Configurar regras de NAT para o gateway VPN da WAN Virtual

Você pode configurar seu gateway VPN WAN Virtual com regras de NAT estáticas ou dinâmicas. Uma regra NAT traduz endereços IP para que você possa conectar duas redes IP que tenham endereços IP incompatíveis ou sobrepostos. O NAT estático usa um mapeamento fixo de endereços um-para-um, enquanto o NAT dinâmico atribui um endereço IP e uma porta alvo com base na disponibilidade. Esse método permite que um alcance interno maior compartilhe um alcance externo menor. Um cenário típico é o de filiais com intervalos de IP sobrepostos que desejam acessar recursos da VNet do Azure.

Essa configuração usa uma tabela de fluxo para rotear o tráfego de um endereço IP externo (host) para um endereço IP interno associado a um ponto de extremidade em uma rede virtual (máquina virtual, computador, contêiner etc.).

Diagrama mostrando a arquitetura.

Para usar NAT, os dispositivos VPN precisam usar seletores de tráfego de qualquer origem para qualquer destino. Não há suporte para seletores de tráfego baseados em políticas (estreitos) em conjunto com a configuração de NAT.

Configurar regras de NAT

Você pode configurar e ver as regras NAT nas configurações do gateway de VPN a qualquer momento.

Tipo de NAT: estático e dinâmico

O NAT em um dispositivo de gateway converte os endereços IP de origem e/ou destino com base nas políticas ou regras de NAT para evitar conflitos de endereço. Há diferentes tipos de regras de conversão de NAT:

  • NAT estático: as regras estáticas definem uma relação de mapeamento de endereço fixo. Para um determinado endereço IP, ele será associado ao mesmo endereço do pool de destino. Os mapeamentos de regras estáticas são sem estado porque o mapeamento é fixo. Por exemplo, uma regra NAT criada para mapear 10.0.0.0/24 para 192.168.0.0/24 terá um mapeamento 1-1 fixo. 10.0.0.0 é convertido em 192.168.0.0, 10.0.0.1 é convertido em 192.168.0.1 e assim por diante.

  • NAT dinâmico: para o NAT dinâmico, um endereço IP pode ser convertido em diferentes endereços IP de destino e porta TCP/UDP com base na disponibilidade ou com uma combinação diferente de endereço IP e porta TCP/UDP. Este último também é chamado de NAPT, Tradução de Endereço de Rede e Porta. Regras dinâmicas resultam em mapeamentos de conversão com estado dependendo dos fluxos de tráfego em um determinado momento. Devido à natureza da NAT dinâmica e às combinações de IP/porta em constante mudança, os fluxos que usam as regras da NAT dinâmica devem ser iniciados no intervalo de IP de Mapeamento interno (pré-NAT). O mapeamento dinâmico é liberado quando o fluxo é desconectado ou encerrado normalmente.

Outra consideração é o tamanho do conjunto de endereços para tradução. Se o tamanho do pool de endereços de destino for o mesmo que o do pool de endereços original, use a regra NAT estática para definir um mapeamento 1:1 em ordem sequencial. Se o pool de endereços de destino for menor que o original, use a regra NAT dinâmica para acomodar as diferenças.

Observação

O NAT de site a site não é compatível com conexões VPN de site a site nas quais são usados seletores de tráfego baseados em políticas.

