Network Address Translation (NAT) controlla il modo in cui gli indirizzi IP nelle intestazioni dei pacchetti vengono visualizzati su entrambi i lati di un gateway. Le regole eseguite nel Gateway di elaborazione mappano il traffico Internet in entrata e in uscita dal gateway. Le regole eseguite in altri gateway di livello 1 mappano il traffico tra il gateway e le altre interfacce di rete SDDC.
Le regole NAT vengono eseguite nel Gateway di elaborazione e in tutti i gateway di livello 1 aggiuntivi creati. Per informazioni sulla creazione di gateway di livello 1 aggiuntivi nell'SDDC, vedere Aggiunta di un gateway di livello 1 personalizzato a un SDDC VMware Cloud on AWS.
Le regole NAT eseguite nell'interfaccia Internet dell'SDDC (l'istanza di Gateway di elaborazione) mappano gli indirizzi IP di origine o di destinazione interni sui pacchetti dai segmenti di rete di elaborazione agli indirizzi utilizzabili su Internet pubblico. Per creare una regola NAT, è necessario fornire l'indirizzo interno di un servizio o di una macchina virtuale del carico di lavoro e un indirizzo IP esterno a scelta. Le regole NAT in esecuzione nell'interfaccia Internet richiedono un indirizzo IP pubblico. Vedere Richiedere o rilasciare un indirizzo IP pubblico.
Le regole del firewall, che esaminano gli indirizzi di origine e di destinazione dei pacchetti, vengono eseguite in questi gateway ed elaborano il traffico dopo che è stato trasformato da tutte le regole NAT applicabili. Quando si crea una regola NAT, è possibile specificare se l'indirizzo IP interno o esterno e il numero di porta di una macchina virtuale sono esposti alle regole del firewall che influiscono sul traffico di rete da e verso tale macchina virtuale.
Il traffico in entrata verso l'indirizzo IP pubblico dell'SDDC viene sempre elaborato dalle regole NAT create. Il traffico in uscita (rispondi ai pacchetti dalle macchine virtuali del carico di lavoro dell'SDDC) viene instradato lungo le route annunciate e viene elaborato dalle regole NAT quando la route predefinita per la rete SDDC passa attraverso l'interfaccia Internet dell'SDDC. Tuttavia, se la route predefinita passa attraverso una connessione Direct ConnectVPN o una connessione VTGW oppure è stata aggiunta come route statica a un VPC, le regole NAT vengono eseguite per il traffico in entrata ma non per quello in uscita, creando un percorso asimmetrico che rende la macchina virtuale irraggiungibile al relativo indirizzo IP pubblico. Questa asimmetria può verificarsi quando, ad esempio, viene annunciato 0.0.0.0/0 tramite BGP o è presente una VPN basata su criteri con una rete remota di 0.0.0.0/0. Quando la route predefinita viene annunciata dall'ambiente locale, è necessario configurare regole NAT nella rete locale, utilizzando la connessione Internet locale e gli IP pubblici.
Prerequisiti
- Per creare una regola NAT nel Gateway di elaborazione (interfaccia Internet ), è necessario aver ottenuto un indirizzo IP pubblico per l'utilizzo da parte di una macchina virtuale in questo SDDC. Vedere Richiedere o rilasciare un indirizzo IP pubblico.
- La macchina virtuale deve essere connessa a un segmento di rete di elaborazione instradato. È possibile creare regole NAT per le macchine virtuali che dispongono di indirizzi statici o dinamici (DHCP), ma bisogna tenere presente che le regole NAT per le macchine virtuali che utilizzano l'assegnazione dell'indirizzo DHCP possono essere invalidate quando alla macchina virtuale viene assegnato un indirizzo interno che non corrisponde più a quello specificato nella regola.
