All Products
Search

This Product

    NAT Gateway:VPC NAT Gateway

    Document Center

    NAT Gateway:VPC NAT Gateway

    Last Updated:May 29, 2026

    VPC NAT Gateway menerjemahkan alamat IPv4 privat dalam VPC menjadi Alamat IP NAT, memungkinkan komunikasi antar jaringan dengan Blok CIDR yang tumpang tindih serta akses ke sumber daya dari alamat tertentu.

    • Mengatasi konflik alamat jaringan privat: VPC dengan Blok CIDR yang tumpang tindih tidak dapat saling terhubung. Untuk mengatasinya, tambahkan Blok CIDR sekunder dan gunakan VPC NAT Gateway untuk translasi alamat.

    • Gunakan alamat tertentu untuk akses: Di industri yang diatur seperti keuangan dan sekuritas, layanan cloud menggunakan VPC NAT Gateway untuk mengakses pusat data on-premises dari alamat IP privat tetap yang telah ditentukan.

    VPC NAT Gateway mendukung dua jenis pemulihan bencana:

    Pemulihan bencana zona tunggal tersedia di semua wilayah yang mendukung NAT Gateway. Untuk menggunakan fitur ini, hubungi account manager Anda untuk mengajukan permintaan.

    • Cross-zone disaster recovery (Default): Gateway NAT ditempatkan secara redundan di beberapa zona ketersediaan. Jika satu zona ketersediaan gagal, lalu lintas secara otomatis dialihkan (failover).

    • Single-zone disaster recovery: Gateway NAT ditempatkan dalam satu zona ketersediaan, menjamin ketersediaan tinggi hanya dalam zona tersebut. Biaya instans sekitar 50% dari model cross-zone, dan biaya Capacity Unit (CU) sekitar 80% dari model cross-zone.

    Cara kerja

    Contoh berikut menunjukkan cara menetapkan komunikasi antara layanan cloud dan pusat data on-premises menggunakan alamat IP privat tetap yang telah ditentukan.

    • Layanan cloud mengakses pusat data on-premises: Beberapa Instance ECS dalam VPC mengakses pusat data on-premises menggunakan alamat IP NAT tertentu.

      1. Route forwarding: Permintaan akses dari Instance ECS diteruskan ke VPC NAT Gateway sesuai rute yang dikonfigurasi dalam tabel rute VPC.

      2. SNAT (Source Network Address Translation): Saat VPC NAT Gateway menerima paket, gateway menerjemahkan alamat IP sumber paket dari alamat IP Instance ECS (misalnya, 192.168.1.10) menjadi alamat IP NAT tertentu (misalnya, 192.168.10.2) berdasarkan entri SNAT yang dikonfigurasi. Gateway mencatat pemetaan ini dalam tabel session.

      3. Kirim ke jaringan privat peer: Paket yang telah diterjemahkan dikirim ke pusat data on-premises. Bagi pusat data tersebut, permintaan berasal dari alamat IP NAT, bukan dari Instance ECS.

      4. Respons dan translasi balik: Paket respons dari pusat data on-premises memiliki alamat IP NAT sebagai tujuannya. VPC NAT Gateway menggunakan tabel session untuk memulihkan alamat IP privat asli dan meneruskan paket kembali ke Instance ECS sumber.

    • Pusat data on-premises mengakses layanan cloud: Pusat data memulai permintaan ke alamat IP NAT tetap (192.168.10.2). VPC NAT Gateway menggunakan entri DNAT untuk menerjemahkan alamat IP tujuan dari alamat IP NAT menjadi alamat IP privat Instance ECS yang menyediakan layanan (misalnya, 192.168.1.10), mengarahkan lalu lintas masuk ke server yang tepat.

    Perlu diperhatikan bahwa VPC NAT Gateway hanya melakukan translasi alamat dan tidak menentukan alur lalu lintas. Tabel rute VPC mengontrol apakah lalu lintas dikirim ke gateway NAT dan ke mana lalu lintas tersebut diarahkan setelah translasi.

