Configurare le regole NAT per il gateway VPN di rete WAN virtuale

Puoi configurare il tuo gateway VPN rete WAN virtuale con regole NAT statiche o dinamiche. Una regola NAT traduce gli indirizzi IP in modo da poter collegare due reti IP che hanno indirizzi IP incompatibili o sovrapposti. Il NAT statico utilizza una mappatura fissa degli indirizzi uno a uno, mentre il NAT dinamico assegna un indirizzo IP di destinazione e una porta in base alla disponibilità. Questo metodo permette a un intervallo interno più ampio di condividere un intervallo esterno più piccolo. Uno scenario tipico è costituito da rami con indirizzi IP sovrapposti che vogliono accedere alle risorse della rete virtuale di Azure.

Questa configurazione usa una tabella di flusso per instradare il traffico da un indirizzo IP esterno (host) a un indirizzo IP interno associato a un endpoint all'interno di una rete virtuale (macchina virtuale, computer, contenitore e così via).

Per usare NAT, i dispositivi VPN devono usare selettori di traffico any-to-any (jolly). I selettori di traffico basati su criteri (ristretti) non sono supportati insieme alla configurazione NAT.

Configurare regole NAT

È possibile configurare e visualizzare le regole NAT nelle impostazioni del gateway VPN in qualsiasi momento.

Tipo di NAT: statico e dinamico

In un dispositivo gateway NAT converte gli indirizzi IP di origine e/o di destinazione, in base ai criteri o alle regole NAT per evitare conflitti di indirizzi. Esistono diversi tipi di regole di conversione NAT:

• NAT statico: le regole statiche definiscono una relazione di mapping per gli indirizzi fissi. Per un determinato indirizzo IP, verrà associato sempre allo stesso indirizzo nel pool di destinazione. Le mappature per le regole statiche sono prive di stato perché la mappatura è fissa. Ad esempio, una regola NAT creata per eseguire il mapping da 10.0.0.0/24 a 192.168.0.0/24 avrà un mapping 1-1 fisso. 10.0.0.0 viene convertito in 192.168.0.0, 10.0.0.1 viene convertito in 192.168.0.1 e così via.

• NAT dinamico: per NAT dinamico, un indirizzo IP può essere convertito in indirizzi IP di destinazione e porta TCP/UDP diversi in base alla disponibilità o con una combinazione diversa di indirizzo IP e porta TCP/UDP. Quest'ultima conversione viene anche chiamata NAPT (Network Address and Port Translation). Le regole dinamiche comporteranno mappature di traduzione con stato in base ai flussi di traffico in un dato momento. A causa della natura del NAT dinamico e delle combinazioni IP/porta in continua variazione, i flussi che utilizzano regole di NAT dinamico devono essere avviati dall'intervallo IP (pre-NAT) di Internal Mapping. Il mapping dinamico viene rilasciato dopo che il flusso viene disconnesso o terminato normalmente.

Un altro elemento da considerare è la dimensione del pool di indirizzi per la conversione. Se le dimensioni del pool di indirizzi di destinazione corrispondono a quelle del pool di indirizzi originale, usare la regola NAT statica per definire un mapping 1:1 in un ordine sequenziale. Se il pool di indirizzi di destinazione è più piccolo del pool di indirizzi originale, usare la regola NAT dinamica per ovviare alle differenze.

