云上指定IP地址访问VPC外主机

在不改变现有IDC网络组织架构的前提下，需要将网络组织架构迁移上云，并实现以IDC中指定IP地址访问外部资源。

在本最佳实践中，根据行业监管部门的要求，业务上云之后仍需要部门A定期以指定的IP地址（10.1.0.55）访问行业监管部门的主机，上传必要的监管数据。

监管部门限定只有特定的IP地址（10.1.0.55）的主机可以访问。
部门A内的主机（192.168.0.3）通过私网NAT网关，将私有IP地址转换为规定的IP地址（10.1.0.55），定期访问行业监管部门的主机（10.10.0.5）。

图1 最佳实践逻辑拓扑
点击放大

灵活指定IP地址，VPC内所有主机可以共用此IP访问VPC外主机。

表1 资源和成本规划
资源	名称	规划网段/IP	子网名称	说明
VPC（华北-北京四）	vpc-部门A	192.168.0.0/24	subnet-A	部门A迁移到云上的VPC。
	vpc-中转1	10.1.0.0/24	ext_sub_T1	私网NAT网关所需的中转VPC。
	vpc-监管	10.10.0.0/24	subnet-W	模拟监管部门的VPC。
弹性云服务器（华北-北京四）	ecs-部门A	192.168.0.3	--	部门A的主机，可以访问行业监管部门的主机。
弹性云服务器（华北-北京四）	ecs-监管	10.10.0.5	--	模拟监管部门的主机。
中转IP（vpc-中转1）	部门A中转IP	10.1.0.55	--	部门A主机通过监管部门分配的IP地址访问监管部门的主机。

选择“计算 > 弹性云服务器”，单击“购买弹性云服务器”。
根据表1配置监管部门的弹性云服务器的基础信息。
- 计费模式：按需计费
- 区域：选择华北-北京四
- 规格类型选择：用户自定义。本实践以c6.large.2举例。
- 镜像：公共镜像，具体镜像用户自定义。本实践以CentOS 8.0举例。
- 未提及参数，保持默认或根据界面引导配置
图6 创建弹性云服务器

图7 创建弹性云服务器
配置监管部门ECS的网络信息。
- 网络：选择“vpc-监管”，并选择“手动分配IP地址”，指定IP地址为表1规划的ecs-监管的IP地址“10.10.0.5”。
- 安全组：sg-监管。
- 弹性公网IP：暂不购买
- 未提及参数，保持默认或根据界面引导配置
图8 创建弹性云服务器
设置云服务器名称和密码等信息。
- 云服务器名称：ecs-监管
- 登录凭证：密码，并输入密码。
- 未提及参数，保持默认或根据界面引导配置
图9 设置弹性云服务器密码
确认ECS信息无误后，勾选“协议”并单击“立即购买”，完成ECS创建。
单击弹性云服务器总览页面所在行的“远程登录”，选择VNC方式登录。

图10 远程登录
使用root账号登录ECS，并执行如下命令查询ECS的私网IP地址是否为规划的IP地址。

ifconfig

创建中转IP

选择“网络 > NAT网关”，选择“私网NAT网关”，切换至“中转IP”页签。

图11 中转IP
单击“创建中转IP”，按照如下参数设置。
- 中转VPC：vpc-中转1
- 中转子网：ext_sub_T1
- 中转IP：手动分配
- IP地址：10.1.0.55
返回私网NAT网关页面，切换至“私网NAT网关”页签，并单击“private-nat-A”。
进入“SNAT规则”页签，单击“添加SNAT规则”。
- 子网：使用已有，系统会自动关联部门A的子网。
- 中转子网：ext_sub_T1
- 中转IP：10.1.0.55
图12 添加SNAT规则
SNAT规则参数配置完成后，单击“确定”。
返回网络控制台，在左侧导航栏选择“路由表”，单击“rtb-vpc-部门A”。确认已添加部门A到私网NAT网关的路由信息。

图13 确认路由信息

选择“网络 > 虚拟私有云”，在左侧导航栏选择“路由表”。
单击“rtb-vpc-中转1”，删除已有的“0.0.0.0/0”路由规则。
单击“添加路由”，配置路由相关信息，单击“确认”。
- 目的地址：设置为0.0.0.0/0
- 下一跳类型：对等连接
- 下一跳：系统自动关联对等连接实例
图15 添加路由
返回至“路由表”控制台，单击“rtb-vpc-监管”，单击“添加路由”。
配置路由相关信息，单击“确认”。
- 目的地址：设置为0.0.0.0/0
- 下一跳类型：对等连接
- 下一跳：系统自动关联对等连接实例
图16 添加路由