
    • יצירת פרויקט: כדי ליצור פרויקט, צריך את התפקיד Project Creator (roles/resourcemanager.projectCreator), שכולל את ההרשאה resourcemanager.projects.create. איך מקצים תפקידים?

    • יוצרים Google Cloud פרויקט:

      gcloud projects create PROJECT_ID

      מחליפים את PROJECT_ID בשם של הפרויקט ב- Google Cloud שאתם יוצרים.

    • בוחרים את הפרויקט שיצרתם: Google Cloud 

      gcloud config set project PROJECT_ID

      מחליפים את PROJECT_ID בשם הפרויקט ב- Google Cloud .

  6. מוודאים שהחיוב מופעל בפרויקט Google Cloud .

  7. מפעילים את Compute Engine API, אם הוא עדיין לא מופעל:

    התפקידים שנדרשים כדי להפעיל ממשקי API

    כדי להפעיל ממשקי API, צריך את ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד 'בעלים' (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד 'אדמין בממשק Service Usage' (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים 

    gcloud services enable compute.googleapis.com

  8. התקינו את ה-CLI של Google Cloud.

  9. אם אתם משתמשים בספק זהויות חיצוני (IdP), קודם אתם צריכים להיכנס ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

  10. כדי לאתחל את ה-CLI של gcloud, הריצו את הפקודה הבאה: 

    gcloud init

  11. יוצרים או בוחרים פרויקט ב- Google Cloud .

    התפקידים שנדרשים כדי לבחור או ליצור פרויקט

    • Select a project: כדי לבחור פרויקט לא צריך תפקיד IAM ספציפי – אפשר לבחור כל פרויקט שקיבלתם בו תפקיד.
    • יצירת פרויקט: כדי ליצור פרויקט, צריך את התפקיד Project Creator (roles/resourcemanager.projectCreator), שכולל את ההרשאה resourcemanager.projects.create. איך מקצים תפקידים?

    • יוצרים Google Cloud פרויקט:

      gcloud projects create PROJECT_ID

      מחליפים את PROJECT_ID בשם של הפרויקט ב- Google Cloud שאתם יוצרים.

    • בוחרים את הפרויקט שיצרתם: Google Cloud 

      gcloud config set project PROJECT_ID

      מחליפים את PROJECT_ID בשם הפרויקט ב- Google Cloud .

  12. מוודאים שהחיוב מופעל בפרויקט Google Cloud .

  13. מפעילים את Compute Engine API, אם הוא עדיין לא מופעל:

    התפקידים שנדרשים כדי להפעיל ממשקי API

    כדי להפעיל ממשקי API, צריך את ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד 'בעלים' (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד 'אדמין בממשק Service Usage' (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים 

    gcloud services enable compute.googleapis.com
    14.

קבלת הרשאות IAM

התפקיד "אדמין של רשת Compute" (roles/compute.networkAdmin) נותן לכם הרשאות ליצור שער NAT, לשמור ולהקצות כתובות IP של NAT, ולציין רשתות משנה שתעבורת הנתונים שלהן צריכה להשתמש בתרגום כתובות רשת (NAT) באמצעות שער ה-NAT.

יצירת רשת משנה של NAT

לפני שמגדירים NAT פרטי, יוצרים רשת משנה של NAT למטרה PRIVATE_NAT. רשת המשנה של NAT צריכה להיות באותו אזור שבו אתם מתכננים ליצור שער NAT פרטי. שער ה-NAT הפרטי משתמש בטווחים של כתובות IP מרשת המשנה הזו כדי לבצע NAT. חשוב לוודא שאין חפיפה בין רשת המשנה הזו לבין רשת משנה קיימת באף אחת מהרשתות המחוברות. אי אפשר ליצור משאבים ברשת המשנה הזו. תת-הרשת הזו משמשת רק ל-NAT פרטי.

המסוף

  1. נכנסים לדף VPC networks במסוף Google Cloud .

    מעבר לרשתות VPC

  2. כדי להציג את דף הפרטים של רשת VPC, לוחצים על השם של רשת VPC.

  3. לוחצים על הכרטיסייה Subnets.

  4. לוחצים על הוספת רשת משנה. בתיבת הדו-שיח Add a subnet (הוספת רשת משנה), מבצעים את הפעולות הבאות:

    1. נותנים שם לרשת המשנה.
    2. בחירת אזור.
    3. בשדה Purpose, בוחרים באפשרות Private NAT.

    4. מזינים טווח כתובות IP, שהוא טווח ה-IPv4 הראשי של רשת המשנה.

      אם בוחרים טווח שהוא לא כתובת RFC 1918, צריך לוודא שהטווח לא מתנגש עם הגדרה קיימת. מידע נוסף על טווחי רשתות משנה תקינים של IPv4 זמין במאמר טווחים של רשתות משנה של IPv4.

