NAT Gateway:Akses Internet menggunakan gateway NAT Internet

Cara kerja

Contoh berikut menunjukkan bagaimana instance ECS dengan alamat IP pribadi 192.168.1.100 mengakses Internet.

1. Penerusan rute: VPC meneruskan paket permintaan ke gateway NAT Internet berdasarkan entri rute yang sesuai di tabel rutenya.

2. SNAT (Source Network Address Translation): Saat gateway NAT menerima paket tersebut, gateway menerjemahkan alamat IP sumber 192.168.1.100 menjadi EIP yang dikaitkan dengan gateway tersebut, sesuai aturan SNAT. Gateway juga mencatat pemetaan antara tupel lima asli (protokol, IP sumber, port sumber, IP tujuan, port tujuan) dan tupel lima hasil terjemahan (protokol, EIP, port sumber publik, IP tujuan, port tujuan).

3. Arah keluar ke Internet: Gateway mengirimkan paket dengan alamat hasil terjemahan ke Internet. Permintaan berasal dari EIP, bukan dari alamat IP pribadi instance ECS.

Saat server tujuan di Internet mengembalikan paket respons, gateway menggunakan pemetaan sesi untuk memulihkan alamat IP pribadi asli dan meneruskan paket kembali ke instance ECS.

Verifikasi konektivitas jaringan

Masuk ke Instance ECS dan jalankan perintah berikut.

# Pastikan bahwa security group Instance ECS mengizinkan outbound traffic ke Internet.
# Uji konektivitas ke Internet.
ping www.aliyun.com

# Lihat Alamat IP publik egress saat ini. Alamat tersebut seharusnya merupakan EIP yang terkait dengan gerbang NAT.
curl ifconfig.me

Cara kerja

Contoh berikut menunjukkan bagaimana sebuah instans ECS dengan alamat IP pribadi 192.168.1.100 menyediakan layanan ke Internet.

1. Klien mengakses layanan: Alamat IP tujuan paket data adalah EIP yang terasosiasi dengan Gateway NAT Internet dan digunakan untuk menyediakan layanan tersebut.

2. DNAT (Destination Network Address Translation): Setelah Gateway NAT menerima paket tersebut, gateway menerjemahkan EIP tujuan menjadi alamat IP pribadi instans ECS berdasarkan aturan DNAT. Gateway juga mencatat pemetaan alamat ini.

3. Layanan diakses: Paket dengan alamat yang telah diterjemahkan diteruskan ke instans ECS tujuan.

Ketika instans ECS tujuan mengembalikan paket respons, paket tersebut diteruskan ke Gateway NAT Internet sesuai dengan entri rute. Gateway kemudian menerjemahkan kembali alamat IP sumber menjadi EIP berdasarkan tabel pemetaan sesi dan mengirimkan paket tersebut ke klien di Internet.

Jika hanya entri DNAT yang dikonfigurasi, IP sumber paket yang diterima oleh instans ECS adalah IP publik klien. Oleh karena itu, saat Anda mengonfigurasi aturan inbound untuk security group instans ECS, Anda harus menggunakan alamat IP sumber aktual (IP publik).

Konfigurasi entri DNAT

Bagian ini hanya menjelaskan cara mengonfigurasi entri DNAT. Untuk mempelajari cara membuat Gateway NAT, mengasosiasikan EIP, dan mengonfigurasi rute, lihat SNAT - Akses Internet.

Praktik terbaik

• Perencanaan jaringan: Buat vSwitch khusus untuk Gateway NAT Internet dan sediakan cukup Alamat IP pribadi. Hal ini mencegah kehabisan IP yang dapat menghambat asosiasi EIP di masa mendatang.

• Kontrol tingkat detil: Gunakan Entri SNAT tingkat vSwitch atau tingkat ECS. Ikuti prinsip Hak istimewa minimal dan berikan akses Internet hanya kepada sumber daya yang membutuhkannya.

Strategi pemulihan bencana

Gateway NAT Internet mendukung dua mode pemulihan bencana berikut. Anda dapat memilih mode tersebut menggunakan parameter Disaster Recovery saat pembuatan.

EIP redundancy: Asosiasikan beberapa EIP ke Entri SNAT Anda. Jika salah satu EIP menjadi tidak tersedia karena serangan atau masalah lainnya, lalu lintas keluar secara otomatis dialihkan ke EIP lain yang tersedia.

