NAT Gateway:Use a transit router to share a NAT gateway across multiple VPCs

Contexto

A Cloud Enterprise Network (CEN) é uma rede de alta disponibilidade construída sobre a rede global privada da Alibaba Cloud. A CEN utiliza um transit router (TR) para estabelecer canais de comunicação privada entre VPCs em diferentes regiões ou entre VPCs e data centers on-premises.

Uma instância de transit router é um componente central de encaminhamento dentro de uma região. Ela encaminha o tráfego entre instâncias de rede na mesma região ou em regiões distintas e suporta políticas de roteamento flexíveis. Dentro de uma instância CEN, você pode criar uma instância de transit router em cada região. É possível conectar instâncias de rede a um transit router Enterprise Edition. Após o estabelecimento da conexão, o transit router Enterprise Edition armazena as rotas das instâncias de rede e encaminha o tráfego consultando entradas em sua tabela de rotas.

Para mais informações, consulte How a transit router works.

Cenário de exemplo

Uma empresa possui duas VPCs, VPC-A e VPC-B, na região China (Chengdu). Na VPC-A, foram criados o vSwitch-A1 e o vSwitch-A2. Um Internet NAT gateway foi criado no vSwitch-A1 e uma instância ECS chamada ECS1 foi provisionada no vSwitch-A2. Na VPC-B, foram criados o vSwitch-B1 e o vSwitch-B2, e uma instância ECS chamada ECS2 foi provisionada no vSwitch-B1. Para fins comerciais, tanto a VPC-A quanto a VPC-B precisam de acesso à internet.

A empresa pode usar um transit router e seu recurso de tabela de rotas para atender a esse requisito. Ao criar um Internet NAT gateway na VPC-A e configurar entradas SNAT para o gateway, tanto a VPC-A quanto a VPC-B podem acessar a internet por meio do NAT gateway compartilhado.

Pré-requisitos

• As VPCs e os vSwitches descritos na tabela a seguir já devem estar criados. Para mais informações, consulte Create and manage a VPC.

  VPC	Região	vSwitch	Zona e bloco CIDR
  VPC-A	China (Chengdu)	vSwitch-A1	Zona A de Chengdu, 192.168.10.0/24
  		vSwitch-A2	Zona B de Chengdu, 192.168.20.0/24
  VPC-B		vSwitch-B1	Zona A de Chengdu, 172.16.10.0/24
  		vSwitch-B2	Zona B de Chengdu, 172.16.20.0/24

• Uma instância ECS chamada ECS1 deve existir no vSwitch-A2 e outra instância ECS chamada ECS2 no vSwitch-B1. Para mais informações, consulte Create an instance on the Custom Launch tab.

• Uma instância CEN já deve ter sido criada. Para mais informações, consulte Create a CEN instance.

• Um transit router Enterprise Edition deve estar criado na região onde sua VPC está localizada. Para mais detalhes, consulte Create transit routers。

Etapa 1: Criar um Internet NAT gateway

Etapa 2: Criar conexões de VPC e configurar rotas

Estabeleça conexões da VPC-A e da VPC-B com o transit router na região China (Chengdu) e, em seguida, configure as rotas do transit router.

1. Acesse o console da CEN, localize a instância CEN que deseja gerenciar e clique no respectivo ID.

2. Na página Basic Information, navegue até a aba Transit Router e encontre o transit router na região de destino. Na coluna Actions, clique em Create Connection.

   Crie conexões de VPC para a VPC-A e a VPC-B.

   Nota

   Para obter informações sobre as regiões e zonas que suportam transit routers Enterprise Edition, consulte Transit router editions.

   O exemplo a seguir utiliza a conexão da VPC-A. Para [CONFIRM-LABEL-2], selecione vpc-2 | VPC-A. Na seção vSwitch, escolha um vSwitch em cada uma das duas zonas para recuperação de desastres:

   • Zona B de Chengdu: vsw-2* | vSwitch-A2**

   • Zona A de Chengdu: vsw-* | vSwitch-A1**

   Em [CONFIRM-LABEL-1], selecione [CONFIRM-LABEL-3], [CONFIRM-LABEL-4] e [CONFIRM-LABEL-5].

3. Na aba Route Table, clique em Add Route Entry.

   Adicione uma entrada de rota para 0.0.0.0/0 e aponte-a para a conexão da VPC-A, direcionando o tráfego IPv4 para a VPC-A.

Etapa 3: Configurar a tabela de rotas da VPC

Inclua uma entrada de rota 0.0.0.0/0 na tabela de rotas e defina o próximo salto como o transit router para encaminhar o tráfego IPv4 para ele.

1. Faça login no console da VPC.

2. No painel de navegação à esquerda, clique em Route Tables.

3. Na página Route Tables, localize a tabela de rotas do sistema da VPC-B e clique no respectivo ID.

4. Na página de detalhes da tabela de rotas, clique na aba Route Entry List > Custom Route e, em seguida, clique em Add Route Entry.

5. No painel Add Route Entry, configure os parâmetros abaixo e clique em OK.

   Parâmetro	Descrição
   Name	Insira um nome para a entrada de rota.
   Destination CIDR Block	Selecione IPv4 CIDR Block e insira 0.0.0.0/0.
   Next Hop Type	Escolha o tipo de instância para o próximo salto. Neste exemplo, selecione Transit Router.
   Forwarding Router	Selecione a conexão da VPC-B.

   A entrada de rota criada, apontando para a conexão da VPC-B, fica visível na aba Custom Route.

Etapa 4: Criar uma entrada SNAT

Configure uma entrada SNAT no NAT gateway para permitir que recursos específicos acessem a internet por meio do EIP associado.

