Configurar regras de NAT para o seu gateway de VPN da WAN Virtual

Pode configurar o seu gateway VPN WAN Virtual com regras NAT estáticas ou dinâmicas. Uma regra NAT traduz endereços IP para que possas ligar duas redes IP que têm endereços IP incompatíveis ou sobrepostos. O NAT estático utiliza um mapeamento fixo de endereços um-para-um, enquanto o NAT dinâmico atribui um endereço IP alvo e uma porta com base na disponibilidade. Este método permite que um alcance interno maior partilhe um alcance externo menor. Um cenário típico são ramificações com IPs sobrepostos que desejam acessar recursos de VNet do Azure.

Essa configuração usa uma tabela de fluxo para rotear o tráfego de um endereço IP externo (host) para um endereço IP interno associado a um ponto de extremidade dentro de uma rede virtual (máquina virtual, computador, contêiner, etc.).

Para utilizar NAT, os dispositivos VPN têm de usar seletores de tráfego universais. Os seletores de tráfego baseados em políticas (restritos) não são suportados em conjunto com a configuração de NAT.

Configurar regras NAT

Você pode configurar e visualizar regras NAT nas configurações do seu gateway VPN a qualquer momento.

Tipo de NAT: estático & dinâmico

O NAT em um dispositivo gateway traduz os endereços IP de origem e/ou destino, com base nas políticas ou regras de NAT para evitar conflitos de endereço. Existem diferentes tipos de regras de tradução NAT:

• ANT estático: as regras estáticas definem uma relação de mapeamento de endereço fixo. Para um determinado endereço IP, este será sempre associado ao mesmo endereço do grupo de endereços de destino. Os mapeamentos para regras estáticas são sem estado porque o mapeamento é fixo. Por exemplo, uma regra NAT criada para mapear 10.0.0.0/24 a 192.168.0.0/24 terá um mapeamento fixo de 1-1. 10.0.0.0 é traduzido para 192.168.0.0, 10.0.0.1 é traduzido para 192.168.0.1 e assim por diante.

• AT dinâmico: Para NAT dinâmico, um endereço IP pode ser convertido para diferentes endereços IP de destino e porta TCP/UDP com base na disponibilidade, ou com uma combinação diferente de endereço IP e porta TCP/UDP. Este último também é chamado de NAPT, Network Address and Port Translation. As regras dinâmicas dão origem a mapeamentos de tradução com estado, dependendo dos fluxos de tráfego em determinado momento. Devido à natureza do NAT dinâmico e às combinações IP/porta em constante mudança, os fluxos que fazem uso de regras NAT dinâmicas têm que ser iniciados a partir do intervalo de IP de mapeamento interno (pré-NAT). O mapeamento dinâmico é liberado assim que o fluxo é desconectado ou terminado normalmente.

Outra consideração é o tamanho do pool de endereços para tradução. Se o tamanho do pool de endereços de destino for o mesmo que o pool de endereços original, use a regra NAT estática para definir um mapeamento 1:1 em uma ordem sequencial. Se o pool de endereços de destino for menor do que o pool de endereços original, use a regra NAT dinâmica para acomodar as diferenças.

1. Navegue para o hub virtual.

2. Selecione VPN (site-to-site).

3. Selecione Regras NAT (Editar).

4. Na página Editar Regra NAT, você pode Adicionar/Editar/Excluir uma regra NAT usando os seguintes valores:

   • Nome: um nome exclusivo para sua regra NAT.
   • Tipo: Estático ou Dinâmico. O NAT estático um-para-um estabelece uma relação um-para-um entre um endereço interno e um endereço externo, enquanto o NAT dinâmico atribui um IP e uma porta com base na disponibilidade.
   • ID de configuração IP: uma regra NAT deve ser configurada para uma instância específica do gateway VPN. Isto aplica-se apenas ao NAT dinâmico. As regras NAT estáticas são aplicadas automaticamente a ambas as instâncias do gateway VPN.
   • Modo: IngressSnat ou EgressSnat.
     • O modo IngressSnat (também conhecido como NAT de origem de ingresso) é aplicável ao tráfego que entra no gateway de VPN site a site do hub do Azure.
     • O modo EgressSnat (também conhecido como NAT de origem de saída) é aplicável ao tráfego que sai do gateway de VPN site a site do hub do Azure.
   • Mapeamento interno: um intervalo de prefixos de endereços IP de origem da rede interna que será mapeado para um conjunto de endereços IP externos. Em outras palavras, seu intervalo de prefixo de endereço pré-NAT.
   • Mapeamento externo: um intervalo de prefixos de endereço de IPs de destino na rede externa para o qual os IPs de origem serão mapeados. Em outras palavras, seu intervalo de prefixo de endereço pós-NAT.
   • Ligação: Recurso de ligação que liga virtualmente um site de VPN ao gateway de VPN site-to-site do hub do WAN Virtual do Azure.

