tencent cloud

文档反馈

通过私网 NAT 实现 VPC 内指定子网和外部资源互访

最后更新时间:2024-08-01 14:14:25

    应用场景

    适用于解决 VPC 内指定子网的地址转换,用于 VPC 内指定子网和外部资源的互访。
    本文以下述场景为例:在广州的 VPC 内存在多个子网,不允许子网1直接和上海的 VPC 互访,允许子网2直接和上海的 VPC 互访。因此,在本案例中,广州 VPC 子网1通过 SNAT 到其他 IP,实现和上海的 VPC 互访。

    配置方案

    组网方案可参考图示配置:
    
    
    

    步骤一:创建 VPC 资源

    分别在广州地域和上海地域各创建一个 VPC,创建 VPC 可参见 创建私有网络。广州 VPC 内创建3个子网,上海 VPC 内创建1个子网,可参见 创建子网
    广州地域:
    创建1个 VPC:vpc-gz-test
    创建3个子网:
    子网1 vpc-gz-subnet1;其中1台 CVM:vpc-gz-cvm1
    子网2 vpc-gz-subnet2;其中0台 CVM:无
    子网3 vpc-gz-subnet3;其中1台 CVM:vpc-gz-cvm2
    上海地域:
    创建1个VPC:vpc-sh-test
    创建1个子网:vpc-sh-subnet1;其中1台 CVM:vpc-sh-cvm1

    步骤二:创建 CCN 资源,同时绑定步骤1中创建的两个 VPC

    登录 云联网控制台,单击新建,新建云联网实例,操作详情,可参见 新建云联网实例

    步骤三:关闭 CCN 端涉及 NAT 的自学习路由

    1. 登录 云联网控制台,单击步骤二中创建的 CCN 实例,进入实例页面。
    2. 选择路由表页签,关闭需要 NAT 的子网网段路由(示例中对应 vpc-gz-subnet1)。
    说明:
    如果用作 NAT IP 的网段也属于某个子网网段或子集,那么需要关闭对应子网的路由,例如 vpc-gz-subnet2 的网段 IP 作为 NAT IP,则关闭 vpc-gz-subnet2 的路由。
    

    步骤四:在广州 VPC(vpc-gz-test) 新建 VPC 类型私网 NAT 网关

    详细信息,可参见 创建私网 NAT 网关

    步骤五:编辑 NAT 网关规则 (四层 SNAT 规则)

    1. 登录 私网 NAT 网关控制台,单击步骤四中创建的 VPC 类型私网 NAT 网关 ID,进入网关详情页。
    2. 单击 SNAT 页签,编辑 NAT 网关规则(四层 SNAT 规则)。
    说明:
    原 IP 是 vpc-gz-cvm1 IP, 映射 IP 池(即 NAT IP) 可以是其它第三方 IP,或者是其它子网网段子集。(例如从 vpc-gz-subnet2 子网网段范围内获取)。
    

    步骤六:配置 vpc-gz-test 端路由

    1. 登录 私有网络控制台,在 vpc-gz-test 实例中,新建两个路由表,vpc-gz-rtb1 和 vpc-gz-rtb2,其中 vpc-gz-rtb1 绑定子网1(vpc-gz-subnet1) 。
    
    2. 在路由表 vpc-gz-rtb1 中,关闭所有从 CCN 学习到的路由。
    说明:
    一旦有新加入云联网的 VPC,都需要在这个路由表中关闭对应学习到的路由条目。
    
    3. vpc-gz-rtb1 中新建路由条目,目的是要访问的网段,下一跳是 步骤四 中新建的 NAT 实例。
    
    4. vpc-gz-rtb2 中新建路由条目,目的是NAT IP网段(如果是其它子网网段分配,则需要是子网网段子集,不能和子网网段完全相同),并且要发布到云联网。
    
    注意:
    该目的网段IP必须覆盖 第4步中的映射地址池NAT IP范围。 (推荐二者取相同值)可以从CCN路由表进行确认是否发布成功。
    

    步骤七:流量验证

    从广州 vpc-gz-cvm1 ping 上海 vpc-sh-cvm1, 网络正常,并且在 vpc-sh-cvm1 抓包源 IP 是NAT IP。
    
    enter image description here
    
    
    如流量 ping 不通,可注意以下情况:
    1. vpc-gz-rtb1 要禁用CCN发布的路由;
    2. vpc-gz-rtb2 不能绑定任何子网;
    3. 如果NAT IP是从子网内分配,NATIP网段必须属于子网网段的子集;
    4. CCN上要禁用需要NAT的子网路由。(NAT IP如果从其它子网网段分配,则也需要禁用相应网段的路由)
    联系我们

    联系我们,为您的业务提供专属服务。

    技术支持

    如果你想寻求进一步的帮助,通过工单与我们进行联络。我们提供7x24的工单服务。

    7x24 电话支持