1. Na página Internet NAT Gateway, localize o NAT gateway que deseja gerenciar e clique em Configure SNAT na coluna Actions.

2. Na aba SNAT, clique em Create SNAT Entry.

3. Na página Create SNAT Entry, defina os seguintes parâmetros e clique em OK.

   Parâmetro	Descrição
   SNAT Entry	Neste exemplo, VPC Granularity está selecionado. Escolha a granularidade da entrada SNAT conforme as necessidades do seu negócio. VPC Granularity: Todas as instâncias ECS da VPC, bem como instâncias ECS em outras VPCs ou data centers on-premises conectados via CEN ou Express Connect que possuam uma rota 0.0.0.0/0 apontando para esta VPC, compartilham o mesmo EIP para acesso à internet. Specify vSwitch: Oferece controle refinado. Apenas as instâncias ECS nos vSwitches especificados podem acessar a internet pelo NAT gateway. Nota Ao selecionar vários vSwitches ou instâncias ECS/ENIs, o sistema cria múltiplas entradas SNAT utilizando o mesmo EIP. Specify ECS Instance/ENI: Proporciona controle detalhado. Somente as instâncias ECS ou elastic network interfaces (ENIs) especificadas têm permissão para acessar a internet através do NAT gateway. Specify Custom CIDR Block: Permite especificar flexivelmente qualquer bloco CIDR de IP para acesso à internet via NAT gateway. Esta opção abrange cenários como ambientes de rede entre VPCs e entre IDCs.
   Select EIP	Escolha um ou mais EIPs que fornecem acesso à internet. Neste exemplo, selecione o EIP comprado e associado ao Internet NAT gateway durante a criação na Etapa 1.
   Entry Name	Insira um nome para a entrada SNAT.

Verificar a configuração

1. Conecte-se às instâncias ECS1 e ECS2 utilizando o console do Workbench.

2. Execute o comando ping 223.5.5.5.

   Uma resposta de ping bem-sucedida indica que as instâncias ECS1 e ECS2 conseguem acessar a internet.

   Resultado da verificação para ECS1 (endereço IP: 192.168.20.105):

   [root@xxx ~]# ifconfig
   eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
           inet 172.16.10.30  netmask 255.255.255.0  broadcast 172.16.10.255
           inet6 fe80::216:3eff:fe05:a187  prefixlen 64  scopeid 0x20<link>
           ether 00:16:3e:05:a1:87  txqueuelen 1000 (Ethernet)
           RX packets 203086  bytes 291677540 (278.1 MiB)
           RX errors 0  dropped 0  overruns 0  frame 0
           TX packets 27542  bytes 6764889 (6.4 MiB)
           TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
   
   lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
           inet 127.0.0.1  netmask 255.0.0.0
           inet6 ::1  prefixlen 128  scopeid 0x10<host>
           loop  txqueuelen 1000 (Local Loopback)
           RX packets 136  bytes 10888 (10.6 KiB)
           RX errors 0  dropped 0  overruns 0  frame 0
           TX packets 136  bytes 10888 (10.6 KiB)
           TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
   
   [root@xxx ~]# ping 223.5.5.5
   PING 223.5.5.5 (223.5.5.5) 56(84) bytes of data.
   64 bytes from 223.5.5.5: icmp_seq=1 ttl=124 time=3.81 ms
   64 bytes from 223.5.5.5: icmp_seq=2 ttl=124 time=3.55 ms
   64 bytes from 223.5.5.5: icmp_seq=3 ttl=124 time=3.56 ms
   64 bytes from 223.5.5.5: icmp_seq=4 ttl=124 time=3.52 ms
   ^C
   --- 223.5.5.5 ping statistics ---
   4 packets transmitted, 4 received, 0% packet loss, time 3004ms
   rtt min/avg/max/mdev = 3.520/3.609/3.809/0.123 ms

   Resultado da verificação para ECS2 (endereço IP: 172.16.10.30):

   [root@xxx ~]# ifconfig
   eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
           inet 172.16.10.30  netmask 255.255.255.0  broadcast 172.16.10.255
           inet6 fe80::216:3eff:fe05:a187  prefixlen 64  scopeid 0x20<link>
           ether 00:16:3e:05:a1:87  txqueuelen 1000 (Ethernet)
           RX packets 203086  bytes 291677540 (278.1 MiB)
           RX errors 0  dropped 0  overruns 0  frame 0
           TX packets 27542  bytes 6764889 (6.4 MiB)
           TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
   
   lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
           inet 127.0.0.1  netmask 255.0.0.0
           inet6 ::1  prefixlen 128  scopeid 0x10<host>
           loop  txqueuelen 1000 (Local Loopback)
           RX packets 136  bytes 10888 (10.6 KiB)
           RX errors 0  dropped 0  overruns 0  frame 0
           TX packets 136  bytes 10888 (10.6 KiB)
           TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
   
   [root@xxx ~]# ping 223.5.5.5
   PING 223.5.5.5 (223.5.5.5) 56(84) bytes of data.
   64 bytes from 223.5.5.5: icmp_seq=1 ttl=124 time=3.81 ms
   64 bytes from 223.5.5.5: icmp_seq=2 ttl=124 time=3.55 ms
   64 bytes from 223.5.5.5: icmp_seq=3 ttl=124 time=3.56 ms
   64 bytes from 223.5.5.5: icmp_seq=4 ttl=124 time=3.52 ms
   ^C
   --- 223.5.5.5 ping statistics ---
   4 packets transmitted, 4 received, 0% packet loss, time 3004ms
   rtt min/avg/max/mdev = 3.520/3.609/3.809/0.123 ms