Co je Azure NAT Gateway?

Azure NAT Gateway je plně spravovaná a vysoce odolná služba překladu síťových adres (NAT). Pomocí Azure NAT Gateway umožníte, aby se všechny instance v podsíti připojily k internetu odchozí a zůstaly plně soukromé. Brána NAT neumožňuje nevyžádaná příchozí připojení z internetu. Přes bránu NAT se můžou předávat pouze pakety, které dorazí jako pakety odpovědí na odchozí připojení.

Azure NAT Gateway dynamicky přiděluje zdrojové NAT (SNAT) porty, aby automaticky škáloval odchozí konektivitu a minimalizoval riziko vyčerpání SNAT portů.

Azure NAT Gateway je k dispozici ve dvou SKU:

  • Standard je zónová (nasazená do jedné zóny dostupnosti) a poskytuje škálovatelné odchozí připojení pro podsítě v jedné virtuální síti.

  • StandardV2 je zónově redundantní a poskytuje vyšší propustnost než SKU Standard, podporu protokolu IPv6 a podporu logování toků.

Standardní kód SKU

Bránu STANDARD NAT gateway můžete přidružit k podsítím ve stejné virtuální síti, abyste zajistili odchozí připojení k internetu. Standardní brána NAT funguje mimo jednu zónu dostupnosti.

Diagram znázorňující standardní bránu NAT v jedné zóně dostupnosti

SKU StandardV2

Skladová položka StandardV2 Azure NAT Gateway poskytuje všechny funkce skladové položky Standard, jako je dynamické přidělování portů SNAT a zabezpečené odchozí připojení pro podsítě v rámci virtuální sítě. StandardV2 je navíc zónově redundantní, což znamená, že poskytuje odchozí připojení ze všech zón v oblasti místo jedné zóny.

Diagram znázorňující bránu NAT StandardV2, která obsahuje více zón dostupnosti v oblasti

Klíčové funkce StandardV2

  • Redundance zón: Funguje napříč všemi zónami dostupnosti v oblasti, aby se během selhání jedné zóny zachovalo připojení.

  • Podpora protokolu IPv6: Podporuje veřejné IP adresy i předpony IPv4 i IPv6 pro odchozí připojení.

  • Vyšší propustnost: Poskytuje až 100 Gb/s propustnosti dat na bránu NAT gateway ve srovnání s 50 Gb/s pro standardní brány NAT.

  • Podpora záznamů toků: Poskytuje informace o provozu na základě IP adres, které pomáhají monitorovat a analyzovat odchozí provoz.

  • Překlad adres NAT64: Umožňuje úlohám používajícím pouze IPv6 komunikovat s cíli dostupnými pouze přes IPv4. NAT64 převádí odchozí IPv6 pakety na IPv4 pomocí známého prefixu 64:ff9b::/96, čímž eliminuje potřebu dual-stack konfigurací nebo vlastních překladových zařízení.

    Poznámka:

    NAT64 vyžaduje řešení DNS64 pro syntézu AAAA záznamů pro cíle pouze IPv4. Pro použití NAT64 musíte nasadit řešení DNS64 třetí strany.

Další informace o nasazení brány NAT StandardV2 najdete v tématu Vytvoření brány NAT StandardV2.

Klíčová omezení standardu StandardV2

  • Skladová položka StandardV2 vyžaduje veřejné IP adresy nebo předpony StandardV2. Veřejné IP adresy úrovně Standard nejsou u standardu StandardV2 podporované.

  • Skladovou položku Standard nemůžete upgradovat na skladovou položku StandardV2. Musíte vytvořit bránu NAT StandardV2, která nahradí bránu NAT Standard ve vaší podsíti.

  • Následující oblasti nepodporují brány NAT StandardV2:

    • Kanada – východ
    • Indie – střed – jih
    • Švédsko – jih
    • Indie – západ

Známé problémy StandardV2

  • Odchozí provoz IPv6, který používá odchozí pravidla nástroje pro vyrovnávání zatížení, se přeruší, když přidružíte bránu NAT StandardV2 k podsíti. Pokud potřebujete odchozí připojení IPv4 i IPv6, použijte jednu z těchto možností:

    • Odchozí pravidla nástroje pro vyrovnávání zatížení pro provoz IPv4 i IPv6
    • Standardní brána NAT pro provoz IPv4 a odchozí pravidla nástroje pro vyrovnávání zatížení pro provoz IPv6

  • Odchozí připojení, která používají nástroj pro vyrovnávání zatížení, Azure Firewall nebo veřejné IP adresy na úrovni instance virtuálního počítače, se můžou přerušit, když do podsítě přidáte bránu NAT StandardV2. Všechna síťová nová odchozí připojení používají bránu NAT Gateway StandardV2.

