私人 NAT

Private NAT 可在網路之間進行私人對私人位址轉譯：

  • Network Connectivity Center 輪輻適用的 Private NAT 可為連線至 Network Connectivity Center 中樞的虛擬私有雲 (VPC) 網路啟用私有對私有網路位址轉譯 (NAT)，包括 VPC 輪輻之間，以及 VPC 輪輻與混合輪輻之間的流量適用的私有對私有 NAT。
  • Hybrid NAT 可在 VPC 網路與地端部署網路或透過 Cloud Interconnect 或 Cloud VPN 連線的其他雲端服務供應商網路之間，執行私人對私人 NAT。 Google Cloud

規格

以下各節說明 Private NAT 的規格。這些規格適用於 Network Connectivity Center 輪輻適用的 Private NAT 和混合式 NAT。

一般規格

  • Private NAT 允許傳出連線，以及這些連線的傳入回應。 Private NAT 的每個 Cloud NAT 閘道都會對輸出流量執行來源 NAT，並對已建立的回應封包執行目的地 NAT。

  • 私人 NAT 不支援自動模式的虛擬私有雲網路。

  • 即使防火牆規則允許，Private NAT 也不會允許連線網路傳送未經要求的傳入要求。詳情請參閱「適用 RFC」。

  • Private NAT 的每個 Cloud NAT 閘道都與單一 VPC 網路、區域和 Cloud Router 相關聯。Cloud NAT 閘道和 Cloud Router 提供控制層，不會參與資料層，因此封包不會通過 Cloud NAT 閘道或 Cloud Router。

    雖然 Private NAT 的 Cloud NAT 閘道是由 Cloud Router 管理，但 Private NAT 不會使用或依賴邊界閘道通訊協定。

  • Private NAT 不支援與端點無關的對應。
  • 您無法使用私人 NAT 轉譯特定主要或次要 IP 位址範圍，以用於特定子網路。Private NAT 閘道會對特定子網路或子網路清單的所有 IPv4 位址範圍執行 NAT。
  • 建立子網路後，您就無法增加或減少 Private NAT 子網路大小。不過，您可以為特定閘道指定多個 Private NAT 子網路範圍。
  • 每個端點最多可同時建立 64,000 項連線。
  • Private NAT 僅支援 TCP 和 UDP。系統不支援 ICMP 和其他通訊協定。
  • 虛擬私有雲網路中的虛擬機器 (VM) 執行個體只能存取連線網路中不重疊的子網路 (而非重疊的子網路) 目的地。

路徑和防火牆規則

私人 NAT 使用下列路徑：

  • 對於 Network Connectivity Center 輪輻，Private NAT 會使用子網路路徑和動態路徑：
    • 如果 Network Connectivity Center 中樞只包含虛擬私有雲輪輻，則在附加至該中樞的兩個虛擬私有雲輪輻之間傳輸流量時，Private NAT 會使用附加的虛擬私有雲輪輻交換的子網路路徑。如要瞭解虛擬私有雲輻射網路，請參閱虛擬私有雲輻射網路總覽。
    • 如果 Network Connectivity Center 中樞包含虛擬私有雲和混合式網路，例如 Cloud Interconnect 的 VLAN 連結、Cloud VPN 通道或路由器設備 VM，私人 NAT 會使用混合式網路透過 BGP 學習的動態路徑，以及所連虛擬私有雲網路交換的子網路路徑。如要瞭解混合式輪輻，請參閱「混合式輪輻」。
  • 如果是混合式 NAT，私人 NAT 會使用 Cloud Router 透過 Cloud Interconnect 或 Cloud VPN 學習的動態路徑。

Cloud NGFW 防火牆規則會直接套用至 Compute Engine VM 的網路介面，而不是 Private NAT 的 Cloud NAT 閘道。

當 Private NAT 的 Cloud NAT 閘道為 VM 的網路介面提供 NAT 時，系統會先評估適用於該網路介面的輸出防火牆規則，再對封包執行 NAT。封包經過 NAT 處理後，系統會評估輸入防火牆規則。您不需要專為 NAT 建立任何防火牆規則。

子網路 IP 位址範圍適用性

您可以為私人 NAT 設定 Cloud NAT 閘道，為下列項目提供 NAT：

  • 該區域中所有子網路的主要和次要 IP 位址範圍。單一 Private NAT 閘道會為符合資格的 VM 提供 NAT，這些 VM 的網路介面使用區域中的子網路，且 NAT 適用於主要內部 IP 位址和所有別名 IP 範圍。每個區域只能使用一個 NAT 閘道。

  • 自訂子網路清單：單一 Cloud NAT 閘道會為符合資格的 VM 提供 NAT，這些 VM 的網路介面使用指定子網路清單中的子網路，並使用主要內部 IP 位址和所有別名 IP 範圍。

頻寬

使用 Cloud NAT 閘道進行 Private NAT 時，VM 可用的輸出或輸入頻寬量不會改變。頻寬規格因機器類型而異，詳情請參閱 Compute Engine 說明文件中的「網路頻寬」一節。

具有多個網路介面的 VM

如果將 VM 設定為具有多個網路介面，每個介面都必須位於不同的 VPC 網路中。因此，私人 NAT 的 Cloud NAT 閘道只能套用至 VM 的單一網路介面。私人 NAT 的個別 Cloud NAT 閘道可為同一個 VM 提供 NAT，每個閘道適用於個別介面。

NAT IP 位址和通訊埠

建立 Private NAT 閘道時，您必須指定用途為 PRIVATE_NAT 的子網路，系統會從該子網路為 VM 指派 NAT IP 位址。如要進一步瞭解私人 NAT IP 位址指派作業，請參閱「私人 NAT IP 位址」。

您可以設定每個 Cloud NAT 閘道為私人 NAT 在每個 VM 上保留的來源通訊埠數量，以便為這些 VM 提供 NAT 服務。您可以設定靜態通訊埠分配，為每個 VM 保留相同數量的通訊埠，也可以設定動態通訊埠分配，讓保留的通訊埠數量介於您指定的下限和上限之間。

系統會根據閘道設定服務的子網路 IP 位址範圍，判斷要為哪些 VM 提供 NAT。

如要進一步瞭解通訊埠，請參閱「通訊埠」。

適用的 RFC

私人 NAT 是「通訊埠受限圓錐 NAT」，如 RFC 3489 所定義。

網路位址轉譯 (NAT) 逾時

Private NAT 會為通訊協定連線設定逾時。如要瞭解這些逾時和預設值，請參閱「NAT 逾時」。

後續步驟