NAT Gateway:インターネット NAT ゲートウェイを使用したインターネットへのアクセス

仕組み

次の例は、プライベート IP アドレス 192.168.1.100 を持つ ECS インスタンスがインターネットにアクセスする方法を示しています。

1. ルート転送：VPC は、ルートテーブル内の対応するルートエントリに基づいて、リクエストパケットをインターネット NAT ゲートウェイに転送します。

2. SNAT (ソースネットワークアドレス変換)：NAT ゲートウェイがパケットを受信すると、SNAT ルールで定義されているように、送信元 IP アドレス 192.168.1.100 をゲートウェイに関連付けられた EIP に変換します。ゲートウェイはまた、元の 5 タプル (プロトコル、送信元 IP、送信元ポート、宛先 IP、宛先ポート) と変換後の 5 タプル (プロトコル、EIP、パブリック送信元ポート、宛先 IP、宛先ポート) の間のマッピングを記録します。

3. インターネットへのアウトバウンド：ゲートウェイは、変換されたアドレスを持つパケットをインターネットに送信します。リクエストは、ECS インスタンスのプライベート IP アドレスではなく、EIP から発信されます。

インターネット上の宛先サーバーが応答パケットを返すと、ゲートウェイはセッションマッピングを使用して元のプライベート IP アドレスを復元し、パケットを ECS インスタンスに転送します。

ネットワーク接続の確認

ECS インスタンスにログインし、次のコマンドを実行します。

# ECS インスタンスのセキュリティグループが、インターネットへのアウトバウンドトラフィックを許可していることを確認します。
# インターネットへの接続性をテストします。
ping www.aliyun.com

# 現在の送信元パブリック IP アドレスを表示します。これは、NAT ゲートウェイに関連付けられた EIP である必要があります。
curl ifconfig.me

仕組み

次の例は、プライベート IP アドレスが 192.168.1.100 の ECS インスタンスがインターネットにサービスを提供する方法を示しています。

1. クライアントがサービスにアクセスします：データパケットの宛先 IP アドレスは、インターネット NAT ゲートウェイに関連付けられ、サービスの提供に使用される EIP です。

2. DNAT (Destination Network Address Translation)：NAT ゲートウェイがパケットを受信すると、DNAT ルールに基づいて宛先の EIP を ECS インスタンスのプライベート IP アドレスに変換します。 ゲートウェイは、このアドレスマッピングも記録します。

3. サービスへのアクセス：変換されたアドレスを持つパケットは、宛先の ECS インスタンスに転送されます。

宛先の ECS インスタンスが応答パケットを返すと、パケットはルートに従ってインターネット NAT ゲートウェイに転送されます。 ゲートウェイは、セッションマッピングテーブルに従って送信元 IP アドレスを EIP に変換し直し、パケットをインターネット上のクライアントに送信します。

DNAT エントリのみが設定されている場合、ECS インスタンスが受信するパケットの送信元 IP はクライアントのパブリック IP です。 したがって、ECS インスタンスのセキュリティグループのインバウンドルールを設定する際は、実際の送信元 IP アドレス (パブリック IP) を使用する必要があります。

DNAT エントリの設定

このセクションでは、DNAT エントリの設定方法のみを説明します。 NAT ゲートウェイの作成、EIP の関連付け、ルートの設定方法については、「SNAT - インターネットへのアクセス」をご参照ください。

ベストプラクティス

• ネットワーク計画：インターネット NAT ゲートウェイ専用の vSwitch を作成し、十分なプライベート IP アドレスを確保します。これにより、IP アドレスの枯渇による将来の EIP 関連付けのブロックを防ぎます。

• きめ細かな制御：vSwitch レベルまたは ECS レベルの SNAT エントリを使用します。最小権限の原則に従い、必要なリソースにのみインターネットアクセスを許可してください。

ディザスタリカバリ戦略

インターネット NAT ゲートウェイは、以下の 2 つのディザスタリカバリモードをサポートしています。作成時に ディザスタリカバリタイプ パラメーターを使用してモードを選択できます。

EIP の冗長性：ご利用の SNAT エントリに複数の EIP を関連付けます。攻撃やその他の問題により 1 つの EIP が利用できなくなった場合、アウトバウンドトラフィックは自動的に他の利用可能な EIP に切り替わります。

リスク防止

• セキュリティグループの設定：インターネット NAT ゲートウェイはアドレス変換を実行しますが、バックエンドの ECS インスタンスのセキュリティは、依然としてセキュリティグループとネットワーク ACL に依存します。ECS インスタンスには厳格なセキュリティグループのインバウンドルールを設定し、必要なポートでのみトラフィックを許可する必要があります。