1. Vai al tuo hub virtuale.

2. Selezionare VPN (da sito a sito).

3. Selezionare Regole NAT (Modifica) .

4. Nella pagina Modifica regola NAT è possibile aggiungere/modificare/eliminare una regola NAT usando i valori seguenti:

   • Nome: nome univoco per la regola NAT.
   • Tipo: statico o dinamico. Nat uno-a-uno statico stabilisce una relazione uno-a-uno tra un indirizzo interno e un indirizzo esterno, mentre NAT dinamico assegna un INDIRIZZO IP e una porta in base alla disponibilità.
   • ID della configurazione IP: Una regola NAT deve essere configurata su una specifica istanza del gateway VPN. Questo è applicabile solo a NAT dinamico. Le regole NAT statiche vengono applicate automaticamente a entrambe le istanze del gateway VPN.
   • Modalità: IngressSnat oppure EgressSnat.
     • La modalità IngressSnat (nota anche come NAT di origine per il traffico in ingresso) si applica al traffico in ingresso nel gateway VPN da sito a sito dell'hub di Azure.
     • La modalità EgressSnat (nota anche come NAT di origine in uscita) è applicabile al traffico che lascia il gateway VPN da sito a sito dell'hub di Azure.
   • Mappatura interna: Un intervallo di prefissi di indirizzi IP di origine nella rete interna che verrà mappato a un insieme di indirizzi IP esterni. In altre parole, l'intervallo di prefissi degli indirizzi pre-NAT.
   • Mappatura esterna: un intervallo di prefissi di indirizzi IP di destinazione sulla rete esterna a cui verranno mappati gli indirizzi IP di origine. In altre parole, l'intervallo di prefissi degli indirizzi post-NAT.
   • Connessione di collegamento: risorsa di connessione che collega virtualmente un sito VPN al gateway VPN site-to-site dell'hub di rete WAN virtuale di Azure.

Configurazioni di esempio

SNAT in ingresso (sito VPN abilitato per BGP)

Le regole SNAT in ingresso vengono applicate ai pacchetti che entrano in Azure tramite il gateway VPN da sito a sito rete WAN virtuale. In questo scenario si vogliono connettere due rami VPN da sito a sito ad Azure. Il sito VPN 1 si connette tramite collegamento A e il sito VPN 2 si connette tramite il collegamento B. Ogni sito ha lo stesso spazio indirizzi 10.30.0.0/24.

In questo esempio, faremo il NAT di site1 verso 172.30.0.0.0/24. Le reti virtuali spoke di rete WAN virtuale e gli altri rami apprenderanno automaticamente questo spazio di indirizzi post-NAT.

Il diagramma seguente mostra il risultato proiettato:

1. Specificare una regola NAT.

   Specificare una regola NAT per assicurarsi che il gateway VPN da sito a sito possa distinguere tra i due rami con spazi indirizzi sovrapposti (ad esempio 10.30.0.0/24). In questo esempio ci concentriamo sul collegamento A per il sito VPN 1.

   La regola NAT seguente può essere configurata e associata al collegamento A. Poiché si tratta di una regola NAT statica, gli spazi degli indirizzi del mapping interno e del mapping esterno contengono lo stesso numero di indirizzi IP.

   • Nome: ingressRule01
   • Tipo: Statico
   • Modalità: IngressSnat
   • Mappatura interna: 10.30.0.0/24
   • Mappatura esterna: 172.30.0.0/24
   • Connessione del collegamento: Collegamento A

2. Imposta Traduzione delle route BGP su 'Abilita'.

3. Assicurarsi che il gateway VPN da sito a sito possa eseguire il peering con il peer BGP locale.

   In questo esempio, la regola NAT in ingresso dovrà convertire 10.30.0.132 a 172.30.0.132. Per farlo, fare clic su "Modifica sito VPN" per configurare l'indirizzo BGP del collegamento A del sito VPN in modo che corrisponda a questo indirizzo del peer BGP tradotto (172.30.0.132).

   

Considerazioni se il sito VPN si connette tramite BGP

• Le dimensioni della subnet per il mapping interno ed esterno devono essere uguali per NAT statico uno-a-uno.

• Se Traduzione BGP è abilitata, il gateway VPN da sito a sito annuncerà automaticamente il mapping esterno delle regole NAT di uscita all'ambiente locale, nonché il mapping esterno delle regole NAT di ingresso ad Azure (hub di Virtual WAN, reti virtuali spoke connesse, connessioni VPN/ExpressRoute). Se Traduzione BGP è disabilitata, le route tradotte non vengono annunciate automaticamente all'ambiente locale. Di conseguenza, l'altoparlante BGP locale deve essere configurato per annunciare l'intervallo post-NAT (mapping esterno) delle regole NAT in ingresso associate alla connessione al collegamento al sito VPN. Analogamente, una rotta per l'intervallo post-NAT (mappatura esterna) delle regole NAT di uscita deve essere configurata sul dispositivo locale.