    Konektivitas dengan VPC lain atau pusat data on-premises harus ditetapkan dengan menggunakan produk seperti Cloud Enterprise Network (CEN) atau Express Connect.

    • Konfigurasikan rute arah keluar dari VPC (VPC ke jaringan privat peer): Pastikan rute ditambahkan ke tabel rute VPC dengan tujuan berupa jaringan peer (seperti pusat data on-premises) dan lompatan berikutnya (next hop) berupa VPC NAT Gateway. Hal ini memastikan permintaan arah keluar dari instans dalam VPC diteruskan ke gateway NAT untuk SNAT.

    • Iklankan Blok CIDR Alamat IP NAT: Jika Anda menggunakan Blok CIDR Alamat IP NAT kustom, tambahkan rute ke tabel rute VPC dengan tujuan berupa Blok CIDR tersebut dan lompatan berikutnya berupa VPC NAT Gateway. Hal ini menyatakan kepemilikan atas Blok CIDR dan memastikan lalu lintas DNAT masuk serta lalu lintas balik SNAT dirutekan dengan benar dalam VPC.

    • Konfigurasikan rute untuk jaringan privat peer (jaringan privat peer ke VPC): Pastikan jaringan peer memiliki rute yang dikonfigurasi dengan tujuan berupa Blok CIDR Alamat IP NAT. Hal ini memungkinkan paket respons dan permintaan yang dimulai dari jaringan privat peer diteruskan ke gateway NAT.

    Buat VPC NAT Gateway

    Console

    Buka halaman pembelian NAT Gateway - VPC NAT Gateway.

    • Billing Method: Pay-as-you-go.

    • Region: Pilih wilayah tempat Anda ingin membuat VPC NAT Gateway.

    • Disaster recovery type: Pilih mode pemulihan bencana untuk NAT gateway.

      • Cross-zone disaster recovery (Default): Menempatkan gateway di zona ketersediaan primer dan sekunder. Jika zona ketersediaan primer gagal, lalu lintas secara otomatis dialihkan ke zona sekunder.

      • Single-zone disaster recovery: Menempatkan gateway dalam zona ketersediaan yang dipilih, memberikan ketersediaan tinggi melalui redundansi tingkat perangkat. Biaya instans sekitar 50% dari model cross-zone, dan biaya Capacity Unit (CU) sekitar 80% dari model cross-zone.

    • Network and availability zone: Pilih VPC dan vSwitch untuk VPC NAT Gateway. Untuk mempermudah manajemen rute, kami menyarankan Anda merencanakan dan menggunakan vSwitch khusus untuk VPC NAT Gateway.

    • Private IP: Ini berfungsi sebagai alamat IP NAT default. Anda dapat menentukan alamat IP NAT dari Blok CIDR vSwitch (Blok CIDR Alamat IP NAT default). Jika Anda tidak menentukan alamat IP, sistem akan menetapkannya.

    • Private IP Prefix: Ini memungkinkan Anda membuat alamat IP NAT secara batch. Pertama, buat Blok CIDR yang dicadangkan untuk vSwitch gateway. Gateway kemudian membagi blok yang dicadangkan menjadi prefiks IP dengan masker /28. Setelah Anda menentukan prefiks IP, sistem menambahkan semua 16 alamat dalam prefiks tersebut sebagai alamat IP NAT untuk gateway NAT.

    API

    Panggil operasi CreateNatGateway untuk membuat VPC NAT Gateway. Gunakan parameter AvailabilityMode untuk menentukan jenis pemulihan bencana: CrossAZ (default, cross-zone disaster recovery) atau SingleAZ (single-zone disaster recovery).

    Konfigurasikan alamat IP NAT dan Blok CIDR

    Alamat IP NAT digunakan dalam entri SNAT dan DNAT untuk menggantikan alamat IP privat Instance ECS selama translasi alamat, berfungsi sebagai alamat sumber atau tujuan terpadu. Alamat IP NAT harus dialokasikan dari Blok CIDR Alamat IP NAT.