  5. לוחצים על הוספה.

gcloud

משתמשים בפקודה gcloud compute networks subnet create כדי ליצור את רשת המשנה.

  gcloud compute networks subnets create NAT_SUBNET \
      --network=NETWORK \
      --region=REGION \
      --range=IP_RANGE \
      --purpose=PRIVATE_NAT

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAT_SUBNET: השם של טווח תת-הרשת של Private NAT שרוצים ליצור.
  • ‫NETWORK: הרשת שאליה שייכת רשת המשנה.
  • ‫REGION: האזור של רשת המשנה שרוצים ליצור. אם לא מציינים אזור, יכול להיות שתתבקשו לבחור אזור (רק במצב אינטראקטיבי).
  • ‫IP_RANGE: מרחב כתובות ה-IP שהוקצה לרשת המשנה הזו בפורמט CIDR. מוודאים שהפקודה IP_RANGE לוקחת בחשבון שימוש בגודל כפול של היציאות הנדרשות לכל מכונה וירטואלית.

הגדרת DNS64

כדי להשתמש בתרגום מ-IPv6 ל-IPv4‏ (NAT64), כתובות היעד צריכות להתאים לקידומת 64:ff9b::/96. אתם יכולים להגדיר את DNS64 כך שיסנתז באופן אוטומטי כתובות IPv6 שמוטמעות ב-IPv4, על ידי הוספת הקידומת הזו לכתובות ה-IPv4 של היעד.

אם אתם רוצים להשתמש ב-Cloud NAT רק לתנועת IPv4, אתם יכולים לדלג על השלב הזה.

הגדרת NAT פרטי

כדי להגדיר Private NAT, יוצרים שער Cloud NAT ברשת ה-VPC של המקור. כל שער משויך לרשת VPC אחת, לאזור אחד ול-Cloud Router אחד.

כשיוצרים שער Cloud NAT ל-NAT פרטי, אפשר להגדיר את האפשרויות הבאות.

הגדרות אישיות האפשרויות הנתמכות תיאור
גרסת ה-IP של המקור
  • טווחים של רשתות משנה של IPv4
  • טווחים של רשתות משנה של IPv6

‫NAT פרטי תומך בתרגום מ-IPv4 ל-IPv4 (NAT44) ומ-IPv6 ל-IPv4 ‏ (NAT64). אפשר להגדיר את השער לבצע NAT44 או NAT64, אבל לא את שניהם.

  • אם מגדירים טווחי רשת משנה של IPv4, מכונות וירטואליות עם IPv4 בלבד (ברשתות משנה עם IPv4 בלבד או ברשת משנה בשני פרוטוקולים) או מכונות וירטואליות עם מחסנית כפולה (ברשתות משנה עם רשת משנה בשני פרוטוקולים, באמצעות כתובות ה-IPv4 שלהן) יכולות לתקשר עם יעדי IPv4.
  • אם מגדירים טווחי רשתות משנה של IPv6, מכונות וירטואליות עם IPv6 בלבד ברשתות משנה עם IPv6 בלבד או ברשתות משנה בשני פרוטוקולים יכולות לתקשר עם יעדי IPv4.
תת-רשתות של המקור

לתנועת IPv4:

  • טווחי כתובות ראשיים ומשניים לכל רשת המשנה
  • בהתאמה אישית

לתנועת IPv6:

  • כל רשתות המשנה
  • בהתאמה אישית

‫NAT פרטי תומך בטווחים הבאים של תת-רשתות באזור עבור רשת ה-VPC שאתם מציינים:

  • לתנועת IPv4: טווחים ראשיים ומשניים
  • לתנועת IPv6: טווחים פנימיים וחיצוניים

אתם יכולים להגביל את רשתות המשנה שיכולות להשתמש ב-NAT.
סוג הקישוריות
  • מרכז Network Connectivity Center
  • נתיבים של קישוריות היברידית
  • תנועת IPv6 ממקור (ל-NAT64)

‫NAT פרטי תומך באפשרויות הבאות ל-NAT44:

אפשר להפעיל אחת מהאפשרויות האלה או את שתיהן.

ב-NAT64, האפשרות Source IPv6 traffic (for NAT64)‎ מגדירה את Private NAT לכל היעדים הנתמכים.
הגדרות מתקדמות
  • הקצאה דינמית או סטטית של יציאות
  • רישום ביומן
  • הזמן הקצוב לתפוגה של NAT

כברירת מחדל, ב-Private NAT נעשה שימוש בהקצאה דינמית של יציאות, שמאפשרת לשער Cloud NAT להקצות יציאות באופן דינמי לכל מכונה וירטואלית על סמך השימוש.

