Wolkran NAT-yhdyskäytävä antaa yksityisverkon palvelimille lähtevän internetyhteyden, vaikka niillä ei ole omaa julkista IP-osoitetta. Yksityiset palvelimet voivat hakea päivityksiä ja kutsua ulkoisia API-rajapintoja, eikä kukaan internetissä voi avata yhteyttä niihin.
Ongelma, jonka NAT-yhdyskäytävä ratkaisee
Tietokantojen, taustaprosessien ja sisäisten palveluiden sijoittaminen yksityisverkkoon ilman julkista osoitetta on vahva tietoturvavalinta. Nämäkin palvelimet tarvitsevat kuitenkin internetiä aika ajoin: pakettipäivityksiä, konttikuvia, ajan synkronointia, maksu- ja sähköposti-API:ita sekä webhookeja muihin palveluihin.
Ilman yhdyskäytävää tavallinen kiertotie on antaa jokaiselle palvelimelle julkinen IP-osoite "vain päivityksiä varten", mikä tuo takaisin juuri sen altistumisen, jota halusit välttää. NAT-yhdyskäytävä poistaa tämän kompromissin.
Miten se toimii
NAT-yhdyskäytävä sijaitsee yksityisverkkosi reunalla yhdellä julkisella osoitteella. Kun yksityinen palvelin avaa yhteyden internetiin, yhdyskäytävä muuntaa yksityisen lähdeosoitteen omaksi julkiseksi osoitteekseen ja pitää kirjaa yhteydestä, jotta vastaukset löytävät perille. Internetistä alkavilla yhteyksillä ei ole vastaavaa merkintää, eikä niitä välitetä.
Lyhyesti:
- Lähtevä: sallittu jokaiselle verkon palvelimelle, joka reitittää yhdyskäytävän kautta
- Vastaukset: sallittu, koska yhdyskäytävä seuraa jokaista yhteyttä
- Pyytämätön saapuva: ei välitetä
Kaikki yksityisten palvelimiesi lähtevä liikenne näyttää tulevan yhdyskäytävän julkisesta osoitteesta. Siitä on hyötyä, kun ulkoinen palvelu pyytää sinua lisäämään yhden osoitteen sallittujen listalle.
Käyttöönotto konsolissa
- Luo yksityisverkko omalla IP-osoitealueellasi tai avaa olemassa oleva.
- Valitse verkossa Lisää NAT-yhdyskäytävä.
- Luo verkkoon palvelimia niin, että julkinen IPv4 ja IPv6 ovat pois päältä.
- Palvelimet tavoittavat internetin yhdyskäytävän kautta. Testaa se pakettipäivityksellä.
Yksityisverkkojen dokumentaatiossa on kokonainen esimerkki, jossa on sovelluspalvelin, tietokanta ja NAT-yhdyskäytävä.
API:n käyttö
NAT-yhdyskäytäviä voi luoda, listata ja poistaa Wolkran API:n kautta projektikohtaisella tunnisteella. Tiimit, jotka luovat uuden ympäristön jokaiselle haaralle tai asiakkaalle, skriptaavat yleensä verkon, yhdyskäytävän ja palvelimet yhdessä. Composerissa voit sijoittaa NAT-yhdyskäytävän pohjalle ja nähdä, mitä se lisää kuukausikustannuksiin, ennen kuin otat sen käyttöön.
NAT-yhdyskäytävä, Elastic IP vai kuormantasaaja?
Nämä kolme esiintyvät usein yhdessä. Kukin hoitaa eri suuntaan kulkevaa liikennettä.
| Tarve | Käytä |
|---|---|
| Yksityisten palvelimien on tavoitettava internet | NAT-yhdyskäytävä |
| Yhden yksityisen palvelimen on oltava tavoitettavissa omalla julkisella IP-osoitteellaan | Elastic IP |
| Usean yksityisen palvelimen on jaettava saapuva verkkoliikenne | Kuormantasaaja |
Yleinen tuotantoarkkitehtuuri käyttää kuormantasaajaa saapuvalle liikenteelle ja NAT-yhdyskäytävää lähtevälle liikenteelle, ja kaikki sovellus- ja tietokantapalvelimet ovat yksityisiä.
