Ein Leitfaden zu NAT Gateway

Was ein NAT Gateway ist, wie es funktioniert, wann Sie es einsetzen und wie Sie es optimieren.

Network Address Translation (NAT) gibt es schon seit Langem. Die Technologie hat entscheidend dazu beigetragen, die Nutzungsdauer von IPv4 zu verlängern und mehr Zeit für die Einführung von IPv6 zu schaffen. Unternehmen nutzen NAT seit Jahrzehnten in ihren Unternehmens- und Rechenzentrumsnetzwerken als festen Bestandteil ihrer Netzwerkverwaltung und Sicherheit.

Da Unternehmen ihre Nutzung cloudbasierter Dienste verändern, suchen IT-Teams nach Möglichkeiten, die Sicherheit zu erhöhen und gleichzeitig ihre privaten Subnetze einfach zu skalieren. Ein NAT Gateway ist dafür eine naheliegende Ergänzung des Netzwerks. Wir erklären, wie es funktioniert, wann Sie es einsetzen und wie Sie mehr daraus herausholen.

Was ist ein NAT Gateway?

Ein Network Address Translation (NAT) Gateway ermöglicht Ressourcen in einem privaten Subnetz den sicheren Zugriff auf das öffentliche Internet und andere externe Ressourcen, ohne eingehende Verbindungen zu diesen Ressourcen zuzulassen. Dabei handelt es sich um virtuelle Maschinen (VMs), etwa Datenbankserver, Anwendungsserver oder auch verwaltete Dienste, die häufig einen hohen Datenbedarf haben.

Als Vermittler übersetzt ein NAT Gateway private IP-Adressen für ausgehenden Datenverkehr in öffentliche IP-Adressen.

Wie funktionieren NAT Gateways?

Angenommen, eine Ressource in einem Ihrer privaten Subnetze muss ein Update aus dem Internet herunterladen. Das NAT Gateway empfängt und verarbeitet die Anfrage, ersetzt die IP-Adresse durch seine eigene öffentliche IP-Adresse, sendet die Anfrage und leitet die Antwort zurück. Nur angeforderte eingehende Antworten werden zugelassen. Ihre Ressource erhält also das benötigte Update, während alle anderen Anfragen abgewiesen werden.

NAT-Gateway-Angebote führender Cloud-Anbieter

AWS

AWS bietet öffentliche und private NAT Gateways. Öffentliche Instanzen, die standardmäßig verwendet werden, ermöglichen Ressourcen in einem privaten Subnetz die Verbindung zum Internet, indem sie die private Quell-IP-Adresse in eine öffentliche IP-Adresse übersetzen. Die Instanzen können keine unaufgeforderten eingehenden Verbindungen aus dem Internet empfangen.

Private Instanzen ermöglichen Ressourcen in einem privaten Subnetz die Verbindung zu anderen VPCs oder Ihrem lokalen Netzwerk über ein privates NAT Gateway. Die Instanzen können jedoch keine unaufgeforderten eingehenden Verbindungen aus den anderen VPCs oder dem lokalen Netzwerk empfangen.

Beide Varianten sind hochgradig skalierbar und werden von AWS verwaltet. Sie unterstützen eine Bandbreite von 5 Gbit/s und skalieren automatisch auf bis zu 100 Gbit/s.

Azure

Azure NAT Gateway wird mit Ihrem VNet-Subnetz verbunden und benötigt keine zusätzlichen Routing-Konfigurationen. Es ermöglicht Verbindungen von Ihrem virtuellen Netzwerk zum Internet und blockiert gleichzeitig unaufgeforderte eingehende Verbindungen. Jedes NAT Gateway skaliert automatisch auf bis zu 50 Gbit/s.

Google Cloud

Google Cloud NAT bietet öffentliche und private NAT-Varianten. Public NAT ermöglicht internen virtuellen Maschinen mit privaten IP-Adressen, Ziele im Internet zu erreichen, und blockiert gleichzeitig unaufgeforderten Datenverkehr. Private NAT ermöglicht internen virtuellen Maschinen die Kommunikation zwischen VPC-Netzwerken.

Google Cloud NAT skaliert automatisch entsprechend den Bandbreitengrenzen für ausgehenden Datenverkehr pro Instanz beim Routing außerhalb eines VPC-Netzwerks, bis zu 25 Gbit/s.

Oracle

Oracle NAT Gateway wird mit einem Virtual Cloud Network (VCN) verbunden und ermöglicht ausgehende Internetverbindungen aus einem privaten Netzwerk, während unaufgeforderter Datenverkehr blockiert wird. Pro VCN können Sie nur ein NAT Gateway konfigurieren. Es unterstützt bis zu 20.000 gleichzeitige Verbindungen zu einem einzelnen Ziel.