הרישום ביומן מושבת כברירת מחדל. מידע על פסק זמן של NAT וערכי ברירת המחדל שלו זמין במאמר בנושא פסק זמן של NAT.

איך יוצרים שער Cloud NAT

יוצרים שער Cloud NAT ברשת ה-VPC ובאזור שבו רוצים להגדיר NAT פרטי. אפשר להגדיר את השער כך שיחיל NAT על טווחי תת-רשתות של IPv4 ‏(NAT44) או על טווחי תת-רשתות של IPv6 ‏ (NAT64), אבל לא על שניהם.

יצירת שער לטווחים של כתובות IPv4‏ (NAT44)

המסוף

  1. נכנסים לדף Cloud NAT במסוף Google Cloud .

    כניסה ל-Cloud NAT

  2. לוחצים על Get started, או אם יש לכם שערים קיימים, לוחצים על Create Cloud NAT gateway.
  3. מזינים שם לשער.
  4. בשדה NAT type, בוחרים באפשרות Private.
  5. בוחרים את רשת ה-VPC והאזור שבהם רוצים ליצור את השער.
  6. בוחרים Cloud Router קיים באזור או יוצרים Cloud Router חדש.
  7. בקטע Cloud NAT mapping, מוודאים שהאפשרות VM instances, GKE nodes, Serverless נבחרה בשדה Source endpoint type.
  8. בשדה Source IP version, בוחרים באפשרות IPv4 subnet ranges.
  9. בשדה Source subnets, בוחרים באפשרות Custom.
  10. בקטע Subnets, בוחרים את רשת המשנה שרוצים להגדיר לה NAT. אם רוצים לציין טווחים נוספים, לוחצים על Add subnet and IP range ומוסיפים עוד רשת משנה.
  11. צריך להוסיף לפחות כלל NAT אחד. כל כללי ה-NAT צריכים להיות מוגדרים עם אותו הצעד הבא.
    1. לוחצים על Add a rule.

    2. בשדה עדיפות הכלל, מזינים ערך מ-0 (העדיפות הגבוהה ביותר) עד 65000 (העדיפות הנמוכה ביותר).

      אם אתם מתכוונים להגדיר יותר מכלל אחד, צריך לבחור ערך שיציב את הכלל הזה במקום הנכון בסדר ההערכה ביחס לכללים האחרים.

    3. בשדה התאמה, בוחרים את סוג ה-NAT הפרטי שרוצים להפעיל.
      • ‫Hybrid connectivity routes: מפעיל את Hybrid NAT.
      • רכזת Network Connectivity Center: מאפשרת Private NAT עבור רשתות מסוג Spoke ב-NCC.
      • כדי להפעיל את שני הסוגים של Private NAT, בוחרים באפשרויות Hybrid connectivity routes ו-Network Connectivity Center hub.
    4. אופציונלי: מחילים את הכלל על טווח אחד או יותר של רשתות משנה של מקורות או על כתובות IP בודדות (תצוגה מקדימה). מידע נוסף על כללי NAT שמבוססים על מקור זמין במאמר בנושא כללי NAT ל-Private NAT.
      • בוחרים באפשרות טווחי כתובות IP של מקור.
      • מזינים טווח אחד או יותר של תת-רשתות או כתובות IP של המקור.
    5. בוחרים או יוצרים טווח של תת-רשת NAT פרטית.
    6. לוחצים על סיום.
  12. אופציונלי: מגדירים כללי NAT נוספים כדי להתאים את התנועה על סמך כתובת ה-IP של המקור והדילוג הבא (תצוגה מקדימה). מידע נוסף על כללי NAT שמבוססים על מקור זמין במאמר כללי NAT ל-Private NAT.
    1. לוחצים על Add a rule.
    2. בשדה עדיפות הכלל, מזינים ערך מ-0 (העדיפות הגבוהה ביותר) עד 65000 (העדיפות הנמוכה ביותר).
    3. בקטע Match (התאמה), מגדירים את אותן אפשרויות של הצעד הבא שהגדרתם עבור הכלל הראשון. אחר כך מחילים את הכלל על טווח אחד או יותר של תת-רשתות מקור או על כתובות IP ספציפיות:
      • בוחרים באפשרות טווחי כתובות IP של מקור.
      • מזינים טווח אחד או יותר של תת-רשתות מקור או כתובות IP.
    4. בוחרים או יוצרים טווח של רשת משנה ל-NAT פרטי.
    5. לוחצים על סיום.
  13. אופציונלי: משנים את ההגדרות בקטע Advanced configurations:
    • האם להגדיר רישום ביומן. כברירת מחדל, נבחרת האפשרות ללא רישום ביומן.
    • האם לשנות את אופן הקצאת הפורטים ב-Cloud NAT. כברירת מחדל, האפשרות הפעלת הקצאת יציאות דינמית נבחרת. כדי להגדיר הקצאת יציאות סטטית, מבטלים את הסימון של Enable Dynamic Port Allocation ומציינים את Minimum ports per VM instance. ערך ברירת המחדל הוא 64.
    • האם לעדכן את פסק הזמן של NAT לחיבורי פרוטוקול. מידע על טיימאוטים וערכי ברירת המחדל שלהם זמין במאמר בנושא טיימאוטים של NAT.
  14. לוחצים על יצירה.