    • Blok CIDR Alamat IP NAT default: Secara default, sistem menggunakan Blok CIDR vSwitch yang terkait dengan VPC NAT Gateway sebagai Blok CIDR Alamat IP NAT default.

      • Alamat IP privat yang dikonfigurasi saat pembuatan berfungsi sebagai alamat IP NAT default. Anda dapat menentukan alamat ini, atau sistem akan menetapkannya jika tidak ditentukan. Anda dapat menambahkan lebih banyak alamat IP NAT nanti.

      • Anda dapat mengonfigurasi prefiks IP privat dari Blok CIDR yang dicadangkan vSwitch untuk membuat alamat IP NAT secara batch.

    • Buat Blok CIDR Alamat IP NAT baru: Alokasikan alamat IP NAT dari Blok CIDR yang berbeda dari yang digunakan oleh vSwitch terkait.

      • Kami menyarankan Anda menggunakan rentang alamat privat RFC 1918 (10.0.0.0/16, 172.16.0.0/16, dan 192.168.0.0/16) atau subnetnya sebagai blok alamat. Panjang masker subnet yang didukung berkisar dari 16 hingga 32 bit.

      • Jika Anda perlu menggunakan Blok CIDR publik, Anda harus menggunakan user CIDR block untuk memastikan berada dalam rentang alamat VPC sebelum menggunakannya sebagai Blok CIDR Alamat IP NAT.

      • Blok alamat baru tidak boleh tumpang tindih dengan Blok CIDR privat VPC tempat VPC NAT Gateway berada. Jika Anda perlu menerjemahkan alamat privat ke alamat lain dalam Blok CIDR privat VPC, buat vSwitch baru dalam blok tersebut, lalu buat VPC NAT Gateway baru dalam vSwitch tersebut untuk menyediakan layanan translasi alamat.

    Console

    NAT IP CIDR block

    • Blok CIDR Alamat IP NAT default: Sistem secara default menggunakan Blok CIDR vSwitch yang terkait dengan VPC NAT Gateway. Blok ini tidak dapat dihapus.

    • Buat Blok CIDR Alamat IP NAT baru: Buka halaman VPC NAT Gateway, klik ID instance VPC NAT Gateway target untuk membuka halaman detailnya, pilih tab NAT IP Address, lalu klik Create CIDR Block.

    NAT IP address

    • Tambahkan dari Blok CIDR Alamat IP NAT default:

      • Saat Anda membuat VPC NAT Gateway, alamat IP privat yang dikonfigurasi berfungsi sebagai alamat IP NAT default. Anda dapat menentukan alamat IP ini atau membiarkan sistem menetapkannya secara otomatis. Alamat IP NAT default tidak dapat dihapus.

      • Tambahkan alamat IP NAT satu per satu: Buka halaman VPC NAT Gateway, klik ID instance VPC NAT Gateway target untuk membuka halaman detailnya, pilih tab NAT IP Address, lalu klik Add NAT IP Address.

        • Select CIDR Block: Pilih Blok CIDR Alamat IP NAT default untuk VPC NAT Gateway.

        • Allocation Method: Pilih Randomly Allocate atau pilih Manually Allocate dan tentukan IP Address dari blok alamat yang dipilih.

      • Tambahkan alamat IP NAT secara batch menggunakan prefiks IP: Buka halaman VPC NAT Gateway, klik ID instance VPC NAT Gateway target, buka tab NAT IP Address, pilih NAT IP Prefix, lalu klik Add IP Prefix.

        • Untuk menambahkan secara batch: Pilih Random Assignment dan tentukan jumlah prefiks IP yang akan dialokasikan. Sistem secara acak menambahkan jumlah prefiks IP /28 yang belum ditugaskan dari Blok CIDR yang dicadangkan vSwitch gateway.

