Guida a NAT Gateway

Cos’è, come funziona, quando usarlo e come ottimizzarlo.

Di Ryan Cassily, Solutions Architect - Traduzione a cura di Fausta Tonelli, Solutions Architect

Il Network Address Translation (NAT) è una tecnologia consolidata da tempo, che ha svolto un ruolo fondamentale nell’estendere la vita dell’IPv4 e nel garantire il tempo necessario per la diffusione dell’IPv6. Le aziende lo utilizzano da decenni nelle proprie reti aziendali e nei data center come parte integrante della gestione della rete e della sicurezza.

Con il cambiare delle modalità di fruizione dei servizi in cloud, i team IT cercano soluzioni per rafforzare la sicurezza e, al tempo stesso, scalare facilmente le proprie sottoreti private (subnet). Per rispondere a questa esigenza, il NAT Gateway rappresenta una scelta naturale.

Ecco come funziona, quando utilizzarlo e come ottenerne il massimo.

Cos’è un NAT Gateway?

Un NAT Gateway (Network Address Translation) consente alle risorse situate in una sottorete (subnet) privata di accedere in totale sicurezza a Internet e ad altre risorse esterne, impedendo al contempo qualsiasi connessione in ingresso verso di esse. Queste risorse sono solitamente macchine virtuali (VM) come server di database, server applicativi o servizi gestiti, che spesso gestiscono grandi volumi di dati.

Svolgendo la funzione di tramite, un NAT Gateway converte gli indirizzi IP privati in indirizzi IP pubblici per tutto il traffico in uscita.

Come funziona un NAT Gateway?

Ipotizziamo che una risorsa all’interno di una delle tue sottoreti private debba scaricare un aggiornamento da Internet. Il NAT Gateway riceve e gestisce la richiesta, sostituendo l’indirizzo IP privato della risorsa con il proprio IP pubblico prima di inviarla all’esterno e restituendo quindi la risposta.

Vengono autorizzate esclusivamente le risposte alle richieste provenienti dalla rete interna, in questo modo la risorsa riceve l’aggiornamento richiesto, mentre qualsiasi altro tentativo di accesso non autorizzato viene bloccato.

Soluzioni NAT Gateway dei principali cloud provider

AWS

AWS offre NAT Gateway sia pubblici che privati. Le istanze pubbliche (predefinite) consentono alle risorse in una sottorete privata di connettersi a Internet traducendo l’indirizzo IP privato di origine in un indirizzo IP pubblico, impedendo connessioni in ingresso non sollecitate.

Le istanze private consentono alle risorse in una sottorete privata di connettersi ad altri VPC o alla rete on-premise attraverso un NAT Gateway privato, bloccando anche in questo caso le connessioni in ingresso non sollecitate da parte degli altri VPC o della rete aziendale.

Entrambe le tipologie sono altamente scalabili e gestite direttamente da AWS, con una larghezza di banda base di 5 Gbps che scala automaticamente fino a 100 Gbps.

Azure

Azure NAT Gateway viene collegato alla sottorete VNet senza richiedere configurazioni di instradamento (routing) aggiuntive. Consente di iniziare connessioni dalla rete virtuale verso Internet bloccando le connessioni in ingresso non sollecitate. Ogni NAT Gateway scala automaticamente fino a 50 Gbps.

Google Cloud

Google Cloud NAT è disponibile sia in modalità pubblica che privata. La versione Public NAT permette alle macchine virtuali interne con IP privati di raggiungere destinazioni su Internet bloccando il traffico non richiesto proveniente dall’esterno, mentre la versione Private NAT consente la comunicazione tra macchine virtuali appartenenti a reti di VPC diversi.

Google Cloud NAT scala automaticamente per gestire i limiti di larghezza di banda in uscita per singola istanza, fino a 25 Gbps.

