NAT-Gateway

• Sie können ein NAT-Gateway Ihrem VCN hinzufügen, um Instanzen in einem privaten Subnetz den Internetzugriff zu erteilen.
• Instanzen in einem privaten Subnetz weisen keine öffentlichen IP-Adressen auf. Mit einem NAT-Gateway können diese Instanzen Verbindungen zum Internet herstellen und Antworten empfangen. Sie können allerdings keine eingehenden Verbindungen aus dem Internet empfangen.
• NAT-Gateways sind hochverfügbar und unterstützen TCP-, UDP- und ICMP-Traffic.

NAT-Netzwerke werden häufig verwendet, um einen vollständigen privaten Netzwerkzugriff auf das Internet zu gewähren, ohne jedem Host eine öffentliche IPv4-Adresse zuzuweisen. Die Hosts können Verbindungen mit dem Internet initiieren und Antworten empfangen. Sie können allerdings keine eingehenden Verbindungen aus dem Internet empfangen.

Wenn ein Host im privaten Netzwerk eine internetgebundene Verbindung initiiert, wird die öffentliche IP-Adresse des NAT-Geräts zur Quell-IP-Adresse des ausgehenden Traffics. Der Antworttraffic aus dem Internet verwendet daher diese öffentliche IP-Adresse als Ziel-IP-Adresse. Das NAT-Gerät leitet dann die Antwort an den Host im privaten Netzwerk weiter, der die Verbindung hergestellt hat.

Der Networking-Service bietet eine zuverlässige und hochverfügbare NAT-Lösung für Ihr VCN in Form eines NAT-Gateways.

Beispielszenario: Angenommen, Sie verfügen über Ressourcen, die eingehenden Traffic vom Internet empfangen müssen (z.B. Webserver). Darüber hinaus haben Sie private Ressourcen, die vor eingehendem Traffic aus dem Internet geschützt werden müssen. Alle diese Ressourcen müssen Verbindungen mit dem Internet initiieren, um Softwareupdates von Sites im Internet anzufordern.

Sie richten ein VCN ein und fügen ein öffentliches Subnetz für die Aufnahme der Webserver hinzu. Beim Starten der Instanzen weisen Sie ihnen öffentliche IP-Adressen zu, damit sie eingehenden Internettraffic empfangen können. Außerdem fügen Sie ein privates Subnetz für die Aufnahme der privaten Instanzen hinzu. Diese können keine öffentlichen IP-Adressen haben, weil sie sich in einem privaten Subnetz befinden.

Sie fügen ein Internetgateway dem VCN hinzu. Außerdem fügen Sie eine Routingregel in der Routentabelle des öffentlichen Subnetzes hinzu, die den internetgebundenen Traffic zum Internetgateway leitet. Die Instanzen des öffentlichen Subnetzes können jetzt Verbindungen mit dem Internet initiieren und auch eingehende Verbindungen empfangen, die über das Internet initiiert wurden. Beachten Sie, dass Sie die Traffictypen, die auf Paketebene in die und aus den Instanzen geleitet werden dürfen, mit Sicherheitsregeln steuern können.

Sie fügen dem VCN ein NAT-Gateway hinzu. Sie können auch eine Routingregel in der Routentabelle des privaten Subnetzes hinzufügen, die den internetgebundenen Traffic zum NAT-Gateway weiterleitet. Die Instanzen des privaten Subnetzes können jetzt Verbindungen mit dem Internet initiieren. Das NAT-Gateway lässt Antworten zu, erlaubt jedoch keine Verbindungen, die vom Internet initiiert werden. Ohne das NAT-Gateway müssen sich die privaten Instanzen stattdessen im öffentlichen Subnetz befinden und über öffentliche IP-Adressen verfügen, um ihre Softwareupdates abzurufen.

Beim Routing des Antworttraffics vom Internet zurück zum Subnetz leitet standardmäßig ein NAT-Gateway den Traffic direkt an das Ziel weiter. Sie können eine Routentabelle mit dem NAT-Gateway verknüpfen und Routingregeln für das Ingress-Routing des NAT-Gateways in dieser Routentabelle definieren. Beispiel: Wenn das NAT-Gateway den Antworttraffic zuerst an eine Firewall weiterleiten soll, können Sie eine Routingregel für das Zielsubnetz-CIDR mit der privaten Firewall-IP als Ziel in der Routentabelle für das NAT-Gateway erstellen.

Das folgende Diagramm zeigt das Basisnetzwerklayout für das Beispiel. Die Pfeile geben an, ob Verbindungen nur in einer Richtung oder in beiden Richtungen initiiert werden können.

Einige Grundlagen zu NAT-Gateways:

• Das NAT-Gateway unterstützt TCP-, UDP- und ICMP-Ping-Traffic.
• Das Gateway unterstützt maximal 20.000 gleichzeitige Verbindungen zu einer einzelnen Zieladresse und einem einzelnen Port.
• Der Networking-Service kann eine neue öffentliche IP-Adresse für ein neues NAT-Gateway zuweisen, oder Sie können eine bestimmte vorhandene reservierte öffentliche IP für ein neu erstelltes NAT-Gateway angeben.
• Die Anzahl von NAT-Gateway pro VCN ist begrenzt, aber Ihr VCN benötigt wahrscheinlich nur ein NAT-Gateway. Sie können eine Erhöhung dieses Limits anfordern. Unter Servicelimits finden Sie eine Liste der jeweiligen Limits sowie Anweisungen dazu, wie Sie eine Erhöhung anfordern..