NAT Gateway:よくある質問

インスタンス設定

SNAT 設定

DNAT 設定

EIP 設定

ルーティング関連

SNAT を介してインターネットにアクセスできない

• NAT Gateway を指すデフォルトルートの確認：

  NAT Gateway インスタンスの詳細ページで、NAT ゲートウェイを指す VPC のルート を表示し、NAT Gateway を指すルートエントリが存在するかどうかを確認してください。存在しない場合は、関連するルートテーブルで、宛先を 0.0.0.0/0、ネクストホップを NAT Gateway に設定したルートを設定してください。

• SNAT ルール設定の確認：

  • NAT Gateway インスタンスの詳細ページの SNAT の管理 タブで、SNAT エントリのステータスが 利用可能 であることを確認してください。

  • インターネットにアクセスする送信元アドレスが 送信元の CIDR ブロック 内にあることを確認してください。

• NAT 以外の問題のトラブルシューティング：

  • クロスボーダーアクセス：ネットワークパスが不安定です。

  • ドメインアクセス：ドメインの ICP 登録と DNS 名前解決が正常であるかを確認してください。

  • アクセス制御：宛先がアクセス制御ポリシーを設定しているか、EIP をホワイトリストに追加しているかを確認してください。

• IPv4 ゲートウェイ設定の確認：IPv4 ゲートウェイを使用している場合、NAT Gateway が NAT モードであり、ルートが正しく設定されていることを確認してください。

新しい ECS が SNAT を介してインターネットにアクセスできない

新しく作成された vSwitch 内の ECS は SNAT を介してインターネットにアクセスできませんが、他の vSwitch 内のインスタンスはアクセスできます。

• SNAT エントリに新しい vSwitch の CIDR ブロックが含まれているかどうかの確認：

  NAT Gateway は、新しく作成された vSwitch に対して自動的に SNAT エントリを設定しません。インスタンス詳細ページの SNAT の管理 タブで、既存の SNAT エントリの 送信元の CIDR ブロック に新しい vSwitch の CIDR ブロックが含まれているかどうかを確認してください。含まれていない場合は、手動で SNAT エントリを設定してください。

• 新しい vSwitch がカスタムルートテーブルに関連付けられている場合は、宛先が 0.0.0.0/0 でネクストホップが NAT Gateway に設定されたルートエントリが設定されているかどうかを確認してください。設定されていない場合は、手動でルートエントリを追加してください。

複数の NAT Gateway があると ECS がインターネットにアクセスできない

これは、VPC がシステムルートテーブルのみを使用し、1 つの NAT Gateway を指す単一の 0.0.0.0/0 ルートがある場合に発生します。そのゲートウェイの SNAT エントリが特定の vSwitch をカバーしていない場合、その ECS インスタンスはインターネットにアクセスできません。

• 複数の NAT Gateway が不要な場合は、不要なものを削除し、残りの NAT Gateway に SNAT エントリを追加して vSwitch の CIDR ブロックをカバーします。

• 複数の NAT Gateway が必要な場合は、このガイドを参照して設定してください。

SNAT を介して FTP サーバーにアクセスできない

考えられる原因：

• アクティブ FTP モード：SNAT はアウトバウンドアクセスのみをサポートしています。FTP アクティブモードではインバウンドのデータ接続が必要ですが、SNAT はこれを処理できません。代わりにパッシブモードを使用してください。

• SNAT エントリに複数の EIP がある：FTP の制御接続とデータ接続で異なる EIP が使用され、セッションが切断される可能性があります。EIP アフィニティを有効にして、同じクライアントが常に同じ EIP を使用するように設定します。または、FTP クライアント用に単一の EIP を持つ別の SNAT ルールを作成してください。

DNAT 設定後にサービスに到達できない

• NAT Gateway を指すデフォルトルートの確認：

  DNAT エントリで設定された ECS インスタンスがインカミングトラフィックに応答するとき、NAT Gateway に戻るルートも必要です。システムルートテーブルまたはカスタムルートテーブルに、宛先が 0.0.0.0/0 でネクストホップが NAT Gateway に設定されたルートがあるか確認してください。ない場合は、手動でルートエントリを追加してください。