  • Aktualizace existující podsítě, která obsahuje běžící virtuální stroj, přidáním StandardV2 NAT brány a povolením servisního endpointu ve stejné operaci může selhat kvůli interní chybě serveru. Jako řešení provádějte tyto aktualizace v samostatných operacích.

Další informace o známých problémech a omezeních SKU StandardV2 Azure NAT Gateway najdete v tématu Známá omezení.

Azure NAT Gateway výhody

Jednoduché nastavení

Nasazení s Azure NAT Gateway jsou záměrně jednoduchá. Připojte bránu NAT k podsíti a veřejné IP adrese a začněte hned připojovat odchozí připojení k internetu. Nepotřebujete žádné konfigurace pro údržbu ani směrování. Později můžete přidat další veřejné IP adresy nebo podsítě, aniž by to ovlivnilo vaši stávající konfiguraci.

Následující kroky ukazují příklad nastavení služby NAT Gateway:

  1. Vytvořte zónovou nebo nezónovou NAT Gateway.

  2. Přiřaďte veřejnou IP adresu nebo předponu veřejné IP adresy.

  3. Nakonfigurujte podsíť tak, aby používala službu NAT Gateway.

V případě potřeby upravte časový limit nečinnosti protokolu TCP (Transmission Control Protocol). Před změnou výchozího nastavení zkontrolujte časovače .

Zabezpečení

Azure NAT Gateway je postaven na modelu zabezpečení sítě nulová důvěra (Zero Trust). Pokud používáte Azure NAT Gateway, privátní instance v podsíti k připojení k internetu nepotřebují veřejné IP adresy. Privátní prostředky mohou přistupovat k externím zdrojům mimo virtuální síť pomocí SNAT pro statické veřejné IP adresy nebo předpony v Azure NAT Gateway.

Můžete zadat souvislou sadu IP adres pro odchozí připojení pomocí předpony veřejné IP adresy. Pravidla cílové brány firewall můžete nakonfigurovat na základě tohoto předvídatelného seznamu IP adres.

Odolnost

Azure NAT Gateway je plně spravovaná a distribuovaná služba. Nezávisí na jednotlivých výpočetních instancích, jako jsou virtuální počítače nebo jedno fyzické zařízení brány. NAT Gateway má vždy více domén selhání a dokáže odolávat více selháním bez výpadků služeb. Softwarově definované sítě činí NAT bránu vysoce odolnou.

Škálovatelnost

Služba NAT Gateway je automaticky škálována od vytvoření. Nevyžaduje se žádný proces rozběhnutí nebo horizontálního navýšení kapacity. Azure spravuje provoz služby NAT Gateway za vás.

Připojte bránu NAT k podsíti, která poskytuje odchozí připojení pro všechny privátní prostředky v této podsíti. Všechny podsítě ve virtuální síti můžou používat stejný prostředek služby NAT Gateway. Odchozí připojení můžete škálovat tak, že k bráně NAT gateway přiřadíte až 16 veřejných IP adres. Když přidružíte službu NAT Gateway k předponě veřejné IP adresy, automaticky se škáluje na počet IP adres potřebných pro odchozí provoz.

Výkon

Azure NAT Gateway je softwarově definovaná síťová služba. Každá brána NAT může zpracovat až 50 Gb/s dat pro odchozí i návratový provoz.

Brána NAT nemá vliv na šířku pásma sítě vašich výpočetních prostředků. Další informace naleznete v tématu Výkon.

základy Azure NAT Gateway

Azure NAT Gateway poskytuje zabezpečené a škálovatelné odchozí připojení pro prostředky ve virtuální síti.

Odchozí připojení

  • Azure NAT Gateway je metoda, kterou doporučujeme pro odchozí připojení.

    Pokud chcete migrovat odchozí přístup na NAT Gateway z výchozího odchozího přístupu nebo odchozích pravidel nástroje pro vyrovnávání zatížení, přečtěte si téma Migrace odchozího přístupu na Azure NAT Gateway.

    Poznámka:

    Od 31. března 2026 nové virtuální sítě standardně využívají privátní podsítě. Výchozí odchozí přístup není ve výchozím nastavení k dispozici. Místo toho použijte explicitní formu odchozího připojení, například Azure NAT Gateway.

  • Azure NAT Gateway poskytuje odchozí připojení na úrovni podsítě. Nahradí výchozí internetový cíl podsítě, aby poskytoval odchozí připojení.

  • Azure NAT Gateway nevyžaduje žádné konfigurace směrování v tabulce směrování podsítě. Po připojení brány NAT k podsíti poskytuje automaticky odchozí konektivitu.

