文档首页/ 弹性云服务器 ECS/ 用户指南/ 弹性公网IP管理/ 无公网IP的弹性云服务器访问Internet
更新时间：2024-11-19 GMT+08:00
查看PDF
分享

无公网IP的弹性云服务器访问Internet

操作场景

为保证安全和节省公网IP资源，通常只为特定的弹性云服务器配置公网IP，可直接访问Internet，其他弹性云服务器只配置私网IP，无法直接访问Internet。

因此，当只配置了私网IP的弹性云服务器需要访问Internet，执行软件升级、给系统打补丁或者其它需求时，可选择以下方案：
  • （推荐）通过NAT（NAT Gateway）网关服务

    NAT网关能够为VPC内的弹性云服务器提供SNAT和DNAT功能，通过灵活简易的配置，即可轻松构建VPC的公网出入口，实现多个弹性云服务器共享弹性公网IP访问Internet或使弹性云服务器对互联网提供服务。

  • 通过Linux操作系统的代理主机

    如果您已拥有一台绑定了EIP的弹性云服务器，可将该弹性云服务器作为代理，为同一网段且同一安全组内的其他无公网IP的云服务器提供访问通道，正常访问Internet。

（推荐）通过NAT（NAT Gateway）网关服务

本方案需要：

  • 已购买弹性公网IP和公网NAT网关。
  • 公网NAT网关和其他需要访问Internet的弹性云服务器处于同一VPC内。
表1 NAT网关操作指引

操作场景

网关规则

相关链接

无公网IP的弹性云服务器访问Internet

SNAT

通过公网NAT网关的SNAT规则访问公网

无公网IP的弹性云服务器对互联网提供服务

DNAT

通过公网NAT网关的DNAT规则面向公网提供服务

通过Linux操作系统的代理主机

本方案需要：

  • 已拥有一台绑定了公网IP的弹性云服务器作为代理弹性云服务器。
  • 代理弹性云服务器和其他需要访问Internet的弹性云服务器均处于同一网段，并且在同一安全组内。

本节操作中，以代理弹性云服务器的操作系统是CentOS 7.9为例进行介绍，适用于CentOS 7.9及以下版本、Huawei Cloud EulerOS 2.0版本。

其他操作系统及版本，请您参考对应官网帮助文档进行配置，或采用（推荐）通过NAT（NAT Gateway）网关服务。

  1. 登录管理控制台。
  2. 单击管理控制台左上角的，选择区域和项目。
  3. 单击“”，选择“计算 > 弹性云服务器”。
  4. 在弹性云服务器列表中的右上角，输入代理云服务器名称进行搜索。
  5. 单击代理弹性云服务器的名称，查看详情。
  6. 在代理弹性云服务器详情页面，选择“弹性网卡”页签，并展开，将“源/目的检查”选项设置为“OFF”。
    图1 关闭“源/目的检查”

    默认情况下，“源/目的检查”状态为“启用”，系统会检查弹性云服务器发送的报文中源IP地址是否正确，否则不允许弹性云服务器发送该报文。这有助于防止伪装报文攻击，提升安全性。但在该场景中，这种保护机制会导致报文的发送者无法接收到返回的报文。因此，需设置“源/目的检查”状态为禁用。

  7. 登录代理弹性云服务器。

    详细操作方法请参见Linux ECS登录方式概述。

  8. 执行以下命令，检测代理弹性云服务器是否可以正常连接Internet。

    ping www.huaweicloud.com

    回显包含类似如下信息时，表示代理弹性云服务器可正常连接Internet。

    图2 检测是否可以正常连接Internet
  9. （可选）执行以下命令，安装iptables服务并配置iptables服务开机自启动。

    仅CentOS 7.x版本的弹性云服务器，需要执行此步骤。

    yum install iptables-services -y

    systemctl start iptables

    systemctl enable iptables

  10. 执行以下命令，查看代理弹性云服务器的IP转发功能是否开启。

    cat /proc/sys/net/ipv4/ip_forward

    • 回显为“0”表示关闭，请执行11。
    • 回显为“1”表示开启，请执行16。
  11. 执行以下命令，打开IP转发功能配置文件。

    vi /etc/sysctl.conf

  12. 按“i”，进入编辑模式。
  13. 修改如下参数的值。

    将参数“net.ipv4.ip_forward ”的值修改为“1”。

    如果“sysctl.conf”文件中不存在参数“net.ipv4.ip_forward ”，执行以下命令进行添加：

    echo net.ipv4.ip_forward=1 >> /etc/sysctl.conf

  14. 按“Esc”，输入:wq，按“Enter”。

    保存设置并退出vi编辑器。

  15. 执行以下命令，使配置文件修改生效。

    sysctl -p /etc/sysctl.conf

  16. 执行以下命令，清除原有iptables规则。

    iptables -F

  17. 执行以下命令，配置SNAT，使代理弹性云服务器所在的网段内其他弹性云服务器可通过代理弹性云服务器访问Internet。

    iptables -t nat -A POSTROUTING -o eth0 -s subnet/netmask-bits -j SNAT --to nat-instance-ip

    假设代理弹性云服务器所在的网段为192.168.125.0，子网掩码为24位，私网IP地址为192.168.125.4，则执行如下命令。

    iptables -t nat -A POSTROUTING -o eth0 -s 192.168.125.0/24 -j SNAT --to 192.168.125.4

    为了确保重启后上述规则不丢失，可以执行vi /etc/rc.local编辑rc.local文件，将17中的规则复制到rc.local文件，按“ESC”退出编辑模式，输入“:wq”保存并退出。

  18. 执行以下命令，保存iptables的配置并设置开机自启动。

    service iptables save

    chkconfig iptables on

  19. 执行以下命令，查看SNAT配置是否成功。

    iptables -t nat --list

    回显类似如图3所示时，表示SNAT配置成功。

    图3 SNAT配置成功
  20. 添加自定义路由。
    1. 登录管理控制台。
    2. 单击管理控制台左上角的，选择区域和项目。
    3. 选择“网络 > 虚拟私有云”。
    4. 选择需要添加路由表的虚拟私有云，在“路由表”页面，单击“添加路由信息”。
    5. 根据界面提示，填写路由信息。
      • 目的地址：是目的网段，默认是0.0.0.0/0。
      • 下一跳地址：是代理弹性云服务器的私有IP地址。

        您可以在弹性云服务器页面，查看该弹性云服务器的私有IP地址。

  21. 如需删除添加的iptables规则，需执行以下命令：

    iptables -t nat -D POSTROUTING -o eth0 -s subnet/netmask-bits -j SNAT --to nat-instance-ip

    假设代理弹性云服务器所在的网段为192.168.125.0，子网掩码为24位，私网IP地址为192.168.125.4，则执行如下命令。

    iptables -t nat -D POSTROUTING -o eth0 -s 192.168.125.0/24 -j SNAT --to 192.168.125.4

父主题： 弹性公网IP管理

相关文档