gcloud

  1. יוצרים Cloud Router באזור של רשת ה-VPC שבה רוצים להגדיר Private NAT. צריך את ה-Cloud Router הזה כדי ליצור את השער.

    משתמשים בפקודה gcloud compute routers create.

    gcloud compute routers create ROUTER_NAME \
  --network=NETWORK --region=REGION

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫ROUTER_NAME: שם ל-Cloud Router
    • ‫NETWORK: רשת ה-VPC שבה רוצים ליצור את Cloud Router
    • ‫REGION: האזור שבו יוצרים את Cloud Router

  2. יוצרים את השער ומציינים רשת משנה אחת או יותר של רשת ה-VPC שבה רוצים להגדיר את ה-NAT. כברירת מחדל, ב-Private NAT נעשה שימוש בהקצאת יציאות דינמית.

    משתמשים בפקודה gcloud compute routers nats create עם הדגל --type=PRIVATE.

    gcloud compute routers nats create NAT_CONFIG \
  --router=ROUTER_NAME \
  --region=REGION \
  --type=PRIVATE \
  --nat-custom-subnet-ip-ranges=SUBNETWORK:ALL,[SUBNETWORK_1:ALL,...]

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫NAT_CONFIG: שם להגדרת ה-NAT
    • ‫ROUTER_NAME: השם של Cloud Router שיצרתם בשלב הקודם
    • ‫REGION: האזור של Cloud Router
    • ‫SUBNETWORK: השם של רשת המשנה או רשתות המשנה (מופרדים באמצעות פסיק) שרוצים להשתמש בהן ב-NAT

    אם רוצים ליצור שער עם הקצאת יציאות סטטית, מריצים את הפקודה הקודמת עם הדגלים --no-enable-dynamic-port-allocation ו---min-ports-per-vm=VALUE, ומחליפים את VALUE במספר המינימלי של היציאות. אם לא מציינים את הדגל --min-ports-per-vm, ערך ברירת המחדל הוא 64.

  3. צריך ליצור לפחות כלל NAT אחד שיתאים לתנועה לפי סוג ה-Private NAT שאתם מגדירים. הכלל הזה חייב לכלול את הצעד הבא.

    אפשר גם להגדיר כללי NAT, כולל הכלל הנדרש, כדי להתאים תעבורת נתונים על סמך כתובת ה-IP של המקור והצעד הבא (תצוגה מקדימה). כל כללי ה-NAT שנוספים לשער חייבים להיות מוגדרים עם אותו הצעד הבא. למידע נוסף על כללי NAT שמבוססים על מקור, ראו כללי NAT ל-Private NAT.

    משתמשים בפקודה gcloud compute routers nats rules create עם הדגל --match, שמוגדר לאחת מהאפשרויות הבאות:

    אפשרות תיאור
    nexthop.hub == "HUB_RESOURCE_NAME" הפעלה של NAT פרטי עבור רכזות NCC.
    nexthop.is_hybrid הפעלת Hybrid NAT.
    nexthop.hub == "HUB_RESOURCE_NAME" || nexthop.is_hybrid ההגדרה הזו מפעילה את שני הסוגים של NAT פרטי.
    SOURCE_MATCH && NEXT_HOP האפשרות הזו מאפשרת לשער Cloud NAT להתאים תעבורת נתונים על סמך כתובת ה-IP של המקור ושל הצעד הבא (גרסת Preview).

    כאשר:

    • ‫HUB_RESOURCE_NAME הוא השם המלא של משאב ה-NCC Hub.
    • ‫SOURCE_MATCH הוא הביטוי שמציין את כתובות ה-IP או הטווחים של כתובות ה-IP שהכלל של ה-NAT חל עליהם.
    • ‫NEXT_HOP הוא הביטוי שמציין את היעד הבא.