        • Untuk menambahkan satu per satu: Pilih Manual Assignment dan tentukan prefiks IP /28 yang belum ditugaskan dari Blok CIDR yang dicadangkan vSwitch gateway.

    • Tambahkan dari Blok CIDR Alamat IP NAT baru: Klik ID instance VPC NAT Gateway target untuk membuka halaman detailnya, pilih tab NAT IP Address, lalu klik Add NAT IP Address.

      • Select CIDR Block: Pilih Blok CIDR Alamat IP NAT baru di bawah VPC NAT Gateway.

      • Allocation Method: Pilih Randomly Allocate atau pilih Manually Allocate dan tentukan IP Address dari blok alamat yang dipilih.

    API

    • Panggil operasi CreateNatIpCidr untuk membuat Blok CIDR Alamat IP NAT.

    • Panggil operasi CreateNatIp untuk menambahkan alamat IP NAT.

    • Panggil operasi DeleteNatIp untuk menghapus alamat IP NAT.

    • Panggil operasi DeleteNatIpCidr untuk menghapus Blok CIDR Alamat IP NAT.

    Konfigurasikan entri SNAT

    Console

    Buka halaman VPC NAT Gateway, temukan instance VPC NAT Gateway target, lalu klik SNAT Management di kolom Actions. Kemudian, klik Create SNAT Entry.

    • SNAT entry granularity: Pilih cakupan aturan SNAT berdasarkan kebutuhan manajemen Anda.

      • VPC granularity: Semua Instance ECS dalam VPC terkait dapat mengakses jaringan privat peer melalui aturan SNAT yang dikonfigurasi.

      • vSwitch granularity: Hanya Instance ECS dalam vSwitch tertentu yang dapat mengakses jaringan privat peer.

      • ECS granularity: Hanya Instance ECS atau antarmuka jaringan elastis tertentu yang dapat mengakses jaringan privat peer.

      • Custom CIDR block granularity: Sumber daya dalam Blok CIDR tertentu dapat mengakses jaringan privat peer.

    • Select NAT IP Address: Pilih satu atau beberapa alamat IP NAT dari daftar drop-down untuk mengakses jaringan privat peer. Anda juga dapat memilih Create NAT IP Address dari daftar untuk membuat dan memilih yang baru.

    • NAT IP affinity: Jika Anda memilih beberapa alamat IP NAT dan tidak mengaktifkan afinitas, satu alamat IP privat yang mengakses satu alamat IP tujuan tunggal mungkin menggunakan alamat IP NAT yang berbeda. Jika Anda mengaktifkan afinitas, koneksi dari alamat IP privat yang sama ke alamat IP tujuan yang sama secara konsisten menggunakan alamat IP NAT yang sama. Namun, jika jumlah koneksi bersamaan ke satu tujuan terlalu tinggi, alokasi port mungkin gagal. Anda harus memantau jumlah paket yang dibuang akibat kegagalan alokasi port.

    Setelah entri dibuat, Anda dapat mengklik Edit di kolom Actions untuk entri tersebut guna mengubah pengaturan alamat IP NAT dan afinitas IP NAT.

    API

    Konfigurasikan entri DNAT

    Penting

    Setelah Anda membuat entri DNAT, pastikan aturan grup keamanan masuk untuk Instance ECS tujuan mengizinkan lalu lintas pada port yang dipetakan. Misalnya, jika entri DNAT memetakan port frontend 30081 ke port 30081 pada Instance ECS, Anda harus menambahkan aturan masuk ke grup keamanan: pilih Custom TCP untuk Jenis Protokol, masukkan range port yang dipetakan (misalnya, 30081/30081), dan atur objek otorisasi ke 0.0.0.0/0 atau rentang IP sumber tertentu. Jika grup keamanan tidak mengizinkan lalu lintas pada port yang sesuai, upaya mengaksesnya dari jaringan privat peer akan timeout, meskipun entri DNAT telah dikonfigurasi dengan benar.