  1. Procure seu hub virtual.

  2. Selecione VPN (Site a Site) .

  3. Escolha Regras NAT (Editar) .

  4. Na página Editar Regra NAT, você pode Adicionar/Editar/Excluir uma regra NAT usando os seguintes valores:

    • Nome: um nome exclusivo para a regra NAT.
    • Tipo: Estático ou Dinâmico. O NAT estático um-para-um estabelece uma relação um-para-um entre um endereço interno e um endereço externo, enquanto o NAT dinâmico atribui um IP e uma porta com base na disponibilidade.
    • ID da configuração de IP: Uma regra NAT deve ser configurada em uma instância específica de gateway VPN. Isso se aplica somente ao NAT dinâmico. As regras NAT estáticas são aplicadas automaticamente a ambas as instâncias de gateway de VPN.
    • Modo: IngressSnat ou EgressSnat.
      • O modo IngressSnat (também conhecido como Ingress Source NAT) se aplica ao tráfego que entra no gateway de VPN site-to-site do hub do Azure.
      • O modo EgressSnat (também conhecido como NAT de Origem de Saída) é aplicável ao tráfego que sai do gateway de VPN site a site do hub do Azure.
    • Mapeamento interno: Um intervalo de prefixos de endereços de IPs de origem na rede interna que será mapeado para um conjunto de IPs externos. Em outras palavras, é a faixa de prefixos de endereço pré-NAT.
    • External Mapping: um intervalo de prefixos de endereço de IPs de destino na rede externa para a qual os IPs de origem serão mapeados. Em outras palavras, o intervalo de prefixos de endereço pós-NAT.
    • Conexão de vínculo: Recurso de conexão que conecta virtualmente um site de VPN ao gateway de VPN site a site do hub da WAN Virtual do Azure.

Observação

Se você quiser que o gateway de VPN site a site anuncie prefixos de endereço traduzidos (External Mapping) via BGP, clique no botão Habilitar Tradução BGP, fazendo com que o ambiente local aprenda automaticamente o intervalo pós-NAT das regras de saída, e o Azure (hub da WAN Virtual, redes virtuais conectadas, ramificações de VPN e do ExpressRoute) aprenda automaticamente o intervalo pós-NAT das regras de entrada. Os novos intervalos de NAT de POST serão mostrados na tabela de rotas efetivas em um hub virtual. A configuração Habilitar Tradução BGP se aplica a todas as regras de NAT no gateway de VPN site-to-site do hub da WAN Virtual.

Configurações de exemplo

SNAT de entrada (site VPN habilitado para BGP)

As regras de SNAT de entrada são aplicadas aos pacotes que entram no Azure por meio do gateway de VPN site a site da WAN Virtual. Nesse cenário, você deseja conectar duas filiais com VPN site a site ao Azure. O Site da VPN 1 se conecta por meio do Link A e o Site da VPN 2 se conecta por meio do Link B. Cada site tem o mesmo espaço de endereço 10.30.0.0/24.

Neste exemplo, aplicaremos NAT ao site1 para 172.30.0.0.0/24. As redes virtuais spoke da WAN Virtual e as outras filiais passarão a conhecer automaticamente este espaço de endereços pós-NAT.

O seguinte diagrama mostra o resultado projetado:

Diagrama mostrando o NAT do modo de entrada para os sites habilitados para BGP.

  1. Especifique uma regra NAT.

    Especifique uma regra de NAT para garantir que o gateway da VPN de site a site possa distinguir entre as duas filiais com espaços de endereços sobrepostos (como 10.30.0.0/24). Neste exemplo, nós nos concentramos no Link A para Site da VPN 1.

    A regra NAT a seguir pode ser configurada e associada ao Link A. Como essa é uma regra NAT estática, os espaços de endereço do Mapeamento interno e do Mapeamento externo contêm o mesmo número de endereços IP.

    • Nome: ingressRule01
    • Tipo: Estático
    • Modo: IngressSnat
    • Mapeamento interno: 10.30.0.0/24
    • External Mapping: 172.30.0.0/24
    • Conexão do link: Link A

  2. Defina Tradução de Rotas BGP como 'Habilitar'.

  3. Verifique se o gateway de VPN site a site pode emparelhar com o par BGP local.

    Neste exemplo, a Regra NAT de Entrada precisará converter 10.30.0.132 em 172.30.0.132. Para fazer isso, clique em 'Editar site VPN' para configurar o endereço BGP do Link A no site VPN de modo que reflita este endereço de par BGP traduzido (172.30.0.132).

    Captura de tela mostrando como alterar o IP de emparelhamento via protocolo BGP.

Considerações a serem feitas se o site VPN se conecta via BGP

  • O tamanho da sub-rede para os mapeamentos interno e externo deve ser o mesmo para NAT estática um para um.

  • Se a Tradução BGP estiver habilitada, o gateway de VPN site a site anunciará automaticamente o mapeamento externo das regras de NAT de saída para o ambiente local, bem como o mapeamento externo das regras de NAT de entrada para o Azure (hub da WAN Virtual, redes virtuais de spoke conectadas e VPN/ExpressRoute conectados). Se a Tradução BGP estiver desativada, as rotas traduzidas não serão anunciadas automaticamente para o ambiente local. Assim, o alto-falante BGP local precisa ser configurado para anunciar o intervalo pós-NAT (External Mapping) das regras NAT de Entrada associadas a essa conexão de link do site VPN. Da mesma forma, uma rota para o intervalo pós-NAT (External Mapping) das Regras de NAT de saída deve ser aplicada no dispositivo on-premises.

