NAT-Gateway

• Sie können ein NAT-Gateway zu einem VCN hinzufügen, um Instanzen in einem privaten Subnetz den Internetzugriff zu erteilen.
• Compute-Instanzen in einem privaten Subnetz verfügen nicht über öffentliche IP-Adressen. Mit dem NAT-Gateway können sie Verbindungen zum Internet starten und Antworten empfangen, aber keine eingehenden Verbindungen aus dem Internet empfangen.
• NAT-Gateways sind hochverfügbar und unterstützen TCP-, UDP- und ICMP-Traffic.

NAT-Netzwerke werden häufig verwendet, um einen vollständigen privaten Netzwerkzugriff auf das Internet zu gewähren, ohne jedem Host eine öffentliche IPv4-Adresse zuzuweisen. Die Hosts können Verbindungen mit dem Internet starten und Antworten empfangen, können allerdings keine eingehenden Verbindungen aus dem Internet erhalten.

Wenn ein Host im privaten Netzwerk eine internetgebundene Verbindung startet, wird die öffentliche IP-Adresse des NAT-Geräts zur Quell-IP-Adresse des ausgehenden Traffics. Der Antworttraffic aus dem Internet verwendet daher diese öffentliche IP-Adresse als Ziel-IP-Adresse. Das NAT-Gerät leitet dann die Antwort an den Host im privaten Netzwerk fort, der die Verbindung hergestellt ist.

Der Networking-Service bietet eine zuverlässige und hochverfügbare NAT-Lösung für ein VCN in Form eines NAT-Gateways.

Beispielszenario: Angenommen, Sie verfügen über Ressourcen, die eingehenden Traffic vom Internet empfangen müssen (z.B. Webserver). Darüber hinaus haben Sie private Ressourcen, die vor eingehendem Traffic aus dem Internet geschützt werden müssen. Alle diese Ressourcen müssen Verbindungen mit dem Internet starten, um Softwareupdates von Sites im Internet anzufordern.

Sie richten ein VCN ein und fügen ein öffentliches Subnetz für die Aufnahme der Webserver hinzu. Beim Erstellen der Instanzen weisen Sie ihnen öffentliche IP-Adressen zu, damit sie eingehenden Internettraffic empfangen können. Außerdem fügen Sie ein privates Subnetz für die Aufnahme der privaten Instanzen hinzu. Sie können keine öffentlichen IP-Adressen haben, weil sie sich in einem privaten Subnetz befinden.

Sie fügen ein Internetgateway dem VCN hinzu. Außerdem fügen Sie eine Routingregel in der Routentabelle des öffentlichen Subnetzes hinzu, die den internetgebundenen Traffic zum Internetgateway leitet. Die Instanzen des öffentlichen Subnetzes können jetzt Verbindungen mit dem Internet starten und auch eingehende Verbindungen vom Internet empfangen. Beachten Sie, dass Sie die Traffictypen, die auf Paketebene in die und aus den Instanzen geleitet werden dürfen, mit Sicherheitsregeln steuern können.

Sie fügen dem VCN ein NAT-Gateway hinzu. Sie können auch eine Routingregel in der Routentabelle des privaten Subnetzes hinzufügen, die den internetgebundenen Traffic zum NAT-Gateway weiterleitet. Die Instanzen des privaten Subnetzes können jetzt Verbindungen mit dem Internet starten. Das NAT-Gateway lässt Antworten zu, lässt jedoch keine Verbindungen aus dem Internet zu. Ohne das NAT-Gateway müssen sich die privaten Instanzen stattdessen im öffentlichen Subnetz befinden und über öffentliche IP-Adressen verfügen, um ihre Softwareupdates abzurufen.

Beim Routing des Antworttraffics vom Internet zurück zum Subnetz leitet standardmäßig ein NAT-Gateway den Traffic direkt an das Ziel weiter. Sie können eine Routentabelle mit dem NAT-Gateway verknüpfen und Routingregeln für das Ingress-Routing des NAT-Gateways in dieser Routentabelle definieren. Beispiel: Wenn das NAT-Gateway den Antworttraffic zuerst an eine Firewall weiterleiten soll, können Sie eine Routingregel für das Zielsubnetz-CIDR mit der privaten Firewall-IP als Ziel in der Routentabelle für das NAT-Gateway erstellen.

Das folgende Diagramm zeigt das Basisnetzwerklayout für das Beispiel. Die Pfeile geben an, ob Verbindungen nur in eine oder beide Richtungen gestartet werden können.

Einige Grundlagen zu NAT-Gateways:

• Das NAT-Gateway unterstützt TCP-, UDP- und ICMP-Ping-Traffic.
• Das Gateway unterstützt maximal 20.000 gleichzeitige Verbindungen zu einer einzelnen Zieladresse und einem Port.
• Der Networking-Service kann eine neue öffentliche IP-Adresse für ein neues NAT-Gateway zuweisen, oder Sie können eine bestimmte vorhandene reservierte öffentliche IP für ein neu erstelltes NAT-Gateway angeben.
• Die Anzahl der NAT-Gateways pro VCN ist begrenzt, aber ein VCN benötigt höchstwahrscheinlich nur ein NAT-Gateway. Sie können eine Erhöhung dieses Limits anfordern. Unter Servicelimits finden Sie eine Liste der jeweiligen Limits sowie Anweisungen dazu, wie eine Erhöhung beantragt wird.