Maîtrisez votre trafic sortant grâce aux règles Cloud NAT de Google Cloud

Dans une configuration Cloud NAT standard, l'ensemble du trafic sortant d'un VPC partage le même pool d'adresses IP publiques. Bien que simple, cette approche pose plusieurs problèmes dans les environnements complexes ou réglementés :

• Difficultés liées au whitelisting strict : de nombreux services externes critiques tels que les processeurs de paiement, les API partenaires et les systèmes de sécurité appliquent des politiques de pare-feu strictes, exigeant le whitelisting d'IP publiques spécifiques. Sans règles, vos VM privées utiliseraient des IP rotatives ou partagées, ce qui vous obligerait à toutes les whitelister ou exposerait vos connexions à des échecs.
• Absence de segmentation du trafic : tout le trafic à destination d'Internet apparaît identique vu de l'extérieur. Impossible de le segmenter ou de l'auditer simplement selon un objectif précis.
• Lacunes en matière d'audit et de conformité : dans les secteurs réglementés, les connexions sortantes doivent parfois être tracées jusqu'à des applications ou des environnements précis. Lorsque tout le trafic utilise un pool d'IP unifié, cette traçabilité disparaît sur l'Internet public, ce qui complique les pistes d'audit et la conformité réglementaire.

Les règles Cloud NAT répondent à ces enjeux en introduisant une logique conditionnelle dans le processus NAT. Une règle définit une condition de correspondance (basée sur la source ou la destination) et une action associée (l'adresse IP NAT spécifique à utiliser). Une fois les règles NAT définies, chaque paquet est évalué au regard de celles-ci. Si un paquet remplit la condition d'une règle, l'action spécifiée est exécutée.

Les principales solutions offertes par les règles Cloud NAT sont les suivantes (seules les adresses de destination IPv4 sont prises en charge) :

Segmentation du trafic basée sur la source ( Preview) : dans les règles basées sur la source, les paquets sont identifiés par leur adresse IP source (la plage IP interne d'un sous-réseau spécifique).

SI le trafic provient du sous-réseau10.10.20.0/24 (notre environnement de test), ALORS utiliser l'IP NAT publique203.0.113.50 .

Cette approche est précieuse pour la segmentation du trafic. Elle permet d'attribuer une IP publique dédiée et facilement identifiable à des applications spécifiques, à des environnements (Dev/Test/Prod) ou à des sous-réseaux prioritaires, ce qui simplifie considérablement l'audit et la supervision de sécurité.

Exemple de règles basées sur la source

Whitelisting d'IP basé sur la destination : il s'agit de l'application la plus courante et la plus puissante. Dans les règles basées sur la destination, les paquets sont identifiés par leur adresse IP de destination.

SI l'IP de destination se trouve dans la plage198.51.100.0/24 (l'API de notre partenaire), ALORS utiliser l'IP NAT publique dédiée203.0.113.20 .

Seules certaines IP publiques sont alors utilisées pour les services whitelistés, tout autre trafic empruntant par défaut le pool d'IP NAT. Le problème du whitelisting est résolu sans compromettre la connectivité générale.

Exemple de règles basées sur la destination

Contrôle et flexibilité accrus

Les règles introduisent un système de priorité, qui permet aux administrateurs réseau de définir des politiques avec précision en garantissant que les règles les plus spécifiques et les plus critiques sont évaluées en premier. On obtient ainsi une approche déclarative et pilotée par les politiques pour gérer l'accès sortant des ressources à adressage privé.

Pour utiliser les règles NAT, suivez ces étapes générales :

1. Vérifiez que votre passerelle NAT utilise une allocation d'IP manuelle (et non automatique).
2. Désactivez l'endpoint-independent mapping, incompatible avec les règles NAT.
3. Définissez vos règles en leur attribuant une priorité, en précisant si elles s'appliquent à la source ou à la destination, et en indiquant les IP externes à utiliser.
4. Déployez les règles via la Cloud Console, la CLI gcloud ou des outils IaC.
5. Surveillez, mettez à jour ou supprimez les règles à mesure que vos politiques évoluent.

Exemple gcloud minimal (règle basée sur la source) :

gcloud beta compute routers nats rules create 1000 \
  --router=MY_ROUTER \
  --region=MY_REGION \
  --nat=MY_NAT \
  --match='inIpRange(source.ip, "10.10.1.0/24")' \
  --source-nat-active-ips=EXTERNAL_IP_1 \
  --project=MY_GCP_PROJECT

Vous pouvez mettre à jour ou supprimer des règles de la même manière, à l'aide des commandes gcloud compute routers nats rules update/delete.

• Concevez les priorités avec soin pour éviter tout chevauchement involontaire.
• Définissez toujours une règle de repli par défaut afin de couvrir le trafic non identifié.
• Surveillez les ports actifs et la capacité NAT pour prévenir tout épuisement.
• Auditez régulièrement pour vérifier que la segmentation par règles reste alignée avec vos exigences de conformité.