/BV1kT4y1J7Wj ---- 本文来介绍一下四点： 什么是NAT网关 NAT网关应用场景 NAT计费 配置NAT网关 ---- NAT网关介绍 1.什么是NAT网关 NAT 网关（NAT Gateway 网关还支持以下功能： 网关流控 您可以为 NAT 网关开启网关流控，网关流控可对某内网 IP 与 NAT 网关之间的带宽进行限制，提供 IP 网关粒度的 “监” 与 “控” 能力。 最大外网入带宽 NAT 网关最大外网入带宽默认为5Gbps，暂不支持设限。 NAT 网关流量费用以外网最大出带宽计算，外网入带宽值与费用无关。 image.png NAT计费 计费说明 NAT 网关服务费用包含两部分：网关费用（按小时计费）和访问 Internet 产生的流量费用。 网关费用请参见下文计费模式。 创建NAT网关 + EIP 注意NAT网关会帮用户创建一个EIP,也可以关联已经有的EIP。 image.png 3. 配置路由 在服务器所在的私有网络，添加路由指向NAT网关。
解决这个问题的大体思路是：通过nat gateway 将 eip(弹性ip)和EC2所在的子网做关联，中间还有一个路由表做中介。 进入VPC Dashboard： 在VPC Dashboard，先创建一个弹性IP，用于绑定到NAT网关： 其中的网络边界组和你的默认VPC是一致的，这样才能保证你的所有子网中的无公网IP的ec2都可以通过这个弹性 创建一个Nat网关，在创建的同时关联前边创建的NAT网关： ec2-without-public-ip-access-internet 注意，选择的子网一定要和你的ec2所在的子网一致，如果你想让不同子网的无公网 IP的EC2都通过nat访问公网，你需要建立多个NAT为不同子网提供这个服务。 在同一个可用区创建一个没有公网IP的EC2：
热门网络产品限时钜惠，流量包1分钱起，最高可领299元NAT网关无门槛代金券
则可以通过 NAT 网关访问外网。” image.png 那nat网关应该如何进行配置呐？这里先说一下nat网关是什么以及它的的应用场景。 而且便宜，把多台机器的流量都整在一个nat网关上，带宽大且计费都走nat网关，也挺方便的。 开始配置 1、模拟实验环境 创建一个集群，加入一台有公网ip的服务器，创建一个deployment，然后访问外网；再把机器的ip解绑掉，ping 百度 image.png image.png 2、配置nat 网关 1.先到nat网关界面购买一个与节点同vpc的实例，并为其绑定一个弹性ip image.png 2.配置节点的路由表规则 找到节点所关联的子网---路由表，添加路由信息、 image.png image.png
动态NAT的配置： 指定需要进行地址转换的网段： asa（config）# nat （接口名称） nat-id local-ip mask asa（config）# nat （inside） 1 10.1.1.0 （inside） 1 0 0 0 0 代表所有网段 动态PAT配置如下： 与路由器上的PAT相同，动态PAT使用IP地址和源端口号创建一个唯一的会话。 配置内网需要转换的网段： asa（config）# nat （inside） 1 10.1.1.0 255.255.255.0 配置用于转换的IP地址： asa（config）# nat （outside flags为 ri 时 是动态PAT 静态NAT创建了一个从真实地址到映射地址的一对一的固定转换，可用于双向通信。 flages 为 sr 时 是静态PAT ASA从7.0版本开始提供了一个NAT控制的开关，即“nat-control”命令。