  • O gateway de VPN site-to-site traduz automaticamente o endereço IP do par BGP local se o endereço IP do par BGP local estiver contido no Internal Mapping de uma regra de NAT de entrada. Como resultado, o endereço BGP de Conexão de Link do site VPN precisa refletir o endereço convertido pela NAT (parte do Mapeamento Externo).

    Por exemplo, se o endereço IP do BGP local for 10.30.0.133 e houver uma Regra NAT de Entrada que converte 10.30.0.0/24 em 172.30.0.0/24, o Endereço do BGP de Conexão de Link do site VPN precisará ser configurado para ser o endereço convertido (172.30.0.133).

  • No NAT dinâmico, o IP do par de BGP local não pode fazer parte do intervalo de endereços anterior ao NAT (Internal Mapping), pois as conversões de IP e de porta não são corrigidas. Se houver a necessidade de converter o IP de emparelhamento via protocolo BGP local, crie uma Regra NAT estática separada que converte somente o endereço IP de emparelhamento via protocolo BGP.

    Por exemplo, se a rede local tiver um espaço de endereço de 10.0.0.0/24 com um IP de par BGP local de 10.0.0.1 e houver uma Regra de NAT Dinâmica de Entrada para traduzir 10.0.0.0/24 para 192.198.0.0/24, uma Regra NAT Estática de Entrada separada, traduzindo 10.0.0.1/32 para 192.168.0.1/32, é necessária, e o Endereço BGP de Conexão de Link do site VPN correspondente deve ser atualizado para o endereço traduzido por NAT (parte do Mapeamento Externo).

SNAT de entrada (site VPN com rotas configuradas estaticamente)

As regras de SNAT de entrada são aplicadas aos pacotes que entram no Azure por meio do gateway de VPN site a site do WAN Virtual. Nesse cenário, você deseja conectar duas filiais com VPN site-to-site ao Azure. O Site da VPN 1 se conecta por meio do Link A e o Site da VPN 2 se conecta por meio do Link B. Cada site tem o mesmo espaço de endereço 10.30.0.0/24.

Neste exemplo, faremos NAT do site 1 da VPN para 172.30.0.0.0/24. No entanto, como o site VPN não está conectado ao gateway de VPN site a site via BGP, as etapas de configuração são um pouco diferentes do exemplo habilitado para BGP.

Captura de tela mostrando as configurações de diagrama para os sites VPN que usam o roteamento estático.

  1. Especifique uma regra NAT.

    Especifique uma regra de NAT para garantir que o gateway da VPN site-to-site possa distinguir entre as duas filiais que usam o mesmo espaço de endereçamento 10.30.0.0/24. Neste exemplo, nós nos concentramos no Link A para Site da VPN 1.

    A regra NAT a seguir pode ser configurada e associada ao Link A de um dos sites VPN 1. Como essa é uma regra NAT estática, os espaços de endereço do Internal Mapping e do External Mapping contêm o mesmo número de endereços IP.

    • Nome: IngressRule01
    • Tipo: Estático
    • Modo: IngressSnat
    • Mapeamento interno: 10.30.0.0/24
    • Mapeamento externo: 172.30.0.0/24
    • Conexão de Link: Link A

  2. Edite o campo 'Espaço de Endereço Privado' de 'VPN Site 1' para garantir que o gateway da VPN site a site aprenda o intervalo pós-NAT (172.30.0.0/24).

    • Vá para o recurso de hub virtual que contém o gateway de VPN de site a site. Na página do hub virtual, em Conectividade, selecione VPN (site a site).

    • Selecione o site VPN conectado ao hub da Wan Virtual por meio do Link A. Selecione Editar Site e insira 172.30.0.0/24 como o espaço de endereço privado para o site VPN.

Considerações a serem feitas se os sites VPN estão configurados estaticamente (não conectados via BGP)

  • O tamanho da sub-rede para os mapeamentos interno e externo deve ser o mesmo para NAT estática um para um.
  • Edite o site da VPN no portal do Azure para adicionar os prefixos em Mapeamento Externo, em Regras de NAT de Entrada, no campo 'Espaço de Endereços Privados'.
  • Para configurações que envolvem Regras NAT de saída, uma política de rota ou uma rota estática com o mapeamento externo da regra NAT de saída deve ser aplicada no dispositivo local.

