NAT Gateway:Utiliser une passerelle NAT VPC pour résoudre les conflits d'adresses IP

Causes des conflits d'adresses IP

Des conflits d'adresses IP surviennent lorsque des instances ECS situées dans des VPC aux blocs CIDR qui se chevauchent tentent de communiquer entre elles :

• Si vous définissez le bloc CIDR de destination sur le bloc CIDR du VPC homologue, le trafic correspond d'abord à une route système. Le trafic est ensuite acheminé au sein du VPC local et ne peut pas atteindre le VPC homologue.

• Si vous définissez le bloc CIDR de destination sur le bloc CIDR du vSwitch homologue, vous ne pouvez pas créer de route personnalisée identique ou plus spécifique qu'une route système existante.

Solution NAT

1. Ajouter des blocs CIDR IPv4 secondaires : Ajoutez un bloc CIDR secondaire non chevauchant à chacun des deux VPC afin de fournir des adresses IP privées sans conflit.

2. Traduire les adresses : Utilisez une passerelle NAT VPC pour traduire les adresses IP privées des instances ECS et résoudre les conflits d'adresses IP.

3. Activer la communication VPC à VPC : Attachez les VPC à un routeur de transit et configurez des entrées de routage personnalisées pour garantir un acheminement correct du trafic.

Exemple de chemin de trafic

Une entreprise prévoit de connecter deux VPC existants dans la région Chine (Hangzhou), mais leurs blocs CIDR se chevauchent. Pour résoudre ce problème, l'entreprise utilise une passerelle NAT VPC pour la traduction d'adresses et configure des routes pour acheminer le trafic vers la passerelle. Ensuite, déployez Cloud Enterprise Network (CEN) ou une connexion d'appairage pour activer l'appairage de réseau privé.

Cet exemple montre comment ECS_A (adresse IP privée : 192.168.0.86) accède à VPC_NATGW_B (adresse IP privée : 10.0.0.53).

1. Sur la base des routes de la table de routage personnalisée attachée au vSwitch d'ECS_A, le paquet est transféré vers la passerelle NAT VPC.

2. Selon la règle SNAT configurée pour VPC_NAT_A, l'adresse IP source du paquet est traduite en une adresse IP NAT (172.16.0.89).

3. D'après les routes de la table de routage système de VPC_A, le paquet est acheminé vers le routeur de transit (TR). Le TR transfère ensuite le paquet vers VPC_B, où il atteint la passerelle NAT VPC.

4. Conformément à la règle DNAT configurée pour VPC_NAT_B, l'adresse de destination du paquet est traduite en l'adresse IP d'ECS_B. Le paquet est ensuite transmis à ECS_B, permettant la communication entre les instances ECS.

Lorsque ECS_B envoie un paquet de réponse, la traduction d'adresse s'inverse sur la base de la table de mappage de session, et le paquet est routé et remis à ECS_A.

Étape 1 : Configurer les blocs CIDR secondaires

1. Ajoutez des blocs CIDR secondaires :

   1. Accédez à la console VPC. Dans la barre de menus supérieure, sélectionnez la région du VPC.

   2. Cliquez sur l'ID du VPC cible, cliquez sur l'onglet CIDR Block Management, puis cliquez sur Add Secondary IPv4 CIDR Block pour ajouter un bloc CIDR secondaire à VPC_A et VPC_B.

2. Créez des vSwitches : Accédez à la page Create vSwitch.

   • VPC : Sélectionnez le VPC. Vous devez créer un vSwitch pour VPC_A et un autre pour VPC_B.

   • IPv4 CIDR : Sélectionnez le bloc CIDR IPv4 secondaire que vous avez ajouté.

Étape 2 : Configurer la passerelle NAT VPC

Créez une passerelle NAT VPC et configurez des entrées SNAT et DNAT. Cela permet de traduire les adresses IP privées des instances ECS de chaque VPC en adresses IP NAT afin de résoudre les conflits d'adresses.

1. Créez une passerelle NAT VPC : Accédez à la page d'achat de la passerelle NAT VPC.

   • Region : Sélectionnez la région où le VPC est déployé.

   • Network and Zone : Créez une passerelle NAT VPC pour VPC_A et une autre pour VPC_B. Pour chaque passerelle, sélectionnez le vSwitch que vous avez créé à partir du bloc CIDR secondaire.

2. Configurez une entrée SNAT : La passerelle NAT VPC traduit l'adresse IP source d'un paquet en une adresse IP NAT selon la règle SNAT configurée.

   1. Accédez à la page de liste des passerelles NAT VPC. Dans la barre de menus supérieure, sélectionnez la région de la passerelle NAT VPC.

   2. Dans la colonne Actions de l'instance de passerelle NAT VPC cible, cliquez sur l'onglet SNAT. Cliquez sur Create SNAT Entry.

      • SNAT Entry : Cette rubrique utilise l'option Specify VPC. Vous pouvez modifier ce paramètre selon vos besoins.

      • Select NAT IP Address : Sélectionnez l'adresse IP privée de la passerelle NAT VPC.

3. Configurez une entrée DNAT : La passerelle NAT VPC transforme l'adresse IP de destination d'un paquet de données en une adresse IP NAT à l'aide de la règle DNAT.

   1. Accédez à la page de liste des passerelles NAT VPC. Dans la barre de menus supérieure, sélectionnez la région de la passerelle NAT VPC.

