用户指南

Size: px

Start display at page:

Download "用户指南"

寮濮
5 years ago
Views:

1 NAT 网关用户指南文档版本 05 发布日期

2 目录目录 1 产品简介什么是 NAT 网关 NAT 网关规格 NAT 网关应用场景 NAT 网关优势使用约束快速入门操作流程购买 NAT 网关添加 SNAT 规则添加 DNAT 规则管理删除 SNAT 规则删除 DNAT 规则修改 NAT 网关删除 NAT 网关监控支持的监控指标创建告警规则查看监控指标常见问题为什么使用 SNAT? NAT 网关弹性 IP 带宽 VPC 内弹性云服务器与 VPC 是什么样的关系? NAT 网关如何实现高可用性? NAT 网关和 SNAT 规则是否支持更新操作? 哪些端口无法访问? A 修订记录文档版本 05 ( ) ii

3 1 产品简介 1 产品简介 1.1 什么是 NAT 网关 NAT 网关 (NAT Gateway) 能够为虚拟私有云 (Virtual Private Cloud,VPC) 内的弹性云服务器提供网络地址转换 (Network Address Translation) 服务, 使多个弹性云服务器可以共享使用弹性 IP 访问 Internet(SNAT) 或使弹性云服务器提供互联网服务 (DNAT) 图 1-1 架构图 1.2 NAT 网关规格根据不同规模的应用场景,NAT 网关提供不同的规格 SNAT NAT 网关的规格会影响 SNAT 功能的最大连接数和每秒新建连接数, 数据吞吐量由弹性 IP 的带宽决定文档版本 05 ( ) 1

4 1 产品简介表 1-1 NAT 网关规格表规格 SNAT 最大连接数 SNAT 每秒新建连接数小型 10,000 1,000 中型 50,000 5,000 大型 200,000 10,000 超大型 1,000,000 30,000 DNAT 1.3 NAT 网关应用场景 1.4 NAT 网关优势 DNAT 无连接数概念, 提供端口映射, 配置后根据规则转发端口映射 : 映射了弹性 IP 下某个具体端口, 将指定协议的公网 IP( 公网端口 ) 映射到私网 IP( 私网端口 ), 这样从互联网发送到公网 IP 特定协议的数据将转发给配置的私网 IP NAT 网关下每个弹性 IP 最大可配置 1,000 条 DNAT 规则 NAT 网关可支持弹性云服务器和裸金属服务器 NAT 网关主要用于构建 VPC 公网出口, 用户共享使用弹性 IP 访问 Internet, 灵活支持多种部署模式通过 NAT 网关的 SNAT 功能, 实现即使 VPC 内的弹性云服务器不配置弹性 IP 也可以直接访问 Internet, 可以提供超大并发数的连接服务, 适用于请求量大连接数多的服务通过 NAT 网关的 DNAT 功能, 使 VPC 内多个弹性云服务器共享同一弹性 IP 和带宽面向互联网提供服务, 用户可以更精确地控制带宽资源 NAT 网关具有以下几大优势 : 灵活部署支持跨子网部署和跨可用区域部署 NAT 网关支持跨可用区部署, 可用性高, 单个可用区的任何故障都不会影响 NAT 网关的业务连续性 NAT 网关的规格公网 IP, 均可以随时调整多样易用多种网关规格可灵活选择对 NAT 网关进行简单配置后, 即可使用, 运维简单, 快速发放, 即开即用, 运行稳定可靠降低成本多个弹性云服务器共享使用弹性 IP 当您的私有 IP 地址通过 NAT 网关发送数据, 或您的应用面向互联网提供服务时,NAT 网关服务将私有地址和公网地址进行转换用户无需为弹性云服务器访问 Internet 购买多余的弹性 IP 和带宽资源, 多个弹性云服务器共享使用弹性 IP, 有效降低成本文档版本 05 ( ) 2

5 1 产品简介 1.5 使用约束关于 NAT 网关的使用, 您需要注意以下几点 : 同一个 NAT 网关下的多条规则可以复用同一个弹性 IP, 不同网关下的规则必须使用不同的弹性 IP 每个 VPC 支持的 NAT 网关数为 1 用户不能在 VPC 下手动添加默认路由 VPC 内的每个子网只能添加一条 SNAT 规则 SNAT 和 DNAT 不能共用同一个弹性 IP DNAT 规则不支持将弹性 IP 绑定到虚 IP 当弹性云服务器同时配置弹性 IP 服务和 NAT 网关服务时, 数据均通过弹性 IP 转发文档版本 05 ( ) 3

