すべてのプロダクト
Search

このプロダクト

    NAT Gateway:VPC ピアリング接続を利用した複数 VPC でのインターネット NAT ゲートウェイの共有

    ドキュメントセンター

    NAT Gateway:VPC ピアリング接続を利用した複数 VPC でのインターネット NAT ゲートウェイの共有

    最終更新日:Aug 29, 2026

    このチュートリアルでは、Virtual Private Cloud (VPC) ピアリング接続を使用して、単一のインターネット NAT ゲートウェイを複数の VPC で共有する方法を説明します。これにより、接続されているすべての VPC が、各 VPC に個別の NAT Gateway をデプロイすることなく、インターネットにアクセスできるようになります。

    NAT Gateway を共有する理由

    インターネットアクセスが必要なすべての VPC にインターネット NAT ゲートウェイをデプロイすると、VPC の数に比例してコストと運用負荷が増加します。VPC をピアリング接続で接続し、それらのアウトバウンドトラフィックを 1 つの一元化された NAT Gateway 経由でルーティングすることにより、単一のゲートウェイの料金を支払い、1 セットの Elastic IP Address (EIP) の関連付けを管理するだけで済みます。このアーキテクチャの課金対象コンポーネントは次のとおりです。

    • インターネット NAT ゲートウェイ (時間単位)

    • NAT Gateway 上の EIP 関連付け

    • VPC ピアリング接続経由のデータ転送

    仕組み

    VPC ピアリング接続は、2 つの VPC 間のプライベートネットワーク接続です。ピアリングされた VPC 間のトラフィックは Alibaba Cloud のバックボーンを経由し、パブリックインターネットを通過しません。

    VPC 間で NAT Gateway を共有するには、次の手順を実行します。

    1. ハブ VPC (NAT Gateway が配置されている VPC) にインターネット NAT ゲートウェイを作成します。

    2. ハブ VPC と各スポーク VPC の間に VPC ピアリング接続を作成します。

    3. スポーク VPC がアウトバウンドトラフィックをピアリング接続経由でハブ VPC に転送するように、ルートエントリを追加します。

    4. NAT Gateway 上に、ハブ VPC と各スポーク VPC の両方の CIDR ブロックをカバーする SNAT エントリを作成します。

    3 つ以上の VPC を接続するには、各ペア間に個別のピアリング接続を作成します。たとえば、VPC1、VPC2、VPC3 を接続するには、VPC1–VPC2、VPC2–VPC3、VPC1–VPC3 の 3 つのピアリング接続を作成します。

    シナリオ例

    ある企業が中国 (成都) リージョンに 2 つの VPC があるとします。

    • [VPC-A] — ハブ VPC。vSwitch-A1 (NAT Gateway がデプロイされている場所) と vSwitch-A2 (ECS-A が実行されている場所) を含みます。

    • [VPC-B] — スポーク VPC。vSwitch-B1 (ECS-B が実行されている場所) を含みます。CIDR ブロック： 172.16.0.0/16。

    ECS-A と ECS-B の両方がインターネットにアクセスする必要があります。解決策は、VPC-A と VPC-B をピアリングし、ルートを設定し、VPC-A の NAT Gateway 上に SNAT エントリを作成することです。

    image

    前提条件

    開始する前に、以下が準備されていることを確認してください。

    • 同じリージョンにある 2 つの VPC (この例では中国 (成都) を使用)

    • 各 VPC 内にインターネットアクセスが必要な ECS インスタンス

    • NAT Gateway、VPC ピアリング接続、ルートエントリ、SNAT エントリを作成するための十分な権限

    ステップ 1：インターネット NAT ゲートウェイの作成

    NAT Gateway - インターネット NAT ゲートウェイの購入ページに移動し、次のパラメーターを設定します。

    • 課金方法：従量課金。

    • リージョン：インターネット NAT ゲートウェイを作成するリージョンを選択します。

    • ネットワーク & ゾーン：インターネット NAT ゲートウェイの VPC と vSwitch を選択します。選択した vSwitch は、NAT ゲートウェイにプライベート IP アドレスを割り当てるために使用されます。EIP を関連付けると、この vSwitch からプライベート IP アドレスが 1 つ消費されます。これらの設定は、ゲートウェイの作成後に変更することはできません。

