Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

NATcas d'utilisation de la passerelle

Voici des exemples de cas d'utilisation pour les NAT passerelles publiques et privées.

Accéder à Internet à partir d'un sous-réseau privé

Vous pouvez utiliser une NAT passerelle publique pour permettre aux instances d'un sous-réseau privé d'envoyer du trafic sortant vers Internet, tout en empêchant Internet d'établir des connexions avec les instances.

Présentation

Le diagramme suivant illustre ce cas d'utilisation. Il existe deux zones de disponibilité, avec deux sous-réseaux dans chaque zone de disponibilité. La table de routage de chaque sous-réseau détermine la manière dont le trafic est acheminé. Dans la zone de disponibilité A, les instances du sous-réseau public peuvent accéder à Internet via un acheminement vers la passerelle Internet, tandis que les instances du sous-réseau privé n'ont aucun acheminement vers Internet. Dans la zone de disponibilité B, le sous-réseau public contient une NAT passerelle, et les instances du sous-réseau privé peuvent accéder à Internet via une route menant à la NAT passerelle du sous-réseau public. Les NAT passerelles privées et publiques mappent l'IPv4adresse privée source des instances à l'IPv4adresse privée de la NAT passerelle privée, mais dans le cas d'une NAT passerelle publique, la passerelle Internet mappe ensuite l'IPv4adresse privée de la NAT passerelle publique à l'adresse IP élastique associée à la NAT passerelle. Lorsque vous envoyez du trafic de réponse aux instances, qu'il s'agisse d'une NAT passerelle publique ou privée, la NAT passerelle traduit l'adresse en adresse IP source d'origine.

Notez que si les instances du sous-réseau privé de la zone de disponibilité A doivent également accéder à Internet, vous pouvez créer une route entre ce sous-réseau et la NAT passerelle de la zone de disponibilité B. Vous pouvez également améliorer la résilience en créant une NAT passerelle dans chaque zone de disponibilité contenant des ressources nécessitant un accès Internet. Pour obtenir un exemple de diagramme, consultez Exemple : VPC avec des serveurs dans des sous-réseaux privés et NAT.

Routage

Voici la table de routage associée au sous-réseau public dans la zone de disponibilité A. La première entrée est la route locale ; elle permet aux instances du sous-réseau de communiquer avec d'autres instances en VPC utilisant des adresses IP privées. La deuxième entrée envoie tout le reste du trafic de sous-réseau à la passerelle Internet, ce qui permet aux instances du sous-réseau d'accéder à Internet.

Voici la table de routage associée au sous-réseau privé dans la zone de disponibilité A. L'entrée est la route locale, qui permet aux instances du sous-réseau de communiquer avec d'autres instances VPC utilisant des adresses IP privées. Les instances de ce sous-réseau n'ont pas accès à Internet.

Voici la table de routage associée au sous-réseau public dans la zone de disponibilité B. La première entrée est la route locale, qui permet aux instances du sous-réseau de communiquer avec d'autres instances en VPC utilisant des adresses IP privées. La deuxième entrée envoie tout le reste du trafic du sous-réseau à la passerelle Internet, ce qui permet à la NAT passerelle du sous-réseau d'accéder à Internet.

Voici la table de routage associée au sous-réseau privé dans la zone de disponibilité B. La première entrée est la route locale ; elle permet aux instances du sous-réseau de communiquer avec d'autres instances en VPC utilisant des adresses IP privées. La deuxième entrée envoie tout le reste du trafic de sous-réseau à la NAT passerelle.

Pour de plus amples informations, veuillez consulter Modifier une table de routage de sous-réseau.

Testez la NAT passerelle publique

Après avoir créé votre NAT passerelle et mis à jour vos tables de routage, vous pouvez envoyer un ping à des adresses distantes sur Internet à partir d'une instance de votre sous-réseau privé pour vérifier si elle peut se connecter à Internet. Pour obtenir un exemple montrant la façon de procéder, consultez Tester la connexion Internet.

Si vous pouvez vous connecter à Internet, vous pouvez également vérifier si le trafic Internet est acheminé via la NAT passerelle :

Si ces tests échouent, veuillez consulter Résoudre les problèmes des passerelles NAT.

Tester la connexion Internet

L'exemple suivant montre comment tester si une instance dans un sous-réseau privé peut se connecter à Internet.

Pour configurer le transfert d'SSHagent pour Windows

Vous pouvez utiliser le SSH client Open disponible sous Windows ou installer votre SSH client préféré (par exemple, PuTTY).

OpenSSH

Installez Open SSH pour Windows comme décrit dans cet article : Premiers pas avec Open SSH pour Windows. Ajoutez ensuite votre clé à l'agent d'authentification. Pour plus d'informations, voir Authentification basée sur des clés dans Open SSH pour Windows.

PuTTY

1. Téléchargez et installez Pageant depuis la page de TTY téléchargement de Pu, s'il n'est pas déjà installé.

2. Convertissez votre clé privée au format .ppk. Pour plus d'informations, consultez la section Conversion de votre clé privée à l'aide de P uTTYgen dans le guide de EC2 l'utilisateur Amazon.

3. Démarrez Pageant, cliquez avec le bouton droit sur l'icône Pageant de la barre des tâches (il peut être masqué) et choisissez Add Key. Sélectionnez le fichier .ppk que vous avez créé, entrez la phrase secrète si nécessaire, puis choisissez Ouvrir.

