Один из наших клиентов, который обрабатывает конфиденциальные данные клиентов, нуждался в безопасной облачной инфраструктуре для своих веб-приложений и баз данных. Мы внедрили шлюз NAT в VPC, чтобы разрешить экземплярам в частных подсетях доступ в Интернет для обновлений и вызовов API, блокируя входящий трафик. Это решение обеспечивает доступ в Интернет частным экземплярам, ​​не раскрывая их напрямую в публичном Интернете, что повышает безопасность. Вот что мы сделали:

На этой схеме показана типичная настройка VPC, разделенная на три основных раздела: VPC, публичная подсеть и частная подсеть. Сначала у нас есть внешний зеленый блок, VPC, который изолирует ресурсы внутри него от других сетей. Пользователи получают доступ к веб-серверу через публичный Интернет, используя статический IP-адрес, назначенный через 1:1 NAT. Веб-сервер обрабатывает запросы и, при необходимости, связывается с сервером базы данных. Веб-сервер связывается с сервером базы данных через сервер маршрутизатора. Сервер маршрутизатора использует пользовательский NAT для безопасной маршрутизации трафика между публичной и частной подсетями. Сервер базы данных, расположенный в частной подсети, получает запросы от веб-сервера через VLAN. Изоляция частной подсети гарантирует, что сервер базы данных не будет напрямую открыт для Интернета, что повышает безопасность. В этом руководстве мы рассмотрим шаги по настройке этой архитектуры, обеспечивающие безопасную и эффективную связь между частной и публичной подсетями. Мы создадим VPC с публичной и частной подсетями, настроим шлюз NAT и настроим VLAN.

Учебник
В этом уроке мы создадим шлюз NAT в VPC, как на схеме, которую мы только что рассмотрели.
www.linode.com/blog/networking/how-to-build-a-nat-gateway-in-a-vpc-with-linode/

Здравствуйте!
С 19 сентября изменится принцип работы IP-адресов: они больше не будут делиться на плавающие и статичные. Все внешние адреса можно будет переносить между серверами — они подключатся напрямую на сетевой интерфейс, без использования NAT.

В связи с этим изменятся механизмы работы с IP-адресами внутри сервера. Рекомендуем пользователям с нестандартными сетевыми настройками ознакомиться с документацией, чтобы изменения не повлияли на работу ваших сервисов.

Что произойдёт с существующими статичными и плавающими
IP-адресами:

• Существующие статичные IP-адреса автоматически перейдут на новый принцип работы — их можно будет отсоединять и переносить.
• Плавающие IP-адреса, прикреплённые к серверу, будут помечены в личном кабинете как устаревшие. Они продолжат работать через NAT до тех пор, пока адрес не будет отсоединен от сервера. Следующее подключение будет выполнено уже по новому принципу — адрес будет добавлен на сетевой интерфейс сервера.

clo.ru/help/network-v2-transfer

В статье рассмотрен способ организации балансировки трафика на границе сети при следующих условиях:
— транспортный протокол: IPv4;
— протокол динамической маршрутизации OSPFv2 [1, 2];
— исходящий и входящий трафик одного пользовательского IP-адреса проходит через один и тот же шлюз услуг и через один и тот же NAT-маршрутизатор [3];
— балансировка трафика осуществляется между 2 шлюзами услуг (BNG [4]);
— балансировка трафика осуществляется между 2 NAT-маршрутизаторами, не использующих динамическую маршрутизацию;
Подключенный пользовательский сегмент сети рассмотрен на примере беспроводных сетей стандарта IEEE 802.11 [5] с использованием контроллеров. Решение включает в себя уровни агрегации и распределения, уровень радиопокрытия.

Решаемые задачи:
— балансировка трафика в точке подключения пользовательских устройств к сети;
— равномерное распределение пользовательского трафика между BNG;
— обеспечение симметричной маршрутизации входящего и исходящего трафика при использовании NAT.

Уровень распределения представляет собой пограничный компонент сети, выполняющий следующие основные функции:
— подключение контроллеров беспроводного доступа;
— маршрутизация и управление потоками трафика;
— сопряжение с другими сетями.

Уровень контроллеров беспроводного доступа — группа контроллеров, которые выполняют следующие основные функции:
— точка агрегации трафика от точек доступа и беспроводных пользователей;
— обеспечение роуминга беспроводных пользователей между контроллерами;
— управление точками доступа.
Уровень радиопокрытия — точки доступа, размещенные на объектах.

Читать дальше →