Für das NAT Gateway selbst fallen keine Kosten an. Ausgehender Datenverkehr wird jedoch berechnet.

Vorteile eines NAT Gateways

• Höhere Sicherheit: Hält private Ressourcen vor dem Internet verborgen und ermöglicht dennoch ausgehenden Datenverkehr.
• Hohe Verfügbarkeit: Kann über mehrere voneinander isolierte Ausfallzonen oder Rechenzentren hinweg betrieben werden, beispielsweise AWS Availability Zones.
• Einfachere Verwaltung: Wird üblicherweise als verwalteter Dienst angeboten und reduziert dadurch Wartungsaufwand und operative Belastung.
• Einheitliche Identität für ausgehenden Datenverkehr: Verwendet eine feste öffentliche IP-Adresse für den gesamten ausgehenden Datenverkehr. Das vereinfacht Zugriffskontrolle und Freigabelisten.
• Bessere Leistung: Ist darauf ausgelegt, große Mengen an Netzwerkverkehr automatisch zu verarbeiten.
• Nahtlose Integration: Lässt sich in jeder Cloud-Umgebung einfach mit virtuellen Netzwerken, Routing-Tabellen und hybriden Konnektivitätskonfigurationen kombinieren.

Wann Sie ein NAT Gateway einsetzen sollten

Wenn Ihr Unternehmen mittelgroß oder groß ist und viele Daten überträgt, lohnt sich die Einführung eines NAT Gateways. Zu den wichtigsten Anwendungsfällen gehören:

• Internetzugriff für private Instanzen: Ermöglichen Sie EC2-Instanzen in privaten Subnetzen den Internetzugriff für Updates, Patches oder Softwaredownloads.
• Zugriff auf externe APIs oder Dienste: Ermöglichen Sie Backend-Servern den Aufruf externer APIs oder Dienste von Drittanbietern, ohne ihre IP-Adressen offenzulegen.
• Sichere Datenübertragung: Erlauben Sie privaten Ressourcen, Daten ins Internet zu senden, etwa zu S3 oder externen Analyseplattformen, und verhindern Sie gleichzeitig eingehenden Zugriff.
• Hybride Konnektivität: Unterstützen Sie lokale Systeme, die über ein VPN oder Direct Connect mit Cloud-Ressourcen verbunden sind und nur ausgehenden Internetzugriff benötigen.
• Isolation für Compliance oder Sicherheit: Halten Sie eine strikte Netzwerksegmentierung für Compliance-Anforderungen aufrecht und ermöglichen Sie dennoch ausgehende Konnektivität für kontrollierte Vorgänge.
• Zugriff auf verwaltete Dienste: Ermöglichen Sie privaten Subnetzen die Verbindung zu öffentlichen Endpunkten, ohne den Instanzen öffentliche IP-Adressen zuzuweisen.

So stellen Sie ein NAT Gateway bereit

Ein NAT Gateway muss über Ihren Cloud-Anbieter bereitgestellt werden, sofern dieser es anbietet, oder über einen Drittanbieter wie Megaport.

Megaport NAT Gateway ermöglicht eine nahtlose Bereitstellung und Verwaltung direkt über das Megaport Portal. Stellen Sie den Dienst in wenigen Minuten bereit und erhalten Sie neben Ihren anderen Megaport-Diensten eine zentrale Übersicht – für einfachere Netzwerkadministration und Ressourcenüberwachung.

Über die grundlegenden Nutzungsstatistiken hinaus, die im Portal für alle Megaport-Dienste angezeigt werden, können Nutzer mit Bedarf an tieferen Einblicken und erweiterter Dienstüberwachung auch die umfassende Auswahl an Megaport-API-Endpunkten verwenden. Diese leistungsfähigen Werkzeuge ermöglichen den programmatischen Zugriff auf detaillierte Statistiken, die Konfiguration von Dienstparametern und die Integration der NAT-Gateway-Überwachung in bestehende Netzwerkmanagementsysteme.

Ein API-first-Ansatz bietet die nötige Flexibilität für umfangreiche Bereitstellungen, Automatisierung und komplexe Betriebsabläufe. Nutzer erhalten dadurch vollständige Kontrolle und Transparenz über Leistung und Nutzung ihres NAT Gateways.