4. Démarrez une TTY session Pu et connectez-vous à votre instance dans le sous-réseau public à l'aide de son adresse IP publique. Pour de plus ample informations, veuillez consulter Connexion à votre instance Linux. Dans la catégorie Auth, assurez-vous d'avoir sélectionné l'option Allow agent forwarding, puis laissez la zone Private key file for authentication vide.

Accédez à votre réseau à l'aide d'adresses IP autorisées

Vous pouvez utiliser une NAT passerelle privée pour permettre la communication entre votre réseau local et votre réseau local VPCs à l'aide d'un pool d'adresses autorisées. Au lieu d'attribuer à chaque instance une adresse IP distincte de la plage d'adresses IP autorisée, vous pouvez acheminer le trafic depuis le sous-réseau destiné au réseau local via une NAT passerelle privée avec une adresse IP issue de la plage d'adresses IP répertoriée comme autorisée.

Présentation

Le schéma suivant montre comment les instances peuvent accéder aux ressources locales via AWS VPN. Le trafic provenant des instances est acheminé vers une passerelle privée virtuelle, via la VPN connexion, vers la passerelle client, puis vers la destination dans le réseau local. Cependant, supposons que la destination n'autorise le trafic qu'à partir d'une plage d'adresses IP spécifique, telle que 100.64.1.0/28. Cela empêcherait le trafic de ces instances d'atteindre le réseau sur site.

Le schéma suivant illustre les principaux composants pour la configuration de ce scénario. VPCpossède sa plage d'adresses IP d'origine plus la plage d'adresses IP autorisée. VPCPossède un sous-réseau à partir de la plage d'adresses IP autorisée avec une NAT passerelle privée. Le trafic provenant des instances destiné au réseau local est envoyé à la NAT passerelle avant d'être acheminé vers la VPN connexion. Le réseau local reçoit le trafic des instances dont l'adresse IP source de la NAT passerelle est comprise dans la plage d'adresses IP autorisée.

Ressources

Créez ou mettez à jour des ressources comme suit :

Routage

Voici la table de routage associée au premier sous-réseau. Il existe un itinéraire local pour chacun d'entre eux VPCCIDR. Les routes locales permettent aux ressources du sous-réseau de communiquer avec d'autres ressources en VPC utilisant des adresses IP privées. La troisième entrée envoie le trafic destiné au réseau local vers la NAT passerelle privée.

Voici la table de routage associée au deuxième sous-réseau. Il existe un itinéraire local pour chacun d'entre eux VPCCIDR. Les routes locales permettent aux ressources du sous-réseau de communiquer avec d'autres ressources en VPC utilisant des adresses IP privées. La troisième entrée envoie le trafic destiné au réseau sur site à la passerelle réseau privé virtuel.

Activer la communication entre des réseaux qui se chevauchent

Vous pouvez utiliser une NAT passerelle privée pour permettre la communication entre les réseaux, même si leurs CIDR plages se chevauchent. Supposons, par exemple, que les instances de VPC A aient besoin d'accéder aux services fournis par les instances de VPC B.

Présentation

Le schéma suivant illustre les principaux composants pour la configuration de ce scénario. Tout d'abord, votre équipe de gestion des adresses IP détermine quelles plages d'adresses peuvent se chevaucher (plages d'adresses non routables) et lesquelles ne le peuvent pas (plages d'adresses routables). L'équipe de gestion des adresses IP alloue des plages d'adresses du groupe de plages d'adresses routables aux projets à la demande.

Chacune VPC possède sa plage d'adresses IP d'origine, qui n'est pas routable, ainsi que la plage d'adresses IP routables qui lui a été attribuée par l'équipe de gestion IP. VPCA possède un sous-réseau de sa plage routable avec une passerelle privéeNAT. La NAT passerelle privée obtient son adresse IP à partir de son sous-réseau. VPCB possède un sous-réseau dans sa plage routable avec un Application Load Balancer. L'Application Load Balancer obtient ses adresses IP à partir de ses sous-réseaux.

Le trafic provenant d'une instance du sous-réseau non routable de VPC A qui est destiné aux instances du sous-réseau non routable de VPC B est envoyé via la NAT passerelle privée puis routé vers la passerelle de transit. La passerelle de transit envoie le trafic à l'Application Load Balancer, qui achemine le trafic vers l'une des instances cibles du sous-réseau non routable de VPC B. Le trafic de la passerelle de transit vers l'Application Load Balancer possède l'adresse IP source de la passerelle privée. NAT Par conséquent, le trafic de réponse provenant de l'équilibreur de charge utilise l'adresse de la NAT passerelle privée comme destination. Le trafic de réponse est envoyé à la passerelle de transit puis routé vers la NAT passerelle privée, qui traduit la destination vers l'instance dans le sous-réseau non routable de A. VPC

Ressources

Créez ou mettez à jour des ressources comme suit :

Routage

Voici la table de routage pour le sous-réseau non routable dans A. VPC

Voici la table de routage pour le sous-réseau routable dans A. VPC

Voici la table de routage pour le sous-réseau non routable dans B. VPC

Voici la table de routage pour le sous-réseau routable dans B. VPC

Voici la table de routage de passerelle de transit.