Guide du NAT Gateway

Découvrez ce qu'est un NAT Gateway, son fonctionnement, quand l'utiliser et comment l'optimiser.

La traduction d’adresses réseau, ou Network Address Translation (NAT), existe depuis longtemps. Elle a joué un rôle essentiel pour prolonger la durée de vie d’IPv4 et laisser davantage de temps au déploiement d’IPv6. Les entreprises l’utilisent depuis des décennies dans leurs réseaux internes et leurs data centers, comme une composante à part entière de leur gestion réseau et de leur sécurité.

À mesure que les entreprises font évoluer leur utilisation des services cloud, les équipes IT cherchent à renforcer la sécurité tout en faisant évoluer facilement leurs sous-réseaux privés. Pour répondre à ce besoin, le NAT Gateway s’intègre naturellement à leur réseau. Voici son fonctionnement, les situations dans lesquelles l’utiliser et comment en tirer davantage parti.

Qu’est-ce qu’un NAT Gateway ?

Un NAT Gateway (Network Address Translation) permet aux ressources situées dans un sous-réseau privé d’accéder en toute sécurité à l’internet public et à d’autres ressources externes, sans autoriser de connexions entrantes vers celles-ci. Ces ressources sont des machines virtuelles (VM), comme des serveurs de bases de données, des serveurs applicatifs ou même des services gérés, qui ont souvent d’importants besoins en données.

En jouant le rôle d’intermédiaire, un NAT Gateway traduit les adresses IP privées en adresses IP publiques pour le trafic sortant.

Comment fonctionne un NAT Gateway ?

Imaginons qu’une ressource dans l’un de vos sous-réseaux privés doive télécharger une mise à jour depuis internet. Le NAT Gateway reçoit et traite la demande, remplace l’adresse IP par sa propre adresse IP publique, puis transmet la demande et renvoie la réponse. Seules les réponses entrantes sollicitées sont autorisées : votre ressource reçoit donc la mise à jour nécessaire, tandis que toute autre demande est refusée.

Les offres de NAT Gateway des principaux fournisseurs cloud

AWS

AWS propose des NAT Gateway publics et privés. Les instances publiques, proposées par défaut, permettent aux ressources d’un sous-réseau privé de se connecter à internet en traduisant l’adresse IP source privée en adresse IP publique. Ces instances ne peuvent pas recevoir de connexions entrantes non sollicitées depuis internet.

Les instances privées permettent aux ressources d’un sous-réseau privé de se connecter à d’autres VPC ou à votre réseau sur site via un NAT Gateway privé. Elles ne peuvent toutefois pas recevoir de connexions entrantes non sollicitées provenant de ces autres VPC ou du réseau sur site.

Les deux types d’instances sont hautement évolutifs et gérés par AWS. Ils prennent en charge une bande passante de 5 Gbit/s, qui s’adapte automatiquement jusqu’à 100 Gbit/s.

Azure

Azure NAT Gateway est rattaché à votre sous-réseau VNet et ne nécessite aucune configuration de routage supplémentaire. Il permet d’initier des connexions depuis votre réseau virtuel vers internet, tout en bloquant les connexions entrantes non sollicitées. Chaque NAT Gateway s’adapte automatiquement jusqu’à 50 Gbit/s.

Google Cloud

Google Cloud NAT propose des modes public et privé. Public NAT permet aux machines virtuelles internes disposant d’adresses IP privées d’atteindre des destinations sur internet tout en bloquant le trafic non sollicité. Private NAT permet aux machines virtuelles internes de communiquer entre réseaux VPC.

Google Cloud NAT s’adapte automatiquement aux limites de bande passante sortante par instance pour le routage hors d’un réseau VPC, jusqu’à 25 Gbit/s.

