Een NAT-gateway van Wolkra geeft servers in een privénetwerk uitgaande internettoegang, terwijl ze zelf geen publiek IP-adres hebben. Privéservers kunnen updates ophalen en externe API's aanroepen, en niemand op internet kan een verbinding met ze openen.
Het probleem dat een NAT-gateway oplost
Databases, workers en interne services in een privénetwerk zonder publiek adres zetten is een sterke beveiligingskeuze. Maar die servers hebben af en toe toch internet nodig: pakketupdates, container-images, tijdsynchronisatie, betaal- en e-mail-API's, webhooks naar andere services.
Zonder gateway is de gebruikelijke noodoplossing elke server een publiek IP te geven "alleen voor updates", waarmee je de blootstelling terugbrengt die je juist wilde vermijden. Een NAT-gateway neemt die afweging weg.
Hoe het werkt
De NAT-gateway staat aan de rand van je privénetwerk met één publiek adres. Opent een privéserver een verbinding met internet, dan vertaalt de gateway het private bronadres naar zijn publieke adres en houdt hij de verbinding bij, zodat antwoorden hun weg terug vinden. Verbindingen die op internet beginnen, hebben geen bijpassende regel en worden niet doorgestuurd.
Kort samengevat:
- Uitgaand: toegestaan, voor elke server in het netwerk die via de gateway routeert
- Antwoorden: toegestaan, omdat de gateway elke verbinding bijhoudt
- Ongevraagd inkomend: niet doorgestuurd
Al het uitgaande verkeer van je privéservers lijkt van het publieke adres van de gateway te komen. Dat is handig als een externe service je vraagt één adres op een allowlist te zetten.
Instellen in de console
- Maak een privénetwerk aan met je eigen IP-range, of open een bestaand netwerk.
- Kies Add NAT gateway bij het netwerk.
- Maak servers aan in het netwerk met publiek IPv4 en IPv6 uitgeschakeld.
- De servers bereiken internet via de gateway. Test het met een pakketupdate.
De documentatie over privénetwerken bevat een volledig voorbeeld met een appserver, een database en een NAT-gateway.
De API gebruiken
NAT-gateways kun je aanmaken, opvragen en verwijderen via de Wolkra API met een projectgebonden token. Teams die per branch of per klant een nieuwe omgeving opzetten, scripten meestal het netwerk, de gateway en de servers samen. In Composer kun je een NAT-gateway op het canvas plaatsen en zien wat hij aan de maandelijkse kosten toevoegt voordat je toepast.
NAT-gateway, Elastic IP of load balancer?
Deze drie komen vaak samen voor. Elk behandelt een andere richting van het verkeer.
| Behoefte | Gebruik |
|---|---|
| Privéservers moeten internet bereiken | NAT-gateway |
| Eén privéserver moet bereikbaar zijn op een eigen publiek IP | Elastic IP |
| Meerdere privéservers moeten inkomend webverkeer delen | Load balancer |
Een gangbare productie-opzet gebruikt een load balancer voor inkomend verkeer en een NAT-gateway voor uitgaand verkeer, met elke app- en databaseserver privé.
Typische toepassingen
- Appservers en workers in een SaaS-backend die alleen naar buiten bellen
- Databases die updates nodig hebben maar nooit publiek mogen zijn
- CI-runners die code en images binnenhalen maar geen verbindingen accepteren
- Workers voor automatisering die externe API's aanroepen vanaf één bekend adres
Opmerkingen over beveiliging
Een NAT-gateway is op zichzelf geen volledig beveiligingsbeleid. Combineer hem met:
- Firewalls met uitgaande regels, als privéservers alleen een paar bekende services mogen bereiken
- Geen publieke IP's op servers die ze niet nodig hebben, zodat niets het ontwerp kan omzeilen
- Een VPN of bastion voor beheertoegang, zie WireGuard VPN-server
Prijsbasis
Een NAT-gateway wordt per uur gefactureerd vanuit je prepaid tegoed en gemaximeerd op zijn maandprijs, zoals elke resource van Wolkra. Verkeer erdoorheen is onbemeterd, zonder verwerkingskosten per GB. Zie de prijspagina voor de actuele prijs.
Goed om te weten
- Een NAT-gateway behandelt alleen uitgaande verbindingen.
- Hij bedient servers in het privénetwerk waaraan hij gekoppeld is, op dezelfde locatie. Vandaag is dat Frankfurt.
- Fair use geldt voor al het verkeer, zoals beschreven in het Acceptable Use Policy.
Gerelateerde producten
- Privénetwerken
- IP-adressen en Elastic IP's
- Load balancers
- Firewalls voor regels bovenop NAT
- Netwerk voor bandbreedte en IPv6
Houd servers privé en verbonden
Draai je backend zonder publieke adressen en houd hem toch up-to-date. Maak een Wolkra-account aan en voeg een NAT-gateway toe aan je netwerk in Frankfurt.
Veelgestelde vragen
Wat doet een NAT-gateway?
Hij laat servers in een privénetwerk het internet bereiken zonder dat ze zelf publieke adressen hebben. Uitgaande verbindingen lopen via de gateway, en ongevraagde inkomende verbindingen worden niet doorgestuurd.
Wanneer heb ik een NAT-gateway nodig?
Als servers geen publiek IP hebben maar toch updates moeten installeren, container-images moeten binnenhalen, e-mail via een API moeten versturen of externe services moeten aanroepen.
Kan een NAT-gateway een privéserver van buitenaf bereikbaar maken?
Nee, een NAT-gateway is voor uitgaand verkeer. Om inkomend verkeer te accepteren, zet je een load balancer voor de server of wijs je een Elastic IP toe.
Wordt verkeer via een NAT-gateway bemeterd?
Nee. Dataverkeer bij Wolkra is onbemeterd zonder kosten per GB, ook verkeer dat via een NAT-gateway loopt. Er geldt een fair-usebeleid.
Hoe voeg ik een NAT-gateway toe?
Maak een privénetwerk aan en voeg er in de console of via de API een NAT-gateway aan toe. Servers in dat netwerk kunnen hem gebruiken voor uitgaande toegang.