  • Azure NAT Gateway umožňuje vytvářet toky z virtuální sítě do služeb mimo vaši virtuální síť. Návratový provoz z internetu je povolený pouze v reakci na aktivní tok. Služby mimo vaši virtuální síť nemůžou inicializovat příchozí připojení přes bránu NAT Gateway.

  • Azure NAT Gateway má přednost před jinými metodami odchozího připojení, včetně nástroje pro vyrovnávání zatížení, veřejných IP adres na úrovni instance a Azure Firewall.

  • Azure NAT Gateway má přednost před jinými explicitními odchozími metodami nakonfigurované ve virtuální síti pro všechna nová připojení. U stávajících připojení, která používají jiné explicitní metody odchozího připojení, nejsou žádné poklesy toku provozu.

  • Azure NAT Gateway nemá stejná omezení vyčerpání portů SNAT jako výchozí odchozí přístup a odchozí pravidla nástroje pro vyrovnávání zatížení.

  • Azure NAT Gateway podporuje protokoly TCP, UDP (User Datagram Protocol) a ICMP (Protokol řídicích zpráv internetu) (požadavek na odezvu a odpověď na odezvu).

    Poznámka:

    Azure StandardV2 NAT Gateway podporuje odchozí požadavky na odezvu protokolu ICMP (Internet Control Message Protocol) a odpověď na odezvu (ping) pro protokol IPv4 i IPv6. Tato funkce je ve výchozím nastavení poskytována a nevyžaduje žádnou další konfiguraci. Pomocí nástroje ping (ICMP Echo) můžete ověřit odchozí připojení a rychle diagnostikovat problémy s dostupností vašich úloh. Postup ověření připojení najdete v tématu Ověření připojení ke službě NAT Gateway.

  • Azure NAT Gateway podporuje Azure App Service instance (webové aplikace, rozhraní REST API a mobilní back-endy) prostřednictvím virtuální integrace sítě.

  • Podsíť má výchozí systémovou trasu, která směruje provoz s cílem 0.0.0.0/0 do internetu automaticky. Po nakonfigurování služby NAT Gateway pro podsíť budou virtuální počítače v podsíti komunikovat s internetem pomocí veřejné IP adresy služby NAT Gateway.

  • Když ve směrovací tabulce podsítě vytvoříte trasu definovanou uživatelem pro provoz 0.0.0.0/0, přepíšete výchozí internetovou cestu pro tento provoz. Trasa definovaná uživatelem, která odesílá síťový provoz 0.0.0.0/0 do virtuálního zařízení nebo brány virtuální sítě (Službu Azure VPN Gateway a Azure ExpressRoute) jako typ dalšího skoku, místo toho přepíše připojení brány NAT k internetu.

    Tady je postup:

    Trasa definovaná uživatelem k dalšímu uzlu, virtuálnímu zařízení nebo bráně virtuální sítě >> NAT Gateway >> veřejná IP adresa na úrovni instance virtuálního počítače >> odchozí pravidla pro vyrovnávání zatížení >> výchozí systémová trasa ke internetu.

Odchozí připojení pro interní nástroje pro vyrovnávání zatížení Standard

Backendové virtuální stroje používající standardní interní load balancer potřebují explicitní odchozí metodu pro přístup k internetu. Připojte NAT bránu k backendové podsíti pro poskytování SNAT. Tato konfigurace nevyžaduje veřejný load balancer ani veřejné IP adresy na jednotlivých virtuálních strojích.

Pro konfigurační kroky viz Integrace NAT brány s interním load balancerem. Pokud backendové virtuální počítače nemají přístup k internetu, přečtěte si téma Řešení potíží s chybějící odchozí konektivitou z interních nástrojů pro vyrovnávání zatížení Standard.

Konfigurace služby NAT Gateway

  • Několik podsítí ve stejné virtuální síti může používat různé brány NAT nebo stejnou bránu NAT.

  • K jedné podsíti nemůžete připojit více bran NAT.

  • Služba NAT Gateway nemůže zahrnovat více virtuálních sítí. K poskytnutí odchozího připojení můžete použít bránu NAT v modelu hub-and-spoke. Další informace najdete v Azure NAT Gateway hub-and-spoke kurzu.

  • Prostředek standardní brány NAT může používat až 16 veřejných IP adres IPv4. Prostředek brány NAT StandardV2 může používat až 16 veřejných IP adres IPv4 a 16 IPv6.

  • Bránu NAT nemůžete nasadit v podsíti brány ani podsíti , která obsahuje spravované instance SQL.

  • Azure NAT Gateway funguje s jakýmkoli síťovým rozhraním virtuálního počítače nebo konfigurací PROTOKOLU IP. Brána NAT může použít SNAT pro více konfigurací IP adres v síťovém rozhraní.