• Il gateway VPN da sito a sito traduce automaticamente l'indirizzo IP del peer BGP locale se l'indirizzo IP del peer BGP locale rientra nel mapping interno di una regola NAT in ingresso. Di conseguenza, l'indirizzo BGP della connessione del collegamento del sito VPN deve riflettere l'indirizzo tradotto tramite NAT (parte della mappatura esterna).

  Ad esempio, se l'indirizzo IP BGP locale è 10.30.0.133 e esiste una regola NAT in ingresso che converte 10.30.0.0/24 a 172.30.0.0/24, L'indirizzo BGP della connessione collegamento del sito VPN deve essere configurato in modo che sia l'indirizzo convertito (172.30.0.133).

• Nel NAT dinamico, l’indirizzo IP del peer BGP locale non può far parte dell’intervallo di indirizzi pre-NAT (mapping interno) poiché le traduzioni di IP e porte non sono fisse. Se è necessario tradurre l'indirizzo IP di peering BGP locale, creare una regola NAT statica separata che traduca solo l'indirizzo IP di peering BGP.

  Ad esempio, se la rete locale ha uno spazio indirizzi 10.0.0.0.0/24 con un indirizzo IP peer BGP locale pari a 10.0.0.1 e esiste una regola NAT dinamica in ingresso per convertire 10.0.0.0.0/24 in 192.198.0.0/24, È necessaria una regola NAT statica di ingresso separata che converte 10.0.0.1/32 a 192.168.0.1/32 e l'indirizzo BGP della connessione collegamento del sito VPN corrispondente deve essere aggiornato all'indirizzo convertito NAT (parte del mapping esterno).

SNAT in entrata (sito VPN con percorsi configurati staticamente)

Le regole SNAT in ingresso vengono applicate ai pacchetti che entrano in Azure tramite il gateway VPN da sito a sito rete WAN virtuale. In questo scenario si vogliono connettere due rami VPN da sito a sito ad Azure. Il sito VPN 1 si connette tramite collegamento A e il sito VPN 2 si connette tramite il collegamento B. Ogni sito ha lo stesso spazio indirizzi 10.30.0.0/24.

In questo esempio, applicheremo il NAT al sito VPN 1 verso 172.30.0.0.0/24. Tuttavia, poiché il sito VPN non è connesso al gateway VPN da sito a sito tramite BGP, i passaggi di configurazione sono leggermente diversi rispetto all'esempio abilitato per BGP.

1. Specificare una regola NAT.

   Specificare una regola NAT per assicurarsi che il gateway VPN da sito a sito possa distinguere tra i due rami con lo stesso spazio indirizzi 10.30.0.0/24. In questo esempio ci concentriamo sul collegamento A per il sito VPN 1.

   La regola NAT seguente può essere configurata e associata al collegamento A di uno dei siti VPN 1. Poiché si tratta di una regola NAT statica, gli spazi degli indirizzi del mapping interno e del mapping esterno contengono lo stesso numero di indirizzi IP.

   • Nome: IngressRule01
   • Tipo: Statico
   • Modalità: IngressSnat
   • Mappatura interna: 10.30.0.0/24
   • Mappatura esterna: 172.30.0.0/24
   • Connessione del collegamento: collegamento A

2. Modificare il campo "Spazio indirizzi privati" del sito VPN 1 per assicurarsi che il gateway VPN da sito a sito impari l'intervallo post-NAT (172.30.0.0/24).

   • Passa alla risorsa dell'hub virtuale che contiene il gateway VPN da sito a sito. Nella pagina dell'hub virtuale, in Connettività, selezionare VPN (da sito a sito).

   • Selezionare il sito VPN connesso all'hub rete WAN virtuale tramite collegamento A. Selezionare Modifica sito e input 172.30.0.0/24 come spazio indirizzi privato per il sito VPN.