    • ディザスタリカバリタイプ：NAT ゲートウェイのディザスタリカバリモードを選択します。

      • クロスゾーンディザスタリカバリ (デフォルト)：ゲートウェイをプライマリゾーンとセカンダリゾーンにデプロイします。プライマリゾーンで障害が発生した場合、トラフィックは自動的にセカンダリゾーンにフェイルオーバーします。

      • シングルゾーンディザスタリカバリ：選択したゾーン内にゲートウェイをデプロイし、デバイスレベルの冗長性によって高可用性を確保します。インスタンス料金はクロスゾーンモードの 50% で、CU 料金は 80% です。

    • EIP：既存の EIP があるかどうかに基づいてオプションを選択します。

      • EIP の選択：インスタンスに関連付けられていない EIP を選択します。

      • EIP の購入：利用可能な EIP がない場合にこのオプションを選択します。デフォルトでは、トラフィック課金型の BGP (Multi-ISP) EIP が作成されます。ビジネス要件に基づいて 最大帯域幅 を設定できます。

        BGP (マルチ ISP)_プレミアム EIP または異なる課金方法の EIP を関連付けるには、まず EIP を申請し、作成時に EIP の選択 を選択します。

      • 後で設定：NAT ゲートウェイはインターネットアクセスなしで作成されます。

        NAT ゲートウェイの作成後、ターゲットインスタンスを見つけ、Elastic IP アドレス 列の 今すぐ関連付ける をクリックします。その後、既存の EIP を選択するか、新しい EIP を購入して関連付けることができます。

    ステップ 2：VPC ピアリング接続の作成

    1. VPCコンソールにログインします。

    2. 左側のナビゲーションペインで、VPC ピアリング接続 をクリックします。

    3. 上部メニューで、リージョンを選択します。この例では、[中国 (成都)] を選択します。

    4. VpcPeer ページで、VPC ピアリング接続の作成 をクリックします。

    5. 次のパラメーターを設定し、OK をクリックします。

      パラメーター

      説明

      [ピアリング接続名]

      接続の名前を入力します。

      [リソースグループ]

      リソースグループを選択します。

      [送信側 VPC インスタンス]

      ハブ VPC を選択します。この例では、[VPC-A] を選択します。

      [接続先のアカウントタイプ]

      両方の VPC が同じ Alibaba Cloud アカウントに属している場合は、同一アカウント を選択します。

      [接続先のリージョンタイプ]

      両方の VPC が同じリージョンにある場合は、同一リージョン を選択します。

      [受信側 VPC インスタンス]

      スポーク VPC を選択します。この例では、[VPC-B] を選択します。

    6. VpcPeer ページで、接続ステータスが アクティベート済み であることを確認します。アクティブになると、リクエスタ VPC とアクセプタ VPC の両方の VPC ID、リージョン、CIDR ブロック、および所有者アカウントを表示できます。

    ステップ 3：ルートの設定

    トラフィックがピアリング接続を経由して正しく流れるように、両方の VPC にルートエントリを追加します。

    このステップ完了後の想定されるルートテーブルの状態：

    VPC

    宛先

    ネクストホップ

    VPC-A (リクエスタ)

    172.16.0.0/16 (VPC-B の CIDR)

    VPC ピアリング接続

    VPC-B (アクセプタ)

    0.0.0.0/0

    VPC ピアリング接続

    VPC-A のルートは、VPC-B 宛てのトラフィックをピアリング接続経由で送信します。VPC-B のルートは、すべてのアウトバウンドトラフィック (インターネット宛てのトラフィックを含む) を VPC-A に送信し、そこで NAT Gateway が変換を処理します。

    VPC-A (リクエスタ VPC) のルート設定：

    1. VPC ピアリング接続 ページで、作成したピアリング接続を見つけます。

    2. リクエスタ 列で、ルートエントリの設定 をクリックします。

    3. ルートエントリの設定 ダイアログボックスで、以下を設定して OK をクリックします。

      パラメーター

      値

      [VPC]

