O NAT Gateway é um gateway de tradução de endereços de rede totalmente gerenciado da Alibaba Cloud. Ele aumenta a segurança da rede ao traduzir e ocultar os endereços dos services em cloud, impedindo sua exposição direta.
Tipos de product
Os gateways NAT estão disponíveis em dois tipos: Internet NAT gateways e VPC NAT gateways. Os Internet NAT gateways podem ser associados a Elastic IPs (EIPs) para habilitar o acesso à internet. Já os VPC NAT gateways são usados para tradução de endereços dentro de uma VPC.
Internet NAT gateway - Acesso à internet
Um Internet NAT Gateway traduz os endereços IPv4 privados das instâncias em uma VPC para um EIP, permitindo que vários servidores compartilhem o EIP para acessar a internet.
Habilitar o acesso de servidores à internet Utilize o recurso SNAT de um Internet NAT Gateway para permitir que várias instâncias ECS compartilhem um EIP no acesso à internet. Essa abordagem reduz custos e aumenta a segurança.  | Compartilhar um NAT gateway entre várias VPCs para acesso à internet Use uma conexão de peering de VPC ou a Cloud Enterprise Network (CEN) para interconectar VPCs e permitir que elas compartilhem um único Internet NAT Gateway para acessar a internet.  |
|
Dimensão |
ECS com EIP |
Internet NAT gateway |
|
Uso de EIP |
Um EIP por instância ECS. A quantidade de EIPs escala conforme o número de instâncias ECS. |
Várias instâncias ECS compartilham poucos EIPs. Suporta a vinculação de múltiplos EIPs para agregar largura de banda. |
|
Segurança de saída |
Cada instância ECS utiliza um EIP separado. |
Os IPs de source ficam visíveis. Os IPs de saída são consolidados em poucos endereços, ocultando os IPs de source das instâncias de backend. |
|
Capacidades de O&M |
Os EIPs são gerenciados individualmente. Não há monitoramento unificado nem limitação de taxa. Gerenciamento centralizado. |
Oferece monitoramento de tráfego, limitação de taxa de largura de banda e configuração de políticas. |
|
Casos de uso |
Indicado para poucas instâncias ECS ou containers sem requisitos de controle de saída. |
Recomendado quando várias instâncias ECS ou containers exigem saída unificada ou controle de tráfego. |
VPC NAT Gateway - Acesso à rede privada
Um VPC NAT Gateway traduz os endereços IPv4 privados das instâncias em uma VPC para outros endereços IP NAT privados. Esse recurso resolve problemas de conectividade entre redes com endereços IP sobrepostos ou atende a requisitos de acesso a services a partir de um endereço IP de source específico.
Resolver conflitos de rede privada VPCs com blocos CIDR sobrepostos não podem ser interconectadas diretamente. Utilize um VPC NAT Gateway para traduzir os endereços IP privados conflitantes e habilitar a comunicação.  |
Acesso a partir de um endereço específico Em setores regulamentados, como finanças e valores mobiliários, os services em cloud podem usar um VPC NAT Gateway para garantir que o tráfego destinado aos data centers on-premises tenha origem em um endereço IP privado fixo e especificado.  |
Desempenho e alta disponibilidade
Alta disponibilidade
O NAT Gateway suporta dois modos de implantação para alta disponibilidade: recuperação de desastres entre zonas e em zona única. Selecione Disaster Recovery ao criar um gateway.
O modo de recuperação de desastres em zona única está disponível em todas as regiões que suportam o NAT Gateway. Para utilizar esse modo, entre em contato com seu gerente de conta para solicitar acesso.
Recuperação de desastres entre zonas O NAT gateway é implantado de forma redundante em duas zonas. Se uma zona falhar, o tráfego fará failover automaticamente para a outra. Este modo é adequado para cenários em que instâncias, como ECS, estão distribuídas por várias zonas e precisam compartilhar um único NAT gateway para acesso à internet.  | Recuperação de desastres em zona única O NAT gateway é implantado em uma única zona e fornece alta disponibilidade apenas dentro dessa zona. Mais indicado para cenários em que os services estão concentrados em uma única zona e utilizam um NAT gateway dedicado para acesso à internet.  |
|
Recuperação entre zonas (padrão) |
Recuperação em zona única |
|
|
Método de implantação |
As instâncias são implantadas tanto em uma zona primária quanto em uma zona de backup. A Alibaba Cloud seleciona a zona de backup. |
O gateway é implantado em uma única zona especificada pelo usuário e inclui redundância no nível de dispositivo dentro dessa zona. |
|
Capacidade de recuperação de desastres |
Failover automático em caso de falha na zona. |
A Alibaba Cloud garante alta disponibilidade dentro da zona especificada. |
|
Custo |
Preço base |
A taxa da instância corresponde a aproximadamente 50%, e a taxa de CU a cerca de 80% dos valores cobrados no modo entre zonas. |
|
Casos de uso |
Projetado para quando instâncias, como ECS, estão distribuídas por várias zonas e precisam compartilhar um único NAT gateway para acesso à internet. |
Ideal quando os services estão concentrados em uma única zona e utilizam um NAT gateway dedicado para acesso à internet. |
Dimensionamento automático
As métricas de desempenho para cada modo de implantação são as seguintes.
Modo de implantação | Métrica | Taxa de conexões (CPS) | Throughput | Conexões simultâneas | Taxa de pacotes (PPS) |
Recuperação de desastres entre zonas | Métrica inicial | 20.000 | 5 Gbps | 500.000 | 800.000 |
Limite de dimensionamento | 100.000 | 15 Gbps | 2.000.000 | 2.500.000 | |
Recuperação de desastres em zona única | Métrica inicial | 20.000 | 10 Gbps | 500.000 | 800.000 |
Limite de dimensionamento | 100.000 | 20 Gbps | 2.000.000 | 2.500.000 |
Para garantir desempenho e estabilidade, o NAT Gateway utiliza uma arquitetura de cluster distribuído e altamente confiável. O cluster distribui uniformemente todo o tráfego entre vários servidores do sistema para encaminhamento. Portanto, o throughput máximo e a taxa de pacotes por segundo (PPS) só podem ser atingidos com múltiplas sessões. O desempenho de um único servidor do sistema limita o throughput e a PPS de uma sessão individual. Recomendamos realizar testes de estresse para compreender o desempenho da sua instância e configurar o monitoramento adequadamente.
Limite de throughput por sessão = Limite total de dimensionamento de throughput / Número de servidores no cluster
Limite de PPS por sessão = Limite total de dimensionamento de PPS / Número de servidores no cluster
Se o tráfego de um NAT gateway exceder seus limites de desempenho, suas cargas de trabalho poderão sofrer perda de pacotes. Caso necessite de maior desempenho, entre em contato com seu gerente de conta para enviar uma solicitação.
Em cenários reais, diversos fatores afetam o desempenho de um NAT gateway, como o tamanho médio dos pacotes, o tipo de conexão (longa ou curta duração) e a arquitetura de rede. Como resultado, o desempenho real pode variar. Recomendamos executar testes de estresse com base nos requisitos específicos do seu negócio para avaliar o desempenho da instância e configurar o monitoramento para assegurar operações estáveis.