Kontingente und Limits
In diesem Dokument sind die Kontingente und Limits für Cloud NAT aufgeführt.
- Kontingente haben Standardwerte, aber Sie können in der Regel Anpassungen anfordern.
- Systemlimits sind feste Werte, die nicht geändert werden können.
Jedes Kontingent oder Limit wird pro Ressource berechnet. Kontingente und Limits können pro Projekt, pro Netzwerk, pro Region oder auf andere Ressourcen bezogen definiert sein. NAT-IP-Adressen können nicht von NAT-Gateways gemeinsam verwendet werden. Informationen zum Ändern eines Kontingents finden Sie unter Weitere Kontingente anfordern.
Google Cloud nutzt Kontingente, um für Fairness zu sorgen und Spitzen bei der Ressourcennutzung und ‑verfügbarkeit zu reduzieren. Ein Kontingent schränkt ein, wie viel von einerGoogle Cloud Ressource Ihr Google Cloud Projekt nutzen kann. Kontingente gelten für eine Reihe von Ressourcentypen, einschließlich Hardware, Software und Netzwerkkomponenten. Mit Kontingenten können Sie beispielsweise die Anzahl der API-Aufrufe an einen Dienst, die Anzahl der von Ihrem Projekt nebenläufig verwendeten Load Balancer oder die Anzahl der Projekte begrenzen, die Sie erstellen können. Kontingente sollen eine Überlastung von Diensten verhindern und dadurch die Community derGoogle Cloud Nutzer schützen. Sie helfen Ihnen auch bei der Verwaltung Ihrer eigenen Google Cloud Ressourcen.
Das Cloud-Kontingentsystem tut Folgendes:
- Es überwacht Ihren Verbrauch von Google Cloud Produkten und Diensten.
- Es schränkt Ihren Verbrauch dieser Ressourcen ein.
- Es bietet eine Möglichkeit, Änderungen am Kontingentwert zu beantragen und Kontingentanpassungen zu automatisieren.
Wenn Sie versuchen, mehr von einer Ressource zu verbrauchen, als das Kontingent zulässt, blockiert das System in den meisten Fällen den Zugriff auf die Ressource. Die Aufgabe, die Sie auszuführen versuchen, schlägt dann fehl.
Kontingente gelten in der Regel auf Google Cloud Projektebene. Die Nutzung einer Ressource in einem Projekt hat keinen Einfluss auf das verfügbare Kontingent in einem anderen Projekt. Innerhalb eines Google Cloud Projekts werden die Kontingente für alle Anwendungen und IP-Adressen gemeinsam genutzt.
Weitere Informationen finden Sie unter dem Cloud-Kontingente – Übersicht.
Für Cloud NAT-Ressourcen gelten außerdem Systemlimits. Systemlimits können nicht geändert werden.
Kontingente
Informationen zu Kontingenten für Cloud NAT finden Sie auf der Seite Kontingente in der Cloud Router-Dokumentation.
Limits
| Posten | Limit | Hinweise |
|---|---|---|
| NAT-Gateways | 50 pro Cloud Router | Netzwerke unterstützen bis zu 5 Cloud Router-Instanzen pro Region. Daher sind bis zu 250 Cloud NAT-Gateways pro Region und VPC-Netzwerk (Virtual Private Cloud) möglich. Informationen zu den Cloud Router-Kontingenten finden Sie in der Cloud Router-Dokumentation. |
| NAT-IP-Adressen pro Gateway | 300 manuell zugewiesene Adressen 2.500 automatisch zugewiesene Adressen |
Die maximal zulässige Zahl externer IP-Adressen für ein NAT-Gateway. Dieser Wert hängt jedoch von den VPC-Kontingenten pro Projekt für statische IP-Adressen und verwendete IP-Adressen ab. |
| Subnetzbereiche | 50 pro Gateway | Die maximale Anzahl von Subnetzen, die Sie einem Gateway zuordnen können, wenn Sie eine benutzerdefinierte Liste von Subnetzbereichen konfigurieren. Die Anzahl der Subnetzbereiche kann das Limit überschreiten, da jedes Subnetz einen primären IPv4-Bereich und einen oder mehrere sekundäre Bereiche haben kann. Wenn Sie NAT für primäre Bereiche für alle Subnetze oder primäre und sekundäre Bereiche für alle Subnetze konfiguriert haben, gilt dieses Limit nicht. |
| NAT-Regeln | 150 pro Gateway 2.500 pro Cloud Router |
Wenn dieses Limit überschritten wird, gibt die API einen Fehler zurück. |
| Aktive IP-Adressen pro NAT-Regel | 300 | |
| Private NAT-Subnetze | 50 pro Gateway | Die maximale Anzahl von Subnetzen, die Sie für die Verwendung als Quell-NAT-Bereiche für Private NAT reservieren können. Diese Subnetze haben den Zweck PRIVATE_NAT. |
| Zeichen in CEL-Ausdrücken pro Regel | 2.048 | |
| Zeichen in CEL-Ausdrücken pro Cloud Router-Instanz | 500.000 |
Beschränkungen
Manche Server wie Legacy-DNS-Server erfordern aus Sicherheitsgründen eine zufällige Auswahl aus 64.000 UDP-Ports. Cloud NAT wählt einen zufälligen Port aus den 64 oder der vom Nutzer konfigurierten Anzahl von Ports aus. Daher empfiehlt es sich, diesen Servern eine externe IP-Adresse zuzuweisen, statt Cloud NAT zu verwenden. Da Cloud NAT keine Verbindungen von außen zulässt, müssen die meisten dieser Server ohnehin eine externe IP-Adresse verwenden.