6 2 快速入门 2 快速入门 2.1 操作流程 NAT 网关服务操作流程如下 : 图 2-1 流程图 2.2 购买 NAT 网关操作场景为了使用 NAT 网关访问互联网或是 VPC 内的弹性云服务器需要面向互联网提供服务, 您需要购买 NAT 网关文档版本 05 ( ) 4

7 2 快速入门操作前提购买 NAT 网关必须指定 NAT 网关所在 VPC 子网 NAT 网关规格确认 VPC 下没有默认路由操作步骤 1. 登录管理控制台 2. 在左上角中的切换区域下拉列框中, 选择目标区域 3. 选择网络 >NAT 网关进入 NAT 网关页面 4. 单击购买 NAT 网关, 进入 NAT 网关配置页面, 如图 2-2 所示图 2-2 参数配置 5. 根据界面提示, 配置 NAT 网关的基本信息, 配置参数请参见表 2-1 表 2-1 参数说明参数参数说明备注当前区域 NAT 网关所在的区域 - 计费模式 NAT 网关支持按需计费默认名称 NAT 网关名称最大支持 64 个字符, 仅支持数字字母 _( 下划线 ) -( 中划线 ) 文档版本 05 ( ) 5

8 2 快速入门参数参数说明备注 VPC NAT 网关所属的 VPC 只能选择没有被其他 NAT 网关使用和没有默认路由的 VPC 子网规格子网至少有一个可用的 IP 地址 NAT 网关共有小型中型大型和超大型四种规格类型, 可通过了解更多查看各规格详情只能绑定一个吞吐量由弹性 IP 带宽决定描述 NAT 网关信息描述最大支持 255 个字符 2.3 添加 SNAT 规则操作场景配置完成上述信息, 会显示 NAT 网关配置费用, 可通过了解计费详情查看计费信息 6. 单击立即购买, 在订单确认页面, 您可以再次核对 NAT 网关信息确认无误后, 阅读并勾选华为虚拟私有云服务协议, 单击提交订单, 开始创建 NAT 网关如果还需要修改, 单击上一页, 修改参数 7. 在 NAT 网关列表, 查看 NAT 网关状态若状态为运行中, 表示 NAT 网关已创建成功 NAT 网关创建成功后, 您需要创建 SNAT 规则通过创建 SNAT 规则, 您可以将弹性 IP 和子网配置到 SNAT 规则中, 该子网下的弹性云服务器就可以通过弹性 IP 访问互联网操作前提 NAT 网关创建成功操作步骤 1. 登录管理控制台 2. 在左上角中的切换区域下拉列框中, 选择目标区域 3. 选择网络 >NAT 网关进入 NAT 网关页面 4. 单击需要添加 SNAT 规则的 NAT 网关名称, 弹出 NAT 网关配置信息和 SNAT 规则列表, 单击添加 SNAT 规则, 弹出添加 SNAT 规则对话框, 如图 2-3 所示文档版本 05 ( ) 6

9 2 快速入门图 2-3 添加 SNAT 规则 5. 根据界面提示, 配置添加 SNAT 规则参数 : 添加子网和绑定弹性 IP, 详情请参见表 2-2 表 2-2 SNAT 规则参数说明参数子网弹性公网 IP 说明使用 SNAT 功能的子网选择用来提供互联网访问的公网 IP 未绑定到 ECS 或其它 NAT 网关的弹性 IP 说明一个 NAT 网关下可以添加多个 SNAT 规则 6. 配置完成后, 单击确定, 完成 SNAT 规则创建 2.4 添加 DNAT 规则操作场景操作前提 NAT 网关创建后, 如果您的应用要对互联网提供服务, 需要添加 DNAT 规则, 您可以使用端口映射方式已成功创建 NAT 网关文档版本 05 ( ) 7

10 2 快速入门操作步骤 1. 登录管理控制台 2. 在左上角中的切换区域下拉列框中, 选择目标区域 3. 选择网络 >NAT 网关进入 NAT 网关页面 4. 单击需要添加 DNAT 规则的 NAT 网关名称, 选择 DNAT 规则, 点击添加 DNAT 规则, 弹出添加 DNAT 规则对话框, 如图 2-4 所示图 2-4 添加 DNAT 规则 5. 根据提示配置 DNAT 规则的各项参数, 配置信息请参见表 2-3 表 2-3 DNAT 规则参数说明参数弹性公网 IP 说明只能使用未绑定的弹性公网 IP 或者被绑定在当前 VPC 中 DNAT 规则上的弹性公网 IP 私网 IP 可查询当前 VPC 可用的私有 IP 公网端口源端口, 范围 1 ~ 6,5535 私网端口目的端口, 范围 1 ~ 6,5535 文档版本 05 ( ) 8

