NAT Gateway:Use a VPC NAT gateway to resolve IP address conflicts

Motivos para conflitos de endereços IP

Os conflitos de endereços IP ocorrem quando instâncias ECS em VPCs com blocos CIDR sobrepostos tentam se comunicar entre si:

• Se você definir o bloco CIDR de destino como o bloco CIDR da VPC par, o tráfego corresponderá primeiro a uma rota do sistema. Em seguida, o tráfego é encaminhado dentro da VPC local e não consegue alcançar a VPC par.

• Se você definir o bloco CIDR de destino como o bloco CIDR do vSwitch par, não será possível criar uma rota personalizada que seja igual ou mais específica que uma rota do sistema existente.

Solução NAT

1. Adicionar blocos CIDR IPv4 secundários: adicione um bloco CIDR secundário não sobreposto a cada uma das duas VPCs para fornecer endereços IP privados sem conflito.

2. Traduzir endereços: use um VPC NAT Gateway para traduzir os endereços IP privados das instâncias ECS e resolver os conflitos de endereços IP.

3. Ative a comunicação entre VPCs: anexe as VPCs a um transit router e configure entradas de rota personalizadas para garantir que o tráfego seja encaminhado corretamente.

Exemplo de caminho de tráfego

Uma empresa planeja conectar duas VPCs existentes na região China (Hangzhou), mas seus blocos CIDR se sobrepõem. Para resolver isso, a empresa usa um VPC NAT Gateway para tradução de endereços e configura rotas para encaminhar o tráfego ao gateway. Em seguida, é possível implantar o Cloud Enterprise Network (CEN) ou uma conexão de peering para habilitar o peering de rede privada.

Este exemplo mostra como a ECS_A (endereço IP privado: 192.168.0.86) acessa o VPC_NATGW_B (endereço IP privado: 10.0.0.53).

1. Com base nas rotas da tabela de rotas personalizada anexada ao vSwitch da ECS_A, o pacote é encaminhado para o VPC NAT Gateway.

2. Com base na regra SNAT configurada para o VPC_NAT_A, o endereço IP de origem do pacote é traduzido para um endereço IP NAT (172.16.0.89).

3. Com base nas rotas da tabela de rotas do sistema da VPC_A, o pacote é encaminhado para o transit router (TR). O TR então encaminha o pacote para a VPC_B, onde ele alcança o VPC NAT Gateway.

4. Com base na regra DNAT configurada para o VPC_NAT_B, o endereço de destino do pacote é traduzido para o endereço IP da ECS_B. O pacote é então encaminhado para a ECS_B, habilitando a comunicação entre as instâncias ECS.

Quando a ECS_B envia um pacote de resposta, a tradução de endereços é revertida com base na tabela de mapeamento de sessões, e o pacote é roteado e entregue à ECS_A.

Etapa 1: Configurar blocos CIDR secundários

1. Adicione blocos CIDR secundários:

   1. Acesse a página de lista de VPCs. Na barra de menu superior, selecione a região da VPC.

   2. Clique no ID da VPC de destino, clique em CIDR Block Management e, em seguida, clique em Add Secondary IPv4 CIDR Block para adicionar um bloco CIDR secundário à VPC_A e à VPC_B.

2. Crie vSwitches: acesse a página Create vSwitch.

   • VPC: selecione a VPC. Crie um vSwitch para a VPC_A e outro para a VPC_B.

   • IPv4 CIDR: selecione o bloco CIDR IPv4 secundário que você adicionou.

Etapa 2: Configurar o VPC NAT Gateway

Crie um VPC NAT Gateway e configure entradas SNAT e DNAT. Isso traduz os endereços IP privados das instâncias ECS em cada VPC para endereços IP NAT, resolvendo os conflitos de endereços.

1. Crie um VPC NAT Gateway: acesse a página de compra do VPC NAT Gateway.

   • Region: selecione a região onde a VPC está implantada.

   • Network and Zone: crie um VPC NAT Gateway para a VPC_A e outro para a VPC_B. Para cada gateway, selecione o vSwitch que você criou a partir do bloco CIDR secundário.

2. Configure uma entrada SNAT: o VPC NAT Gateway traduz o endereço IP de origem de um pacote para um endereço IP NAT com base na regra SNAT configurada.

   1. Acesse a página de lista do VPC NAT Gateway. Na barra de menu superior, selecione a região do VPC NAT Gateway.

   2. Na coluna Actions da instância do VPC NAT Gateway de destino, clique na aba SNAT. Clique em Create SNAT Entry.

      • SNAT Entry: este tópico utiliza Specify VPC. Altere isso conforme necessário.

      • Select NAT IP Address: selecione o endereço IP privado do VPC NAT Gateway.

3. Configure uma entrada DNAT: o VPC NAT Gateway transforma o endereço IP de destino de um pacote de dados em um endereço IP NAT usando a regra DNAT.

