Noções básicas de gateway NAT

Um gateway NAT é compatível com os seguintes protocolos: TCP, UDP e ICMP.

Os gateways NAT são compatíveis com tráfego IPv4 ou IPv6. Para tráfego IPv6, o gateway NAT executa NAT64. Usando isso em conjunto com o DNS64 (disponível no Route 53 Resolver), suas workloads IPv6 em uma sub-rede na Amazon VPC podem se comunicar com recursos IPv4. Esses serviços IPv4 podem estar presentes na mesma VPC (em uma sub-rede separada) ou em uma VPC diferente, no seu ambiente on-premises ou pela Internet.

Um gateway NAT comporta 5 Gbps de largura de banda e escala automaticamente até 100 Gbps. Se você precisar de mais largura de banda, poderá dividir seus recursos em várias sub-redes e criar um gateway NAT em cada sub-rede.

Um gateway NAT pode processar um milhão de pacotes por segundo e aumentar a capacidade automaticamente para até dez milhões de pacotes por segundo. Além desse limite, um gateway NAT começará a descartar pacotes. Para evitar a perda de pacotes, divida seus recursos em várias sub-redes e crie um gateway NAT separado para cada sub-rede.

Cada endereço IPv4 comporta até 55.000 conexões simultâneas para cada destino exclusivo. Um destino exclusivo é identificado por uma combinação exclusiva de endereço IP de destino, a porta de destino e o protocolo (TCP/UDP/ICMP). Você pode aumentar esse limite associando até 8 endereços IPv4 aos seus gateways NAT (1 endereço IPv4 primário e 7 endereços IPv4 secundários). Por padrão, há um limite de associação de 2 endereços IP elásticos ao seu gateway NAT público. É possível aumentar esse limite solicitando um ajuste de cota. Para obter mais informações, consulte Endereços IP elásticos.

Ao criar um gateway NAT, você pode selecionar o endereço IPv4 privado primário a ser atribuído ao gateway NAT. Caso contrário, selecionamos um em seu nome a partir do intervalo de endereços IPv4 da sub-rede. Não é possível alterar ou remover o endereço IPv4 privado principal. Você pode adicionar endereços IPv4 privados secundários conforme necessário.

Não é possível associar um grupo de segurança a um gateway NAT. Você pode associar grupos de segurança às suas instâncias para controlar o tráfego de entrada e saída.

Criamos uma interface de rede gerenciada pelo solicitante para o seu gateway NAT. Você pode visualizar essa interface de rede usando o console do Amazon EC2. Procure o ID do gateway NAT na descrição. Você pode adicionar etiquetas à interface de rede, mas não pode modificar outras propriedades dessa interface de rede.

Você também pode usar uma ACL de rede para controlar o tráfego que entra e sai da sub-rede para seu gateway NAT. Os gateways NAT usam as portas 1024 a 65535. Para obter mais informações, consulte Network ACLs.

Não é possível rotear o tráfego para um gateway NAT por meio de uma conexão de emparelhamento da VPC. Entretanto, o tráfego proveniente de um gateway NAT através do emparelhamento VPC para destinos em VPCs emparelhados suporta o comportamento “Retornar ao remetente”. O tráfego de retorno é automaticamente roteado de volta para o gateway NAT de origem, mesmo sem rotas de retorno configuradas no VPC de destino. Esse comportamento é específico dos gateways NAT e não se aplica a instâncias do EC2 padrão. A fim de evitar isso, utilize NACLs para bloquear o tráfego de retorno.

Não compatível:

Client → Peering → NAT → Internet

Compatível:

Client → NAT → Peering → Destination

Não é possível rotear o tráfego para um gateway NAT do Site-to-Site VPN ou do Direct Connect usando um gateway privado virtual. É possível rotear o tráfego para um gateway NAT do Site-to-Site VPN ou do Direct Connect se você usar um gateway de trânsito em vez de um gateway privado virtual.

Os gateways NAT oferecem suporte a tráfego com uma unidade de transmissão máxima (MTU) de 8500, mas é importante observar o seguinte: