NAT Gateway は、Alibaba Cloud が提供するフルマネージドのネットワークアドレス変換ゲートウェイです。クラウドサービスのアドレスを変換して隠すことで、直接公開されるのを防ぎ、ネットワークセキュリティを強化します。
プロダクトタイプ
VPC NAT ゲートウェイとは異なり、インターネット NAT ゲートウェイは EIP に関連付けてインターネットアクセスを有効にすることができます。ただし、NAT Gateway はアドレス変換のみを行い、トラフィックフローは制御しません。データパケットが NAT Gateway に送信されるか、また変換後にどこにルーティングされるかは、VPC のルートテーブルによって制御されます。
インターネット NAT ゲートウェイ - インターネットアクセス
インターネット NAT ゲートウェイは、VPC 内のインスタンスのプライベート IPv4 アドレスを EIP に変換し、複数のサーバーが EIP を共有してインターネットにアクセスできるようにします。
サーバーのインターネットアクセスを有効化 インターネット NAT ゲートウェイの SNAT 機能を使用すると、複数の Elastic Compute Service (ECS) インスタンスが 1 つの EIP を共有してインターネットにアクセスできます。この方法により、コストを削減し、セキュリティを強化できます。 | 複数の VPC 間で NAT ゲートウェイを共有してインターネットにアクセス VPC ピアリング接続または Cloud Enterprise Network (CEN) を使用して VPC を相互接続し、単一のインターネット NAT ゲートウェイを共有してインターネットにアクセスできます。 |
VPC NAT ゲートウェイ - プライベートネットワークアクセス
VPC NAT ゲートウェイは、VPC 内のインスタンスのプライベート IPv4 アドレスを他のプライベート NAT IP アドレスに変換できます。この機能により、IP アドレスが重複するネットワーク間の接続性の問題を解決したり、特定の送信元 IP アドレスからのサービスへのアクセス要件を満たしたりすることができます。
プライベートネットワークの競合を解決 CIDR ブロックが重複する VPC は直接相互接続できません。VPC NAT ゲートウェイを使用して、競合するプライベート IP アドレスを変換し、通信を有効にすることができます。 |
特定のアドレスからのアクセス 金融や証券などの規制された業界では、クラウドベースのサービスで VPC NAT ゲートウェイを使用することで、オンプレミスデータセンターにアクセスするトラフィックが、固定された特定のプライベート IP アドレスから発信されるように保証できます。 |
パフォーマンスと高可用性
高可用性
NAT Gateway は、高可用性のために、クロスゾーンディザスタリカバリとシングルゾーンディザスタリカバリの 2 つのデプロイモードをサポートしています。ゲートウェイを作成する際に ディザスタリカバリタイプ を選択できます。
シングルゾーンディザスタリカバリモードは、NAT Gateway をサポートするすべてのリージョンで利用可能です。このモードを使用するには、アカウントマネージャーに連絡してアクセスをリクエストしてください。
クロスゾーンディザスタリカバリ NAT ゲートウェイは 2 つのゾーンにまたがって冗長的にデプロイされます。一方のゾーンで障害が発生した場合、トラフィックは自動的にもう一方のゾーンにフェールオーバーします。このモードは、ECS などのインスタンスが複数のゾーンに分散しており、単一の NAT ゲートウェイを共有してインターネットにアクセスする必要があるシナリオに適しています。 | シングルゾーンディザスタリカバリ NAT ゲートウェイは単一のゾーン内にデプロイされ、そのゾーン内でのみ高可用性を提供します。このモードは、サービスが単一のゾーンに集中しており、専用の NAT ゲートウェイを使用してインターネットにアクセスするシナリオに適しています。 |
クロスゾーンリカバリ (デフォルト) | シングルゾーンリカバリ | |
デプロイ方法 | インスタンスはプライマリゾーンとバックアップゾーンの両方にデプロイされます。バックアップゾーンは Alibaba Cloud によって選択されます。 | ゲートウェイはユーザーが指定した単一のゾーンにデプロイされ、そのゾーン内でデバイスレベルの冗長性が確保されます。 |
ディザスタリカバリ機能 | ゾーン障害発生時の自動フェールオーバー。 | Alibaba Cloud が指定されたゾーン内での高可用性を保証します。 |
コスト | ベースライン価格 | インスタンス料金はクロスゾーンモードの料金の約 50%、CU 料金は約 80% となります。 |
利用シーン | ECS などのインスタンスが複数のゾーンに分散しており、単一の NAT ゲートウェイを共有してインターネットにアクセスする必要がある場合。 | サービスが単一のゾーンに集中しており、専用の NAT ゲートウェイを使用してインターネットにアクセスする場合。 |
自動スケーリング
各デプロイモードのパフォーマンスメトリクスは次のとおりです。
デプロイモード | メトリック | 接続レート (CPS) | スループット | 同時接続数 | パケットレート (PPS) |
クロスゾーンディザスタリカバリ | 初期メトリック | 20,000 | 5 Gbps | 500,000 | 800,000 |
スケーリング上限 | 100,000 | 15 Gbps | 2,000,000 | 2,500,000 | |
シングルゾーンディザスタリカバリ | 初期メトリック | 20,000 | 10 Gbps | 500,000 | 800,000 |
スケーリング制限 | 100,000 | 20 Gbps | 2,000,000 | 2,500,000 |
パフォーマンスと安定性を確保するため、NAT Gateway は分散型で信頼性の高いクラスターアーキテクチャを採用しています。クラスターはすべてのトラフィックを複数のシステムサーバーに均等に分散して転送します。そのため、最大スループットと 1 秒あたりのパケット数 (PPS) は、複数のセッションでのみ達成可能です。単一セッションのスループットと PPS は、単一のシステムサーバーのパフォーマンスによって制限されます。インスタンスのパフォーマンスを把握し、それに応じてモニタリングを設定するために、ストレステストを実施することを推奨します。
単一セッションのスループット上限 = 総スループットのスケーリング上限 / クラスター内のサーバー数
単一セッションの PPS 上限 = 総 PPS のスケーリング上限 / クラスター内のサーバー数
NAT ゲートウェイのトラフィックがパフォーマンスの上限を超えると、ワークロードでパケット損失が発生する可能性があります。より高いパフォーマンスが必要な場合は、アカウントマネージャーに連絡してリクエストを送信してください。
実際のシナリオでは、平均パケットサイズ、接続タイプ (長時間接続または短時間接続)、ネットワークアーキテクチャなど、複数の要因が NAT ゲートウェイのパフォーマンスに影響を与えます。その結果、実際のパフォーマンスは異なる場合があります。特定のビジネス要件に基づいてストレステストを実施し、インスタンスのパフォーマンスを評価し、円滑な運用を確保するためにモニタリングを設定することを推奨します。