Um guia sobre NAT Gateway

O que é, como funciona, quando usar e como otimizar.

A tradução de endereços de rede, ou Network Address Translation (NAT), existe há muito tempo e desempenhou um papel essencial na extensão da vida útil do IPv4, além de dar mais tempo para a implantação do IPv6. Há décadas, as empresas a utilizam em suas redes corporativas e de data centers como parte integrante do gerenciamento e da segurança da rede.

À medida que as organizações mudam a forma como utilizam serviços baseados em cloud, as equipes de TI buscam reforçar a segurança e, ao mesmo tempo, expandir suas sub-redes privadas com facilidade. Para resolver esse desafio, o NAT Gateway é uma adição natural à rede. Veja como funciona, quando usar e como aproveitar melhor seus recursos.

O que é um NAT Gateway?

Um NAT Gateway (Network Address Translation) permite que os recursos localizados em uma sub-rede privada acessem com segurança a internet pública e outros recursos externos, sem permitir conexões de entrada de volta para eles. Esses recursos são máquinas virtuais (VMs), como servidores de banco de dados, servidores de aplicações ou até serviços gerenciados, frequentemente com grandes necessidades de dados.

Atuando como intermediário, um NAT Gateway traduz endereços IP privados em endereços IP públicos para o tráfego de saída.

Como os NAT Gateways funcionam?

Imagine que um recurso em uma de suas sub-redes privadas precise baixar uma atualização da internet. O NAT Gateway recebe e processa essa solicitação, substitui o endereço IP pelo seu próprio IP público, envia a solicitação e retorna a resposta. Apenas respostas de entrada solicitadas são permitidas. Assim, seu recurso recebe a atualização necessária, enquanto quaisquer outras solicitações são negadas.

Ofertas de NAT Gateway dos principais provedores de cloud

AWS

A AWS oferece NAT Gateways públicos e privados. As instâncias públicas, usadas por padrão, permitem que recursos em uma sub-rede privada se conectem à internet, traduzindo o endereço IP privado de origem em um endereço IP público. As instâncias não podem receber conexões de entrada não solicitadas da internet.

As instâncias privadas permitem que recursos em uma sub-rede privada se conectem a outras VPCs ou à sua rede on-premises por meio de um NAT Gateway privado. No entanto, elas não podem receber conexões de entrada não solicitadas das outras VPCs ou da rede on-premises.

Ambas as opções são altamente escaláveis e gerenciadas pela AWS, com suporte a 5 Gbps de largura de banda e expansão automática até 100 Gbps.

Azure

O Azure NAT Gateway é associado à sua sub-rede VNet e não exige configurações adicionais de roteamento. Ele permite iniciar conexões da sua rede virtual para a internet, bloqueando conexões de entrada não solicitadas. Cada NAT Gateway escala automaticamente até 50 Gbps.

Google Cloud

O Google Cloud NAT oferece as modalidades pública e privada. O Public NAT permite que máquinas virtuais internas com endereços IP privados acessem destinos na internet, bloqueando o tráfego não solicitado. O Private NAT permite que máquinas virtuais internas se comuniquem entre redes VPC.

O Google Cloud NAT escala automaticamente para atender aos limites de largura de banda de saída por instância no roteamento para fora de uma rede VPC, até 25 Gbps.

Oracle

O Oracle NAT Gateway é associado a uma Virtual Cloud Network (VCN) e permite conectividade de saída para a internet a partir de uma rede privada, bloqueando o tráfego não solicitado. É possível configurar apenas um NAT Gateway por VCN, com suporte a até 20.000 conexões simultâneas para um único destino.

O NAT Gateway em si não tem custo, mas há cobrança pela transferência de dados de saída.

Benefícios do NAT Gateway

• Segurança reforçada: Mantém os recursos privados ocultos da internet, permitindo o tráfego de saída.
• Alta disponibilidade: Pode operar em várias zonas com isolamento de falhas ou data centers, como as zonas de disponibilidade da AWS.
• Gerenciamento simplificado: Geralmente oferecido como serviço gerenciado, reduzindo a manutenção e a sobrecarga operacional.
• Identidade de saída consistente: Usa um endereço IP público fixo para todo o tráfego de saída, facilitando o controle de acesso e a gestão de listas de permissão.
• Melhor desempenho: Projetado para processar automaticamente grandes volumes de tráfego de rede.
• Integração fluida: Funciona facilmente com redes virtuais, tabelas de rotas e configurações de conectividade híbrida em qualquer ambiente de cloud.

Quando usar um NAT Gateway

Se sua organização é de médio ou grande porte e movimenta muitos dados, vale a pena implementar um NAT Gateway. Os principais casos de uso incluem:

• Acesso à internet para instâncias privadas: Permita que instâncias EC2 em sub-redes privadas acessem a internet para baixar atualizações, patches ou software.
• Acesso a APIs ou serviços externos: Permita que servidores backend chamem APIs externas ou serviços de terceiros sem expor seus endereços IP.
• Transferência segura de dados: Permita que recursos privados enviem dados para a internet, por exemplo, para o S3 ou plataformas externas de análise, impedindo o acesso de entrada.
• Conectividade híbrida: Dê suporte a sistemas on-premises conectados a recursos de cloud por VPN ou Direct Connect, quando apenas o acesso de saída à internet for necessário.
• Isolamento para conformidade ou segurança: Mantenha uma segmentação rigorosa da rede para atender aos requisitos de conformidade, permitindo conectividade de saída para operações controladas.
• Acesso a serviços gerenciados: Permita que sub-redes privadas se conectem a endpoints públicos sem atribuir endereços IP públicos às instâncias.