Oracle

Oracle NAT Gateway se rattache à un Virtual Cloud Network (VCN) et permet des connexions sortantes vers internet depuis un réseau privé, tout en bloquant le trafic non sollicité. Vous ne pouvez configurer qu’un seul NAT Gateway par VCN, qui prend en charge jusqu’à 20 000 connexions simultanées vers une même destination.

Le NAT Gateway lui-même est gratuit, mais le transfert de données sortantes est facturé.

Les avantages du NAT Gateway

• Sécurité renforcée : Garde les ressources privées invisibles depuis internet tout en autorisant le trafic sortant.
• Haute disponibilité : Peut fonctionner dans plusieurs zones isolées des défaillances ou plusieurs data centers, comme les zones de disponibilité AWS.
• Gestion simplifiée : Généralement proposé comme un service géré, ce qui réduit la maintenance et la charge opérationnelle.
• Identité sortante constante : Utilise une adresse IP publique fixe pour tout le trafic sortant, facilitant le contrôle d’accès et la gestion des listes d’autorisation.
• Meilleures performances : Conçu pour gérer automatiquement de grands volumes de trafic réseau.
• Intégration fluide : S’intègre facilement aux réseaux virtuels, aux tables de routage et aux configurations de connectivité hybride dans tous les environnements cloud.

Quand utiliser un NAT Gateway

Si votre entreprise est de taille moyenne ou grande et déplace d’importants volumes de données, le déploiement d’un NAT Gateway mérite d’être envisagé. Les principaux cas d’usage incluent :

• Accès à internet pour les instances privées : Permettre aux instances EC2 des sous-réseaux privés d’accéder à internet pour télécharger des mises à jour, des correctifs ou des logiciels.
• Accès aux API ou services externes : Permettre aux serveurs backend d’appeler des API externes ou des services tiers sans exposer leurs adresses IP.
• Transfert sécurisé des données : Permettre aux ressources privées d’envoyer des données vers internet, par exemple vers S3 ou des plateformes d’analyse externes, tout en empêchant les accès entrants.
• Connectivité hybride : Prendre en charge les systèmes sur site connectés aux ressources cloud via un VPN ou Direct Connect, lorsque seul un accès sortant à internet est nécessaire.
• Isolation pour la conformité ou la sécurité : Maintenir une segmentation réseau stricte pour répondre aux exigences de conformité, tout en autorisant les connexions sortantes nécessaires aux opérations contrôlées.
• Accès aux services gérés : Permettre aux sous-réseaux privés de se connecter à des points de terminaison publics sans attribuer d’adresses IP publiques aux instances.

Comment déployer un NAT Gateway

Le NAT Gateway doit être déployé via votre fournisseur cloud, s’il propose cette fonctionnalité, ou via un fournisseur tiers comme Megaport.

Megaport NAT Gateway offre une expérience de déploiement et de gestion fluide directement depuis le portail Megaport. Provisionnez le service en quelques minutes et bénéficiez d’une visibilité centralisée aux côtés de vos autres services Megaport, pour simplifier l’administration du réseau et la surveillance des ressources.

Au-delà des statistiques d’utilisation de base affichées dans le portail pour tous les services Megaport, les utilisateurs ayant besoin d’analyses plus approfondies et de fonctionnalités avancées de surveillance peuvent également utiliser la suite complète de points de terminaison API de Megaport. Ces outils permettent d’accéder de manière programmatique à des statistiques détaillées, de configurer les paramètres du service et d’intégrer la surveillance du NAT Gateway aux systèmes de gestion réseau existants.

Une approche API-first offre la flexibilité nécessaire aux déploiements à grande échelle, à l’automatisation et aux opérations complexes, en donnant aux utilisateurs un contrôle total et une transparence complète sur les performances et l’utilisation de leur NAT Gateway.

Comment optimiser un NAT Gateway

Performances

Choisissez un fournisseur proposant plusieurs niveaux de performance entre lesquels vous pouvez basculer de manière virtuelle pour répondre à l’évolution de vos besoins. Les options de performance de Megaport NAT Gateway permettent de couvrir facilement tous les scénarios de déploiement, de l’accès à internet via un fournisseur cloud à la connectivité entre des espaces d’adressage IP qui se chevauchent.

