La traducción de direcciones de red (NAT) controla cómo aparecen las direcciones IP en los encabezados de los paquetes en cada lado de una puerta de enlace. Las reglas que se ejecutan en puerta de enlace de cómputo asignan el tráfico de Internet a medida que entra y sale de la puerta de enlace. Las reglas que se ejecutan en otras puertas de enlace de nivel 1 asignan el tráfico entre la puerta de enlace y otras interfaces de red del SDDC.
Las reglas NAT se ejecutan en puerta de enlace de cómputo y en cualquier puerta de enlace de nivel 1 adicional que cree. Consulte Agregar una puerta de enlace de nivel 1 personalizada a un SDDC de VMware Cloud on AWS para obtener información sobre la creación de puertas de enlace de nivel 1 adicionales en el SDDC.
Las reglas NAT que se ejecutan en la interfaz de Internet del SDDC (la puerta de enlace de cómputo) asignan direcciones IP de origen o destino internas en paquetes de segmentos de red informática a direcciones que se pueden utilizar en la Internet pública. Para crear una regla NAT, proporcione la dirección interna de una máquina virtual o servicio de carga de trabajo y una dirección IP externa de su elección. Las reglas NAT que se ejecutan en la interfaz de Internet requieren una dirección IP pública. Consulte Solicitar o liberar una dirección IP pública.
Las reglas de firewall, que examinan las direcciones de origen y destino de los paquetes, se ejecutan en estas puertas de enlace y procesan el tráfico después de que una regla de NAT aplicable lo ha transformado. Al crear una regla de NAT, puede especificar si las direcciones IP internas o externas y el número de puerto de una máquina virtual se expondrán a reglas de firewall que afectan al tráfico de red hacia y desde dicha máquina virtual.
El tráfico entrante a la dirección IP pública del SDDC siempre se procesa mediante las reglas de NAT que crea. El tráfico saliente (los paquetes de respuesta de las máquinas virtuales de carga de trabajo del SDDC) se enruta a lo largo de las rutas anunciadas y se procesa mediante las reglas de NAT cuando la ruta predeterminada de la red del SDDC atraviesa la interfaz de Internet del SDDC. Sin embargo, si la ruta predeterminada pasa por una conexión de Direct Connect, VPN, o VTGW, o bien se agregó como una ruta estática a una VPC, las reglas NAT se ejecutan para el tráfico entrante, pero no para el tráfico saliente, lo cual crea una ruta asimétrica que deja la máquina virtual inalcanzable en su dirección IP pública. Esta asimetría puede surgir cuando, por ejemplo, si 0.0.0.0/0 se anuncia a través de BGP o hay una VPN basada en directivas con una red remota de 0.0.0.0/0. Cuando la ruta predeterminada se anuncia desde el entorno local, debe configurar reglas de NAT en la red local mediante la conexión a Internet local y las direcciones IP públicas.
Requisitos previos
- Para crear una regla NAT en la puerta de enlace de cómputo (interfaz de Internet), debe haber obtenido una dirección IP pública para que la use una máquina virtual en este SDDC. Consulte Solicitar o liberar una dirección IP pública.
- La máquina virtual debe estar conectada a un segmento de red informática enrutada. Puede crear reglas de NAT para máquinas virtuales que tengan direcciones estáticas o dinámicas (DHCP), pero tenga en cuenta que las reglas de NAT para máquinas virtuales que utilizan la asignación de direcciones DHCP se pueden invalidar cuando a la máquina virtual se le asigna una dirección interna que ya no coincide con la especificada en la regla.