• DNAT ルール設定の確認：

  • NAT Gateway インスタンスの詳細ページの DNAT の管理 タブで、DNAT エントリのステータスが 利用可能 であることを確認してください。

  • DNAT ルール内のポート、プロトコル、およびターゲットアドレスのパラメーターが正しいことを確認してください。

• セキュリティグループ、ファイアウォール、およびサービスポートのステータスの確認：

  • 同じ VPC 内の別の ECS インスタンスで telnet <ECS プライベート IP> <プライベートポート> を実行し、DNAT エントリで設定された ECS インスタンスのプライベートポートにアクセスできるか確認してください。

    • 出力に unable connect to remote host: Connection timed out と表示された場合、プライベートポートは VPC 内からアクセスできず、インターネットからもアクセスできないことを意味します。

    • 出力に Connected to <ECS private IP> と表示された場合、プライベートポートはアクセス可能です。

  • プライベートポートにアクセスできる場合は、ECS インスタンスのセキュリティグループルールが対応するポートへのパブリックアクセスを許可しており、ファイアウォールでポートが開いていることを確認してください。

• ドメイン名前解決の問題のトラブルシューティング：ドメイン経由のアクセスは失敗するが、直接 EIP アクセスは機能する場合、ドメインの DNS 名前解決と ICP 登録ステータスを確認してください。

• IPv4 ゲートウェイ設定の確認：IPv4 ゲートウェイを使用している場合、NAT Gateway が NAT モードであり、ルートが正しく設定されていることを確認してください。

• ENI の一貫性の確認：ECS に複数の ENI がある場合、インバウンドとアウトバウンドの ENI が一貫しているか確認してください。設定についてはこのガイドを参照してください。

IPv4 ゲートウェイとインターネット NAT ゲートウェイの違い

IPv4 ゲートウェイとインターネット NAT ゲートウェイは併用できます。これらのネットワークコンポーネントが互いにどのように関連しているかの詳細については、「インターネットアクセス」をご参照ください。

IPv4 ゲートウェイを作成すると、vSwitch は次の 2 つのカテゴリに分類されます。

• パブリック vSwitch：関連付けられたルートテーブルに、CIDR が 0.0.0.0/0 に設定され、ネクストホップ が IPv4 ゲートウェイに設定されたルートエントリが含まれます。この vSwitch 内のリソースは、パブリック IP アドレスを関連付けた後、インターネットにアクセスできます。

• プライベート vSwitch：関連付けられたルートテーブルに、IPv4 ゲートウェイを指すルートが含まれていません。この vSwitch 内のリソースは、パブリック IP アドレスを持っていても直接インターネットにアクセスできません。

インターネット NAT ゲートウェイを IPv4 ゲートウェイと併用する場合、インターネット NAT ゲートウェイをパブリック vSwitch にデプロイします。プライベート vSwitch 内の ECS インスタンスは、インターネット NAT ゲートウェイを指すルートを持つ必要があります。これにより、インターネット宛てのトラフィックが NAT ゲートウェイを通過し、NAT ゲートウェイに関連付けられたパブリック IP アドレスを使用してインターネットに到達します。次の点にご注意ください。

• インターネット NAT ゲートウェイの EipBindMode が、IPv4 ゲートウェイとの互換性のために NAT モードに設定されていることを確認してください。

  • コンソールで作成されたインターネット NAT ゲートウェイは、デフォルトで NAT モードになります。CreateNatGateway を呼び出す際は、EipBindMode を NAT に設定します。作成後、ModifyNatGatewayAttribute を呼び出して EipBindMode を変更できます。

  • EipBindMode が MULTI_BINDED モードに設定されたインターネット NAT ゲートウェイが既に存在する場合、IPv4 ゲートウェイと互換性がないため、IPv4 ゲートウェイを作成できません。

  • IPv4 ゲートウェイが既に存在し、CreateNatGateway を呼び出して EipBindMode が MULTI_BINDED モードのインターネット NAT ゲートウェイを作成した場合、その NAT ゲートウェイに EIP を関連付けることはできません。