Cloud NAT ist für Legacy-Netzwerke nicht verfügbar.
Cloud NAT bietet keine ALG-Funktionen (Application-Level Gateway). Cloud NAT aktualisiert nicht die IP-Adress- und Portinformationen in den Paketdaten für Anwendungsebenenprotokolle wie FTP und SIP.
Cloud NAT-Gateways implementieren NAT-Verbindungstrackingtabellen für jede VM-Netzwerkschnittstelle, für die NAT-Dienste bereitgestellt werden. Einträge in jeder Verbindungstrackingtabelle sind 5‑Tupel-Hashes für die vom Gateway unterstützten Protokolle.
Einträge in jeder Verbindungstrackingtabelle bleiben etwa so lange erhalten wie das entsprechende NAT-Zeitlimit erlaubt. Weitere Informationen zu NAT-Zeitlimits finden Sie unter NAT-Zeitlimits.
Die maximale Anzahl von Einträgen in der Verbindungstrackingtabelle für alle NAT-Verbindungen, die einer VM zugeordnet sind, beträgt 65.535. Dieses Maximum gilt für die Summe aller Verbindungen für alle vom Gateway unterstützten Protokolle über alle Netzwerkschnittstellen der VM hinweg.
Kurze Zeitlimits für inaktive Verbindungen funktionieren unter Umständen nicht.
NAT-Zuordnungen werden alle 30 Sekunden auf Ablauf- und Konfigurationsänderungen geprüft. Selbst wenn Sie ein Zeitlimit von 5 Sekunden festlegen, ist die Verbindung im schlimmsten Fall 30 Sekunden und im Durchschnitt 15 Sekunden lang nicht verfügbar.
Manage quotas
Cloud NAT enforces quotas on resource usage for various reasons. For example, quotas protect the community of Google Cloud users by preventing unforeseen spikes in usage. Quotas also help users who are exploring Google Cloud with the free tier to stay within their trial.
All projects start with the same quotas, which you can change by requesting additional quota. Some quotas might increase automatically based on your use of a product.
Permissions
To view quotas or request quota increases, Identity and Access Management (IAM) principals need one of the following roles.
| Task | Required role |
|---|---|
| Check quotas for a project | One of the following:
|
| Modify quotas, request additional quota | One of the following:
|
Check your quota
Console
- In the Google Cloud console, go to the Quotas page.
- To search for the quota that you want to update, use the Filter table. If you don't know the name of the quota, use the links on this page instead.
gcloud
Using the Google Cloud CLI, run the following command to
check your quotas. Replace PROJECT_ID with your own project ID.
gcloud compute project-info describe --project PROJECT_IDTo check your used quota in a region, run the following command:
gcloud compute regions describe example-region
Errors when exceeding your quota
If you exceed a quota with a gcloud command,
gcloud outputs a quota exceeded error
message and returns with the exit code 1.
If you exceed a quota with an API request, Google Cloud returns the
following HTTP status code: 413 Request Entity Too Large.
Request additional quota
To adjust most quotas, use the Google Cloud console. For more information, see Request a quota adjustment.
Resource availability
Each quota represents a maximum number for a particular type of resource that you can create, if that resource is available. It's important to note that quotas don't guarantee resource availability. Even if you have available quota, you can't create a new resource if it is not available.
For example, you might have sufficient quota to create a new regional, external IP address in a given region. However, that is not possible if there are no available external IP addresses in that region. Zonal resource availability can also affect your ability to create a new resource.
Situations where resources are unavailable in an entire region are rare. However, resources within a zone can be depleted from time to time, typically without impact to the service level agreement (SLA) for the type of resource. For more information, review the relevant SLA for the resource.