Public NAT

Mit Public NAT können Ihre Compute Engine-VM-Instanzen mit dem Internet kommunizieren. Dazu wird jeder VM, die Public NAT verwendet, um ausgehende Verbindungen zum Internet herzustellen, eine Reihe von freigegebenen externen IPv4-Adressen und Quellports zugewiesen.

Mit Public NAT können VM-Instanzen ohne externe IPv4-Adressen mit IPv4-Zielen im Internet kommunizieren. Mit Public NAT können Ihre VM-Instanzen mit externen oder internen IPv6-Adressen auch eine Verbindung zu IPv4-Zielen im Internet herstellen.

Spezifikationen

Public NAT unterstützt die Netzwerkadressübersetzung (NAT) für Folgendes:

  • Von IPv4 zu IPv4 oder NAT44. Weitere Informationen finden Sie unter NAT44 in Public NAT.

  • Von IPv6 zu IPv4 oder NAT64. NAT64 ist für Compute Engine-VM-Instanzen verfügbar. Für Google Kubernetes Engine-Knoten (GKE), serverlose Endpunkte und regionale Internet-Netzwerk-Endpunktgruppen übersetzt Public NAT nur IPv4-Adressen. Weitere Informationen finden Sie unter NAT64 in Public NAT.

Allgemeine Spezifikationen

  • Public NAT ermöglicht ausgehende Verbindungen und die eingehenden Antworten auf diese Verbindungen. Jedes Cloud NAT-Gateway für Public NAT führt Quell-NAT für ausgehenden Traffic und Ziel-NAT für etablierte Antwortpakete aus.

  • Public NAT erlaubt keine unerwünschten eingehenden Anfragen aus dem Internet, auch wenn Firewallregeln diese Anfragen andernfalls zulassen würden. Weitere Informationen finden Sie unter Anwendbare RFCs.

  • Jedes Cloud NAT-Gateway für Public NAT ist einem einzelnen VPC-Netzwerk, einer Region und einem Cloud Router zugeordnet. Das Cloud NAT-Gateway und der Cloud Router bieten eine Steuerungsebene. Sie sind nicht an der Datenebene beteiligt, sodass Pakete nicht über das Cloud NAT-Gateway oder den Cloud Router geleitet werden.

    Obwohl ein Cloud NAT-Gateway für die Public NAT von einem Cloud Router verwaltet wird, verwendet die Public NAT nicht das Border Gateway Protocol und ist auch nicht davon abhängig.

  • Bei NAT44 kann Public NAT für ausgehende Pakete NAT bereitstellen, die von Folgendem gesendet werden:

    • Die primäre interne IP-Adresse der Netzwerkschnittstelle der VM, sofern der Netzwerkschnittstelle keine externe IP-Adresse zugewiesen ist: Wenn der Netzwerkschnittstelle eine externe IP-Adresse zugewiesen ist, führt Google Cloud automatisch 1:1-NAT für Pakete aus, deren Quellen mit der primären internen IP-Adresse der Schnittstelle übereinstimmen, da die Netzwerkschnittstelle die Anforderungen von Google Cloud für den Internetzugriff erfüllt. Wenn eine externe IP-Adresse einer Schnittstelle zugewiesen ist, hat diese immer Vorrang und 1:1-NAT wird ohne Public NAT ausgeführt.

    • Ein Alias-IP-Bereich, der der Netzwerkschnittstelle der VM zugewiesen ist: Auch wenn der Netzwerkschnittstelle eine externe IP-Adresse zugewiesen ist, können Sie ein Cloud NAT-Gateway so konfigurieren, dass Public-NAT NAT für Pakete bereitstellt, deren Quellen von einem Alias-IP-Bereich der Schnittstelle stammen. Wenn eine externe IP-Adresse einer Schnittstelle zugewiesen ist, wird für Alias-IP-Adressen nie 1:1-NAT ausgeführt.

    • GKE-Cluster: Public NAT kann auch dann Dienste bereitstellen, wenn der Cluster unter bestimmten Umständen externe IP-Adressen hat. Weitere Informationen finden Sie unter GKE-Interaktion.

  • Bei NAT64 kann Public NAT für ausgehende Pakete NAT bereitstellen, die von Folgendem gesendet werden:

    • Interner /96-Adressbereich der reinen IPv6-Netzwerkschnittstelle der VM.
    • Externer /96-Adressbereich der reinen IPv6-Netzwerkschnittstelle der VM.

Routen und Firewallregeln

Public NAT basiert auf lokalen statischen Routen, deren nächster Hop das Standard-Internetgateway ist. Eine Standardroute erfüllt diese Anforderung in der Regel. Weitere Informationen finden Sie unter Interaktionen mit Routen.

Cloud NGFW-Firewallregeln werden direkt auf die Netzwerkschnittstellen von Compute Engine-VMs angewendet, nicht auf Cloud NAT-Gateways für Public NAT.

Wenn ein Cloud NAT-Gateway für Public NAT NAT für die Netzwerkschnittstelle einer VM bereitstellt, werden geltende Firewallregeln für ausgehenden Traffic als Pakete für diese Netzwerkschnittstelle vor der Ausführung von NAT ausgewertet. Firewallregeln für eingehenden Traffic werden ausgewertet, nachdem Pakete von NAT verarbeitet wurden. Sie müssen keine Firewallregeln speziell für NAT erstellen.

Wenn Sie jedoch NAT64 in einem VPC-Netzwerk aktivieren möchten, das eine Firewallregel zum Ablehnen von ausgehendem Traffic für ein IPv4-Ziel hat, empfehlen wir, eine zusätzliche Firewallregel zum Ablehnen von ausgehendem Traffic für die in die IPv6-Adresse eingebettete IPv4-Adresse des Ziels zu erstellen. So wird sichergestellt, dass Traffic von den VMs, die NAT64 verwenden, die IPv4-Firewallregel nicht umgehen kann. Wenn das Ziel in Ihrer IPv4-Regel beispielsweise 1.2.3.4/32 ist, muss das Ziel in der IPv6-Regel 64:ff9b:0102:0304/128 sein. Weitere Informationen zu eingebetteten IPv4-Adressen in IPv6 finden Sie unter NAT64.

Anwendbarkeit des Subnetz-IP-Adressbereichs

Public NAT kann NAT für IPv4-Subnetzbereiche, IPv6-Subnetzbereiche oder beides bereitstellen:

  • Für IPv4-Subnetzbereiche können Sie die folgenden Optionen verwenden, um NAT für primäre IP-Adressbereiche, Alias-IP-Bereiche oder beides zu konfigurieren:

    • Primäre und sekundäre IPv4-Adressbereiche aller Subnetze in der Region: Ein einzelnes Cloud NAT-Gateway bietet NAT für die primären internen IP-Adressen und alle Alias-IP-Bereiche berechtigter VMs, deren Netzwerkschnittstellen ein IPv4-Subnetz in der Region verwenden.