    כדי ליצור כלל NAT ל-NAT פרטי עבור רכיבי Spoke של NCC, מריצים את הפקודה הבאה:

    gcloud compute routers nats rules create NAT_RULE_PRIORITY \
  --router=ROUTER_NAME --region=REGION \
  --nat=NAT_CONFIG \
  --match='nexthop.hub == "//networkconnectivity.googleapis.com/projects/PROJECT_ID/locations/global/hubs/HUB"' \
  --source-nat-active-ranges=NAT_SUBNET

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫NAT_RULE_PRIORITY: מספר הכלל שמזהה באופן ייחודי את כלל ה-NAT, מ-0 (העדיפות הגבוהה ביותר) עד 65000 (העדיפות הנמוכה ביותר). אם אתם מתכוונים להגדיר יותר מכלל אחד, צריך לציין ערך שימקם את הכלל הזה בסדר ההערכה הנכון בהשוואה לכללים האחרים.
    • ‫ROUTER_NAME: השם של Cloud Router שיצרתם קודם.
    • ‫REGION: האזור של Cloud Router.
    • ‫NAT_CONFIG: השם של הגדרת ה-NAT שיצרתם קודם.
    • ‫PROJECT_ID: הפרויקט ב- Google Cloud של מרכז ה-NCC.
    • ‫HUB: השם של מרכז ה-NCC.
    • ‫NAT_SUBNET: השם של תת-הרשת של NAT פרטי או של תת-הרשתות (מופרדות בפסיקים) שיצרתם קודם.

    כדי ליצור כלל NAT ל-Hybrid NAT, מריצים את הפקודה הבאה:

    gcloud compute routers nats rules create NAT_RULE_PRIORITY \
  --router=ROUTER_NAME \
  --region=REGION \
  --nat=NAT_CONFIG \
  --match='nexthop.is_hybrid' \
  --source-nat-active-ranges=NAT_SUBNET

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫NAT_RULE_PRIORITY: מספר הכלל שמזהה באופן ייחודי את כלל ה-NAT, מ-0 (העדיפות הגבוהה ביותר) עד 65000 (העדיפות הנמוכה ביותר). אם אתם מתכוונים להגדיר יותר מכלל אחד, צריך לציין ערך שימקם את הכלל הזה בסדר ההערכה הנכון בהשוואה לכללים האחרים.
    • ‫ROUTER_NAME: השם של Cloud Router שיצרתם קודם.
    • ‫REGION: האזור של Cloud Router.
    • ‫NAT_CONFIG: השם של הגדרת ה-NAT שיצרתם קודם.
    • ‫NAT_SUBNET: השם של תת-הרשת של Private NAT או של תת-הרשתות (מופרדות בפסיקים) שיצרתם קודם.

    כדי ליצור כלל NAT גם ל-Private NAT עבור רכזות NCC וגם ל-Hybrid NAT, מריצים את הפקודה הבאה:

    gcloud compute routers nats rules create NAT_RULE_PRIORITY \
  --router=ROUTER_NAME \
  --region=REGION \
  --nat=NAT_CONFIG \
  --match='nexthop.hub == "//networkconnectivity.googleapis.com/projects/PROJECT_ID/locations/global/hubs/HUB" || nexthop.is_hybrid' \
  --source-nat-active-ranges=NAT_SUBNET

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫NAT_RULE_PRIORITY: מספר הכלל שמזהה באופן ייחודי את כלל ה-NAT, מ-0 (העדיפות הגבוהה ביותר) עד 65000 (העדיפות הנמוכה ביותר). אם אתם מתכוונים להגדיר יותר מכלל אחד, צריך לציין ערך שימקם את הכלל הזה בסדר ההערכה הנכון בהשוואה לכללים האחרים.
    • ‫ROUTER_NAME: השם של Cloud Router שיצרתם קודם.
    • ‫REGION: האזור של Cloud Router.
    • ‫NAT_CONFIG: השם של הגדרת ה-NAT שיצרתם קודם.
    • ‫PROJECT_ID: הפרויקט ב- Google Cloud של מרכז ה-NCC.
    • ‫HUB: השם של מרכז ה-NCC.
    • ‫NAT_SUBNET: השם של תת-הרשת של Private NAT או של תת-הרשתות (מופרדות בפסיקים) שיצרתם קודם.

    כדי ליצור כלל NAT להתאמת תעבורה על סמך כתובת ה-IP או הטווח של המקור וגם הצעד הבא (תצוגה מקדימה), מריצים את הפקודה הבאה:

    gcloud beta compute routers nats rules create NAT_RULE_PRIORITY \
  --router=ROUTER_NAME \
  --region=REGION \
  --nat=NAT_CONFIG \
  --match='SOURCE_MATCH && NEXT_HOP' \
  --source-nat-active-ranges=NAT_SUBNET

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫NAT_RULE_PRIORITY: מספר הכלל שמזהה באופן ייחודי את כלל ה-NAT, מ-0 (העדיפות הגבוהה ביותר) עד 65000 (העדיפות הנמוכה ביותר). אם אתם מתכוונים להגדיר יותר מכלל אחד, צריך לציין ערך שימקם את הכלל הזה בסדר ההערכה הנכון בהשוואה לכללים האחרים.
    • ‫ROUTER_NAME: השם של Cloud Router שיצרתם קודם.
    • ‫REGION: האזור של Cloud Router.
    • ‫NAT_CONFIG: השם של הגדרת ה-NAT שיצרתם קודם.

