NAT Gateway:Switching an Internet NAT Gateway in the same VPC

Procedimento

Pré-requisitos

Etapa 1: Verificar a funcionalidade do NAT Gateway A

1. Faça login na instância ECS1 no vSwitch VSW1. Para mais informações, consulte Visão geral dos métodos de conexão.

2. Execute o comando ping para testar a conectividade de rede.

3. Execute o comando curl myip.ipip.net para verificar o endereço IP público de saída da instância ECS1.

   O resultado do teste mostra que o endereço IP público de saída da instância ECS1 é igual ao endereço IP na entrada SNAT do NAT Gateway A. Isso indica que a instância ECS1 acessa a internet por meio do recurso SNAT do NAT Gateway A.

   [root@iZm5e5s2jiy4hpbp345r4jZ ~]# curl myip.ipip.net
   Current IP: 118.xxx.xxx.230 From: China, Shandong, Qingdao, Alibaba Cloud/Telecom/Unicom/Mobile/Education Network

4. Faça login em seu dispositivo Linux local.

5. Execute o comando ssh root@<Public IP address>. Substitua <Public IP address> pelo endereço IP público especificado na entrada DNAT do NAT Gateway A. Em seguida, insira a senha da instância ECS1 para conectar-se à instância.

   Se a mensagem "Welcome to Alibaba Cloud Elastic Compute Service !" for exibida, a conexão foi bem-sucedida. Isso indica que a instância ECS1 fornece serviços para a internet por meio do recurso DNAT do NAT Gateway A.

   [root@iZm5e6xxx jfzdlZ ~]# ssh 118.xxx.xxx.230
   The authenticity of host '118.xxx.xxx.230 (118.xxx.xxx.230)' can't be established.
   ECDSA key fingerprint is SHA256:uyobLEZxxxgmd4f/sqWRrcnqjLxxxpNQnCyBzNw.
   Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
   Warning: Permanently added '118.xxx.xxx.230' (ECDSA) to the list of known hosts.
   root@118.xxx.xxx.230's password:
   Welcome to Alibaba Cloud Elastic Compute Service !
   Last login: Thu Aug 12 17:26:53 2021 from 100.xxx.xxx.237
   [root@iZm5e5xxx 45r4jZ ~]#

Etapa 2: Criar o NAT Gateway B e associar um EIP

Neste exemplo, o NAT Gateway B está associado ao vSwitch VSW2.

1. Faça login no console do NAT Gateway.

2. Na página Internet NAT Gateway, clique em Create Internet NAT Gateway.

3. Na página NAT Gateway, configure os parâmetros a seguir e clique em Buy Now.

   Parâmetro	Descrição
   Region	Selecione a região onde deseja criar o Internet NAT Gateway.
   Network And Zone	Selecione a VPC e o vSwitch aos quais o NAT Gateway pertence. Após a criação do NAT Gateway, não é possível alterar a VPC ou o vSwitch.
   Network Type	Neste exemplo, Internet NAT Gateway está selecionado. Internet NAT Gateway: fornece recursos de tradução de endereços de rede e pode ser associado a EIPs para permitir que instâncias ECS acessem a internet, habilitando a comunicação entre redes privadas e públicas. VPC NAT Gateway: também fornece recursos de tradução de endereços de rede, mas não pode ser associado a EIPs. Ele oferece apenas tradução de endereços dentro de redes privadas para instâncias ECS, sendo adequado para cenários como ocultação de endereços internos e prevenção de conflitos de endereços.
   Elastic IP Address	Neste exemplo, Purchase And Associate EIP está selecionado. Select Existing EIP Instance: selecione um EIP que esteja Not Associated With An Instance. Purchase And Associate EIP: por padrão, um EIP BGP (Multi-ISP) com pagamento por tráfego é criado. Selecione um Bandwidth Peak de acordo com as necessidades do seu negócio. Nota Caso precise associar um EIP com um tipo de linha ou método de faturamento diferente, primeiro solicite um EIP e depois use a opção Select An Existing EIP para associá-lo. Cada EIP associado a um NAT Gateway ocupa um endereço IP privado do vSwitch ao qual o NAT Gateway pertence. Certifique-se de que o vSwitch tenha endereços IP privados disponíveis suficientes. Caso contrário, não será possível associar novos EIPs ao NAT Gateway. Configure Later: o NAT Gateway criado não terá capacidade de acesso à internet. Será necessário associar manualmente um EIP ao NAT Gateway.