ACL关联（请务必执行该操作，否则会影响后面实操） image052.jpg 1.2.6.NAT网关 NAT 网关 快速入门 - 文档中心 - 腾讯云 NAT主要配置包括创建NAT网关、配置相关子网所关联路由 1、先解绑gz-az3-04的弹性公网IP（用于验证NAT网关）（实验过程中如果没有进行1.2.3实操可以忽略此步骤） image054.jpg 2、创建所属网络为vpc-gz01的NAT网关nat-gz01 “新增路由策略”，目的端配置为0.0.0.0/0，下一跳类型为NAT网关，下一跳选择刚才创建的NAT网关 image058.jpg 4、进入“私有网络-》NAT网关“页面，点击刚才创建的NAT网关进行配置界面 ，新建端口转发（DNAT），配置10.1.30.4服务器ssh 22端口通过NAT弹性网卡2204端口转发 image060.jpg 5、本地telnet 106.53.113.86 2204（NAT网关 的主 CIDR 不满足业务分配时，您可以创建辅助 CIDR 来扩充网段，辅助CIDR相关信息请参见 编辑 IPv4 CIDR。
NAT网关在收到数据或连接请求时，按照UPnP建立的表项只转换地址和端口信息，不关心内容，再将数据转发到内网。 8.1、原理 打洞技术的原理比较简单，就是NAT内网的节点需要在NAT上建立自己的一条转发映射关系(这就是所谓的在NAT上打下一个洞)，然后外网的节点就通过这个”洞”来进行通信。 打洞原理可以简化为下面三个过程： 1）首先位于NAT后的Peer1节点需要向外发送数据包，以便让NAT建立起内网Endpoint1(IP1、PORT1)和外网Endpoint2(IP2、PORT2)的映射关系 Client A想给peer A发送数据需要创建权限，这个通过createPermission request请求来创建权限，权限创建成功后，client A就可以发送数据给turn server由turn ：另起一个事务，标识另外一个请求过程 XOR-PEER-ADDRESS=192.0.2.150:0 ：需要创建权限的peer的IP地址，权限只与IP地址相关，与端口无关 USERNAME="George
绑定 NAT 网关 EIP 可以与 NAT 网关绑定，通过 NAT 网关的 SNAT 和 DNAT 功能，为多个无公网 IP 的 CVM 提供访问公网和被公网访问的能力。 六、常见场景及最佳实践推荐 NAT网关实例绑定单EIP搭建访问公网服务器的SNAT&DNAT场景最佳推荐 最佳实践推荐： 每NAT实例对应绑定一个弹性EIP。 最佳实践拓扑： NAT网关实例绑定多EIP搭建访问公网服务器的SNAT&DNAT场景最佳推荐 每NAT实例对应绑定多个弹性EIP、多个EIP可以部署不同可用区集群（EIP部署不同可用区需开白）。 最佳实践拓扑： NAT网关实例绑定多EIP跨可用区级别搭建访问公网服务器的SNAT&DNAT场景最佳推荐 注：NAT实例故障期间需客户侧控制台人工摘除异常网关实例路由。 EIP与后端CVM避免跨可用区绑定 注：EIP与后端CVM避免跨可用区绑定（新增EIP可开白后选择可用区属性） 七、 配置参考 申请不同可用区弹性EIP（EIP类型及带宽根据业务实际需求申请） 创建
如果有任何2层接口与虚拟网络相关联，那么还要在网桥域下创建逻辑接口。 以下是Device Manager生成的MX系列路由器配置的示例。 从公共IP地址到私有IP地址以及反向NAT规则，都在MX系列路由器上配置。 在MX系列路由器上，为每个专用网络到一个或多个公用网络关联，都创建了一个特殊的路由实例。 ·将专用虚拟网络扩展到TOR设备。 ·在TOR设备上创建物理和逻辑接口。 ·在专用网络上为裸机服务器创建VMI，并将VMI与逻辑接口关联。这样做表明裸机服务器已通过逻辑接口连接到TOR设备。 ·创建网关路由器。这是由Device Manager管理的物理路由器。 ·为物理MX系列路由器配置 service-port物理接口信息。 ·关联浮动IP地址，包括在Tungsten Fabric中创建公用网络、浮动IP地址池和浮动IP地址，并将该IP地址与VMI裸机服务器关联。 ·专用网络和公用网络必须扩展到物理路由器。