11 2 快速入门参数说明支持协议可选参数 : TCP UDP 6. 配置完成后, 单击确定, 可在 DNAT 规则列表中查看详情, 若状态为运行中, 表示创建成功文档版本 05 ( ) 9

12 3 管理 3 管理 3.1 删除 SNAT 规则操作场景操作前提添加 SNAT 规则后, 如果您感觉 SNAT 规则设置有误, 需要更改 SNAT 规则, 或者 SNAT 规则不再需要, 您可以删除 SNAT 规则 NAT 网关下存在成功添加的 SNAT 规则操作步骤 1. 登录管理控制台 2. 在左上角中的切换区域下拉列框中, 选择目标区域 3. 选择网络 >NAT 网关进入 NAT 网关页面 4. 单击需要删除 SNAT 规则的 NAT 网关名称, 弹出 NAT 网关配置信息和 SNAT 规则列表在 SNAT 规则列表中, 在操作一栏下单击删除, 弹出删除 SNAT 规则对话框, 如图 3-1 所示文档版本 05 ( ) 10

3 管理图 3-1 删除 SNAT 规则 5. 确认无误后, 单击确定, 即可删除特定的 SNAT 规则 3.2 删除 DNAT 规则操作场景操作前提添加 DNAT 规则后, 如果您感觉 DNAT 规则设置有误, 需要更改 DNAT 规则, 或者不再需要 DNAT 规则, 您可以删除 DNAT 规则 NAT 网关下存在成功添加的 DNAT 规则操作步骤 1.

13 3 管理图 3-1 删除 SNAT 规则 5. 确认无误后, 单击确定, 即可删除特定的 SNAT 规则 3.2 删除 DNAT 规则操作场景操作前提添加 DNAT 规则后, 如果您感觉 DNAT 规则设置有误, 需要更改 DNAT 规则, 或者不再需要 DNAT 规则, 您可以删除 DNAT 规则 NAT 网关下存在成功添加的 DNAT 规则操作步骤 1. 登录管理控制台 2. 在左上角中的切换区域下拉列框中, 选择目标区域 3. 选择网络 >NAT 网关进入 NAT 网关页面 4. 单击需要删除 DNAT 规则的 NAT 网关名称, 选择 DNAT 规则, 确认需要删除的 DNAT 规则, 在操作栏下点击删除, 弹出删除 DNAT 规则对话框, 如图 3-2 所示文档版本 05 ( ) 11

14 3 管理图 3-2 删除 DNAT 规则 5. 确认无误后, 单击确定, 即可删除特定的 DNAT 规则 3.3 修改 NAT 网关操作场景操作前提 NAT 网关创建后, 如果您在使用过程中发现当前的 NAT 网关规格不能满足自己的需求, 或者需要修改 NAT 网关的名称规格或者描述, 可通过修改 NAT 网关操作完成 NAT 网关创建成功操作步骤 1. 登录管理控制台 2. 在左上角中的切换区域下拉列框中, 选择目标区域 3. 选择网络 >NAT 网关进入 NAT 网关页面 4. 确认需要修改的 NAT 网关, 在操作一栏下单击修改, 弹出修改 NAT 网关对话框, 如图 3-3 所示文档版本 05 ( ) 12

15 3 管理图 3-3 修改 NAT 网关 3.4 删除 NAT 网关操作场景 5. 确认需要修改的参数信息 : 名称规格或描述, 详情请参见表修改完成后, 点击确认, 即完成 NAT 网关信息的修改, 在 NAT 网关列表可以看到修改后的信息 NAT 网关创建后, 如果您不再需要使用 NAT 网关, 可以通过删除 NAT 网关, 释放资源, 节省费用操作前提必须保证 NAT 网关下的 SNAT 规则和 DNAT 规则已全部删除操作步骤 1. 登录管理控制台 2. 在左上角中的切换区域下拉列框中, 选择目标区域 3. 选择网络 >NAT 网关进入 NAT 网关页面 4. 选择要删除的 NAT 网关, 在操作一栏下单击删除, 弹出删除 NAT 网关对话框, 如图 3-4 所示文档版本 05 ( ) 13