Etapa 3: Criar entradas SNAT e DNAT

Para o NAT Gateway B, as entradas SNAT e DNAT devem ser idênticas às do NAT Gateway A, exceto pelo endereço IP público.

1. Faça login no console do NAT Gateway.

2. Na barra de navegação superior, selecione a região onde deseja criar o Internet NAT Gateway.

3. Na página Internet NAT Gateway, localize o NAT Gateway que deseja gerenciar e clique em Configure SNAT na coluna Actions.

4. Na aba SNAT Management, clique em Create SNAT Entry.

5. Na página Create SNAT Entry, configure os parâmetros a seguir e clique em OK.

   Parâmetro	Descrição
   SNAT Entry	Neste exemplo, VPC está selecionado. Escolha o tipo de entrada SNAT conforme as necessidades do seu negócio. VPC: adequado para cenários em que todas as instâncias ECS na VPC, juntamente com instâncias ECS em outras VPCs ou data centers conectados via CEN ou linhas dedicadas com rotas 0.0.0.0/0 apontando para esta VPC, precisam acessar a internet pelo mesmo EIP. VSwitch: recomendado quando é necessário controle granular sobre o acesso à internet, permitindo que apenas vSwitches específicos tenham capacidade de acesso à internet. ECS/ENI: ideal para situações que exigem controle refinado de acesso à internet, restringindo a capacidade de conexão externa apenas a instâncias ECS ou interfaces de rede elásticas (ENIs) específicas. Custom CIDR Block: projetado para cenários onde é preciso especificar flexivelmente qualquer bloco CIDR de IP para configurar o acesso à internet via NAT Gateway. Essa opção abrange diversos ambientes de rede dentro de uma VPC, entre VPCs ou em data centers locais, atendendo aos requisitos de estruturas de rede complexas ou personalizadas. Nota Ao selecionar vários vSwitches ou instâncias ECS/ENIs, múltiplas entradas SNAT serão criadas utilizando o mesmo endereço IP público.
   Select EIP	Selecione o EIP que será usado para acessar a internet.

6. Retorne à página Internet NAT Gateway, localize a instância NAT Gateway B e clique em Configure DNAT na coluna Actions.

7. Na aba DNAT Management, clique em Create DNAT Entry.

8. Na página Create DNAT Entry, configure os parâmetros a seguir e clique em OK.

   Parâmetro	Descrição
   Select EIP	Selecione o endereço IP público para comunicação com a internet. Neste exemplo, selecione o EIP associado ao NAT Gateway B.
   Select private IP address	Escolha a instância ECS que utilizará a regra DNAT para comunicação pública. Neste exemplo, selecione Select by ECS or ENI e escolha ECS1 na lista suspensa.
   Port settings	Defina o método de mapeamento DNAT. Este exemplo utiliza Specific Port para encaminhamento de porta. Defina Public port como 22, Private port como 22 e Protocol como TCP.
   Entry name	Insira um nome para a entrada DNAT. O nome deve ter entre 2 e 128 caracteres, iniciar com uma letra ou caractere chinês, e pode conter dígitos, sublinhados (_) e hifens (-).