从以上可以看出，host-only这种模式和普通的NAT server带整个内网上网的情形类似，因此你可以方便的进行与之有关的实验，比如防火强的设置等。 3.NAT模式 ? 读者可按照具体的网络情况选择以上模式，自行配置并建立虚拟机与主机的网络共享，这样有助于加深对虚拟机网络环境的理解，如遇到问题可在网上查找相关文章，或参照本书附带的文本“虚拟机共享上网问题总汇”。 2.认识虚拟机系统的网络设备 组网会应用到各种网络设备，比如网卡、交换机等，在VMware Workstation创建的虚拟机中组网也需要使用这些设备，只不过在VMware Workstation创建的虚拟机和网络中 通过VMware Workstation创建的虚拟交换机，您可以将一台或多台虚拟机连接到主机或其它虚拟机，为VMware虚拟机上网设置的实现建立了前提。 ? 当用户创建一台虚拟机时，不论使用何种网络类型，哪种操作系统，VMware Workstation都会为创建的虚拟机安装一个以太网适配器，该适配器为主机和虚拟机，虚拟机和虚拟机之间互相连接提供了通讯接口。
•Full Cone NAT 当内网主机创建一个UDP socket并通过它第一次向外发送UDP数据包时，NAT会为之分配一个固定的公网{IP:端口}。 一旦这个映射关系建立起来（内部主机向某一外部主机发送一次数据即可），任何外部主机就可以直接向NAT内的这台主机发起UDP通信了，此时NAT透明化了。 •Restricted Cone NAT 当内网主机创建一个UDP socket并通过它第一次向外发送UDP数据包时，NAT会为之分配一个公网{IP:端口}。 •Port Restricted Cone NAT 当内网主机创建一个UDP socket并通过它第一次向外发送UDP数据包时，NAT会为之分配一个公网{IP:端口}。 •Symmetrict NAT 当内网主机创建一个UDP socket并通过它第一次向外部主机1发送UDP数据包时，NAT为其分配一个公网{IP1:端口1}，以后内网主机发送给外部主机1的所有UDP数据包都是通过公网
此外，网关上还会创建一个NAT映射表，以便判断从公网收到的报文应该发往的私网目的地址。 NAT的实现方式有多种，适用于不同的场景。 静态NAT实现了私有地址和公有地址的一对一映射。 RTA会从配置的公网地址池中选择一个空闲的公网IP地址和端口号，并建立相应的NAPT表项。这些NAPT表项指定了报文的私网IP地址和端口号与公网IP地址和端口号的映射关系。 RTA会建立Easy IP表项，这些表项指定了源IP地址和端口号与出接口的公网IP地址和端口号的映射关系。 nat static global { global-address} inside {host-address } 命令用于创建静态NAT。 global参数用于配置外部公网地址。 例如，一个使用内部IP地址的FTP服务器可能在和外部网络主机建立会话的过程中需要将自己的IP地址发送给对方。而这个地址信息是放到IP报文的数据部分，NAT无法对它进行转换。
创建虚拟服务器IP地址192.168.1.254，添加服务器节点：192.168.1.3和192.168.1.4。使用DR模式群集。 （3）添加一条vip本地访问路由 （4）启用httpd服务，并创建测试网页。 3、在RS（路由器）主机上访问，测试是否能够访问到网页内容。从而验证lvs-DR的负载均衡功能。 创建虚拟服务器IP地址192.168.1.254，添加服务器节点：192.168.1.3和192.168.1.4。使用DR模式群集。 modprobe ip_vs ? 清除原有策略 ? 创建虚拟服务器IP地址192.168.1.254，添加服务器节点：192.168.1.3和192.168.1.4。并保存策略，设置开机自启。 ? Ipvsadm -ln可以查看节点状态 ? （4）启用httpd服务，并创建测试网页。 ? Web2主机也按照web的步骤进行操作，但为了验证实验效果，两台web主机的测试网页的内容不一样。