  • Bránu NAT můžete přidružit k podsíti Azure Firewall ve virtuální síti hubu a zajistit odchozí připojení z propojených virtuálních sítí připojených k hubu. Další informace najdete v article o integraci Azure Firewall s Azure NAT Gateway.

Zóny dostupnosti

  • Bránu standardu NAT můžete vytvořit v konkrétní zóně dostupnosti nebo ji umístit do žádné zóny.

  • Standardní bránu NAT můžete izolovat v konkrétní zóně při vytváření zónové brány NAT. Po nasazení služby NAT Gateway nemůžete změnit výběr zóny.

  • Ve výchozím nastavení je standardní brána NAT umístěná v žádné zóně. Azure za vás umístí nezónovou NAT bránu do zóny.

  • Brána NAT StandardV2 je zónově redundantní a funguje napříč všemi zónami dostupnosti v oblasti, aby se zachovalo připojení během selhání jedné zóny.

Výchozí odchozí přístup

  • Pokud chcete zajistit zabezpečené odchozí připojení k internetu, povolte privátní podsíť. Tímto přístupem zabráníte vytváření výchozích odchozích IP adres a místo toho použijete explicitní metodu odchozího připojení, jako je brána NAT.

  • Některé služby nefungují na virtuálním počítači v privátní podsíti bez explicitní metody odchozího připojení, jako je například aktivace Windows a aktualizace Windows. Aktivace nebo aktualizace operačních systémů virtuálních počítačů, například Windows, vyžaduje explicitní metodu odchozího připojení, jako je brána NAT.

  • Pokud chcete migrovat odchozí přístup na NAT Gateway z výchozího odchozího přístupu nebo odchozích pravidel nástroje pro vyrovnávání zatížení, přečtěte si téma Migrace odchozího přístupu na Azure NAT Gateway.

Poznámka:

Od 31. března 2026 nové virtuální sítě standardně využívají privátní podsítě. Výchozí odchozí přístup již není automaticky poskytován. Musíte povolit explicitní odchozí metodu pro přístup k veřejným koncovým bodům na internetu a v rámci Microsoft. Místo toho použijte explicitní formu odchozího připojení, jako je brána NAT Gateway.

Azure NAT Gateway a základní prostředky

  • Standardní brána NAT funguje se standardními veřejnými IP adresami nebo předponami veřejných IP adres. Brána NAT StandardV2 funguje jenom s veřejnými IP adresami StandardV2 nebo předponami veřejných IP adres.

  • Nemůžete použít Azure NAT Gateway s podsítěmi, které mají základní prostředky. Prostředky pro Basic SKU, jako je základní vyrovnávač zatížení nebo základní veřejné IP adresy, nefungují s Azure NAT bránou. Pokud chcete pracovat s bránou NAT Gateway, můžete upgradovat základní vyrovnávač zatížení a veřejnou IP adresu z úrovně Basic na úroveň Standard.

Časové limity připojení a časovače

  • Azure NAT Gateway odešle paket TCP Reset (RST) pro jakýkoli tok připojení, který nerozpozná jako existující připojení. Tok připojení již neexistuje, pokud dojde k dosažení časového limitu Azure NAT Gateway nečinnosti nebo se připojení zavřelo dříve.

  • Když odesílatel provozu v rámci neexistujícího připojení obdrží paket TCP RST z Azure NAT Gateway, připojení už není použitelné.

  • Porty SNAT nejsou po zavření připojení snadno dostupné pro opakované použití do stejného cílového koncového bodu. Azure NAT Gateway umístí porty SNAT do stavu cooldownu, aby se mohly znovu připojit ke stejnému cílovému koncovému bodu.

  • Doba trvání časovače opakovaného použití portů SNAT (cooldown) u provozu TCP se liší podle toho, jak se spojení ukončí. Další informace najdete v tématu Časovače opětovného použití portů.

  • Azure NAT Gateway časovač časového limitu nečinnosti protokolu TCP se standardně nastaví na 4 minuty, ale můžete ho zvýšit až na 120 minut. Jakákoli aktivita toku může resetovat časovač nečinnosti, včetně protokolu TCP keepalives. Další informace najdete v tématu Časovače časového limitu nečinnosti.

  • Provoz UDP má časovač časového limitu nečinnosti 4 minuty, který se nedá změnit.

  • Provoz UDP má časovač opakovaného použití portu 65 sekund. Po tuto dobu je port v blokování, než bude dostupný pro opakované použití do stejného cílového koncového bodu.

Ceny a dohoda o úrovni služeb (SLA)

Brány NAT Standard a StandardV2 mají stejnou cenu. Další informace najdete v tématu o cenách služby Azure NAT Gateway.

Informace o smlouvě o úrovni služeb (SLA) najdete v Microsoft SLA pro online služby.

Související obsah

  • Poslední aktualizace v