NAT Gateway es una puerta de enlace de traducción de direcciones de red totalmente administrada por Alibaba Cloud. Mejora la seguridad de la red al traducir y ocultar las direcciones de los servicios en la nube para evitar su exposición directa.
Tipos de producto
Hay dos tipos de puertas de enlace NAT: Internet NAT Gateway y VPC NAT Gateway. Las puertas de enlace Internet NAT Gateway se pueden asociar con Elastic IPs (EIP) para habilitar el acceso a internet. Las puertas de enlace VPC NAT Gateway se usan para la traducción de direcciones dentro de una VPC.
Internet NAT Gateway: acceso a internet
Una puerta de enlace Internet NAT Gateway traduce las direcciones IPv4 privadas de las instancias dentro de una VPC a una EIP, lo que permite que varios servidores compartan la EIP para acceder a internet.
Habilitar el acceso a internet para los servidores Use la función SNAT de una puerta de enlace Internet NAT Gateway para permitir que varias instancias ECS compartan una EIP para acceder a internet. Este enfoque reduce costos y mejora la seguridad.  | Compartir una puerta de enlace NAT entre varias VPC para acceder a internet Use una conexión de emparejamiento de VPC o Cloud Enterprise Network (CEN) para interconectar VPC y permitirles compartir una sola puerta de enlace Internet NAT Gateway para el acceso a internet.  |
|
Dimensión |
ECS con EIP |
Internet NAT Gateway |
|
Uso de EIP |
Una EIP por instancia ECS. La cantidad de EIP escala según el número de instancias ECS. |
Varias instancias ECS comparten un número reducido de EIP. Admite la vinculación de varios EIP para agregar ancho de banda. |
|
Seguridad de salida |
Cada instancia ECS usa una EIP independiente. |
Las IP de origen son visibles. Las IP de salida se consolidan en un número reducido, lo que oculta las IP de origen de las instancias del backend. |
|
Capacidades de operación y mantenimiento |
Las EIP se administran de forma individual. No existe monitoreo unificado ni limitación de tasa. Administración centralizada. |
Admite monitoreo de tráfico, limitación de ancho de banda y configuración de directivas. |
|
Casos de uso |
Pocas instancias ECS o contenedores sin requisitos de control de salida. |
Varias instancias ECS o contenedores que requieren una salida unificada o control de tráfico. |
VPC NAT Gateway: acceso a red privada
Una puerta de enlace VPC NAT Gateway puede traducir las direcciones IPv4 privadas de las instancias en una VPC a otras direcciones IP NAT privadas. Esta función resuelve problemas de conectividad entre redes con direcciones IP superpuestas o cumple con los requisitos para acceder a servicios desde una dirección IP de origen específica.
Resolver conflictos de red privada Las VPC con bloques CIDR superpuestos no se pueden interconectar directamente. Use una puerta de enlace VPC NAT Gateway para traducir las direcciones IP privadas en conflicto y habilitar la comunicación.  |
Acceso desde una dirección específica En industrias reguladas como la financiera y la bursátil, los servicios basados en la nube pueden usar una puerta de enlace VPC NAT Gateway para garantizar que el tráfico hacia los centros de datos locales se origine desde una dirección IP privada fija y especificada.  |
Rendimiento y alta disponibilidad
Alta disponibilidad
NAT Gateway admite dos modos de despliegue para alta disponibilidad: recuperación ante desastres entre zonas y en una sola zona. Seleccione Disaster Recovery al crear una puerta de enlace.
El modo de recuperación ante desastres en una sola zona está disponible en todas las regiones que admiten NAT Gateway. Para usar este modo, póngase en contacto con su gerente de cuenta y solicite acceso.
Recuperación ante desastres entre zonas La puerta de enlace NAT se despliega de manera redundante en dos zonas. Si una zona falla, el tráfico se redirige automáticamente a la otra mediante failover. Este modo es adecuado para escenarios donde las instancias, como ECS, se distribuyen en varias zonas y necesitan compartir una sola puerta de enlace NAT para acceder a internet.  | Recuperación ante desastres en una sola zona La puerta de enlace NAT se despliega dentro de una sola zona y proporciona alta disponibilidad únicamente dentro de esa zona. Este modo es adecuado para escenarios donde los servicios se concentran en una sola zona y usan una puerta de enlace NAT dedicada para acceder a internet.  |
|
Recuperación entre zonas (predeterminado) |
Recuperación en una sola zona |
|
|
Método de despliegue |
Las instancias se despliegan tanto en una zona principal como en una de respaldo. Alibaba Cloud selecciona la zona de respaldo. |
La puerta de enlace se despliega en una única zona especificada por el usuario e incluye redundancia a nivel de dispositivo dentro de esa zona. |
|
Capacidad de recuperación ante desastres |
Failover automático en caso de fallo de zona. |
Alibaba Cloud garantiza la alta disponibilidad dentro de la zona especificada. |
|
Costo |
Precio base |
La tarifa de la instancia es aproximadamente el 50 % y la tarifa de CU aproximadamente el 80 % de las tarifas del modo entre zonas. |
|
Casos de uso |
Instancias, como ECS, distribuidas en varias zonas que necesitan compartir una sola puerta de enlace NAT para acceder a internet. |
Servicios concentrados en una sola zona que usan una puerta de enlace NAT dedicada para acceder a internet. |
Escalado automático
Las métricas de rendimiento para cada modo de despliegue son las siguientes.
Modo de despliegue | Métrica | Tasa de conexiones (CPS) | Throughput | Conexiones simultáneas | Tasa de paquetes (PPS) |
Recuperación ante desastres entre zonas | Métrica inicial | 20,000 | 5 Gbps | 500,000 | 800,000 |
Límite de escalado | 100,000 | 15 Gbps | 2,000,000 | 2,500,000 | |
Recuperación ante desastres en una sola zona | Métrica inicial | 20,000 | 10 Gbps | 500,000 | 800,000 |
Límite de escalado | 100,000 | 20 Gbps | 2,000,000 | 2,500,000 |
Para garantizar el rendimiento y la estabilidad, NAT Gateway usa una arquitectura de clúster distribuida y altamente confiable. El clúster distribuye uniformemente todo el tráfico entre varios servidores del sistema para su reenvío. Por lo tanto, el throughput máximo y los paquetes por segundo (PPS) solo se pueden alcanzar con varias sesiones. El rendimiento de un solo servidor del sistema limita el throughput y los PPS de una sesión individual. Se recomienda ejecutar pruebas de estrés para comprender el rendimiento de su instancia y configurar el monitoreo en consecuencia.
Límite de throughput por sesión = Límite de escalado de throughput total / Número de servidores en el clúster
Límite de PPS por sesión = Límite de escalado de PPS total / Número de servidores en el clúster
Si el tráfico de una puerta de enlace NAT supera sus límites de rendimiento, sus cargas de trabajo pueden experimentar pérdida de paquetes. Si requiere un mayor rendimiento, póngase en contacto con su gerente de cuenta para enviar una solicitud.
En escenarios reales, varios factores afectan el rendimiento de una puerta de enlace NAT, como el tamaño promedio de los paquetes, el tipo de conexión (de larga o corta duración) y la arquitectura de red. Como resultado, el rendimiento real puede variar. Se recomienda ejecutar pruebas de estrés basadas en sus requisitos comerciales específicos para evaluar el rendimiento de la instancia y configurar el monitoreo para garantizar operaciones fluidas.