NAT Gateway:Accéder à Internet via une passerelle NAT Internet

Fonctionnement

L'exemple suivant montre comment une instance ECS avec l'adresse IP privée 192.168.1.100 accède à Internet.

1. Transfert de route : le VPC transfère un paquet de requête vers la passerelle NAT Internet en fonction de l'entrée de route correspondante dans sa table de routage.

2. SNAT (Source Network Address Translation) : lorsque la passerelle NAT reçoit le paquet, elle traduit l'adresse IP source 192.168.1.100 en une EIP associée à la passerelle, comme défini par la règle SNAT. La passerelle enregistre également le mappage entre le quintuplet original (protocole, IP source, port source, IP de destination, port de destination) et le quintuplet traduit (protocole, EIP, port source public, IP de destination, port de destination).

3. Sortie vers Internet : la passerelle envoie le paquet avec l'adresse traduite vers Internet. La requête provient de l'EIP, et non de l'adresse IP privée de l'instance ECS.

Lorsque le serveur de destination sur Internet renvoie un paquet de réponse, la passerelle utilise le mappage de session pour restaurer l'adresse IP privée originale et renvoie le paquet à l'instance ECS.

Vérifier la connectivité réseau

Connectez-vous à l'instance ECS et exécutez les commandes suivantes.

# Make sure that the security group of the ECS instance allows outbound traffic to the Internet.
# Test connectivity to the Internet.
ping www.aliyun.com

# View the current egress public IP address. It should be the EIP associated with the NAT gateway.
curl ifconfig.me

Fonctionnement

L'exemple suivant montre comment une instance ECS avec l'adresse IP privée 192.168.1.100 fournit des services à Internet.

1. Un client accède au service : l'adresse IP de destination du paquet de données est l'EIP associée à la passerelle NAT Internet et utilisée pour fournir le service.

2. DNAT (Destination Network Address Translation) : après réception du paquet, la passerelle NAT traduit l'EIP de destination en l'adresse IP privée de l'instance ECS en fonction de la règle DNAT. La passerelle enregistre également ce mappage d'adresses.

3. Accès au service : le paquet avec l'adresse traduite est transféré vers l'instance ECS de destination.

Lorsque l'instance ECS de destination renvoie un paquet de réponse, le paquet est transféré vers la passerelle NAT Internet selon la route. La passerelle traduit ensuite l'adresse IP source en l'EIP selon la table de mappage de session et envoie le paquet au client sur Internet.

Lorsque seules des entrées DNAT sont configurées, l'IP source des paquets reçus par l'instance ECS est l'IP publique du client. Par conséquent, lorsque vous configurez les règles entrantes pour le groupe de sécurité de l'instance ECS, vous devez utiliser l'adresse IP source réelle (l'IP publique).

Configurer une entrée DNAT

Cette section décrit uniquement la configuration d'une entrée DNAT. Pour savoir comment créer une passerelle NAT, associer une EIP et configurer les routes, consultez SNAT - Accéder à Internet .

Bonnes pratiques

• Planification du réseau : créez un vSwitch dédié pour la passerelle NAT Internet et réservez suffisamment d'adresses IP privées. Cela évite l'épuisement des adresses IP qui bloquerait les futures associations d'EIP.

• Contrôle granulaire : utilisez des entrées SNAT au niveau du vSwitch ou de l'ECS. Suivez le principe du moindre privilège et accordez l'accès à Internet uniquement aux ressources qui en ont besoin.

Stratégies de reprise après sinistre

Une passerelle NAT Internet prend en charge les deux modes de reprise après sinistre suivants. Sélectionnez un mode en utilisant le paramètre Disaster Recovery lors de la création.

Redondance des EIP : associez plusieurs EIP à votre entrée SNAT. Si une EIP devient indisponible en raison d'une attaque ou d'autres problèmes, le trafic sortant bascule automatiquement vers d'autres EIP disponibles.