   2. Dans la colonne Actions de l'instance de passerelle NAT VPC cible, cliquez sur l'onglet DNAT. Cliquez sur Create DNAT Entry.

      • Select NAT IP Address : Sélectionnez l'adresse IP privée de la passerelle NAT VPC.

      • Select Private IP Address : Sélectionnez l'instance ECS du VPC pour laquelle vous souhaitez activer la communication.

      • Port Settings : Cette rubrique utilise le service Secure Shell (SSH) pour vérifier l'interconnexion des services. Le service SSH utilise le protocole TCP orienté connexion et le port 22. Par conséquent, définissez le port frontal et le port backend de Specific Port sur 22, et définissez Protocol Type sur TCP.

        Créez des entrées DNAT selon vos besoins.

Étape 3 : Connecter les VPC

1. Créez des connexions VPC :

   Régions et zones prenant en charge Transit Router .

   Cet exemple montre comment connecter des VPC situés dans la même région et appartenant au même compte. Pour plus d'informations sur d'autres scénarios, consultez Connexion VPC à VPC interrégionale ou Connexion VPC à VPC intercomptes .

   1. Accédez à la console Cloud Enterprise Network et cliquez sur Create CEN Instance. Sélectionnez et cliquez sur OK.

   2. Une fois l'instance créée, cliquez sur Create Connection > Create Intra-Region Connection.

      Dans cet exemple, les VPC dont les blocs CIDR entrent en conflit se trouvent dans la même région. Par conséquent, vous devez créer une connexion intrarégionale. Pour connecter des VPC situés dans différentes régions, créez une connexion interrégionale.

      Vous pouvez également cliquer sur un ID CEN existant et, dans l'onglet Basic Information, cliquer sur sous VPC pour créer une connexion intrarégionale.

      • Network Type : Sélectionnez Virtual Private Cloud (VPC).

      • Region : Sélectionnez la région où le VPC est déployé.

      • Account : Sélectionnez le propriétaire du VPC. Cette rubrique utilise l'option Your Account.

      • Networks : Sélectionnez VPC_A.

      • VSwitch : Pour mettre en œuvre une reprise après sinistre multizone, sélectionnez au moins deux zones. Vous devez inclure le vSwitch où se trouve la passerelle NAT VPC.

      • Advanced Settings : Sélectionnez toutes les options.

   3. Une fois la connexion créée, cliquez sur Create More Connections pour créer une connexion VPC pour VPC_B.

2. Configurez les routes :

   Une passerelle NAT ne fait que traduire les adresses IP. Elle ne détermine pas le chemin du trafic. Les tables de routage du VPC contrôlent si le trafic est envoyé vers la passerelle NAT et où le trafic est acheminé après la traduction d'adresse.

   1. Créez une table de routage personnalisée et attachez un vSwitch :

      1. Accédez à la page Route Tables. Dans la barre de menus supérieure, sélectionnez la région du VPC.

      2. Cliquez sur Create Route Table.

         • VPC : Créez une table de routage pour VPC_A et une autre pour VPC_B.

         • Associated Resource Type : Sélectionnez vSwitch.

         Avant de lier les tables de routage, vérifiez les associations de vSwitch suivantes :

         • vSwitch pour l'instance ECS : Doit être associé à une table de routage personnalisée contenant une entrée de routage pointant vers la passerelle NAT VPC.

         • vSwitch pour la passerelle NAT VPC : Doit être associé à la table de routage système, ou à une table de routage personnalisée ne contenant que des routes pointant vers le routeur de transit.

         N'ajoutez pas d'entrée de routage pointant vers la passerelle NAT VPC dans la table de routage associée au vSwitch de la passerelle NAT. Sinon, le trafic traduit par SNAT revient en boucle vers la passerelle NAT, provoquant des délais d'attente silencieux.

      3. Sur la page Route Tables, recherchez la table de routage personnalisée que vous avez créée. Dans la colonne Associated Resource, cliquez sur Bind pour attacher le vSwitch où se trouve l'instance ECS.

   2. Configurez les entrées de routage : Cliquez sur l'ID de la table de routage cible. Dans l'onglet Custom Route, cliquez sur Add Route Entry. Configurez le bloc CIDR de destination et le saut suivant.

      Configurez les routes comme indiqué dans le tableau suivant pour garantir un acheminement correct du trafic.

      VPC	Table de routage	Bloc CIDR de destination	Saut suivant
      VPC_A	Table de routage système	10.0.0.0/24	Routeur de transit
      	Table de routage personnalisée	10.0.0.0/24	VPC_NATGW_A
      VPC_B	Table de routage système	172.16.0.0/24	Routeur de transit
      	Table de routage personnalisée	172.16.0.0/24	VPC_NATGW_B

Étape 4 : Vérifier le résultat

Connectez-vous à l'instance ECS_A et exécutez la commande suivante.

# Use the NAT IP address of the VPC_NATGW_B instance (10.0.0.53) to remotely log on to the ECS_B instance.
# Make sure that port 22 is allowed in the security group of the ECS_B instance.
ssh root@10.0.0.53
# View the IP address of the network interface controller (NIC).
ifconfig

Vous constatez que l'instance ECS_A utilise l'adresse IP NAT de VPC_NATGW_A (172.16.0.89) pour accéder à l'adresse IP NAT de VPC_NATGW_B (10.0.0.53) et se connecter à distance à l'instance ECS_B.