    Console

    Buka halaman VPC NAT Gateway, temukan instance VPC NAT Gateway target, lalu klik DNAT Management di kolom Actions. Kemudian, klik Create DNAT Entry.

    • Select NAT IP Address: Pilih alamat IP NAT yang akan diakses oleh jaringan privat peer. Satu alamat IP NAT dapat digunakan secara bersamaan untuk entri DNAT (pemetaan port) dan entri SNAT.

    • Select Private IP Address: Pilih alamat IP privat server backend yang akan menerima lalu lintas. Anda dapat memilihnya dengan menentukan Instance ECS atau antarmuka jaringan elastis, atau dengan memasukkan alamat IP secara manual.

    • Port settings: Konfigurasikan pemetaan DNAT.

      • Any Port: Ini membuat pemetaan IP. Setiap permintaan ke alamat IP NAT ini diteruskan ke Instance ECS tujuan.

        • Instance ECS tujuan juga dapat menggunakan alamat IP NAT ini untuk memulai akses arah keluar ke jaringan privat peer. Alamat IP NAT ini tidak dapat digunakan dalam entri DNAT atau SNAT lainnya.

        • Jika gateway NAT memiliki konfigurasi pemetaan IP DNAT dan entri SNAT, Instance ECS memprioritaskan alamat IP NAT dari pemetaan IP DNAT untuk akses arah keluar.

      • Specific port: Ini membuat pemetaan port. Permintaan ke alamat IP NAT pada port dan protokol tertentu diteruskan ke port tertentu pada Instance ECS tujuan. Konfigurasikan Frontend Port (port pada alamat IP NAT yang diakses oleh jaringan privat peer), Backend Port (port pada Instance ECS tujuan), dan Protocol Type.

        • Nomor port harus antara 1 hingga 65535. Penerusan dalam rentang port tidak didukung.

        • Jika alamat IP NAT yang dipilih sudah digunakan dalam entri SNAT dan Anda perlu mengatur port lebih besar dari 1024, Anda harus Enable Port Breaking. Hal ini karena rentang port SNAT default adalah 1025–65535.

          Penting

          Mengaktifkan port breaking dapat menyebabkan pemutusan sementara pada beberapa koneksi SNAT yang ada. Koneksi tersebut dapat dipulihkan dengan menyambungkan ulang. Lakukan dengan hati-hati.

    Setelah entri dibuat, Anda dapat mengklik Edit di kolom Actions untuk entri tersebut guna mengubah pengaturan alamat IP NAT, alamat IP privat, dan pengaturan port.

    API

    Bersihkan sumber daya

    Anda dikenai biaya instans sejak VPC NAT Gateway dibuat hingga dilepas. Biaya Capacity Unit (CU) juga dikenakan saat gateway memproses lalu lintas. Untuk menghindari biaya yang tidak perlu, bersihkan sumber daya saat tidak lagi diperlukan dengan mengikuti langkah-langkah berikut:

    Console

    1. Hapus entri yang dikonfigurasi: Di halaman detail instance, buka tab SNAT Management dan DNAT Management lalu hapus semua entri yang dikonfigurasi.

    2. Hapus alamat IP NAT:

      • Untuk alamat IP NAT yang ditambahkan secara manual: Di halaman detail instance, buka tab NAT IP, klik Delete di kolom Actions untuk alamat IP NAT target, atau pilih beberapa alamat IP NAT lalu klik Delete di bagian bawah halaman.

      • Untuk alamat IP NAT yang ditambahkan menggunakan prefiks IP: Di halaman detail instance, buka tab NAT IP, pilih NAT IP Prefix, lalu klik Delete di kolom Actions untuk prefiks IP target. Hal ini menghapus semua asosiasi serta menghapus prefiks IP dan semua alamat IP NAT yang dibuat dengannya.

    3. Hapus Blok CIDR Alamat IP NAT baru: Di halaman detail instance, buka tab NAT IP lalu klik ikon 删除 di samping Blok CIDR Alamat IP NAT target.