Como implantar um NAT Gateway

O NAT Gateway precisa ser implantado pelo seu provedor de cloud, se ele oferecer essa funcionalidade, ou por um provedor terceirizado, como a Megaport.

O Megaport NAT Gateway oferece uma experiência fluida de implantação e gerenciamento diretamente pelo Megaport Portal. Provisione em minutos e tenha visibilidade centralizada junto aos seus outros serviços Megaport, simplificando a administração da rede e o monitoramento dos recursos.

Além das estatísticas básicas de uso exibidas no portal para todos os serviços Megaport, os usuários que precisam de análises mais aprofundadas e recursos avançados de monitoramento também podem usar o conjunto completo de endpoints de API da Megaport. Essas ferramentas permitem acessar estatísticas detalhadas de forma programática, configurar parâmetros do serviço e integrar o monitoramento do NAT Gateway aos sistemas de gerenciamento de rede existentes.

Uma abordagem API-first oferece a flexibilidade necessária para implantações em grande escala, automação e operações complexas, proporcionando controle total e transparência sobre o desempenho e o uso do NAT Gateway.

Como otimizar um NAT Gateway

Desempenho

Procure um provedor que ofereça vários níveis de desempenho entre os quais você possa alternar virtualmente para acompanhar suas necessidades. As opções de desempenho do Megaport NAT Gateway facilitam o atendimento a qualquer cenário de implantação, desde o acesso à internet por um provedor de cloud até a conectividade entre espaços de endereçamento IP sobrepostos.

Segurança

Para otimizar a segurança do seu NAT Gateway, combine-o com uma filtragem rigorosa de saída para controlar quais recursos da internet podem ser acessados pelos seus recursos privados. Isso cobre a parte de saída da sua configuração.

O Megaport NAT Gateway permite iniciar conexões das suas sub-redes privadas, localizadas na rede de um provedor de cloud, para a internet, impedindo que o tráfego de entrada não solicitado da internet alcance suas redes privadas. Combine essa função com o encadeamento de serviços de firewall do Megaport Virtual Edge (MVE) para obter proteção em várias camadas.

Custos

O custo é um ponto central aqui. Os NAT Gateways são serviços cobrados por consumo, o que significa que os custos podem aumentar muito com a escala. Para empresas que movimentam grandes quantidades de dados, os custos associados ao NAT podem crescer exponencialmente se não forem controlados.

Entre as taxas de saída de dados dos hyperscalers e as ineficiências das soluções tradicionais de conectividade, as empresas podem enfrentar uma conta de dados exorbitante—frequentemente superior a US$ 5 milhões e, às vezes, chegando a US$ 50 milhões por ano—devido a:

• Taxas de saída acumuladas: Cada GB transferido para fora da rede de um hyperscaler custa dinheiro. Em grande escala, essas taxas podem se tornar astronômicas.
• Escalabilidade ineficiente: Embora algumas soluções funcionem bem em menor escala, seus modelos de preços nem sempre acompanham o crescimento de forma eficiente.
• Preços impostos pelo fornecedor: Os provedores tradicionais de cloud determinam seus custos de NAT, limitando a flexibilidade e as possibilidades de economia.

A maneira mais simples e eficiente de reduzir e gerenciar esses custos é introduzir uma solução de conectividade privada para sua rede subjacente, evitando as tarifas dos hyperscalers. Isso estabelece um limite para suas taxas e oferece uma excelente relação custo-benefício quando você gerencia e movimenta grandes quantidades de dados.

Megaport NAT Gateway

Se você opera serviços de software de alto volume, gerencia infraestrutura de cloud em escala empresarial ou processa petabytes de tráfego NAT, o Megaport NAT Gateway pode proporcionar uma economia significativa, de até 70% ou mais.

• Economia que cresce com a escala: Embora workloads menores possam ter um ponto de equilíbrio, quanto maior a sua necessidade de NAT, maior a economia. Por exemplo, uma empresa que processa 1 petabyte de dados por mês pode economizar mais de US$ 78.000 mensais, ou 76% da sua conta de NAT, o equivalente a quase US$ 1 milhão por ano.
• Taxas de saída drasticamente menores: Em vez de pagar as tarifas dos hyperscalers, você pode aproveitar o backbone de rede mais econômico da Megaport para reduzir os altos custos de entrada e saída de dados.
• Alta disponibilidade e escalabilidade: Nossa solução foi desenvolvida para processar workloads em escala empresarial e manter a resiliência da rede, com 1,200 + localidades globais e largura de banda disponível de até 100G.
• Flexibilidade para acompanhar seu crescimento: Com nossa rede subjacente escalável e neutra em relação a fornecedores, você nunca fica preso aos preços de um único provedor, e sua rede pode crescer conforme as necessidades do negócio.

Conheça o Megaport NAT Gateway.