   1. Acesse a página de lista do VPC NAT Gateway. Na barra de menu superior, selecione a região do VPC NAT Gateway.

   2. Na coluna Actions da instância do VPC NAT Gateway de destino, clique na aba DNAT. Clique em Create DNAT Entry.

      • Select NAT IP Address: selecione o endereço IP privado do VPC NAT Gateway.

      • Select Private IP Address: selecione a instância ECS na VPC para a qual você deseja habilitar a comunicação.

      • Port Settings: este tópico utiliza o service Secure Shell (SSH) para verifique a interconexão de service. O service SSH usa o protocolo TCP orientado a conexão e a porta 22. Portanto, defina tanto a porta frontend quanto a porta backend de Specific Port como 22 e defina o Protocol Type como TCP.

        Crie entradas DNAT conforme necessário.

Etapa 3: Conectar as VPCs

1. Crie conexões de VPC:

   {{XREF_0}} .

   Este exemplo mostra como conectar VPCs que estão na mesma região e pertencem à mesma conta. Para obter informações sobre outros cenários, consulte {{XREF_1}} ou {{XREF_2}} .

   1. Acesse o console do Cloud Enterprise Network e clique em Create CEN Instance. Selecione e clique em OK.

   2. Após a criação da instância, clique em Create Connection > Create Intra-Region Connection.

      Neste exemplo, as VPCs com blocos CIDR conflitantes estão na mesma região. Portanto, crie uma conexão intrarregião. Para conectar VPCs em regiões diferentes, crie uma conexão inter-região.

      Você também pode clicar em um ID de CEN existente e, na aba Basic Information, clicar em em VPC para criar uma conexão intrarregião.

      • Network Type: selecione Virtual Private Cloud (VPC).

      • Region: selecione a região onde a VPC está implantada.

      • Account: selecione o proprietário da VPC. Este tópico utiliza Your Account.

      • Networks: selecione a VPC_A.

      • VSwitch: para implementar a recuperação de desastres multizona, selecione pelo menos duas zonas. Inclua o vSwitch onde o VPC NAT Gateway está localizado.

      • Advanced Settings: selecione todas as opções.

   3. Após a criação da conexão, clique em Create More Connections para criar uma conexão de VPC para a VPC_B.

2. Configure rotas:

   Um NAT Gateway apenas traduz endereços IP. Ele não determina o caminho do tráfego. As tabelas de rotas da VPC controlam se o tráfego é enviado para o NAT Gateway e para onde o tráfego é encaminhado após a tradução de endereços.

   1. Crie uma tabela de rotas personalizada e anexe um vSwitch:

      1. Acesse a página Route Tables. Na barra de menu superior, selecione a região da VPC.

      2. Clique em Create Route Table.

         • VPC: crie uma tabela de rotas para a VPC_A e outra para a VPC_B.

         • Associated Resource Type: selecione vSwitch.

         Antes de vincular tabelas de rotas, verifique as seguintes associações de vSwitch:

         • vSwitch da instância ECS: deve estar associado a uma tabela de rotas personalizada que contenha uma entrada de rota apontando para o VPC NAT Gateway.

         • vSwitch do VPC NAT Gateway: deve estar associado à tabela de rotas do sistema ou a uma tabela de rotas personalizada que contenha apenas rotas apontando para o transit router.

         Não adicione uma entrada de rota apontando para o VPC NAT Gateway na tabela de rotas associada ao vSwitch do NAT Gateway. Caso contrário, o tráfego traduzido por SNAT retornará ao NAT Gateway, causando timeouts silenciosos.

      3. Na página Route Tables, localize a tabela de rotas personalizada que você criou. Na coluna Associated Resource, clique em Bind para anexar o vSwitch onde a instância ECS está localizada.

   2. Configure entradas de rota: clique no ID da tabela de rotas de destino. Na aba Custom Route, clique em Add Route Entry. Configure o bloco CIDR de destino e o próximo salto.

      Configure as rotas conforme descrito na tabela a seguir para garantir que o tráfego seja encaminhado corretamente.

      VPC	Tabela de rotas	Bloco CIDR de destino	Próximo salto
      VPC_A	Tabela de rotas do sistema	10.0.0.0/24	Transit Router
      	Tabela de rotas personalizada	10.0.0.0/24	VPC_NATGW_A
      VPC_B	Tabela de rotas do sistema	172.16.0.0/24	Transit Router
      	Tabela de rotas personalizada	172.16.0.0/24	VPC_NATGW_B

Etapa 4: Verifique o resultado

Faça login na instância ECS_A e execute o seguinte comando.

# Use the NAT IP address of the VPC_NATGW_B instance (10.0.0.53) to remotely log on to the ECS_B instance.
# Make sure that port 22 is allowed in the security group of the ECS_B instance.
ssh root@10.0.0.53
# View the IP address of the network interface controller (NIC).
ifconfig

Você pode ver que a instância ECS_A usa o endereço IP NAT do VPC_NATGW_A (172.16.0.89) para acessar o endereço IP NAT do VPC_NATGW_B (10.0.0.53) e fazer login remotamente na instância ECS_B.