    • ‫SOURCE_MATCH: ביטוי ההתאמה של המקור בפורמט (SOURCE_1 || SOURCE_2 || ...), כאשר כל מקור הוא אחת מהאפשרויות הבאות:

      • ‫source.ip == "IP_ADDRESS": תואם לכתובת IP ספציפית של מקור (לדוגמה, source.ip == "10.10.10.1").
      • ‫inIpRange(source.ip, "IP_RANGE"): תואם לטווח של כתובות IP של מקור (לדוגמה, inIpRange(source.ip, "10.10.10.0/24")).

      דוגמאות לביטויי התאמה שאפשר להשתמש בהם מופיעות במאמר דוגמאות ל-NAT פרטי.

    • ‫NEXT_HOP: הצעד הבא, שיכול לכלול אחת מהאפשרויות הבאות או את שתיהן:

      • ‫nexthop.hub == "HUB_RESOURCE_NAME", כאשר HUB_RESOURCE_NAME הוא שם המשאב המלא של מרכז ה-NCC.
      • nexthop.is_hybrid

    • ‫NAT_SUBNET: השם של תת-הרשת של Private NAT או של תת-הרשתות (מופרדות בפסיקים) שיצרתם קודם.

יצירת שער לטווחים של כתובות IPv6‏ (NAT64)

המסוף

  1. נכנסים לדף Cloud NAT במסוף Google Cloud .

    כניסה ל-Cloud NAT

  2. לוחצים על Get started (תחילת העבודה) או, אם יש לכם שערים קיימים, על Create Cloud NAT gateway (יצירת שער Cloud NAT).
  3. מזינים שם לשער.
  4. בשדה NAT type, בוחרים באפשרות Private.
  5. בוחרים את רשת ה-VPC והאזור שבהם רוצים ליצור את השער.
  6. בוחרים Cloud Router קיים באזור או יוצרים Cloud Router חדש.
  7. בקטע Cloud NAT mapping, מוודאים שהאפשרות VM instances, GKE nodes, Serverless נבחרה בשדה Source endpoint type.
  8. בשדה Source IP version, בוחרים באפשרות IPv6 subnet ranges.
  9. בשדה Source subnets (רשתות משנה של המקור), מבצעים אחת מהפעולות הבאות:
    • כדי להשתמש ב-Cloud NAT לכל רשתות המשנה של IPv6 באזור, בוחרים באפשרות All subnets (כל רשתות המשנה).
    • כדי להגביל את השימוש ב-Cloud NAT לרשתות משנה מסוימות, בוחרים באפשרות בהתאמה אישית ואז בוחרים רשת משנה. אם רוצים לציין עוד רשתות משנה, לוחצים על הוספת רשת משנה ומוסיפים עוד רשת משנה.
  10. מוסיפים כלל NAT כדי להגדיר טווח של רשת משנה פרטית שרוצים להשתמש בו ל-NAT:
    1. לוחצים על Add a rule.
    2. בשדה Rule priority, מזינים ערך מ-0 עד 65000.
    3. בוחרים או יוצרים טווח של תת-רשת NAT פרטית.
    4. לוחצים על סיום.
  11. אופציונלי: משנים את ההגדרות הבאות בקטע הגדרות מתקדמות:
    • האם להגדיר רישום ביומן. האפשרות ללא רישום ביומן מסומנת כברירת מחדל.
    • האם לשנות את אופן הקצאת הפורטים ב-Cloud NAT. כברירת מחדל, האפשרות הפעלת הקצאת יציאות דינמית נבחרת. כדי להגדיר הקצאת יציאות סטטית, מבטלים את הסימון של Enable Dynamic Port Allocation ומציינים את Minimum ports per VM instance. ערך ברירת המחדל הוא 64.
    • האם לעדכן את פסק הזמן של NAT לחיבורי פרוטוקול. מידע על טיימאוטים וערכי ברירת המחדל שלהם זמין במאמר בנושא טיימאוטים של NAT.
  12. לוחצים על יצירה.

gcloud

  1. יוצרים Cloud Router באזור של רשת ה-VPC שבו רוצים להגדיר את Private NAT. צריך את ה-Cloud Router הזה כדי ליצור את השער.