Tyypillisiä käyttökohteita
- SaaS-taustajärjestelmän sovelluspalvelimet ja taustaprosessit, jotka vain ottavat yhteyttä ulos
- Tietokannat, jotka tarvitsevat päivityksiä mutta eivät saa koskaan olla julkisia
- CI-ajurit, jotka hakevat koodia ja levykuvia mutta eivät ota vastaan yhteyksiä
- Automaatioiden taustaprosessit, jotka kutsuvat ulkoisia API-rajapintoja yhdestä tunnetusta osoitteesta
Tietoturvahuomioita
NAT-yhdyskäytävä ei yksinään ole täydellinen tietoturvaratkaisu. Yhdistä se näihin:
- Palomuurit lähtevän liikenteen säännöillä, jos yksityisten palvelimien pitää tavoittaa vain muutama tunnettu palvelu
- Ei julkisia IP-osoitteita palvelimille, jotka eivät niitä tarvitse, jotta mikään ei voi ohittaa rakennetta
- VPN tai hyppypalvelin ylläpitopääsyä varten, katso WireGuard VPN -palvelin
Hinnoittelun perusteet
NAT-yhdyskäytävä laskutetaan tunneittain ennakkosaldostasi, ja hinta on rajattu sen kuukausihintaan, kuten jokaisella Wolkran resurssilla. Sen kautta kulkeva liikenne on mittaamatonta, eikä gigatavukohtaisia käsittelymaksuja ole. Ajantasainen hinta löytyy hinnastosivulta.
Hyvä tietää rajoituksista
- NAT-yhdyskäytävä käsittelee vain lähteviä yhteyksiä.
- Se palvelee sen yksityisverkon palvelimia, johon se on liitetty, samassa sijainnissa. Nykyään se on Frankfurt.
- Kohtuullisen käytön periaate koskee kaikkea liikennettä hyväksyttävän käytön periaatteiden mukaisesti.
Liittyvät tuotteet
- Yksityisverkot
- IP-osoitteet ja Elastic IP:t
- Kuormantasaajat
- Palomuurit sääntöihin NAT:n lisäksi
- Verkko kaistanleveydestä ja IPv6:sta
Pidä palvelimet yksityisinä ja yhteydessä
Aja taustajärjestelmääsi ilman julkisia osoitteita ja pidä se silti ajan tasalla. Luo Wolkra-tili ja lisää NAT-yhdyskäytävä verkkoosi Frankfurtissa.
Usein kysytyt kysymykset
Mitä NAT-yhdyskäytävä tekee?
Sen avulla yksityisverkon palvelimet tavoittavat internetin ilman omia julkisia osoitteita. Lähtevät yhteydet kulkevat yhdyskäytävän kautta, eikä pyytämättömiä saapuvia yhteyksiä välitetä.
Milloin tarvitsen NAT-yhdyskäytävän?
Tarvitset sen, kun palvelimilla ei ole julkista IP-osoitetta, mutta niiden on silti asennettava päivityksiä, haettava konttikuvia, lähetettävä sähköpostia API:n kautta tai kutsuttava ulkoisia palveluita.
Voiko NAT-yhdyskäytävä tehdä yksityisestä palvelimesta tavoitettavan ulkoa?
Ei, NAT-yhdyskäytävä on lähtevää liikennettä varten. Jos haluat vastaanottaa saapuvaa liikennettä, aseta palvelimen eteen kuormantasaaja tai anna sille Elastic IP.
Mitataanko NAT-yhdyskäytävän kautta kulkeva liikenne?
Ei. Wolkrassa liikenne on mittaamatonta ilman gigatavukohtaisia maksuja, myös NAT-yhdyskäytävän kautta kulkeva liikenne. Kohtuullisen käytön periaate on voimassa.
Miten lisään NAT-yhdyskäytävän?
Luo yksityisverkko ja lisää siihen NAT-yhdyskäytävä konsolissa tai API:n kautta. Verkon palvelimet voivat käyttää sitä lähtevään liikenteeseen.