Considerazioni se i siti VPN sono configurati in modo statico (non connessi tramite BGP)

• Le dimensioni della subnet per il mapping interno ed esterno devono essere uguali per NAT statico uno-a-uno.
• Modificare il sito VPN nel portale di Azure per aggiungere i prefissi nel mapping esterno delle regole NAT in ingresso nel campo "Spazio di indirizzi privato".
• Per le configurazioni che coinvolgono regole NAT in uscita, è necessario applicare un criterio di route o una route statica con il mapping esterno della regola NAT in uscita nel dispositivo locale.

Flusso di pacchetti

Negli esempi precedenti un dispositivo locale vuole raggiungere una risorsa in una rete virtuale spoke. Il flusso di pacchetti è il seguente, con le traduzioni NAT in grassetto.

1. Il traffico proveniente dall'ambiente locale viene avviato.

   • Indirizzo IP di origine: 10.30.0.4
   • Indirizzo IP di destinazione: 10.200.0.4

2. Il traffico entra nel gateway site-to-site, viene tradotto tramite la regola di NAT e quindi inviato al nodo Spoke.

   • Indirizzo IP di origine: 172.30.0.4
   • Indirizzo IP di destinazione: 10.200.0.4

3. Viene avviata la risposta di Spoke.

   • Indirizzo IP di origine: 10.200.0.4
   • Indirizzo IP di destinazione: 172.30.0.4

4. Il traffico entra nel gateway VPN da sito a sito e la traduzione viene invertita e inviata in locale.

   • Indirizzo IP di origine: 10.200.0.4
   • Indirizzo IP di destinazione: 10.30.0.4

Controlli di verifica

Questa sezione mostra i controlli per verificare che la configurazione sia configurata correttamente.

Convalidare le regole NAT dinamiche

• Usare regole NAT dinamiche se il pool di indirizzi di destinazione è inferiore al pool di indirizzi originale.

• Poiché le combinazioni ip/porta non sono fisse in una regola NAT dinamica, l'IP peer BGP locale non può far parte dell'intervallo di indirizzi pre-NAT (mapping interno). Creare una regola NAT statica specifica che converte solo l'indirizzo IP del peering BGP.

  Ad esempio:

  • Intervallo di indirizzi locale: 10.0.0.0/24
  • Indirizzo IP BGP locale: 10.0.0.1
  • Regola NAT dinamica in ingresso: 192.168.0.1/32
  • Regola NAT statica in ingresso: 10.0.0.1 -> 192.168.0.2

Convalida DefaultRouteTable, regole e rotte

Le filiali in rete WAN virtuale si associano a DefaultRouteTable, il che implica che tutte le connessioni delle filiali apprendono i percorsi popolati all'interno di DefaultRouteTable. La regola NAT verrà visualizzata con il prefisso tradotto nelle route valide di DefaultRouteTable.

Nell'esempio precedente:

• Prefisso: 172.30.0.0/24
• Tipo di hop successivo: VPN_S2S_Gateway
• Hop successivo: risorsa VPN_S2S_Gateway

Convalidare i prefissi degli indirizzi

Questo esempio si applica alle risorse nelle reti virtuali associate a DefaultRouteTable.

Le route effettive nelle schede di interfaccia di rete (NIC) di qualsiasi macchina virtuale che si trova in una rete virtuale spoke connessa all'hub WAN virtuale devono contenere anche i prefissi di indirizzo della mappatura esterna specificata nella regola NAT di ingresso.

Il dispositivo on-premises deve contenere anche le route per i prefissi contenuti nell'External Mapping delle regole NAT in uscita.

Modelli di configurazione comuni

La tabella seguente illustra i modelli di configurazione comuni che si verificano durante la configurazione di diversi tipi di regole NAT nel gateway VPN da sito a sito.

Passaggi successivi

Per altre informazioni sulle configurazioni da sito a sito, vedere Configurare una connessione da sito a sito rete WAN virtuale.