      VPC-A が自動的に入力されます。

      [リクエスタ側のルートテーブル]

      VPC-A に関連付けられているルートテーブルを選択します。

      [名前]

      ルートエントリの名前を入力します。

      [ターゲット CIDR]

      IPv4 CIDR ブロック を選択し、172.16.0.0/16 (VPC-B の CIDR ブロック) を入力します。

      [ネクストホップ]

      VPC ピアリング接続が自動的に入力されます。

    VPC-B (アクセプタ VPC) のルート設定：

    1. アクセプタ 列で、ルートエントリの設定 をクリックします。

    2. ルートエントリの設定 ダイアログボックスで、以下を設定して OK をクリックします。

      パラメーター

      値

      [VPC]

      VPC-B が自動的に入力されます。

      [アクセプタ側のルートテーブル]

      VPC-B に関連付けられているルートテーブルを選択します。

      [名前]

      ルートエントリの名前を入力します。

      [ターゲット CIDR]

      IPv4 CIDR ブロック を選択し、0.0.0.0/0 を入力して、すべての IPv4 トラフィックをピアリング接続経由で VPC-A に転送します。

      [ネクストホップ]

      VPC ピアリング接続が自動的に入力されます。

    重要

    ピアリング接続を指す 0.0.0.0/0 ルートを追加すると、VPC-B からのすべてのアウトバウンドインターネットトラフィックが VPC-A に転送されます。VPC-A の NAT Gateway に、VPC-B の CIDR ブロックをカバーする SNAT エントリがまだない場合、VPC-B 内のインスタンスはインターネットアクセスを失います。VPC-B がすでにインターネット接続に依存するワークロードを実行している場合は、まずステップ 4 を完了して SNAT 設定が正しいことを確認してから、このデフォルトルートを追加することを推奨します。

    ルートが追加されたことを確認するには、ピアリング接続 ID をクリックし、ルートエントリ タブを確認します。

    ステップ 4：SNAT エントリの作成

    インターネットアクセスを必要とするインスタンスを含む各 vSwitch に対して SNAT エントリを作成します。VPC-B のトラフィックは VPC-A の NAT Gateway に到着し、SNAT ルールでカバーされる必要があるため、VPC-B の vSwitch も対象となります。

    1. [インターネット NAT ゲートウェイ] ページで、目的の NAT ゲートウェイを探し、[操作] 列の [SNAT の設定] をクリックします。

    2. [SNAT管理] タブで、SNAT エントリの作成 をクリックします。

    3. 次のパラメーターを設定し、OK をクリックします。

      パラメーター

      説明

      [SNAT エントリ]

      [vSwitchを指定] を選択し、インスタンスがインターネットにアクセスする必要がある vSwitch を選択します。選択した vSwitch の CIDR ブロックが自動的に表示されます。複数の vSwitch をカバーするには、それらをすべて選択します。システムは vSwitch ごとに 1 つの SNAT エントリを作成し、すべて同じ EIP を使用します。

      [EIPの選択]

      [単一IPの使用] を選択し、NAT Gateway に関連付けられている EIP を選択します。

      [エントリ名]

      SNAT エントリの名前を入力します。

    設定の確認

    両方のインスタンスがインターネットにアクセスできることを確認します。

    1. [Workbench コンソール] 経由で ECS-A と ECS-B にログオンします。

    2. 各インスタンスで次のコマンドを実行します。

      ping 223.5.5.5

      ping が成功すると、インスタンスが NAT Gateway を介してインターネットにアクセスできることが確認されます。

    image

    次のステップ

    • 追加の VPC を同じ NAT Gateway に接続するには、新しい VPC ごとにステップ 2 から 4 を繰り返します。つまり、ピアリング接続を作成し、両方の VPC でルートを設定し、新しい VPC の vSwitch 用の SNAT エントリを追加します。

    • VPC ピアリング接続の詳細については、「VPC ピアリング接続」をご参照ください。