NAT Gateway：Gunakan gateway NAT VPC untuk mengatasi konflik alamat IP

Penyebab konflik alamat IP

Konflik alamat IP terjadi ketika instance ECS di VPC dengan blok CIDR tumpang tindih mencoba berkomunikasi satu sama lain:

• Jika Anda mengatur blok CIDR tujuan ke blok CIDR VPC peer, traffic pertama kali dicocokkan dengan rute sistem. Traffic kemudian diteruskan di dalam VPC lokal dan tidak dapat mencapai VPC peer.

• Jika Anda mengatur blok CIDR tujuan ke blok CIDR vSwitch peer, Anda tidak dapat membuat rute kustom yang sama atau lebih spesifik daripada rute sistem yang sudah ada.

Solusi NAT

1. Tambahkan blok CIDR IPv4 sekunder: Tambahkan blok CIDR sekunder yang tidak tumpang tindih ke masing-masing dari dua VPC tersebut untuk menyediakan alamat IP pribadi yang tidak saling bertentangan.

2. Terjemahkan alamat: Gunakan VPC NAT Gateway untuk menerjemahkan alamat IP pribadi instance ECS dan mengatasi konflik alamat IP.

3. Aktifkan komunikasi antar-VPC: Sambungkan VPC ke router transit dan konfigurasikan entri rute kustom untuk memastikan traffic diteruskan dengan benar.

Contoh jalur traffic

Sebuah perusahaan berencana menghubungkan dua VPC yang sudah ada di wilayah China (Hangzhou), tetapi blok CIDR-nya tumpang tindih. Untuk mengatasi hal ini, perusahaan menggunakan VPC NAT Gateway untuk terjemahan alamat dan mengonfigurasi rute agar traffic diarahkan ke gateway tersebut. Kemudian, Cloud Enterprise Network (CEN) atau koneksi peering dapat diterapkan untuk mengaktifkan peering jaringan pribadi.

Contoh ini menunjukkan bagaimana ECS_A (alamat IP pribadi: 192.168.0.86) mengakses VPC_NATGW_B (alamat IP pribadi: 10.0.0.53).

1. Berdasarkan rute di tabel rute kustom yang disambungkan ke vSwitch ECS_A, paket diteruskan ke VPC NAT Gateway.

2. Berdasarkan aturan SNAT yang dikonfigurasi untuk VPC_NAT_A, alamat IP sumber paket diterjemahkan menjadi alamat IP NAT (172.16.0.89).

3. Berdasarkan rute di tabel rute sistem VPC_A, paket diteruskan ke router transit (TR). TR kemudian meneruskan paket tersebut ke VPC_B, tempat paket tersebut mencapai VPC NAT Gateway.

4. Berdasarkan aturan DNAT yang dikonfigurasi untuk VPC_NAT_B, alamat tujuan paket diterjemahkan menjadi alamat IP ECS_B. Paket tersebut kemudian diteruskan ke ECS_B, sehingga memungkinkan komunikasi antar instance ECS.

Ketika ECS_B mengirimkan paket respons, terjemahan alamat dibalik berdasarkan tabel pemetaan sesi, dan paket dirutekan serta dikirimkan ke ECS_A.

Langkah 1: Konfigurasikan blok CIDR sekunder

1. Tambahkan blok CIDR sekunder:

   1. Buka Konsol VPC. Di bilah menu atas, pilih wilayah VPC tersebut.

   2. Klik ID VPC target, klik tab CIDR block management , lalu klik Add Secondary IPv4 CIDR Block untuk menambahkan blok CIDR sekunder ke VPC_A dan VPC_B.

2. Buat vSwitch: Buka halaman Buat vSwitch.

   • Virtual Private Cloud: Pilih VPC tersebut. Anda harus membuat satu vSwitch untuk VPC_A dan satu lagi untuk VPC_B.

   • IPv4 CIDR Block: Pilih blok CIDR IPv4 sekunder yang telah Anda tambahkan.

Langkah 2: Konfigurasikan VPC NAT Gateway

Buat VPC NAT Gateway dan konfigurasikan entri SNAT dan DNAT. Hal ini menerjemahkan alamat IP pribadi instance ECS di setiap VPC menjadi alamat IP NAT untuk mengatasi konflik alamat.

1. Buat VPC NAT Gateway: Buka halaman pembelian VPC NAT Gateway.

   • Region: Pilih wilayah tempat VPC dideploy.

   • Network and Zone: Buat satu VPC NAT Gateway untuk VPC_A dan satu lagi untuk VPC_B. Untuk setiap gateway, pilih vSwitch yang telah Anda buat dari blok CIDR sekunder.

2. Konfigurasikan entri SNAT: VPC NAT Gateway menerjemahkan alamat IP sumber paket menjadi alamat IP NAT berdasarkan aturan SNAT yang dikonfigurasi.

   1. Buka halaman daftar VPC NAT Gateway. Di bilah menu atas, pilih wilayah VPC NAT Gateway tersebut.

   2. Pada kolom Actions instance VPC NAT Gateway target, klik SNAT Management. Klik Create SNAT Entry .

      • SNAT Entry Granularity: Topik ini menggunakan VPC Granularity . Anda dapat mengubahnya sesuai kebutuhan.

