EN ESTA PÁGINA
SNAT en enrutadores de la serie MX que actúan como puertas de enlace de centro de datos
Cómo habilitar SNAT en un enrutador de la serie MX mediante Contrail Command
Uso de la interfaz de usuario web para configurar enrutadores con SNAT
Uso de la interfaz de usuario web para configurar SNAT distribuido
Traducción de direcciones de red de origen (SNAT)
Visión general
La traducción de direcciones de red de origen (source-nat o SNAT) permite que el tráfico de una red privada salga a Internet. Las máquinas virtuales lanzadas en una red privada pueden llegar a Internet pasando por una puerta de enlace capaz de realizar SNAT. La puerta de enlace tiene un brazo en la red pública y, como parte de SNAT, reemplaza la IP de origen del paquete de origen con su propia IP del lado público. Como parte de SNAT, el puerto de origen también se actualiza para que varias máquinas virtuales puedan llegar a la red pública a través de una sola puerta de enlace IP pública.
El siguiente diagrama muestra una red virtual con la subred privada de 10.1.1.0/24. La ruta predeterminada para la red virtual apunta a la puerta de enlace SNAT. La puerta de enlace reemplaza la ip de origen de 10.1.1.0/24 y utiliza su dirección pública 172.21.1.1 para los paquetes de salida. Para mantener sesiones TDR únicas, también es necesario reemplazar el puerto de origen del tráfico.
privada
SNAT en enrutadores de la serie MX que actúan como puertas de enlace de centro de datos
A partir de Contrail Networking versión 2011.L1, puede habilitar SNAT en enrutadores serie MX mediante tarjetas de línea MS-MPC cuando el enrutador de la serie MX funciona en el rol de DC-Gateway estructura. Consulte Plataformas de hardware compatibles con Contrail Networking y roles asociados y perfiles de nodo para obtener una lista de enrutadores serie MX que admiten o DC-Gateway cualquier otro rol de estructura.
Cuando SNAT está habilitado en el enrutador de la serie MX, se puede utilizar para traducir direcciones IP de origen desde interfaces físicas en servidores sin sistema operativo y desde interfaces virtuales en máquinas virtuales. SNAT solo puede traducir las direcciones IP del tráfico de origen que sale de la estructura; no se puede utilizar para traducir direcciones IP para el tráfico que entra en la estructura.
Para obtener más información sobre SNAT en enrutadores serie MX, consulte Descripción general de la traducción de direcciones de red.
Cómo habilitar SNAT en un enrutador de la serie MX mediante Contrail Command
Para habilitar SNAT en un enrutador de la serie MX desde Contrail Command:
API de Neutron para enrutadores
OpenStack admite la implementación de puerta de enlace SNAT a través de sus API de Neutron para enrutadores. El indicador SNAT se puede habilitar o deshabilitar en la puerta de enlace externa del enrutador. El valor predeterminado es True (habilitado).
El complemento Tungsten Fabric es compatible con las API de Neutron para enrutadores y crea los objetos de plantilla de servicio y de instancia de servicio relevantes en el servidor DE API. El programador de servicios de Tungsten Fabric crea una instancia de la puerta de enlace en un enrutador virtual seleccionado aleatoriamente. Tungsten Fabric utiliza el espacio de nombres de red para admitir esta función.
Configuración de ejemplo: SNAT para Contrail
La función SNAT se habilita en Tungsten Fabric a través de llamadas a la API de Neutron.
En el siguiente ejemplo de configuración se muestra cómo crear una red de prueba y una red pública, lo que permite que la red de prueba llegue al dominio público a través de la puerta de enlace SNAT.
Espacio de nombres de red
Configurar la puerta de enlace externa es el disparador para que Tungsten Fabric configure el espacio de nombres de red Linux para SNAT.
El espacio de nombres de red se puede borrar emitiendo el siguiente comando Neutron:
neutron router-gateway-clear r1
SNAT y grupos de seguridad
Cuando un enrutador lógico está habilitado para admitir SNAT, el grupo de seguridad predeterminado se aplica automáticamente a la interfaz SNAT izquierda. Esta aplicación automática del grupo de seguridad predeterminado permite que la máquina virtual envíe y reciba tráfico sin configuración de usuario adicional cuando las máquinas virtuales interconectadas utilizan el grupo de seguridad predeterminado. Sin embargo, se requiere una configuración adicional para enviar y recibir tráfico cuando la máquina virtual está conectada a máquinas virtuales que no utilizan el grupo de seguridad predeterminado.
Si va a conectar la máquina virtual a una máquina virtual que no utilice el grupo de seguridad predeterminado, debe realizar una de las siguientes actualizaciones de configuración para permitir que la máquina virtual pase tráfico:
actualizar el grupo de seguridad predeterminado para agregar reglas que permitan el tráfico de vm.
actualizar las reglas al grupo de seguridad de VM para permitir el tráfico del grupo de seguridad predeterminado.
aplicar el mismo grupo de seguridad a la máquina virtual y a la interfaz izquierda del SNAT.
Para obtener más información sobre cómo configurar grupos de seguridad en entornos con Contrail Networking, consulte Uso de grupos de seguridad con instancias de máquinas virtuales.
Uso de la interfaz de usuario web para configurar enrutadores con SNAT
Puede usar la interfaz de usuario de Contrail para configurar enrutadores para SNAT y para comprobar el estado de SNAT de los enrutadores.
Para habilitar SNAT para un enrutador, vaya a Configurar > enrutadores > de redes. En la lista de enrutadores, seleccione el enrutador para el que se debe habilitar SNAT. Haga clic en Editar engranaje para mostrar la ventana Editar enrutadores . Haga clic en la casilla de verificación para SNAT para habilitar SNAT en el enrutador.
A continuación, se muestra un enrutador para el que se ha habilitado SNAT.
Cuando se ha habilitado un enrutador para SNAT, se puede ver la configuración seleccionando Configurar > Redes > enrutadores. En la lista de enrutadores, haga clic en Abrir el enrutador de interés. En la lista de características de ese enrutador, se muestra el estado de SNAT. A continuación se muestra un enrutador que se abrió en la lista. El estado del enrutador muestra que SNAT está habilitado.
Puede ver el estado en tiempo real de un enrutador con SNAT viendo la consola de instancia, como se muestra a continuación.
Uso de la interfaz de usuario web para configurar SNAT distribuido
La función SNAT distribuida permite que las máquinas virtuales se comuniquen con la red de estructura IP mediante la infraestructura de reenvío existente para la conectividad del nodo de computación. Esta funcionalidad se logra mediante la traducción de direcciones de puerto del tráfico de máquina virtual mediante el uso de la dirección IP del nodo de computación como dirección pública.
Se admite el siguiente caso de uso de SNAT distribuido:
Las redes virtuales con SNAT distribuido habilitado pueden comunicarse con la red de estructura IP. La sesión debe iniciarse desde una máquina virtual. No se admiten las sesiones iniciadas desde la red externa.
El SNAT distribuido solo se admite para TCP y UDP, y puede configurar rangos de puerto discretos para ambos protocolos.
Se utiliza un conjunto de puertos para SNAT distribuido. Para crear un conjunto de puertos, vaya a Configurar infraestructura > > configuración global. A continuación, se muestra un ejemplo de un intervalo de puertos utilizado para la traducción de direcciones de puerto.
de reenvío
Para usar SNAT distribuido, debe habilitar SNAT en la red virtual. Para habilitar SNAT en la red virtual, vaya a Configurar redes > > redes. A continuación se muestra una red virtual para la que SNAT se ha habilitado en Opciones avanzadas.
