NAT Gateway:Use a VPC NAT gateway to resolve IP address conflicts

Causas de los conflictos de direcciones IP

Los conflictos de direcciones IP ocurren cuando las instancias ECS en VPC con bloques CIDR superpuestos intentan comunicarse entre sí:

• Si establece el bloque CIDR de destino como el bloque CIDR de la VPC par, el tráfico coincide primero con una ruta del sistema. Después, se reenvía dentro de la VPC local y no puede llegar a la VPC par.

• Si establece el bloque CIDR de destino como el bloque CIDR del vSwitch par, no es posible crear una ruta personalizada igual o más específica que una ruta del sistema existente.

Solución con NAT

1. Agregar bloques CIDR IPv4 secundarios: agregue un bloque CIDR secundario sin superposición a cada una de las dos VPC para proporcionar direcciones IP privadas sin conflictos.

2. Traducir direcciones: utilice una VPC NAT Gateway para traducir las direcciones IP privadas de las instancias ECS y resolver los conflictos de direcciones IP.

3. Habilitar la comunicación entre VPC: asocie las VPC a un transit router y configure entradas de ruta personalizadas para asegurar que el tráfico se reenvíe correctamente.

Ejemplo de ruta de tráfico

Una empresa planea conectar dos VPC existentes en la región China (Hangzhou), pero sus bloques CIDR se superponen. Para resolverlo, utiliza una VPC NAT Gateway para la traducción de direcciones y configura rutas que reenvían el tráfico hacia la puerta de enlace. Luego, se despliega Cloud Enterprise Network (CEN) o una conexión de emparejamiento para habilitar el emparejamiento de red privada.

Este ejemplo muestra cómo ECS_A (dirección IP privada: 192.168.0.86) accede a VPC_NATGW_B (dirección IP privada: 10.0.0.53).

1. De acuerdo con las rutas de la tabla de rutas personalizada asociada al vSwitch de ECS_A, el paquete se reenvía a la VPC NAT Gateway.

2. Con base en la regla SNAT configurada para VPC_NAT_A, la dirección IP de origen del paquete se traduce a una dirección IP NAT (172.16.0.89).

3. Según las rutas de la tabla de rutas del sistema de VPC_A, el paquete se reenvía al transit router (TR). El TR lo reenvía a VPC_B, donde llega a la VPC NAT Gateway.

4. A partir de la regla DNAT configurada para VPC_NAT_B, la dirección de destino del paquete se traduce a la dirección IP de ECS_B. El paquete se reenvía a ECS_B, lo que permite la comunicación entre las instancias ECS.

Cuando ECS_B envía un paquete de respuesta, la traducción de direcciones se revierte según la tabla de asignación de sesiones. El paquete se enruta y se entrega a ECS_A.

Paso 1: Configurar los bloques CIDR secundarios

1. Agregue bloques CIDR secundarios:

   1. Vaya a la consola de VPC. En la barra de menú superior, seleccione la región de la VPC.

   2. Haga clic en el ID de la VPC de destino, haga clic en la pestaña CIDR Block Management y luego haga clic en Add Secondary IPv4 CIDR Block para agregar un bloque CIDR secundario a VPC_A y VPC_B.

2. Cree vSwitches: vaya a la página Create vSwitch.

   • VPC: seleccione la VPC. Debe crear un vSwitch para VPC_A y otro para VPC_B.

   • IPv4 CIDR: seleccione el bloque CIDR IPv4 secundario que agregó.

Paso 2: Configurar la VPC NAT Gateway

Cree una VPC NAT Gateway y configure entradas SNAT y DNAT. Esto traduce las direcciones IP privadas de las instancias ECS de cada VPC a direcciones IP NAT para resolver los conflictos de direcciones.

1. Cree una VPC NAT Gateway: vaya a la página de compra de VPC NAT Gateway.

   • Region: seleccione la región donde se despliega la VPC.

   • Network and Zone: cree una VPC NAT Gateway para VPC_A y otra para VPC_B. Para cada puerta de enlace, seleccione el vSwitch que creó a partir del bloque CIDR secundario.

2. Configure una entrada SNAT: la VPC NAT Gateway traduce la dirección IP de origen de un paquete a una dirección IP NAT según la regla SNAT configurada.

   1. Vaya a la página de lista de VPC NAT Gateway. En la barra de menú superior, seleccione la región de la VPC NAT Gateway.

   2. En la columna Actions de la instancia de VPC NAT Gateway de destino, haga clic en la pestaña SNAT. Haga clic en Create SNAT Entry.

      • SNAT Entry: este tema utiliza Specify VPC. Modifique esta opción según sus necesidades.

      • Select NAT IP Address: seleccione la dirección IP privada de la VPC NAT Gateway.

3. Configure una entrada DNAT: la VPC NAT Gateway transforma la dirección IP de destino de un paquete de datos en una dirección IP NAT mediante la regla DNAT.

   1. Vaya a la página de lista de VPC NAT Gateway. En la barra de menú superior, seleccione la región de la VPC NAT Gateway.

   2. En la columna Actions de la instancia de VPC NAT Gateway de destino, haga clic en la pestaña DNAT. Haga clic en Create DNAT Entry.