    משתמשים בפקודה gcloud compute routers create.

    gcloud compute routers create ROUTER_NAME \
  --network=NETWORK --region=REGION

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫ROUTER_NAME: שם ל-Cloud Router
    • ‫NETWORK: רשת ה-VPC שבה רוצים ליצור את Cloud Router
    • ‫REGION: האזור שבו רוצים ליצור את Cloud Router

  2. יוצרים את שער Cloud NAT.

    משתמשים בפקודה gcloud compute routers nats create עם הדגל --type=PRIVATE.

    • כדי להגדיר NAT פרטי לכל טווחי רשתות המשנה של IPv6, מריצים את הפקודה הבאה:

      gcloud compute routers nats create NAT_CONFIG \
  --router=ROUTER_NAME \
  --region=REGION \
  --type=PRIVATE \
  --nat64-all-v6-subnet-ip-ranges

    • כדי להגדיר Private NAT לטווחי משנה של IPv6 בהתאמה אישית, מריצים את הפקודה הבאה:

      gcloud compute routers nats create NAT_CONFIG \
  --router=ROUTER_NAME \
  --region=REGION \
  --type=PRIVATE \
  --nat64-custom-v6-subnet-ip-ranges=SUBNETWORK,[SUBNETWORK_1,…]

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫NAT_CONFIG: שם להגדרת ה-NAT
    • ‫ROUTER_NAME: השם של Cloud Router שיצרתם בשלב הקודם.
    • ‫REGION: האזור של Cloud Router
    • ‫SUBNETWORK: השם של רשת המשנה או רשתות המשנה (מופרדים באמצעות פסיק) שרוצים להשתמש בהן ב-NAT

  3. יוצרים כלל NAT ל-NAT64. משתמשים בפקודה gcloud compute routers nats rules create עם הדגל --match.

    gcloud compute routers nats rules create NAT_RULE_PRIORITY \
  --router=ROUTER_NAME \
  --region=REGION \
  --nat=NAT_CONFIG \
  --match='isIPv6(source.ip)' \
  --source-nat-active-ranges=NAT_SUBNET

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫NAT_RULE_PRIORITY: מספר הכלל שמזהה באופן ייחודי את כלל ה-NAT. צריך לציין מספר כלשהו מ-0 עד 65000.
    • ‫ROUTER_NAME: השם של Cloud Router שיצרתם קודם
    • ‫REGION: האזור של Cloud Router
    • ‫NAT_CONFIG: השם של הגדרת ה-NAT שיצרתם קודם
    • ‫NAT_SUBNET: השם של תת-הרשת הפרטית של NAT או של תת-הרשתות (מופרדות בפסיקים) שיצרתם קודם

צפייה בהגדרת Private NAT

המסוף

  1. נכנסים לדף Cloud NAT במסוף Google Cloud .

    כניסה ל-Cloud NAT

  2. כדי לראות את הפרטים של שער ה-NAT, את פרטי המיפוי או את פרטי ההגדרה, לוחצים על השם של שער ה-NAT.

  3. כדי לראות את סטטוס ה-NAT, מעיינים בעמודה Status של שער ה-NAT.

gcloud

כדי לראות את פרטי ההגדרות של ה-NAT, מריצים את הפקודות הבאות:

  • צפייה בהגדרות של שער NAT פרטי.

    gcloud compute routers nats describe NAT_CONFIG \
    --router=ROUTER_NAME \
    --region=REGION

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫NAT_CONFIG: השם של הגדרות ה-NAT
    • ‫ROUTER_NAME: השם של Cloud Router
    • ‫REGION: האזור של ה-NAT שרוצים לתאר. אם לא מציינים אזור, יכול להיות שתתבקשו לבחור אזור (רק במצב אינטראקטיבי)

  • צפייה במיפוי של טווחי ה-IP:port שהוקצו לממשק של כל מכונה וירטואלית.

    gcloud compute routers get-nat-mapping-info ROUTER_NAME \
    --region=REGION

  • בודקים את הסטטוס של שער ה-NAT הפרטי.

    gcloud compute routers get-status ROUTER_NAME \
    --region=REGION

עדכון של הגדרת NAT פרטי

בקטעים הבאים מוסבר איך לעדכן שער Cloud NAT קיים.

עדכון רשתות משנה בהגדרת ה-NAT

המסוף

  1. נכנסים לדף Cloud NAT במסוף Google Cloud .

    כניסה ל-Cloud NAT

  2. לוחצים על שער ה-NAT.

  3. לוחצים על עריכה.

  4. אם בחרתם באפשרות Custom בשדה Source subnets, בחרו רשת משנה. כדי לציין טווחים נוספים, לוחצים על הוספת רשת משנה וטווח כתובות IP.

  5. רק לטווחי רשתות משנה של IPv6: בקטע Customized rule, בוחרים באפשרות Source IPv6 traffic (for NAT64).

