NAT Gateway:インターネット NAT ゲートウェイを使用したインターネットアクセス

仕組み

以下の例では、プライベート IP アドレスが 192.168.1.100 の ECS インスタンスがインターネットにアクセスする仕組みを説明します。

1. ルート転送：VPC は、そのルートテーブル内の対応するルートエントリに基づいて、リクエストパケットをインターネット NAT ゲートウェイに転送します。

2. SNAT (ソースネットワークアドレス変換)：NAT ゲートウェイがパケットを受信すると、SNAT ルールで定義されているように、送信元 IP アドレス 192.168.1.100 をゲートウェイに関連付けられた EIP に変換します。また、ゲートウェイは元の 5 タプル (プロトコル、送信元 IP、送信元ポート、宛先 IP、宛先ポート) と変換後の 5 タプル (プロトコル、EIP、パブリック送信元ポート、宛先 IP、宛先ポート) の間のマッピングを記録します。

3. インターネットへのアウトバウンド：ゲートウェイは、変換されたアドレスを持つパケットをインターネットに送信します。リクエストは ECS インスタンスのプライベート IP アドレスではなく、EIP から発信されます。

インターネット上の宛先サーバーが応答パケットを返すと、ゲートウェイはセッションマッピングを使用して元のプライベート IP アドレスを復元し、パケットを ECS インスタンスに転送します。

ネットワーク接続の確認

ECS インスタンスにログインし、次のコマンドを実行します。

# ECS インスタンスのセキュリティグループが、インターネットへのアウトバウンドトラフィックを許可していることを確認します。
# インターネットへの接続性をテストします。
ping www.aliyun.com

# 現在のエグレスパブリック IP アドレスを表示します。これは、NAT ゲートウェイに関連付けられている EIP である必要があります。
curl ifconfig.me

仕組み

次の例は、プライベート IP アドレスが 192.168.1.100 の ECS インスタンスがインターネットにサービスを提供する方法を示しています。

1. クライアントがサービスにアクセス：データパケットの宛先 IP アドレスは、インターネット NAT ゲートウェイに関連付けられ、サービスの提供に使用される EIP です。

2. DNAT (Destination Network Address Translation)：NAT ゲートウェイがパケットを受信すると、DNAT ルールに基づいて宛先 EIP を ECS インスタンスのプライベート IP アドレスに変換します。ゲートウェイは、このアドレスマッピングも記録します。

3. サービスへのアクセス：変換されたアドレスを持つパケットが、宛先の ECS インスタンスに転送されます。

宛先の ECS インスタンスが応答パケットを返すと、そのパケットはルートに従ってインターネット NAT ゲートウェイに転送されます。ゲートウェイは、セッションマッピングテーブルに従ってソース IP アドレスを EIP に変換し直し、インターネット上のクライアントにパケットを送信します。

DNAT エントリのみが設定されている場合、ECS インスタンスが受信するパケットのソース IP はクライアントのパブリック IP になります。したがって、ECS インスタンスのセキュリティグループのインバウンドルールを設定する際は、実際のソース IP アドレス (パブリック IP) を使用する必要があります。

DNAT エントリの設定

このセクションでは、DNAT エントリの設定方法のみを説明します。NAT ゲートウェイの作成、EIP の関連付け、ルートの設定方法については、「SNAT - インターネットへのアクセス」をご参照ください。

ベストプラクティス

• ネットワーク計画：インターネット NAT ゲートウェイ専用の vSwitch を作成し、十分なプライベート IP アドレスを確保します。これにより、IP アドレスの枯渇による将来の EIP 関連付けのブロックを防ぎます。

• きめ細かな制御：vSwitch レベルまたは ECS レベルの SNAT エントリを使用します。最小権限の原則に従い、必要なリソースにのみインターネットアクセスを許可してください。

ディザスタリカバリ戦略

インターネット NAT ゲートウェイは、以下の 2 つのディザスタリカバリモードをサポートします。作成時に ディザスタリカバリタイプ パラメーターを使用してモードを選択できます。