Etapa 4: Modificar a entrada de rota personalizada

Ao criar o primeiro Internet NAT Gateway em uma VPC, o sistema adiciona automaticamente uma entrada de rota à tabela de rotas do sistema da VPC. Essa entrada possui o bloco CIDR de destino 0.0.0.0/0 e o Internet NAT Gateway como próximo salto, direcionando o tráfego para esse gateway. No entanto, o sistema não cria automaticamente uma entrada de rota para o NAT Gateway B, impedindo-o de encaminhar tráfego. Para alternar do NAT Gateway A para o NAT Gateway B, altere manualmente o próximo salto da entrada de rota 0.0.0.0/0 para o NAT Gateway B.

1. Faça login no console da VPC.

2. No painel de navegação à esquerda, clique em Route Tables.

3. Na barra de navegação superior, selecione a região à qual a tabela de rotas pertence.

4. Na página Route tables, localize a tabela de rotas da VPC1 e clique em seu ID.

5. Na aba Route entry list > Custom route, encontre a entrada de rota personalizada cujo bloco CIDR de destino seja 0.0.0.0/0 e o próximo salto seja o NAT Gateway A. Na coluna Actions, clique em Delete.

6. Na caixa de diálogo Delete route entry, clique em OK.

7. Clique em Add route entry. No painel Add route entry, defina os parâmetros abaixo para a entrada de rota personalizada e clique em OK.

   Parâmetro	Descrição
   Name	Insira um nome para a entrada de rota. O nome deve ter entre 2 e 128 caracteres, começar com uma letra ou caractere chinês, e pode conter dígitos, hifens (-) e sublinhados (_).
   Destination CIDR block	Informe o bloco CIDR de destino para o qual o tráfego será roteado. Este exemplo usa IPv4 CIDR Block e insere 0.0.0.0/0.
   Next hop type	Selecione o tipo do próximo salto. Este exemplo utiliza NAT Gateway.
   NAT Gateway	Escolha a instância de próximo salto. Este exemplo utiliza o NAT Gateway B.

   Nota

   A alteração da entrada de rota interrompe as conexões existentes, que precisarão ser restabelecidas. Recomendamos realizar essa operação fora dos horários de pico.

Etapa 5: Testar e verificar

Confirme se o tráfego agora está sendo roteado pelo NAT Gateway B em vez do NAT Gateway A. Embora este exemplo mostre como alterar o vSwitch associado, siga os mesmos passos para alternar para um novo gateway no mesmo vSwitch caso deseje alterar apenas o endereço IP privado.

1. Faça login na instância ECS1 no vSwitch VSW1.

2. Execute o comando ping para testar a conectividade de rede.

3. Execute o comando curl myip.ipip.net para verificar o endereço IP público de saída da instância ECS1.

   O resultado do teste mostra que o endereço IP público de saída da instância ECS1 corresponde ao endereço IP na entrada SNAT do NAT Gateway B. Isso confirma que a instância ECS1 acessa a internet por meio do recurso SNAT do NAT Gateway B.

   [root@iZm5e5xxx ~]# curl myip.ipip.net
   Current IP: 47.3x.xxx.215 From: China, Shandong, Qingdao, Alibaba Cloud/Telecom/Unicom/Mobile/Education Network

4. Faça login em seu dispositivo Linux local.

5. Execute o comando ssh root@<Public IP address>. Substitua <Public IP address> pelo endereço IP público especificado na entrada DNAT do NAT Gateway B. Em seguida, insira a senha da instância ECS1 para estabelecer a conexão.

   Se a mensagem "Welcome to Alibaba Cloud Elastic Compute Service !" for exibida, a conexão foi estabelecida com sucesso. Isso indica que a instância ECS1 fornece serviços para a internet por meio do recurso DNAT do NAT Gateway B.

   [root@iZmxxxxxxxxxxxxxjfzdlZ ~]# ssh 47.xxx.xxx.215
   root@47.xxx.xxx.215's password:
   Welcome to Alibaba Cloud Elastic Compute Service !
   Last login: Thu Aug 12 17:07:54 2021 from 47.xxx.xxx.0.13
   [root@iZm5xxx345r4jZ ~]#