Prévention des risques

• Configuration du groupe de sécurité : une passerelle NAT Internet effectue la traduction d'adresses, mais la sécurité des instances ECS backend repose toujours sur les groupes de sécurité et les listes de contrôle d'accès réseau (ACL). Vous devez configurer des règles entrantes strictes pour vos instances ECS et autoriser le trafic uniquement sur les ports nécessaires.

• Surveillance et alertes : configurez des règles d'alerte pour les métriques clés de la passerelle NAT, telles que les connexions simultanées et la bande passante entrante/sortante, afin de recevoir des notifications en temps opportun et de mettre à l'échelle les ressources avant l'apparition de goulots d'étranglement.

• Limites de connexion : si vos services nécessitent un grand nombre de connexions vers un seul service public (tel qu'une passerelle de paiement), tenez compte du nombre maximal de connexions simultanées (N × 55 000, où N est le nombre d'EIP configurées dans l'entrée SNAT). Nous vous recommandons de prévoir un nombre suffisant d'EIP à l'avance et de surveiller la métrique Failed Port Allocations.

• Réponse ICMP echo : cette fonctionnalité est activée par défaut. Lorsque vous utilisez la commande ping pour la détection, vous recevez un paquet de réponse normal de la passerelle NAT, mais cela ne garantit pas que le serveur backend fonctionne correctement. Pour les scénarios qui reposent sur ping pour une surveillance fine, vous devez désactiver ICMP Retrieval sur la page des détails de l'instance.

  • Les paquets ICMP sont transférés vers le serveur backend uniquement lorsque le DNAT est configuré avec un mappage Any Port.

  • Dans les scénarios de mappage Custom Port, les sondes ping échoueront. Vous pouvez utiliser telnet <EIP> <Public Port> pour sonder directement le port de service mappé.

Échec de l'accès Internet via SNAT

Pour résoudre ce problème, suivez ces étapes :

1. Configuration des routes : sur la page des détails de la passerelle NAT Internet, vérifiez la section VPC routes that point to the NAT gateway pour confirmer qu'une entrée de route pointe vers la passerelle.

2. Configuration de l'entrée SNAT : dans l'onglet SNAT de la page des détails de l'instance de passerelle NAT Internet, confirmez que le statut de l'entrée SNAT est Available. Confirmez également que l'adresse source utilisée pour accéder à Internet se trouve dans le Source CIDR Block.

3. Contrôle d'accès : vérifiez si le point de terminaison public que vous essayez d'atteindre a une politique de contrôle d'accès configurée, ou si l'EIP associée à l'instance a été ajoutée à une liste blanche.

4. Configuration de la passerelle IPv4 : lors de l'utilisation avec une passerelle IPv4, assurez-vous que la passerelle NAT est en mode NAT et que le routage est correctement configuré.

Accès Internet lent ou délais d'expiration

Ce problème a généralement les causes suivantes :

• Bande passante insuffisante : consultez les données de surveillance des EIP associées à la passerelle NAT et vérifiez l'utilisation de la bande passante. Si l'utilisation est proche de 100 %, augmentez la bande passante ou ajoutez davantage d'EIP et associez-les à une instance de bande passante partagée Internet.

• Dépassement de la limite de connexion : lorsque le nombre de connexions simultanées vers une seule destination dépasse la limite, le système abandonne les connexions en raison d'échecs d'allocation de ports. Consultez la métrique ErrorPortAllocationCount dans la surveillance de la passerelle NAT. Si cette valeur augmente continuellement, ajoutez davantage d'EIP à la règle SNAT.

Passerelle NAT et trafic privé

La passerelle NAT elle-même ne détermine pas le chemin du trafic ; elle effectue uniquement la traduction d'adresses. La table de routage du VPC contrôle si le trafic est envoyé vers la passerelle NAT et où il est routé après la traduction.

Facturation

Les passerelles NAT Internet entraînent des frais d'instance et des frais d'unité de capacité (CU). Les EIP associées ont leurs propres règles de facturation et sont facturées séparément.

Quotas