• 監視とアラート：同時接続数やインバウンド/アウトバウンド帯域幅などの NAT ゲートウェイの主要メトリックに対してアラートルールを設定し、ボトルネックが発生する前にタイムリーな通知を受け取り、リソースをスケールできるようにします。

• 接続制限：ご利用のサービスが単一のパブリックサービス (決済ゲートウェイなど) への多数の接続を必要とする場合は、最大同時接続数 (N × 55,000、ここで N は SNAT エントリに設定された EIP の数) に注意してください。事前に十分な数の EIP を計画し、ポート割り当て失敗によるパケットロス数 メトリックを監視することを推奨します。

• ICMP エコー応答：この機能はデフォルトで有効になっています。ping コマンドを使用して検出を行うと、NAT ゲートウェイから通常の応答パケットを受信しますが、これはバックエンドサーバーが正常に実行中であることを保証するものではありません。ping に依存して高精度監視を行うシナリオでは、インスタンス詳細ページで ICMP 応答代行 を無効にする必要があります。

  • ICMP パケットは、DNAT が 任意のポート マッピングで設定されている場合にのみ、バックエンドサーバーに転送されます。

  • 特定のポート マッピングのシナリオでは、ping プローブは失敗します。telnet <EIP> <Public Port> を使用して、マッピングされたサービスポートを直接プローブできます。

SNAT によるインターネットアクセス障害

この問題をトラブルシューティングするには、次の手順に従います：

1. ルート設定：インターネット NAT ゲートウェイのインスタンス詳細ページで、NAT ゲートウェイを指す VPC のルート セクションを確認し、ルートエントリがゲートウェイを指していることを確認します。

2. SNAT エントリ設定：インターネット NAT ゲートウェイのインスタンス詳細ページの SNAT の管理 タブで、SNAT エントリのステータスが 使用可能 であることを確認します。また、インターネットへのアクセスに使用される送信元アドレスが ソース CIDR ブロック 内にあることも確認します。

3. アクセス制御：アクセスしようとしているパブリックエンドポイントにアクセス制御ポリシーが設定されているか、またはインスタンスに関連付けられている EIP がホワイトリストに追加されているかを確認します。

4. IPv4 ゲートウェイ設定：IPv4 ゲートウェイと併用する場合、NAT ゲートウェイが一般モードであり、ルーティングが正しく設定されていることを確認してください。

インターネットアクセスの低速化またはタイムアウト

この問題には、通常、次の原因が考えられます：

• 帯域幅不足：NAT ゲートウェイに関連付けられた EIP のモニタリングデータを表示し、帯域幅使用量を確認します。使用量が 100% に近い場合は、帯域幅を増やすか、EIP を追加して Internet Shared Bandwidth インスタンスに関連付けます。

• 接続数上限超過：単一の送信先への同時接続数が上限を超えると、ポート割り当ての失敗によりシステムが接続を切断します。NAT ゲートウェイのモニタリングで ErrorPortAllocationCount メトリックを表示します。この値が増加し続ける場合は、SNAT ルールに EIP を追加します。

NAT ゲートウェイとプライベートトラフィック

NAT ゲートウェイ自体はトラフィックパスを決定せず、アドレストランスレーションのみを実行します。VPC ルートテーブルは、トラフィックを NAT ゲートウェイに送信するかどうか、および変換後にどこにルーティングするかを制御します。

どの ECS インスタンスがインターネット NAT ゲートウェイ経由でインターネットにアクセスしているかを確認する方法はありますか？ EIP を持つインスタンスは影響を受けますか？

インターネットトラフィックのルーティングは、次の 2 つのレイヤーによって決定されます：

• ルーティングレイヤー：VPC ルートテーブルに 0.0.0.0/0 (または特定のパブリック CIDR ブロック) 向けの インターネット NAT ゲートウェイ を指すルートが含まれている場合、そのルートに一致するトラフィックは インターネット NAT ゲートウェイ に送信されます。

• Egress IP 優先度：固定パブリック IP アドレスを保持しているか、EIP がバインドされているインスタンスが最も高い優先度を持ちます。これらのインスタンスのトラフィックは、自身のパブリック IP アドレス経由で出力され、SNAT ルールの影響を受けません。したがって、実際にインターネットアクセスを インターネット NAT ゲートウェイ に依存しているインスタンスは、固定パブリック IP アドレスを持たず、EIP がバインドされていないインスタンスです。

課金

インターネット NAT ゲートウェイには、インスタンス料金と容量単位 (CU) 料金が発生します。関連付けられた EIP には独自の課金ルールがあり、別途課金されます。

クォータ