Fluxo de pacotes

Nos exemplos anteriores, um dispositivo local deseja acessar um recurso em uma rede virtual spoke. O fluxo de pacotes é mostrado a seguir, com as conversões NAT em negrito.

  1. O tráfego no ambiente local é iniciado.

    • Endereço IP de origem: 10.30.0.4
    • Endereço IP de destino: 10.200.0.4

  2. O tráfego entra no gateway site-to-site, é traduzido usando a regra de NAT e depois enviado para o Spoke.

    • Endereço IP de origem: 172.30.0.4
    • Endereço IP de destino: 10.200.0.4

  3. A resposta do Spoke foi iniciada.

    • Endereço IP de origem: 10.200.0.4
    • Endereço IP de destino: 172.30.0.4

  4. O tráfego entra no gateway de VPN site a site e a conversão é revertida e enviada para o local.

    • Endereço IP de origem: 10.200.0.4
    • Endereço IP de destino: 10.30.0.4

Verificações

Esta seção mostra as verificações usadas para ver se a configuração está definida corretamente.

Validar regras NAT dinâmicas

  • Use Regras NAT Dinâmicas se o pool de endereços de destino for menor que o pool de endereços original.

  • Como as combinações de IP/porta não são fixas em uma regra de NAT dinâmica, o IP do peer BGP no ambiente local não pode fazer parte da faixa de endereços pré-NAT (Internal Mapping). Crie uma regra de NAT estática específica que traduza apenas o endereço IP de emparelhamento BGP.

    Por exemplo:

    • Faixa de endereços local: 10.0.0.0/24
    • IP BGP local: 10.0.0.1
    • Regra NAT dinâmica de entrada: 192.168.0.1/32
    • Regra NAT estática de entrada: 10.0.0.1 –> 192.168.0.2

Validar DefaultRouteTable, regras e rotas

As filiais na WAN Virtual estão associadas à DefaultRouteTable, o que implica que todas as conexões de filiais aprendem as rotas presentes na DefaultRouteTable. Você verá a regra NAT com o prefixo traduzido na tabela de rotas efetivas da DefaultRouteTable.

No exemplo anterior:

  • Prefixo: 172.30.0.0/24
  • Tipo do Próximo Salto: VPN_S2S_Gateway
  • Próximo Salto: Recurso VPN_S2S_Gateway

Validar prefixos de endereço

Este exemplo se aplica aos recursos nas redes virtuais que estão associadas à DefaultRouteTable.

As Rotas efetivas nas NICs (Placas de adaptadores de rede) de qualquer máquina virtual que resida em uma rede virtual spoke conectada ao hub da Wan Virtual também devem conter os prefixos de endereço do Mapeamento externo especificado na Regra NAT de entrada.

O dispositivo local também deve conter as rotas para os prefixos contidos no External Mappling das Regras NAT de saída.

Padrões de configuração comuns

Observação

Não há suporte para NAT de site a site com conexões VPN de site a site que usam seletores de tráfego baseados em políticas.

A tabela a seguir mostra os padrões de configuração comuns que surgem na configuração de diferentes tipos de regras NAT no gateway de VPN site a site.

Tipo de site VPN Regras NAT de entrada Regras NAT de saída
VPN de site com rotas configuradas estaticamente Edite o 'Espaço de Endereço Privado' no site VPN para conter o External Mapping da regra NAT. Aplique rotas ao mapeamento externo da regra NAT no dispositivo local.
Site VPN (conversão via protocolo BGP habilitada) Insira o endereço External Mapping do peer BGP no endereço BGP da Conexão de Link do site VPN. Sem considerações especiais.
Site VPN (conversão via protocolo BGP desabilitada) Verifique se o roteador BGP local anuncia os prefixos no External Mapping da regra NAT. Insira também o endereço de mapeamento externo do peer BGP no endereço BGP da conexão de link do site VPN. Aplique rotas para o mapeamento externo da regra de NAT no dispositivo no ambiente local.

Próximas etapas

Para obter mais informações sobre as configurações de site a site, confira Configurar uma conexão site a site da WAN Virtual.

  • Last updated on