Cloud NAT : ソフトウェア定義型の新しいネットワーク アドレス変換サービス

※この投稿は米国時間 2018 年 10 月 17 日に Google Cloud blog に投稿されたものの抄訳です。

アプリケーションを実行するときに利用するネットワーク サービスの中でも、NAT（ネットワーク アドレス変換）はきわめて重要です。NAT により、アプリケーションのデプロイ環境をプライベートに保ちながらインターネットにアクセスすることができます。私たちは先ごろロンドンで開催した Google Cloud Next London '18 において、フルマネージドの Cloud NAT サービスのベータ版を発表しました。今回はこのサービスについて詳しく見ていきましょう。

Cloud NAT のメリット

Cloud NAT は、他の NAT サービスと比べてさまざまなメリットを提供します。

• Cloud NAT は、管理される中間プロキシがないソフトウェア定義型ソリューションであり、ボトルネックのない設計によって高い信頼性、パフォーマンス、スケーラビリティを実現します。
• Google Compute Engine 仮想マシン（VM）と Google Kubernetes Engine（コンテナ）の両方をサポートします。
• NAT ゲートウェイごとに複数の NAT IP アドレスを構成できるので、別の NAT ゲートウェイの追加や管理を行うことなく、ネットワーク規模に基づいてスケーリングを行えます。
• お客様に固有の要件に応じて、手動モードと自動モードのどちらかを選んで NAT IP アドレス割り当てを行うことができます。手動モードのときは、IP アドレス指定時に完全な制御が可能です。自動モードのときは、インスタンス数に基づいて NAT IP アドレスの割り当てとスケーリングが自動的に行われます。
• 構成可能な NAT タイムアウト タイマーでタイマー値を調整できます。
• サブネット内のインスタンス数にかかわらず、1 つの NAT ゲートウェイでリージョンの VPC 内のすべてのサブネットで NAT を実現します。
• 1 つのゾーンが使用不能でも、リージョン単位で高い可用性を提供します。

「Cloud NAT を導入したのは、私たちの 既存の Google Cloud 環境を Cloud NAT がどのように扱うかを調べるためでした。すべてが指定どおりに、すぐに順調に機能しました」と、bol.com のリード システム エンジニアである Wietse Muizelaar 氏は述べています。

ボトルネックのないソフトウェア定義型の NAT

Cloud NAT はフルマネージドのソフトウェア定義型サービスであり、インスタンスやアプライアンス ベースのソリューションではありません。インスタンスから宛先への経路に NAT 中間プロキシがないという点で、従来の NAT プロキシ ソリューションとは異なります。各インスタンスには、NAT IP アドレスとともに、対応づけられたポート範囲が割り当てられます。この割り当てられた IP アドレスとポート範囲は、Google の Andromeda ネットワーク仮想化スタックによってインスタンスにプログラミングされ、インスタンスによって NAT を実行するために使用されます。

実際、私たちの Cloud NAT 実装は、ファイアウォールのように、お客様の内部のインスタンスと外部の宛先の間の経路にボトルネックが発生しないように分散されます。このアプローチは、Cloud NAT のスケーラビリティ、パフォーマンス、スループット、可用性を高めることに貢献します。

NAT IP アドレスの割り当てモード

そこで私たちは、NAT IP アドレス割り当てに関して 2 つのモードを用意することにしました。

• NAT ゲートウェイによる IP アドレスの自動割り当て : GCP が VM の数に基づいて NAT IP アドレスの自動割り当てと自動スケーリングを行います。これは、NAT のために十分な IP アドレスを確保する最良の方法です。ただし、この方法の場合、NAT IP アドレスからアクセスされる側では IP ホワイトリスティングが難しいことに注意してください。不要になった一部の IP アドレスが解放されるからです。

• NAT ゲートウェイで使用される特定の NAT IP アドレスを指定 : NAT ゲートウェイで使用されるように 1 つまたは複数の NAT IP アドレスを手動で指定します。これらの IP アドレスは、予約された静的なものでなければならず、IP アドレスの自動割り当ては行われません。このモードが好まれるのは、NAT IP アドレスからアクセスされる側で NAT IP ホワイトリスティングを行う必要があるときです。ただし、すべての必要なインスタンスのために NAT を実行するのに十分な NAT IP アドレスがない場合、インスタンスの一部は NAT を利用できないことに注意してください。より多くの NAT IP アドレスが必要なときはログ メッセージが表示されます。

VPC で NAT ゲートウェイを起動

2 つのリージョンにおいて、3 つのサブネットを含む GCP ネットワークを使っているとします。

• Us-east1
• subnet 1（10.240.0.0/16）と subnet 2（172.16.0.0/16）
• europe-west1
• subnet 3（192.168.1.0/24）

このセットアップを適用するには、リージョンおよびネットワークごとに 1 つの NAT ゲートウェイを構成します。

1. subnet 1（10.240.0.0/16）に NAT-GW-US-EAST を構成します。

2. subnet 3（192.168.1.0/24）にNAT-GW-EU を構成します。3

3.各 NAT ゲートウェイを、トラフィックの変換が必要なサブネットワークで構成します。

• NAT-GW-US-EAST を subnet 1（10.240.0.0/16）

• NAT-GW-EU を subnet 3（192.168.1.0/24）

4. subnet 2 については NAT を構成しません。これによって subnet 2 は、この例で想定されているようにインターネットから分離されます。

Cloud NAT のセットアップの詳細については、Google Compute Engine と Google Kubernetes Engine に対応したこちらの Cloud NAT 構成をご覧ください。

GKE 用の Cloud NAT

ノードとポッドの両方が Cloud NAT を利用できます。ポッドが NAT を利用できないようにしたい場合は、そのためのクラスタ ネットワーク ポリシーを作成します。

上の例では、コンテナに対して NAT 変換が行われるようにします。すべてのコンテナと GKE ノードで NAT を有効にするには、subnet 1 のすべての IP アドレス範囲を NAT 候補として選択しなければなりません。Container1 または Container2 でのみ NAT を利用することはできません。

利用料金

• 各 NAT ゲートウェイにつき 1 時間あたり 0.045 ドルから
• NAT データ処理費用

今すぐお試しを！

- By Vijay Madhavapeddi, Technical Lead and Engineering Manager and Prajakta Joshi, Sr. Product Manager, Cloud Networking