Configurações de exemplo

Ingress SNAT (site VPN habilitado para BGP)

Regras SNAT de entrada são aplicadas a pacotes que entram no Azure através do gateway de VPN site-to-site da WAN Virtual. Nesse cenário, você deseja conectar duas ramificações VPN site a site ao Azure. O Site VPN 1 se conecta via Link A e o Site VPN 2 se conecta via Link B. Cada site tem o mesmo espaço de endereço 10.30.0.0/24.

Neste exemplo, vamos fazer NAT ao site1 para 172.30.0.0.0/24. As outras redes virtuais spoke e filiais da WAN Virtual irão aprender automaticamente este espaço de endereços pós-NAT.

O diagrama a seguir mostra o resultado projetado:

1. Especifique uma regra NAT.

   Especifique uma regra NAT para garantir que o gateway VPN site a site possa distinguir entre as duas ramificações com espaços de endereço sobrepostos (como 10.30.0.0/24). Neste exemplo, nos concentramos no Link A para o Site VPN 1.

   A regra NAT a seguir pode ser configurada e associada ao Link A. Como esta é uma regra NAT estática, os espaços de endereço do Mapeamento Interno e do Mapeamento Externo contêm o mesmo número de endereços IP.

   • Nome: ingressRule01
   • Tipo: Estático
   • Modalidade: IngressSnat
   • Mapeamento interno: 10.30.0.0/24
   • Mapeamento externo: 172.30.0.0/24
   • Conexão de link: Link A

2. Defina Tradução de rotas BGP para 'Ativar'.

3. Certifique-se de que o gateway de VPN site-to-site consegue estabelecer emparelhamento com o vizinho BGP no local.

   Neste exemplo, a Regra NAT de Ingresso precisará traduzir 10.30.0.132 para 172.30.0.132. Para fazer isso, clique em 'Editar site VPN' para configurar o endereço BGP Link A do site VPN para refletir esse endereço de mesmo nível BGP traduzido (172.30.0.132).

   

Considerações se o site VPN se conectar via BGP

• O tamanho da sub-rede para mapeamento interno e externo deve ser o mesmo para NAT estático um-para-um.

• Se a Tradução BGP estiver ativada, o gateway de VPN site-to-site anunciará automaticamente o Mapeamento Externo das regras de NAT de saída para as instalações locais, bem como o Mapeamento Externo das regras de NAT de entrada para o Azure (hub de WAN virtual, redes virtuais spoke ligadas e VPN/ExpressRoute ligadas). Se a Tradução BGP estiver desativada, as rotas traduzidas não são anunciadas automaticamente para as instalações locais. Como tal, o router BGP no local tem de ser configurado para anunciar o intervalo pós-NAT (Mapeamento Externo) das regras de NAT de Ingresso associadas a essa ligação de site VPN. Da mesma forma, deve ser aplicada uma rota para o intervalo pós-NAT (Mapeamento Externo) das Regras NAT de Saída no dispositivo no local.

• O gateway de VPN site-to-site traduz automaticamente o endereço IP do peer BGP no local se o endereço IP do peer BGP no local estiver contido no Mapeamento Interno de uma Regra NAT de Entrada. Como resultado, o endereço BGP da Ligação do site VPN deve refletir o endereço resultante da tradução NAT (parte do Mapeamento Externo).

  Por exemplo, se o endereço IP BGP local for 10.30.0.133 e houver uma Regra NAT de Ingresso que traduza 10.30.0.0/24 para 172.30.0.0/24, o Endereço BGP de Conexão de Link do site VPN deverá ser configurado para ser o endereço traduzido (172.30.0.133).

• No NAT dinâmico, o IP do peer BGP no local não pode fazer parte do intervalo de endereços pré-NAT (Mapeamento Interno), pois as traduções de IP e porta não são fixas. Se houver necessidade de traduzir o IP de emparelhamento BGP local, crie uma Regra NAT estática separada que traduza apenas o endereço IP de emparelhamento BGP.

  Por exemplo, se a rede local tiver um espaço de endereço de 10.0.0.0/24 com um IP de peer BGP local de 10.0.0.1 e houver uma Regra NAT Dinâmica de Ingresso para traduzir 10.0.0.0/24 para 192.198.0.0/24, uma Regra NAT Estática de Ingresso separada traduzindo 10.0.0.1/32 para 192.168.0.1/32 e o endereço BGP de Conexão de Link do site VPN correspondente deverá ser atualizado para o endereço traduzido por NAT (parte do Mapeamento Externo).

Ingress SNAT (site VPN com rotas configuradas estaticamente)

As regras SNAT de entrada são aplicadas aos pacotes que entram no Azure através do gateway VPN site-to-site da WAN Virtual. Nesse cenário, você deseja conectar duas ramificações VPN site a site ao Azure. O Site VPN 1 se conecta via Link A e o Site VPN 2 se conecta via Link B. Cada site tem o mesmo espaço de endereço 10.30.0.0/24.

Neste exemplo, vamos fazer NAT à VPN do site 1 para a rede 172.30.0.0.0/24. No entanto, como o site VPN não está ligado ao gateway de VPN site-to-site através de BGP, as etapas de configuração são ligeiramente diferentes das do exemplo com BGP ativado.