Oracle

Oracle NAT Gateway si collega a una Virtual Cloud Network (VCN) e consente la connettività in uscita verso Internet da una rete privata, bloccando in ingresso il traffico non sollecitato. È possibile configurare un solo NAT Gateway per ciascuna VCN, con un supporto fino a 20.000 connessioni simultanee verso una singola destinazione.

L’utilizzo del NAT Gateway in sé è gratuito; viene addebitato unicamente il costo per il traffico dati in uscita.

Vantaggi del NAT Gateway

• Maggiore sicurezza: Mantiene le risorse private nascoste da Internet, consentendo al contempo il traffico in uscita.
• Elevata disponibilità (High availability): Può operare su più zone isolate e resilienti ai guasti o all’interno di più data center (ad esempio le Availability Zone di AWS).
• Gestione semplificata: Viene offerto solitamente come servizio gestito, riducendo le attività di manutenzione e i costi operativi.
• Identità in uscita coerente: Utilizza un indirizzo IP pubblico fisso per tutto il traffico in uscita, semplificando il controllo degli accessi e la gestione delle allow-list (liste di indirizzi autorizzati).
• Prestazioni migliori: Progettato per gestire automaticamente grandi volumi di traffico di rete.
• Integrazione fluida: Si integra facilmente con reti virtuali, tabelle di instradamento (route table) e configurazioni di connettività ibrida in qualsiasi ambiente cloud.

Quando utilizzare un NAT Gateway

Se la tua azienda è di medie o grandi dimensioni e gestisce grandi volumi di dati, l’implementazione di un NAT Gateway rappresenta una scelta strategica. Tra i principali casi d’uso rientrano:

• Accesso a Internet per istanze private: Consente alle istanze EC2 situate in sottoreti private di accedere a Internet per scaricare aggiornamenti, patch o software.
• Accesso ad API o servizi esterni: Permette ai server backend di interrogare API esterne o servizi di terze parti senza esporre i propri indirizzi IP.
• Trasferimento sicuro dei dati: Autorizza le risorse private a inviare dati verso Internet (ad esempio, caricando file su S3 o inviando metriche a piattaforme di analytics esterne), bloccando qualsiasi tentativo di accesso dall’esterno.
• Connettività ibrida: Supporta i sistemi on-premise connessi alle risorse cloud tramite VPN o Direct Connect, garantendo l’accesso a Internet solo quando necessario per operazioni in uscita.
• Isolamento per conformità e sicurezza: Mantiene una rigida segmentazione di rete per soddisfare i requisiti di compliance, assicurando comunque la connettività in uscita per le attività operative previste.
• Accesso ai servizi gestiti: Permette alle sottoreti private di comunicare con endpoint pubblici senza dover assegnare indirizzi IP pubblici alle singole istanze.

Come configurare un NAT Gateway

Un NAT Gateway può essere attivato direttamente tramite il proprio cloud provider (se offre questa funzionalità) oppure mediante un fornitore come Megaport.

Megaport NAT Gateway garantisce un’esperienza di configurazione e gestione fluida direttamente dal portale Megaport. Si attiva in pochi minuti e offre una visibilità centralizzata insieme agli altri servizi Megaport, semplificando l’amministrazione della rete e il monitoraggio delle risorse.

Oltre alle statistiche di utilizzo base visibili nel portale per tutti i servizi Megaport, chi necessita di analisi più approfondite e funzionalità avanzate di monitoraggio può sfruttare la suite completa di endpoint API di Megaport. Questi strumenti consentono di accedere in modo programmatico a statistiche dettagliate, impostare i parametri del servizio e integrare il monitoraggio del NAT Gateway all’interno dei sistemi aziendali di gestione della rete già esistenti.

Questo approccio API-first garantisce la flessibilità necessaria per gestioni su larga scala, automazione e operazioni complesse, offrendo un controllo totale e la massima trasparenza su prestazioni e consumi del NAT Gateway.

