NAT privato

Private NAT consente la traduzione degli indirizzi private-to-private tra le reti:

  • Private NAT per gli spoke di Network Connectivity Center consente la Network Address Translation (NAT) da privato a privato per le reti Virtual Private Cloud (VPC) connesse a un hub Network Connectivity Center, inclusa la NAT da privato a privato per il traffico tra gli spoke VPC e tra gli spoke VPC e gli spoke ibridi.
  • Hybrid NAT consente la NAT private-to-private tra reti VPC e reti on-premise o di altri provider cloud connesse a Google Cloud tramite Cloud Interconnect o Cloud VPN.

Specifiche

Le sezioni seguenti descrivono le specifiche di Private NAT. Queste specifiche si applicano sia a Private NAT per gli spoke di Network Connectivity Center sia a Hybrid NAT.

Specifiche generali

  • Private NAT consente le connessioni in uscita e le risposte in entrata a queste connessioni. Ogni gateway Cloud NAT per Private NAT esegue il source NAT sul traffico in uscita e il destination NAT per i pacchetti di risposta stabiliti.

  • NAT privato non supporta le reti VPC in modalità automatica.

  • Private NAT non consente richieste in entrata non richieste dalle reti connesse, anche se le regole firewall altrimenti le consentirebbero. Per ulteriori informazioni, consulta la sezione RFC applicabili.

  • Ogni gateway Cloud NAT per Private NAT è associato a una singola rete VPC, regione e router Cloud. Il gateway Cloud NAT e router Cloud forniscono un control plane, non sono coinvolti nel data plane, quindi i pacchetti non passano attraverso il gateway Cloud NAT o router Cloud.

    Anche se un gateway Cloud NAT per NAT privato è gestito da un router Cloud, NAT privato non utilizza né dipende dal Border Gateway Protocol.

  • NAT privato non supporta il mapping indipendente dagli endpoint.
  • Non puoi utilizzare Private NAT per convertire un intervallo di indirizzi IP primari o secondari specifico per una determinata subnet. Un gateway Private NAT esegue NAT su tutti gli intervalli di indirizzi IPv4 per una determinata subnet o un elenco di subnet.
  • Dopo aver creato la subnet, non puoi aumentare o diminuire le dimensioni della subnet NAT privata. Tuttavia, puoi specificare più intervalli di subnet NAT privata per un determinato gateway.
  • Private NAT supporta un massimo di 64.000 connessioni simultanee per endpoint.
  • Private NAT supporta solo TCP e UDP. ICMP e altri protocolli non sono supportati.
  • Un'istanza di macchina virtuale (VM) in una rete VPC può accedere solo alle destinazioni in una subnet non sovrapposta, non in una subnet sovrapposta, in una rete connessa.

Route e regole firewall

Private NAT utilizza le seguenti route:

  • Per gli spoke di Network Connectivity Center, Private NAT utilizza route di subnet e route dinamiche:
    • Per il traffico tra due spoke VPC collegati a un hub Network Connectivity Center che contiene solo spoke VPC, Private NAT utilizza le route di subnet scambiate dagli spoke VPC collegati. Per informazioni sugli spoke VPC, consulta Panoramica degli spoke VPC.
    • Se un hub Network Connectivity Center contiene sia spoke VPC sia spoke ibridi, come collegamenti VLAN per Cloud Interconnect, tunnel Cloud VPN o VM appliance router, Private NAT utilizza le route dinamiche apprese dagli spoke ibridi tramite BGP e le route subnet scambiate dagli spoke VPC collegati. Per informazioni sugli spoke ibridi, consulta Spoke ibridi.
  • Per NAT ibrido, NAT privato utilizza route dinamiche apprese dal router Cloud su Cloud Interconnect o Cloud VPN.

Le regole firewall Cloud NGFW vengono applicate direttamente alle interfacce di rete delle VM Compute Engine, non ai gateway Cloud NAT per NAT privato.

Quando un gateway Cloud NAT per Private NAT fornisce NAT per l'interfaccia di rete di una VM, le regole firewall di uscita applicabili vengono valutate come pacchetti per quell'interfaccia di rete prima di NAT. Le regole firewall di ingresso vengono valutate dopo che i pacchetti sono stati elaborati da NAT. Non è necessario creare regole firewall specifiche per NAT.

Applicabilità dell'intervallo di indirizzi IP della subnet

Puoi configurare un gateway Cloud NAT per Private NAT per fornire NAT per quanto segue:

  • Intervalli di indirizzi IP primari e secondari di tutte le subnet nella regione. Un singolo gateway Private NAT fornisce NAT per gli indirizzi IP interni primari e tutti gli intervalli IP alias delle VM idonee le cui interfacce di rete utilizzano una subnet nella regione. Questa opzione utilizza esattamente un gateway NAT per regione.

  • Elenco di subnet personalizzato: un singolo gateway Cloud NAT fornisce NAT per gli indirizzi IP interni principali e tutti gli intervalli di IP alias delle VM idonee le cui interfacce di rete utilizzano una subnet da un elenco di subnet specificate.

Larghezza di banda

L'utilizzo di un gateway Cloud NAT per Private NAT non modifica la quantità di larghezza di banda in uscita o in entrata che una VM può utilizzare. Per le specifiche della larghezza di banda, che variano in base al tipo di macchina, vedi Larghezza di banda di rete nella documentazione di Compute Engine.

VM con più interfacce di rete

Se configuri una VM in modo che abbia più interfacce di rete, ogni interfaccia deve trovarsi in una rete VPC separata. Di conseguenza, un gateway Cloud NAT per NAT privato può essere applicato solo a una singola interfaccia di rete di una VM. Gateway Cloud NAT separati per NAT privato possono fornire NAT alla stessa VM, dove ogni gateway si applica a un'interfaccia separata.

Indirizzi IP e porte NAT

Quando crei un gateway NAT privato, devi specificare una subnet con scopo PRIVATE_NAT da cui vengono assegnati gli indirizzi IP NAT per le VM. Per saperne di più sull'assegnazione di indirizzi IP NAT privati, consulta Indirizzi IP NAT privati.

Puoi configurare il numero di porte di origine che ogni gateway Cloud NAT per NAT privato riserva su ogni VM per cui deve fornire servizi NAT. Puoi configurare l'allocazione statica delle porte, in cui lo stesso numero di porte viene riservato per ogni VM, oppure l'allocazione dinamica delle porte, in cui il numero di porte riservate può variare tra i limiti minimo e massimo specificati.

Le VM per le quali deve essere fornito il NAT sono determinate dagli intervalli di indirizzi IP subnet che il gateway è configurato per gestire.

Per saperne di più sulle porte, consulta Porte.

RFC applicabili

Private NAT è un tipo di NAT cono con porta limitata come definito nel documento RFC 3489.

Timeout NAT

Private NAT imposta i timeout per le connessioni di protocollo. Per informazioni su questi timeout e sui relativi valori predefiniti, consulta Timeout NAT.

Passaggi successivi