1. Especifique uma regra NAT.

   Especifique uma regra NAT para garantir que o gateway VPN site a site possa distinguir entre as duas ramificações com o mesmo espaço de endereço 10.30.0.0/24. Neste exemplo, nos concentramos no Link A para o Site VPN 1.

   A seguinte regra NAT pode ser configurada e associada ao Link A de um dos sites VPN 1. Como esta é uma regra NAT estática, os espaços de endereço do Mapeamento Interno e do Mapeamento Externo contêm o mesmo número de endereços IP.

   • Nome: IngressRule01
   • Tipo: Estático
   • Modalidade: IngressSnat
   • Mapeamento interno: 10.30.0.0/24
   • Mapeamento externo: 172.30.0.0/24
   • Ligação: Link A

2. Edite o campo 'Espaço de endereços privados' do Site 1 da VPN para garantir que o gateway de VPN site-to-site reconheça o intervalo de endereços pós-NAT (172.30.0.0/24).

   • Aceda ao recurso do hub virtual que contém o gateway de VPN site a site. Na página do hub virtual, em Conectividade, selecione VPN (Site a site).

   • Selecione o site VPN que está conectado ao hub WAN Virtual via Link A. Selecione Editar Site e insira 172.30.0.0/24 como o espaço de endereço privado para o site VPN.

Considerações se os sites VPN estiverem configurados estaticamente (não conectados via BGP)

• O tamanho da sub-rede para mapeamento interno e externo deve ser o mesmo para NAT estático um-para-um.
• Edite o site de VPN no portal do Azure para adicionar os prefixos no Mapeamento Externo das Regras NAT de Entrada no campo 'Espaço de Endereços Privados'.
• Para configurações que envolvem Regras NAT de saída, tem de ser aplicada uma política de rota ou rota estática com o Mapeamento Externo da regra NAT de saída no dispositivo no local.

Fluxo de pacotes

Nos exemplos anteriores, um dispositivo local deseja alcançar um recurso em uma rede virtual falada. O fluxo de pacotes é o seguinte, com as traduções NAT em negrito.

1. O tráfego a partir das instalações locais é iniciado.

   • Endereço IP de origem: 10.30.0.4
   • Endereço IP de destino: 10.200.0.4

2. O tráfego entra no gateway site a site e é traduzido usando a regra NAT e, em seguida, enviado para o Spoke.

   • Endereço IP de origem: 172.30.0.4
   • Endereço IP de destino: 10.200.0.4

3. Foi iniciada uma resposta do Spoke.

   • Endereço IP de origem: 10.200.0.4
   • Endereço IP de destino: 172.30.0.4

4. O tráfego entra no gateway de VPN site a site e a tradução é revertida e enviada para o local.

   • Endereço IP de origem: 10.200.0.4
   • Endereço IP de destino: 10.30.0.4

Verificações

Esta seção mostra verificações para verificar se sua configuração está configurada corretamente.

Validar regras NAT dinâmicas

• Use Regras NAT Dinâmicas se o pool de endereços de destino for menor que o pool de endereços original.

• Como as combinações IP/Porta não são fixadas em uma Regra NAT Dinâmica, o IP de Peer BGP local não pode fazer parte do intervalo de endereços pré-NAT (Mapeamento Interno). Crie uma regra NAT estática específica que traduza apenas o endereço IP de emparelhamento BGP.

  Por exemplo:

  • Intervalo de endereços no local: 10.0.0.0/24
  • IP BGP local: 10.0.0.1
  • Regra NAT dinâmica de ingresso: 192.168.0.1/32
  • Regra NAT estático de ingresso: 10.0.0.1 -> 192.168.0.2

Validar DefaultRouteTable, regras e rotas

As ramificações na WAN Virtual associam-se à DefaultRouteTable, implicando que todas as conexões de ramificação aprendem rotas que são preenchidas dentro da DefaultRouteTable. Verá a regra NAT com o prefixo traduzido nas rotas em vigor da DefaultRouteTable.

Do exemplo anterior:

• Prefixo: 172.30.0.0/24
• Tipo de próximo salto: VPN_S2S_Gateway
• Próximo Salto: recurso VPN_S2S_Gateway

Validar prefixos de endereço

Este exemplo se aplica a recursos em redes virtuais associados ao DefaultRouteTable.

As Rotas Efetivas nas Placas de Interface de Rede (NIC) de qualquer máquina virtual que se encontre numa rede virtual spoke ligada ao hub WAN virtual também devem incluir os prefixos de endereço do Mapeamento Externo especificado na regra de NAT de Entrada.

O dispositivo local também deve conter rotas para prefixos contidos no mapeamento externo das regras NAT de saída.

Padrões de configuração comuns

A tabela a seguir mostra padrões de configuração comuns que surgem ao configurar diferentes tipos de regras NAT no gateway VPN site a site.

Próximos passos

Para obter mais informações sobre configurações site a site, consulte Configurar uma conexão site a site da WAN virtual.