So optimieren Sie ein NAT Gateway

Leistung

Wählen Sie einen Anbieter, der mehrere Leistungsstufen bietet, zwischen denen Sie virtuell wechseln können, um mit Ihrem Bedarf zu skalieren. Die Leistungsoptionen von Megaport NAT Gateway decken unterschiedlichste Einsatzszenarien ab – vom Internetzugriff über einen Cloud-Anbieter bis zur Verbindung überlappender IP-Adressräume.

Sicherheit

Kombinieren Sie Ihr NAT Gateway mit strenger Filterung des ausgehenden Datenverkehrs, um festzulegen, welche Internetressourcen Ihre privaten Ressourcen erreichen können. Damit sichern Sie den ausgehenden Teil Ihrer Konfiguration ab.

Megaport NAT Gateway ermöglicht Verbindungen von Ihren privaten Subnetzen im Netzwerk eines Cloud-Anbieters zum Internet und verhindert gleichzeitig, dass unaufgeforderter eingehender Internetverkehr Ihre privaten Netzwerke erreicht. Kombinieren Sie dies mit Firewall Service Chaining über Megaport Virtual Edge (MVE) für mehrschichtigen Schutz.

Kosten

Die Kosten sind hier ein zentrales Thema. NAT Gateways sind nutzungsabhängig abgerechnete Dienste, deren Kosten mit zunehmendem Umfang stark steigen können. Für Unternehmen, die enorme Datenmengen übertragen, können die NAT-Kosten ohne entsprechende Kontrolle exponentiell wachsen.

Durch Egress-Gebühren der Hyperscaler und die grundlegenden Ineffizienzen herkömmlicher Konnektivitätslösungen können Unternehmen mit einer enormen Datenrechnung konfrontiert werden—oft über 5 Millionen US-Dollar und manchmal bis zu 50 Millionen US-Dollar pro Jahr—aufgrund von:

• Sich summierenden Egress-Gebühren: Jedes GB, das Sie aus dem Netzwerk eines Hyperscalers übertragen, kostet Geld. Bei großen Datenmengen können diese Gebühren astronomisch werden.
• Ineffizienter Skalierung: Manche Lösungen funktionieren bei geringem Umfang gut, doch ihre Preismodelle skalieren nicht immer effizient mit Ihrem Wachstum.
• Vom Anbieter vorgegebenen Preisen: Herkömmliche Cloud-Anbieter bestimmen Ihre NAT-Kosten und begrenzen damit Flexibilität und Einsparpotenzial.

Der mit Abstand einfachste und effizienteste Weg, Kosten zu senken und zu kontrollieren, besteht darin, eine private Konnektivitätslösung für Ihre zugrunde liegende Netzwerkanbindung einzusetzen. So müssen Sie nicht die Tarife der Hyperscaler zahlen. Das begrenzt Ihre Gebühren und ist besonders wirtschaftlich, wenn Sie große Datenmengen verwalten und übertragen.

Megaport NAT Gateway

Wenn Sie Softwaredienste mit hohem Datenvolumen betreiben, eine Cloud-Infrastruktur auf Unternehmensebene verwalten oder Petabytes an NAT-Datenverkehr verarbeiten, können Sie mit Megaport NAT Gateway erhebliche Kosten sparen – bis zu 70 % oder sogar mehr.

• Mit dem Umfang wachsende Einsparungen: Bei kleineren Workloads kann es einen Break-even-Punkt geben. Doch je größer Ihr NAT-Bedarf, desto mehr sparen Sie. Ein Unternehmen, das monatlich 1 Petabyte an Daten verarbeitet, kann beispielsweise über 78.000 US-Dollar pro Monat oder 76 % seiner NAT-Rechnung einsparen – das entspricht fast 1 Million US-Dollar jährlich.
• Deutlich niedrigere Egress-Gebühren: Statt Hyperscaler-Tarife zu zahlen, können Sie den kostengünstigeren Netzwerk-Backbone von Megaport nutzen, um hohe Ingress- und Egress-Gebühren zu reduzieren.
• Hohe Verfügbarkeit und Skalierbarkeit: Unsere Lösung ist für Workloads auf Unternehmensebene ausgelegt und erhält gleichzeitig die Netzwerkresilienz – mit 1,200 + globalen Standorten und verfügbarer Bandbreite von bis zu 100G.
• Flexibilität für Ihr Wachstum: Mit unserem anbieterneutralen, skalierbaren Netzwerk-Underlay sind Sie nie an die Preise eines einzelnen Anbieters gebunden. Ihr Netzwerk kann einfach mit Ihren geschäftlichen Anforderungen wachsen.

Entdecken Sie Megaport NAT Gateway.