16 3 管理图 3-4 删除 NAT 网关 5. 确认无误后, 单击确定, 即完成 NAT 网关的删除文档版本 05 ( ) 14

17 4 监控 4 监控 NAT 网关通过与云监控的对接, 用户可以监控 NAT 网关的连接数, 更好地掌握 NAT 网关的运行状态同时可以通过创建告警规则, 预防即将到来的风险 4.1 支持的监控指标 Nat 网关支持的监控指标如表 4-1 所示表 4-1 监控指标指标名称含义取值范围测量对象 SNAT 连接数该指标用于统计用户 NAT 网关连接数 0 count/s NAT 网关主节点 4.2 创建告警规则操作场景通过设置 NAT 网关告警规则, 用户可自定义监控目标与通知策略, 及时了解 NAT 网关运行状况, 从而起到预警作用操作步骤 1. 登录管理控制台 2. 选择管理与部署 > 云监控 3. 在左侧导航树栏, 选择告警 > 告警规则 4. 在告警规则界面, 单击添加告警规则, 根据界面提示, 填写对应参数 5. 规则参数设置完成后, 单击创建说明更多关于设置告警规则的信息, 请参见云监控用户指南文档版本 05 ( ) 15

18 4 监控 4.3 查看监控指标前提条件 NAT 网关中正常运行, 并且已经创建 SNAT 规则由于监控数据的获取与传输会花费一定时间, 因此, 请等待一段时间后再查看监控数据操作场景查看 NAT 网关的监控指标详情操作步骤 1. 登录管理控制台 2. 选择管理与部署 > 云监控 3. 单击页面左侧的云服务监控, 选择 NAT 网关 4. 单击操作列的查看监控图表, 查看 NAT 网关的监控指标详情支持查看近 1 小时近 3 小时和近 12 小时的数据文档版本 05 ( ) 16

19 5 常见问题 5 常见问题 5.1 为什么使用 SNAT? 一些弹性云服务器不仅需要使用系统提供的服务, 还需要访问外网以获取信息或下载软件但是, 给弹性云服务器分配公网 IP 需要消耗稀缺资源 ( 如 IPv4 地址 ), 增加额外的成本, 并有可能增加虚拟环境遭受攻击的几率因此, 多个弹性云服务器共享同一公网 IP 是一种可行的方法, 具体实施方法为源地址转换 (SNAT) 5.2 NAT 网关弹性 IP 带宽 VPC 内弹性云服务器与 VPC 是什么样的关系? VPC 是虚拟私有云, 通过逻辑方式进行网络隔离, 提供安全隔离的网络环境 NAT 网关能够为 VPC 内的弹性云服务器提供访问外网的能力弹性 IP 是可以提供互联网上合法的静态 IP 地址的服务,VPC 的的吞吐量由弹性 IP 带宽决定弹性云服务器是 VPC 内的运行实例, 使用 NAT 网关访问外网 5.3 NAT 网关如何实现高可用性? NAT 网关通过双机热备实现自动容灾, 同时为用户提供云监控和告警服务, 降低风险提高可用性 5.4 NAT 网关和 SNAT 规则是否支持更新操作? NAT 网关支持更新,SNAT DNAT 规则不支持 5.5 哪些端口无法访问? 出于安全因素考虑, 部分运营商会对下列端口进行拦截, 导致无法访问建议避免使用下列端口 : 文档版本 05 ( ) 17

20 5 常见问题协议不支持端口 TCP UDP ~ 139 文档版本 05 ( ) 18

21 A 修订记录 A 修订记录发布日期修订记录第五次发布新增监控内容新增 FAQ: 哪些端口无法访问第四次发布新增 DNAT 内容第三次发布 FAQ 新增用户排查故障指导第二次发布修改 NAT 网关服务的灵活部署优势描述增加创建 NAT 网关服务时参数名称和描述的限制条件第一次发布文档版本 05 ( ) 19

MASQUERADE # iptables -t nat -A POSTROUTING -s / o eth0 -j # sysctl net.ipv4.ip_forward=1 # iptables -P FORWARD DROP #

MASQUERADE # iptables -t nat -A POSTROUTING -s / o eth0 -j # sysctl net.ipv4.ip_forward=1 # iptables -P FORWARD DROP # iptables 默认安全规则脚本一 #nat 路由器 ( 一 ) 允许路由 # iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT ( 二 ) DNAT 与端口转发 1 启用 DNAT 转发 # iptables -t nat -A PREROUTING -p tcp -d 192.168.102.37 dprot 422 -j DNAT to-destination