      • Select NAT IP Address: Pilih alamat IP pribadi VPC NAT Gateway.

3. Konfigurasikan entri DNAT: VPC NAT Gateway mengubah alamat tujuan paket data menjadi alamat IP NAT menggunakan aturan DNAT.

   1. Buka halaman daftar VPC NAT Gateway. Di bilah menu atas, pilih wilayah VPC NAT Gateway tersebut.

   2. Pada kolom Actions instance VPC NAT Gateway target, klik DNAT Management. Klik Create DNAT Entry .

      • Select NAT IP Address: Pilih alamat IP pribadi VPC NAT Gateway.

      • Select Private IP Address: Pilih instance ECS di VPC yang ingin Anda aktifkan komunikasinya.

      • Port Settings: Topik ini menggunakan layanan Secure Shell (SSH) untuk memverifikasi interkoneksi layanan. Layanan SSH menggunakan protokol TCP connection-oriented dan port 22. Oleh karena itu, atur port frontend dan backend Specific Port ke 22, dan atur Protocol Type ke TCP.

        Buat entri DNAT sesuai kebutuhan.

Langkah 3: Hubungkan VPC

1. Buat koneksi VPC:

   Wilayah dan zona yang mendukung Transit Router.

   Contoh ini menunjukkan cara menghubungkan VPC yang berada di wilayah yang sama dan dimiliki oleh akun yang sama. Untuk informasi tentang skenario lainnya, lihat Koneksi VPC-to-VPC antar-wilayah atau Koneksi VPC-to-VPC lintas akun.

   1. Buka atau Konsol Cloud Enterprise Network, lalu klik Create CEN Instance . Pilih Create CEN Instance Only , kemudian klik OK .

   2. Setelah instance dibuat, klik Create Connection > Create Intra-region Connection .

      Dalam contoh ini, VPC dengan blok CIDR yang bertentangan berada di wilayah yang sama. Oleh karena itu, Anda harus membuat koneksi intra-wilayah. Untuk menghubungkan VPC di wilayah berbeda, buat koneksi antar-wilayah.

      Anda juga dapat mengklik ID CEN yang sudah ada, lalu di tab Informasi Dasar, klik di bawah VPC untuk membuat koneksi intra-wilayah.

      • Instance Type: Pilih Virtual Private Cloud (VPC).

      • Region: Pilih wilayah tempat VPC dideploy.

      • Resource Owner UID: Pilih pemilik VPC. Topik ini menggunakan My Account .

      • Network Instance: Pilih VPC_A.

      • vSwitch: Untuk menerapkan pemulihan bencana multi-zona, pilih minimal dua zona. Anda harus menyertakan vSwitch tempat VPC NAT Gateway berada.

      • Advanced Configuration: Pilih semua opsi.

   3. Setelah koneksi dibuat, klik Continue to Create Connection untuk membuat koneksi VPC untuk VPC_B.

2. Konfigurasikan rute:

   Gateway NAT hanya menerjemahkan alamat IP. Gateway tersebut tidak menentukan jalur traffic. Tabel rute VPC mengontrol apakah traffic dikirim ke Gateway NAT dan ke mana traffic tersebut diteruskan setelah terjemahan alamat.

   1. Buat tabel rute kustom dan sambungkan vSwitch:

      1. Buka Halaman Tabel Rute. Di bilah menu atas, pilih wilayah VPC tersebut.

      2. Klik Create VSwitch.

         • Virtual Private Cloud: Buat satu tabel rute untuk VPC_A dan satu lagi untuk VPC_B.

         • Bound Object Type: Pilih vSwitch.

      3. Di halaman Tabel Rute, temukan tabel rute kustom yang telah Anda buat. Pada kolom Bind Resource , klik Bind Now untuk menyambungkan vSwitch tempat instance ECS berada.

   2. Konfigurasikan entri rute: Klik ID tabel rute target. Di tab Custom Route Entry , klik Create Route Entry . Konfigurasikan blok CIDR tujuan dan lompatan berikutnya.

      Konfigurasikan rute seperti yang dijelaskan dalam tabel berikut untuk memastikan traffic diteruskan dengan benar.

      Virtual Private Cloud	Route Table	Destination CIDR block	Next hop
      VPC_A	tabel rute sistem	10.0.0.0/24	Transit Router
      	Tabel rute kustom	10.0.0.0/24	VPC_NATGW_A
      VPC_B	tabel rute sistem	172.16.0.0/24	Transit Router
      	Tabel rute kustom	172.16.0.0/24	VPC_NATGW_B

Langkah 4: Verifikasi hasil

Login ke instance ECS_A dan jalankan perintah berikut.

# Gunakan alamat IP NAT instance VPC_NATGW_B (10.0.0.53) untuk login jarak jauh ke instance ECS_B.
# Pastikan port 22 diizinkan di security group instance ECS_B.
ssh root@10.0.0.53
# Lihat alamat IP network interface controller (NIC).
ifconfig

Anda dapat melihat bahwa instance ECS_A menggunakan alamat IP NAT VPC_NATGW_A (172.16.0.89) untuk mengakses alamat IP NAT VPC_NATGW_B (10.0.0.53) dan login jarak jauh ke instance ECS_B.