Une passerelle NAT Wolkra donne aux serveurs d'un réseau privé un accès Internet sortant, sans qu'ils aient d'adresse IP publique propre. Les serveurs privés peuvent récupérer des mises à jour et appeler des API externes, et personne sur Internet ne peut ouvrir de connexion vers eux.
Le problème que résout une passerelle NAT
Placer bases de données, workers et services internes sur un réseau privé sans adresse publique est un choix solide en matière de sécurité. Mais ces serveurs ont malgré tout besoin d'Internet de temps en temps : mises à jour de paquets, images de conteneurs, synchronisation de l'heure, API de paiement et d'e-mail, webhooks vers d'autres services.
Sans passerelle, le contournement habituel consiste à donner à chaque serveur une IP publique « juste pour les mises à jour », ce qui ramène l'exposition que vous vouliez éviter. Une passerelle NAT supprime ce compromis.
Comment ça fonctionne
La passerelle NAT se place en bordure de votre réseau privé avec une adresse publique. Lorsqu'un serveur privé ouvre une connexion vers Internet, la passerelle traduit l'adresse source privée en son adresse publique et suit la connexion, pour que les réponses retrouvent leur chemin. Les connexions initiées depuis Internet n'ont aucune entrée correspondante et ne sont pas transmises.
En résumé :
- Sortant : autorisé, pour chaque serveur du réseau qui passe par la passerelle
- Réponses : autorisées, car la passerelle suit chaque connexion
- Entrant non sollicité : non transmis
Tout le trafic sortant de vos serveurs privés semble provenir de l'adresse publique de la passerelle. C'est pratique lorsqu'un service externe vous demande d'autoriser une seule adresse.
Mise en place dans la console
- Créez un réseau privé avec votre propre plage d'IP, ou ouvrez un réseau existant.
- Choisissez Add NAT gateway sur le réseau.
- Créez des serveurs sur ce réseau avec l'IPv4 et l'IPv6 publiques désactivées.
- Les serveurs accèdent à Internet via la passerelle. Testez avec une mise à jour de paquets.
La documentation des réseaux privés comprend un exemple complet avec un serveur d'application, une base de données et une passerelle NAT.
Utiliser l'API
Les passerelles NAT peuvent être créées, listées et supprimées via l'API Wolkra avec un jeton limité au projet. Les équipes qui créent un environnement neuf par branche ou par client scriptent généralement le réseau, la passerelle et les serveurs ensemble. Dans Composer, vous pouvez placer une passerelle NAT sur le canevas et voir ce qu'elle ajoute au coût mensuel avant d'appliquer.
Passerelle NAT, Elastic IP ou répartiteur de charge ?
Ces trois éléments apparaissent souvent ensemble. Chacun gère un sens de trafic différent.
| Besoin | Solution |
|---|---|
| Des serveurs privés doivent accéder à Internet | Passerelle NAT |
| Un serveur privé doit être joignable sur sa propre IP publique | Elastic IP |
| Plusieurs serveurs privés doivent se partager le trafic web entrant | Répartiteur de charge |
Une architecture de production courante utilise un répartiteur de charge pour le trafic entrant et une passerelle NAT pour le trafic sortant, avec tous les serveurs d'application et de base de données en privé.
Usages typiques
- Serveurs d'application et workers d'un backend SaaS qui ne font qu'émettre des appels sortants
- Bases de données qui ont besoin de mises à jour mais ne doivent jamais être publiques
- Runners CI qui récupèrent du code et des images mais n'acceptent aucune connexion
- Workers d'automatisation qui appellent des API externes depuis une seule adresse connue
Remarques de sécurité
Une passerelle NAT ne constitue pas à elle seule une politique de sécurité complète. Associez-la à :
- Des pare-feu avec des règles sortantes, si les serveurs privés ne doivent joindre que quelques services connus
- Aucune IP publique sur les serveurs qui n'en ont pas besoin, pour que rien ne puisse contourner l'architecture
- Un VPN ou un bastion pour l'accès d'administration, voir serveur VPN WireGuard
Base de tarification
Une passerelle NAT est facturée à l'heure sur votre solde prépayé, avec un plafond mensuel égal à son prix mensuel, comme toutes les ressources Wolkra. Le trafic qui la traverse est non mesuré, sans frais de traitement au GB. Consultez la page des tarifs pour le prix actuel.
Limites à connaître
- Une passerelle NAT ne gère que les connexions sortantes.
- Elle dessert les serveurs du réseau privé auquel elle est rattachée, dans le même site. Aujourd'hui, il s'agit de Francfort.
- L'usage raisonnable s'applique à tout le trafic, comme décrit dans la politique d'utilisation acceptable.
Produits associés
- Réseaux privés
- Adresses IP et Elastic IP
- Répartiteurs de charge
- Pare-feu pour ajouter des règles au NAT
- Réseau pour la bande passante et l'IPv6
Des serveurs privés et connectés
Faites tourner votre backend sans adresse publique tout en le gardant à jour. Créez un compte Wolkra et ajoutez une passerelle NAT à votre réseau à Francfort.
Questions fréquentes
À quoi sert une passerelle NAT ?
Elle permet aux serveurs d'un réseau privé d'accéder à Internet sans disposer eux-mêmes d'adresses publiques. Les connexions sortantes passent par la passerelle, et les connexions entrantes non sollicitées ne sont pas transmises.
Quand ai-je besoin d'une passerelle NAT ?
Lorsque des serveurs n'ont pas d'IP publique mais doivent malgré tout installer des mises à jour, télécharger des images de conteneurs, envoyer des e-mails via une API ou appeler des services externes.
Une passerelle NAT peut-elle rendre un serveur privé joignable depuis l'extérieur ?
Non, une passerelle NAT sert au trafic sortant. Pour accepter du trafic entrant, placez un répartiteur de charge devant le serveur ou attribuez-lui une Elastic IP.
Le trafic qui passe par une passerelle NAT est-il mesuré ?
Non. Le trafic sur Wolkra est non mesuré, sans frais au GB, y compris celui qui transite par une passerelle NAT. Une politique d'usage raisonnable s'applique.
Comment ajouter une passerelle NAT ?
Créez un réseau privé, puis ajoutez-y une passerelle NAT dans la console ou via l'API. Les serveurs de ce réseau peuvent l'utiliser pour leur accès sortant.