Pencegahan risiko

• Konfigurasi security group: Gateway NAT Internet melakukan translasi alamat, tetapi keamanan Instance ECS backend tetap bergantung pada security group dan ACL jaringan. Anda harus mengonfigurasi aturan grup keamanan masuk yang ketat untuk Instance ECS Anda dan hanya mengizinkan trafik pada Port yang diperlukan.

• Pemantauan dan notifikasi: Konfigurasikan aturan notifikasi untuk metrik utama Gateway NAT, seperti koneksi bersamaan dan bandwidth arah masuk/keluar, agar menerima Notifikasi tepat waktu dan dapat melakukan penskalaan sumber daya sebelum terjadi bottleneck.

• Batas koneksi: Jika layanan Anda memerlukan jumlah koneksi besar ke satu layanan publik (seperti gateway pembayaran), perhatikan batas maksimum koneksi bersamaan (N × 55.000, dengan N adalah jumlah EIP yang dikonfigurasi dalam Entri SNAT). Kami menyarankan Anda merencanakan jumlah EIP yang cukup sejak awal dan memantau metrik Failed Port Allocations.

• ICMP echo reply: Fitur ini diaktifkan secara default. Saat Anda menggunakan perintah ping untuk deteksi, Anda akan menerima paket balasan normal dari Gateway NAT, tetapi hal ini tidak menjamin bahwa server backend berjalan dengan baik. Untuk skenario yang mengandalkan ping untuk Pemantauan tingkat detik, Anda harus menonaktifkan ICMP Retrieval pada halaman detail instans.

  • Paket ICMP hanya diteruskan ke server backend jika DNAT dikonfigurasi dengan pemetaan Any Port.

  • Pada skenario pemetaan Custom Port, probe ping akan gagal. Anda dapat menggunakan telnet <EIP> <Public Port> untuk langsung memeriksa port layanan yang dipetakan.

Kegagalan akses internet SNAT

Untuk mengatasi masalah ini, ikuti langkah-langkah berikut:

1. Konfigurasi rute: Pada halaman detail instans Internet NAT gateway, periksa bagian VPC routes that point to the NAT gateway untuk memastikan bahwa terdapat entri rute yang mengarah ke gateway tersebut.

2. Konfigurasi entri SNAT: Pada tab SNAT di halaman detail instans Internet NAT gateway, pastikan status entri SNAT adalah Available. Pastikan juga alamat sumber yang digunakan untuk mengakses Internet berada dalam blok Source CIDR Block.

3. Kontrol akses: Periksa apakah titik akhir publik yang Anda coba akses memiliki kebijakan kontrol akses yang dikonfigurasi, atau apakah EIP yang terkait dengan instans telah ditambahkan ke daftar putih.

4. Konfigurasi gateway IPv4: Saat digunakan bersama gateway IPv4, pastikan gateway NAT berada dalam Mode NAT dan konfigurasi routing telah dilakukan dengan benar.

Akses internet lambat atau timeout

Masalah ini biasanya disebabkan oleh hal-hal berikut:

• Bandwidth tidak mencukupi: Lihat data pemantauan untuk EIP yang terkait dengan gateway NAT dan periksa penggunaan bandwidth. Jika penggunaannya mendekati 100%, tingkatkan bandwidth atau tambahkan lebih banyak EIP dan kaitkan dengan instans Internet Shared Bandwidth.

• Batas koneksi terlampaui: Ketika jumlah koneksi bersamaan ke satu tujuan melebihi batas, sistem akan memutus koneksi karena alokasi port gagal. Lihat metrik ErrorPortAllocationCount dalam pemantauan gateway NAT. Jika nilai ini terus meningkat, tambahkan lebih banyak EIP ke aturan SNAT.

Gateway NAT dan traffic privat

Gateway NAT itu sendiri tidak menentukan jalur traffic; gateway hanya melakukan translasi alamat. Tabel rute VPC mengontrol apakah traffic dikirim ke gateway NAT dan ke mana traffic tersebut diarahkan setelah translasi.

Penagihan

Gateway NAT Internet dikenai biaya instans dan biaya Unit kapasitas (CU). EIP yang terkait memiliki aturan penagihan sendiri dan ditagih secara terpisah.

Kuota