• IPv4 ゲートウェイの有効化後にプライベート vSwitch 内のリソースがインターネットアクセスを失わないように、有効化の前にルート設定を完了してください。

NAT モードに切り替えるとどうなりますか。

切り替え後、NAT Gateway は IPv4 ゲートウェイと連携できるようになります。SNAT と DNAT の両方のエントリを持つインスタンスは、SNAT を使用して同じゲートウェイ上の DNAT サービスにアクセスできます。

• 課金：無料、追加費用なし。

• サービス：短いネットワーク中断 (数秒) が発生する可能性があります。中断時間は関連付けられている EIP の数に依存します。

• 設定：

  • パブリックエグレス IP と既存の設定は変更されません。

  • 各 EIP は NAT Gateway の vSwitch から 1 つのプライベート IP を消費します。十分な利用可能なアドレスがあることを確認してください。

  • この切り替えは元に戻せません。後で IPv4 ゲートウェイ互換モードを無効にすることはできません。

接続のタイムアウトまたはダウンロードの遅延

• トラフィックの監視

  • EIP モニタリングを表示して、帯域幅制限によるパケットロスがないか確認してください。検出された場合は、EIP の帯域幅をアップグレードしてください。

  • 多数の ECS インスタンスを持つ VPC の場合、NAT Gateway のトラフィックモニタリングを使用して、異常なトラフィックのソースを特定してください。

• Linux カーネルの最適化

  • 原因：複数の Linux ECS インスタンスが SNAT を介して同時に Linux サーバーにアクセスすると、カーネルが TCP SYN パケットをドロップし、タイムアウトを引き起こす可能性があります。

  • 解決策：サーバー側で net.ipv4.tcp_tw_recycle を無効にするか、クライアント側で net.ipv4.tcp_timestamps を無効にしてください。

ポート割り当て失敗によるドロップは何を意味しますか。

NAT Gateway 経由の同時接続が多すぎることが原因で TCP/UDP ポートの割り当てに失敗し、その結果ドロップされた接続数です。

原因：単一の EIP または NAT IP が提供する SNAT ポートは限られています。セッションが多すぎて、かつ EIP または NAT IP が少なすぎる状態で同じ宛先をターゲットにすると、ポートの割り当てに失敗します。

解決策：ドロップが増え続ける場合は、SNAT ルールに EIP または NAT IP を追加してください。

NAT Gateway のコストが増加したのはなぜですか。

NAT Gateway は従量課金です。コストが高い場合は、通常、トラフィックが多いことを意味します。以下のトラブルシューティングを行ってください。

• モニタリングの表示：CloudMonitor で、NAT Gateway インスタンスのインバウンド/アウトバウンドトラフィック、接続数、その他のメトリックを確認して、トラフィックのピークを特定してください。

• 請求詳細の表示：請求とコスト管理コンソールを使用して、NAT Gateway の時間単位の請求詳細を表示し、コストが増加した正確な時間を特定してください。

• トラフィックログの有効化：NAT Gateway のトラフィックログ (セッションログとフローログ) を有効にし、分析のために Log Service に配信して、トラフィックソースを正確に特定してください。

NAT Gateway のリソースパッケージの返金は可能ですか。

NAT Gateway のリソースパッケージは、5 日以内の未使用分の返金と全額以外の返金をサポートしています。詳細については、「リソースのサブスクリプション解除に関するルール」をご参照ください。

NAT Gateway を削除した後も請求されるのはなぜですか。

NAT Gateway を削除した後でも、遅延課金により請求書を受け取ることがあります。これらの請求書は、削除前の使用量を対象としています。請求詳細の使用期間を確認して、ご確認ください。

作成できる NAT Gateway の数はいくつですか。

デフォルトでは、各 Alibaba Cloud アカウントはリージョンごとに最大 5 つの NAT Gateway を作成できます。クォータの引き上げが必要な場合は、Quota Center で申請を提出できます。詳細については、「クォータの管理」をご参照ください。