其网络架构类似于上图。 0x02 解决方案 一、绑定物理网卡方法 这个我们开头就说了，hyper-v原生支持，但是需要ICS服务的支持，一旦ICS服务被禁用或关闭，那这个方法就无法使用了。 二、创建NAT服务方法 从图中看，我们已经拥有了一个同一网段（10.1.1.0/24）的互通网络，如果想要虚拟机3上网，那就需要一个将数据包从虚拟交换机转发到物理网卡的能力，并且由于我们的内部交换机网段与物理网卡的网段不同 Google一下发现Windows10原生支持创建NAT服务，即powershell的New-NetNat命令（https://docs.microsoft.com/en-us/powershell/module 指定一个名称 InternalIPInterfaceAddressPrefix: 该参数指定要进行Nat服务的内部网段 创建Nat服务后，内部交换机下的所有虚拟机均可正常访问外网。 三、创建http/socks代理方法 上面添加NAT服务方法已经足够简单（仅需一条命令），但如果你还想尝试一下其它的方法的话，可以试一下在主机搭建一个http/socks代理的方法，原理如下图： [uuc2og2x1x.png
固定ip的pod绑定eip tke集群内给pod绑定eip，前提条件是pod的网络模式必须为vpc-cni的固定ip模式，如果你创建集群选择的是GlobalRouter，那么在集群开启vpc-cni模式即可 ，如果你创建集群是vpc-cni模式，必须要注意勾选上固定ip，vpc-cni模式下，集群网络模式选定后无法更改。 pod访问公网还是走节点主网卡公网ip或者nat网关的eip。 但是当你的集群节点没有公网ip，节点是通过nat网关访问公网，又或者说你的节点有公网ip同时也配置了nat网关，那么这个时候pod访问公网还是不会走eip，还是默认走nat网关。 因为在vpc的路由策略里面，当一个子网关联了 NAT 网关，且子网内云服务器有公网 IP（或弹性 IP）时，会默认通过 NAT网关访问 Internet（因为最精确路由的优先级高于公网 IP）。
DNAT： 目标地址转换，当service完成处理后返回数据，返回报文时的源地址和目标地址反过来，抵达NAT网关后NAT网关根据请求出去的时候的SNAT记录做反转，将目标地址转换成内网地址，最终抵达客户端 不满足这个条件的即可称之为对称NAT。 Full Cone NAT 锥形NAT， 当发出一个外部请求时， NAT网关会打开一个端口创建一个公网映射，然后会将传入这个端口的数据全部转发给内部主机。 Full Cone NAT是最宽松的NAT规则，一旦映射建立，那么只要到公网的映射端口发送数据就可以直接到达后端服务。 Address Restricted Cone NAT 受限的锥形NAT， 当发出一个外部请求时，NAT网关会打开一个端口创建一个公网映射， 同时记录外部的主机IP，然后会将已经有记录IP地址并且从这个地址传来的数据转发给内部主机 缺点：NAT网关对报文进行地址转换的本质是对报文源和目标的修改，这会导致额外的延迟和开销。 3.关于内网穿透 内网穿透俗称打洞，其实就是透过NAT对外提供服务的方式。
1.4 使用范围 1）如果你想利用VMWare在局域网内新建一个虚拟服务器，为局域网用户提供网络服务，就应该选择桥接模式。 如果你想利用VMWare创建一个与网内其他机器相隔离的虚拟系统，进行某些特殊的网络调试工作，可以选择host-only模式。 2.4 使用范围 如果你想利用VMWare创建一个与网内其他机器相隔离的虚拟系统，进行某些特殊的网络调试工作，可以选择host-only模式。 3.4 使用范围 如果你想利用VMWare安装一个新的虚拟系统，在虚拟系统中不用进行任何手工配置就能直接访问互联网，建议你采用NAT模式。 版权声明： 1）原创作品，出自"CleverCode的博客"，转载时请务必注明以下原创地址，否则追究版权法律责任。
扫码关注云+社区
领取腾讯云代金券
云服务器
测试服务 WeTest
文件存储
SSL 证书
WordPress