      • Select NAT IP Address: seleccione la dirección IP privada de la VPC NAT Gateway.

      • Select Private IP Address: seleccione la instancia ECS de la VPC para la que desea habilitar la comunicación.

      • Port Settings: este tema utiliza el servicio Secure Shell (SSH) para comprobar la interconexión del servicio. El servicio SSH usa el protocolo TCP orientado a conexión y el puerto 22. Por lo tanto, establezca tanto el puerto de frontend como el puerto de backend de Specific Port en 22, y defina Protocol Type como TCP.

        Cree las entradas DNAT según sus necesidades.

Paso 3: Conectar las VPC

1. Cree conexiones de VPC:

   Regions and zones that support Transit Router .

   Este ejemplo muestra cómo conectar VPC que están en la misma región y pertenecen a la misma cuenta. Para obtener información sobre otros escenarios, consulte Inter-region VPC-to-VPC connection o Cross-account VPC-to-VPC connection .

   1. Vaya a la consola de Cloud Enterprise Network y haga clic en Create CEN Instance. Seleccione y haga clic en OK.

   2. Después de crear la instancia, haga clic en Create Connection > Create Intra-Region Connection.

      En este ejemplo, las VPC con bloques CIDR en conflicto están en la misma región. Por lo tanto, debe crear una conexión intrarregional. Para conectar VPC en distintas regiones, cree una conexión interregional.

      También puede hacer clic en un ID de CEN existente y, en la pestaña Basic Information, hacer clic en debajo de VPC para crear una conexión intrarregional.

      • Network Type: seleccione Virtual Private Cloud (VPC).

      • Region: seleccione la región donde se despliega la VPC.

      • Account: seleccione el propietario de la VPC. Este tema utiliza Your Account.

      • Networks: seleccione VPC_A.

      • VSwitch: para implementar la recuperación ante desastres multizona, seleccione como mínimo dos zonas. Debe incluir el vSwitch donde se encuentra la VPC NAT Gateway.

      • Advanced Settings: seleccione todas las opciones.

   3. Una vez creada la conexión, haga clic en Create More Connections para crear una conexión de VPC para VPC_B.

2. Configure las rutas:

   Una NAT Gateway solo traduce direcciones IP, no determina la ruta del tráfico. Las tablas de rutas de la VPC controlan si el tráfico se envía a la NAT Gateway y hacia dónde se reenvía después de la traducción de direcciones.

   1. Cree una tabla de rutas personalizada y asocie un vSwitch:

      1. Vaya a la página Route Tables. En la barra de menú superior, seleccione la región de la VPC.

      2. Haga clic en Create Route Table.

         • VPC: cree una tabla de rutas para VPC_A y otra para VPC_B.

         • Associated Resource Type: seleccione vSwitch.

         Antes de vincular las tablas de rutas, compruebe las siguientes asociaciones de vSwitch:

         • vSwitch de la instancia ECS: debe estar asociado a una tabla de rutas personalizada que contenga una entrada de ruta dirigida a la VPC NAT Gateway.

         • vSwitch de la VPC NAT Gateway: debe estar asociado a la tabla de rutas del sistema o a una tabla de rutas personalizada que solo contenga rutas dirigidas al transit router.

         No agregue una entrada de ruta dirigida a la VPC NAT Gateway en la tabla de rutas asociada al vSwitch de dicha puerta de enlace. De lo contrario, el tráfico traducido por SNAT regresará a la NAT Gateway y provocará tiempos de espera silenciosos.

      3. En la página Route Tables, busque la tabla de rutas personalizada que creó. En la columna Associated Resource, haga clic en Bind para asociar el vSwitch donde se encuentra la instancia ECS.

   2. Configure las entradas de ruta: haga clic en el ID de la tabla de rutas de destino. En la pestaña Custom Route, haga clic en Add Route Entry. Configure el bloque CIDR de destino y el siguiente salto.

      Configure las rutas como se describe en la siguiente tabla para asegurar que el tráfico se reenvíe correctamente.

      VPC	Tabla de rutas	Bloque CIDR de destino	Siguiente salto
      VPC_A	Tabla de rutas del sistema	10.0.0.0/24	Transit Router
      	Tabla de rutas personalizada	10.0.0.0/24	VPC_NATGW_A
      VPC_B	Tabla de rutas del sistema	172.16.0.0/24	Transit Router
      	Tabla de rutas personalizada	172.16.0.0/24	VPC_NATGW_B

Paso 4: Comprobar el resultado

Inicie sesión en la instancia ECS_A y ejecute el siguiente comando.

# Use the NAT IP address of the VPC_NATGW_B instance (10.0.0.53) to remotely log on to the ECS_B instance.
# Make sure that port 22 is allowed in the security group of the ECS_B instance.
ssh root@10.0.0.53
# View the IP address of the network interface controller (NIC).
ifconfig

Observe que la instancia ECS_A utiliza la dirección IP NAT de VPC_NATGW_A (172.16.0.89) para acceder a la dirección IP NAT de VPC_NATGW_B (10.0.0.53) e iniciar sesión de forma remota en la instancia ECS_B.