  6. לוחצים על Save.

gcloud

משתמשים בפקודה gcloud compute routers nats update.

כדי לעדכן את טווחי רשתות המשנה של המקור בשער Cloud NAT קיים, מריצים אחת מהפקודות הבאות, בהתאם לגרסת ה-IP של טווחי רשתות המשנה שרוצים לעדכן:

  • עדכון טווחי רשתות משנה של IPv4:

    gcloud compute routers nats update NAT_CONFIG \
    --router=NAT_ROUTER \
    --region=REGION \
    --nat-custom-subnet-ip-ranges=IPV4_SUBNET_RANGES

  • עדכון טווחי רשתות המשנה של IPv6:

    gcloud compute routers nats update NAT_CONFIG \
    --router=NAT_ROUTER \
    --region=REGION \
    --nat64-custom-v6-subnet-ip-ranges=IPV6_SUBNET_RANGES

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAT_CONFIG: השם של הגדרת ה-NAT
  • ‫NAT_ROUTER: השם של Cloud Router
  • ‫REGION: האזור של שער ה-NAT
  • ‫IPV4_SUBNET_RANGES: תת-רשת או תת-רשתות בפורמט הבא: SUBNET_NAME_1:ALL,SUBNET_NAME_2:ALL.
  • ‫IPV6_SUBNET_RANGES: תת-רשת או תת-רשתות בפורמט הבא: SUBNET_NAME_1,SUBNET_NAME_2.

הסרת רשתות משנה מהגדרת ה-NAT

אפשר להסיר רשתות משנה מההגדרה של שער ה-NAT.

המסוף

  1. נכנסים לדף Cloud NAT במסוף Google Cloud .

    כניסה ל-Cloud NAT

  2. לוחצים על שער ה-NAT.

  3. לוחצים על עריכה.

  4. מוחקים את רשת המשנה שרוצים להסיר ממיפוי ה-NAT.

  5. לוחצים על Save.

הוספת תת-רשתות של NAT להגדרה

כדי לבצע NAT בתעבורת נתונים, הגדרת NAT פרטית משתמשת בכתובות IP של NAT מתת-רשת שהמטרה שלה היא PRIVATE_NAT. אם ההגדרה של NAT פרטי דורשת יותר מכתובות ה-IP הזמינות של NAT, אפשר להוסיף עוד תת-רשתות עם מטרה PRIVATE_NAT להגדרה.

המסוף

  1. נכנסים לדף Cloud NAT במסוף Google Cloud .

    כניסה ל-Cloud NAT

  2. לוחצים על שער ה-NAT.

  3. לוחצים על עריכה.

  4. מרחיבים את הכלל הקיים.

  5. לוחצים על הוספת טווחי רשתות משנה.

  6. בוחרים או יוצרים טווח חדש של רשתות משנה ל-NAT ולוחצים על Done.

  7. לוחצים על Save.

gcloud 

gcloud compute routers nats rules update NAT_RULE_PRIORITY \
    --nat=NAT_CONFIG \
    --router=ROUTER_NAME \
    --region=REGION \
    --source-nat-active-ranges=NAT_SUBNET_1, NAT_SUBNET_2 ...

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAT_RULE_PRIORITY: המספר שמזהה באופן ייחודי את הכלל שרוצים לעדכן, מ-0 עד 65000.
  • ‫NAT_CONFIG: השם של תצורת ה-NAT הפרטי שרוצים לעדכן את הכלל שלה.
  • ‫ROUTER_NAME: השם של הנתב שבו רוצים להשתמש עם השער הזה.
  • ‫NAT_SUBNET: השמות של תת-הרשתות של NAT פרטי שרוצים להוסיף להגדרת ה-NAT הקיימת.

מחיקת הגדרות NAT

מחיקה של הגדרת שער מסירה את הגדרת ה-NAT מ-Cloud Router. מחיקת הגדרת השער לא מוחקת את הנתב עצמו.

המסוף

  1. נכנסים לדף Cloud NAT במסוף Google Cloud .

    כניסה ל-Cloud NAT

  2. מסמנים את התיבה לצד הגדרת השער שרוצים למחוק.

  3. בתפריט , לוחצים על מחיקה.

gcloud 

gcloud compute routers nats delete NAT_CONFIG \
    --router=ROUTER_NAME \
    --region=REGION

מחליפים את מה שכתוב בשדות הבאים:

  • ‫NAT_CONFIG: השם של הגדרות ה-NAT
  • ‫ROUTER_NAME: השם של Cloud Router
  • ‫REGION: האזור של ה-NAT שרוצים למחוק. אם לא מציינים אזור, יכול להיות שתתבקשו לבחור אזור (רק במצב אינטראקטיבי).

המאמרים הבאים