    4. Hapus VPC NAT Gateway: Klik Delete di kolom Actions untuk instance target.

      Jika alamat IP NAT dan entri lain belum dihapus, Anda dapat memilih Force Delete (Delete the NAT gateway and its resources) agar sistem menghapus instance dan semua sumber daya terkait.

      Di halaman detail instance, Anda dapat mengaktifkan Deletion Protection untuk mencegah penghapusan tidak disengaja. Anda harus menonaktifkan perlindungan penghapusan sebelum dapat menghapus instance.

    API

    1. Panggil operasi DeleteSnatEntry dan DeleteForwardEntry untuk menghapus entri SNAT dan DNAT, masing-masing.

    2. Panggil operasi DeleteNatIp untuk menghapus alamat IP NAT.

    3. Panggil operasi DeleteNatIpCidr untuk menghapus Blok CIDR Alamat IP NAT.

    4. Panggil operasi DeleteNatGateway untuk menghapus VPC NAT Gateway.

    Lingkungan produksi

    Praktik terbaik

    • Perencanaan jaringan: Untuk mempermudah manajemen rute, rencanakan dan gunakan vSwitch khusus untuk VPC NAT Gateway.

    • Kontrol granular: Gunakan entri SNAT tingkat vSwitch atau tingkat ECS untuk mengikuti prinsip hak istimewa minimal, memberikan akses arah keluar hanya kepada sumber daya yang memerlukannya.

    • Ketersediaan tinggi dan pemulihan bencana: VPC NAT Gateway mendukung mode pemulihan bencana lintas zona (default) dan zona tunggal. Dalam mode lintas zona, gateway ditempatkan secara redundan di beberapa zona ketersediaan untuk failover otomatis. Dalam mode zona tunggal, gateway ditempatkan di satu zona ketersediaan dengan biaya lebih rendah, cocok untuk skenario di mana layanan bisnis Anda sudah dirancang dengan pemisahan zona ketersediaan.

    Mitigasi risiko

    • Konfigurasi grup keamanan: VPC NAT Gateway melakukan translasi alamat, tetapi Anda tetap harus mengamankan Instance ECS backend dengan menggunakan grup keamanan dan ACL jaringan. Selalu konfigurasikan aturan grup keamanan masuk yang ketat untuk Instance ECS Anda, hanya mengizinkan lalu lintas pada port yang diperlukan.

    • Pemantauan dan notifikasi: Konfigurasikan notifikasi untuk metrik utama VPC NAT Gateway, seperti koneksi bersamaan dan bandwidth masuk/keluar, untuk menerima pemberitahuan tepat waktu dan menskalakan sumber daya saat mendekati bottleneck.

    • Batasan koneksi: Jika layanan Anda memerlukan banyak koneksi ke satu tujuan, perhatikan jumlah maksimum koneksi bersamaan (N × 55.000, di mana N adalah jumlah alamat IP NAT dalam entri SNAT). Kami menyarankan Anda merencanakan jumlah alamat IP NAT yang cukup sejak awal dan memantau number of dropped packets due to port allocation failures.

    Informasi lebih lanjut

    Billing

    Anda dikenai biaya instans dan biaya Capacity Unit (CU) untuk VPC NAT Gateway.

    Quotas

    Quota name

    Description

    Default quota

    Actions

    natgw_quota_nat_num_per_vpc

    Jumlah gateway NAT yang dapat dibuat dalam satu VPC.

    5

    Buka halaman Manajemen Kuota atau Quota Center untuk mengajukan peningkatan kuota.

    natgw_quota_nat_ip_num_per_vpc_nat

    Jumlah alamat IP NAT yang dapat dibuat untuk setiap VPC NAT Gateway.

    15

    natgw_quota_snat_entry_num

    Jumlah entri SNAT yang dapat dibuat untuk setiap gateway NAT.

    40

    natgw_quota_dnat_entry_num

    Jumlah entri DNAT yang dapat dibuat untuk setiap gateway NAT.

    100