Sécurité

Pour optimiser la sécurité de votre NAT Gateway, associez-le à un filtrage strict du trafic sortant afin de contrôler les ressources internet auxquelles vos ressources privées peuvent accéder. Cela couvre la partie sortante de votre configuration.

Megaport NAT Gateway permet d’initier des connexions depuis vos sous-réseaux privés, situés dans le réseau d’un fournisseur cloud, vers internet, tout en empêchant le trafic internet entrant non sollicité d’atteindre vos réseaux privés. Associez cette fonctionnalité au chaînage de services firewall de Megaport Virtual Edge (MVE) pour bénéficier d’une protection multicouche.

Coûts

Le coût est ici un enjeu majeur. Les NAT Gateway sont des services facturés à l’usage, ce qui signifie que leurs coûts peuvent fortement augmenter avec le volume. Pour les entreprises qui déplacent de grandes quantités de données, les coûts associés au NAT peuvent croître de manière exponentielle s’ils ne sont pas surveillés.

Entre les frais de sortie de données des hyperscalers et les inefficacités propres aux solutions de connectivité traditionnelles, les entreprises peuvent se retrouver avec une facture de données vertigineuse—souvent supérieure à 5 millions de dollars, et parfois jusqu’à 50 millions, par an—en raison de :

• Frais de sortie de données cumulés : Chaque Go transféré hors du réseau d’un hyperscaler a un coût. À grande échelle, ces frais peuvent devenir astronomiques.
• Mise à l’échelle inefficace : Certaines solutions fonctionnent bien à petite échelle, mais leurs modèles de tarification ne s’adaptent pas toujours efficacement à votre croissance.
• Tarification imposée par le fournisseur : Les fournisseurs cloud traditionnels fixent vos coûts NAT, limitant votre flexibilité et vos possibilités d’économies.

L’approche de loin la plus simple et la plus efficace pour réduire et maîtriser ces coûts consiste à intégrer une solution de connectivité privée à votre infrastructure réseau sous-jacente, afin d’éviter les tarifs des hyperscalers. Cela plafonne vos frais et devient particulièrement économique lorsque vous gérez et déplacez de grandes quantités de données.

Megaport NAT Gateway

Si vous exploitez des services logiciels à fort volume, gérez une infrastructure cloud à l’échelle d’une grande entreprise ou traitez des pétaoctets de trafic NAT, Megaport NAT Gateway peut vous permettre de réaliser des économies considérables, jusqu’à 70 % ou davantage.

• Économies qui augmentent avec le volume : Si les petites charges de travail peuvent avoir un seuil de rentabilité, plus vos besoins NAT sont importants, plus vous économisez. Par exemple, une entreprise traitant 1 pétaoctet de données par mois peut économiser plus de 78 000 dollars par mois, soit 76 % de sa facture NAT, ce qui représente près d’un million de dollars d’économies annuelles.
• Frais de sortie de données nettement réduits : Au lieu de payer les tarifs des hyperscalers, vous pouvez tirer parti de la dorsale réseau plus économique de Megaport pour réduire les frais élevés d’entrée et de sortie de données.
• Haute disponibilité et évolutivité : Notre solution est conçue pour prendre en charge les charges de travail des grandes entreprises tout en maintenant la résilience du réseau, avec 1,200 + sites dans le monde et une bande passante disponible allant jusqu’à 100G.
• Flexibilité pour accompagner votre croissance : Grâce à notre infrastructure réseau sous-jacente évolutive et indépendante des fournisseurs, vous n’êtes jamais lié à la tarification d’un seul fournisseur et votre réseau peut simplement évoluer avec les besoins de votre entreprise.

Découvrez Megaport NAT Gateway.