EIP の冗長性：ご利用の SNAT エントリに複数の EIP を関連付けます。攻撃やその他の問題により 1 つの EIP が利用できなくなった場合、アウトバウンドトラフィックは自動的に他の利用可能な EIP に切り替わります。

リスク防止

• セキュリティグループの設定：インターネット NAT ゲートウェイはアドレス変換を行いますが、バックエンドの ECS インスタンスのセキュリティは、依然としてセキュリティグループとネットワーク ACL に依存します。ECS インスタンスには厳格なセキュリティグループのインバウンドルールを設定し、必要なポートでのみトラフィックを許可する必要があります。

• 監視とアラート：同時接続数やインバウンド/アウトバウンド帯域幅など、NAT ゲートウェイの主要メトリックに対してアラートルールを設定し、ボトルネックが発生する前にタイムリーな通知を受け取り、リソースをスケールできるようにします。

• 接続制限: お使いのサービスが単一のパブリックサービス (決済ゲートウェイなど) への多数の接続を必要とする場合は、最大同時実行数 (N × 55,000 (N は SNAT エントリに設定された EIP の数)) に注意してください。事前に十分な数の EIP を計画し、ポート割り当て失敗によるパケットロス数 メトリックをモニターすることをお勧めします。

• ICMP エコー応答: この機能はデフォルトで有効になっています。ping コマンドを使用して検出を行うと、NAT ゲートウェイから通常の応答パケットを受信しますが、これはバックエンドサーバーが正常に実行されていることを保証するものではありません。ping を使用した高精度監視に依存するシナリオでは、インスタンス詳細ページでICMP 応答代行を無効にする必要があります。

  • DNAT が 任意のポート マッピングで設定されている場合にのみ、ICMP パケットはバックエンドサーバーに転送されます。

  • 特定のポート マッピングシナリオでは、PING プローブは失敗します。telnet <EIP> <Public Port> を使用して、マッピングされたサービスポートを直接確認できます。

SNAT によるインターネットアクセス障害

この問題をトラブルシューティングするには、次の手順に従ってください：

1. ルート設定：インターネット NAT ゲートウェイのインスタンス詳細ページで、NAT ゲートウェイを指す VPC のルート セクションを確認し、ルートエントリがゲートウェイを指していることを確認します。

2. SNAT エントリ設定：インターネット NAT ゲートウェイのインスタンス詳細ページの SNAT の管理 タブで、SNAT エントリのステータスが 使用可能 であることを確認します。また、インターネットへのアクセスに使用されるソースアドレスが ソース CIDR ブロック 内にあることも確認します。

3. アクセス制御：アクセスしようとしているパブリックエンドポイントにアクセス制御ポリシーが設定されているか、またはインスタンスに関連付けられている EIP がホワイトリストに追加されているかを確認します。

4. IPv4 ゲートウェイ設定：IPv4 ゲートウェイと併用する場合、NAT ゲートウェイが一般モードであり、ルーティングが正しく設定されていることを確認してください。

インターネットアクセスの低速化またはタイムアウト

この問題には、通常、次の原因が考えられます：

• 帯域幅不足：NAT ゲートウェイに関連付けられた EIP のモニタリングデータを表示し、帯域幅使用量を確認します。使用量が 100% に近い場合は、帯域幅を増やすか、EIP を追加して Internet Shared Bandwidth インスタンスに関連付けます。

• 接続制限超過：単一の送信先への同時接続数が制限を超えると、ポート割り当ての失敗により、システムは接続を切断します。NAT ゲートウェイのモニタリングで ErrorPortAllocationCount メトリックを表示します。この値が増加し続ける場合は、SNAT ルールに EIP を追加してください。

NAT ゲートウェイとプライベートトラフィック

NAT ゲートウェイ自体はトラフィックパスを決定するのではなく、アドレストランスレーションのみを実行します。VPC ルートテーブルは、トラフィックを NAT ゲートウェイに送信するかどうか、および変換後にどこにルーティングするかを制御します。

課金

インターネット NAT ゲートウェイでは、インスタンス料金と容量単位 (CU) 料金が発生します。関連付けられた EIP には独自の課金ルールがあり、別途課金されます。

クォータ