Come ottimizzare un NAT Gateway

Prestazioni

Scegli un provider che offra diversi livelli di prestazione (performance tier) modificabili in modo virtuale per adattarsi alle tue esigenze. Le opzioni offerte da Megaport NAT Gateway consentono di rispondere a qualsiasi scenario operativo: dall’accesso a Internet tramite cloud provider fino all’interconnessione tra spazi di indirizzamento IP sovrapposti.

Sicurezza

Per ottimizzare la sicurezza del NAT Gateway, affiancalo a un filtro rigido sul traffico in uscita (egress filtering) per controllare a quali risorse Internet possono accedere le tue reti private. Questo copre la componente in uscita della tua configurazione.

Megaport NAT Gateway permette di avviare connessioni dalle tue sottoreti private (situate nella rete di un cloud provider) verso Internet, bloccando al contempo il traffico in ingresso non sollecitato. Combina questa funzione con servizi di firewall (firewall service chaining) tramite Megaport Virtual Edge (MVE) per ottenere una protezione multilivello.

Costi

Il fattore economico è cruciale. I NAT Gateway sono servizi a consumo, il che significa che i costi aumentano al crescere del traffico. Per le aziende che movimentano grandi quantità di dati, la spesa per il NAT può crescere in modo esponenziale se non monitorata adeguatamente.

Tra i costi di uscita (egress fee) dei grandi cloud provider (hyperscaler) e le inefficienze intrinseche delle soluzioni di connettività tradizionali, le imprese rischiano fatture vertiginose — spesso superiori ai 5 milioni di dollari (e talvolta fino a 50 milioni) all’anno — a causa di:

• Costi di uscita cumulativi: Ogni gigabyte trasferito all’esterno della rete dell’hyperscaler ha un costo. Su larga scala, queste tariffe diventano astronomiche.
• Scalabilità inefficiente: Sebbene alcune soluzioni funzionino bene per volumi ridotti, i modelli di prezzo non sempre scalano in modo efficiente con la crescita del traffico.
• Prezzi vincolati dal vendor: I cloud provider tradizionali impongono i propri listini per il NAT, limitando la flessibilità e le opportunità di risparmio.

Il modo più semplice ed efficace per ridurre e gestire questi costi consiste nell’introdurre una soluzione di connettività privata per il vostro underlay, evitando di pagare le tariffe standard degli hyperscaler. In questo modo si fissa un tetto alle spese, ottenendo un’elevata convenienza nella gestione di grandi volumi di dati.

Megaport NAT Gateway

Per chi gestisce operazioni software ad alto volume, infrastrutture cloud su scala enterprise o petabyte di traffico NAT, Megaport NAT Gateway offre un risparmio sui costi notevole, fino al 70% e oltre.

• Risparmi scalabili: Sebbene per i carichi di lavoro più piccoli esista un punto di pareggio (breakeven), maggiore è il traffico NAT, più elevato sarà il risparmio. Ad esempio, un’azienda che gestisce 1 petabyte di dati al mese può risparmiare oltre 78.000 dollari al mese (pari al 76% della spesa NAT), traducendosi in un risparmio annuo di quasi 1 milione di dollari.
• Costi di uscita drasticamente inferiori: anziché pagare le tariffe degli hyperscaler, puoi sfruttare l’infrastruttura di rete di Megaport per ridurre i costi di ingresso e uscita dati (ingress ed egress fee).
• Elevata disponibilità e scalabilità: La nostra soluzione è progettata per gestire carichi di lavoro enterprise garantendo la massima resilienza di rete, con oltre 1.200 sedi globali e una larghezza di banda disponibile fino a 100G.
• Flessibilità per crescere: Grazie a un’infrastruttura di rete neutrale rispetto ai singoli vendor (vendor-neutral), non sarai mai vincolato ai listini di un unico provider e la tua rete potrà crescere di pari passo con le tue esigenze aziendali.

Scopri Megaport NAT Gateway