プロトコル転送の使用

プロトコル転送の使用

Google Compute Engine はプロトコル転送機能をサポートしています。この機能を使用して、NAT 処理されないターゲットインスタンスにパケットを送信できる転送ルールオブジェクトを作成できます。各ターゲットインスタンスには、対応する転送ルールからトラフィックを受け取って処理する単一の仮想マシンインスタンスが含まれています。

プロトコルの転送は、次のようなさまざまな状況で使用できます。

IP ごとの仮想ホスティング

1 つのターゲットインスタンスをポイントする複数の転送ルールを設定して、1 つの仮想マシンインスタンスが設定された複数の外部 IP アドレスを使用できるように設定できます。これは、1 つの仮想マシンインスタンスからデータを供給するが、複数の外部 IP アドレス経由でそのデータを供給したい場合に使用できます。特にこれは、SSL 仮想ホスティングを設定する場合に便利です。
仮想プライベートネットワーク（VPN）

VPN で転送ルールを使用する方法については、VPN をご覧ください。
プライベート VIP

プライベート（RFC 1918）アドレスを使用するプライベートリージョン転送ルールのプロトコル転送を使用できます。この機能を使用して、TCP または UDP トラフィックを同じリージョン内のターゲットインスタンスに送信するプライベート転送ルールを構成します。プライベートリージョン転送ルールを、ターゲットインスタンスを使用したバックエンドサービスからバックエンドサービスに、またはその逆に切り替えることもできます。
負荷分散

ロードバランサにトラフィックを転送する方法については、負荷分散を参照してください。

IP、仮想プライベートネットワーク（VPN）、負荷分散による仮想ホスティングの場合、Google Compute Engine は次のプロトコルのプロトコル転送をサポートしています。

AH: IP 認証ヘッダープロトコルを指定します。
ESP: IP カプセル化セキュリティペイロードプロトコルを指定します。
ICMP: インターネットコントロールメッセージプロトコルを指定します。
SCTP: ストリーム制御伝送プロトコルを指定します。
TCP: 伝送制御プロトコルを指定します。
UDP: ユーザーデータグラムプロトコルを指定します。

プライベート VIP の場合は、TCP と UDP のみがサポートされます。

TCP: 伝送制御プロトコルを指定します。
UDP: ユーザーデータグラムプロトコルを指定します。

プロトコル転送は、負荷分散サービスと同じレートで課金されます。詳細については、価格に関するページをご覧ください。

クイックスタート

このクイックスタートでは、bash の知識があることを前提としています。

1 つのインスタンスにトラフィックを送信する転送ルールを作成するには、次を行う必要があります。

ターゲットインスタンスを作成します。

ターゲットインスタンスには 1 つの仮想マシンインスタンスが含まれますが、この仮想マシンインスタンスはターゲットインスタンスを作成するときにすでに作成されていても、後で作成してもかまいません。
転送ルールを作成します。

ターゲットインスタンスは、転送ルールを作成する前に用意しておく必要があります。着信パケットが、転送ルールによって処理される IP、プロトコル、および（該当する場合は）ポート範囲と一致する場合、転送ルールはそのトラフィックをターゲットインスタンスに送信します。

このクイックスタートの残りの部分では、上記の手順を以下の順で詳しく説明します。

仮想マシンインスタンスに Apache サーバーを設定します。
ターゲットインスタンスと、対応する転送ルールを作成します。
1 つのターゲットインスタンスにトラフィックを送信します。

このクイックスタートを完了すると、複数の転送ルールから 1 つのターゲットインスタンスに転送するプロトコルを設定する方法がわかります。

仮想マシンインスタンスの設定と Apache のインストール

最初に、Apache をインストールして単一の仮想マシンインスタンスを作成します。

新しいインスタンス用のいくつかのスタートアップスクリプトを作成します。

オペレーティングシステムによって、スタートアップスクリプトに含まれる内容が以下のように異なる場合があります。

インスタンスで Debian イメージを使用する場合、次のコマンドを実行します。

me@local:~$ echo "sudo apt-get update && sudo apt-get -y install apache2 && mkdir -p /var/www1 &&
mkdir -p /var/www2 && mkdir -p /var/www3 && hostname > /var/www/html/index.html &&
echo w1 > /var/www1/index.html && echo w2 > /var/www2/index.html && echo w3 > /var/www3/index.html" > \
$HOME/pf_startup.sh

インスタンスで CentOS イメージを使用する場合、次のコマンドを実行します。

me@local:~$ echo "sudo yum -y install httpd && sudo service httpd restart && mkdir -p /var/www1 &&
mkdir -p /var/www2 && mkdir /var/www3 && hostname > /var/www/html/index.html &&
echo w1 > /var/www1/index.html && echo w2 > /var/www2/index.html && echo w3 > /var/www3/index.html" > \
$HOME/pf_startup.sh

将来の仮想マシン用にタグを作成し、後でそれにファイアウォールを適用できるようにします。
```
me@local:~$ TAG="www-tag"
```

転送ルールに応じてトラフィックを処理する、新しい仮想マシンインスタンスを成します。

gcloud compute instances create pf-instance \
    --image-project debian-cloud --image-family debian-9 --tags $TAG \
    --metadata-from-file startup-script=$HOME/pf_startup.sh

この仮想マシンインスタンスに外部トラフィックを許可するファイアウォールルールを作成します。
```
gcloud compute firewall-rules create www-firewall --target-tags $TAG --allow tcp
```

これで、仮想マシンインスタンスが正常に設定されました。ここで、プロトコルの転送構成の設定を開始できます。

ターゲットインスタンスと、対応する転送ルールの作成

ターゲットインスタンスを作成します。

ターゲットインスタンスには、転送ルールからトラフィックを受け取り、処理する単一の仮想マシンインスタンスが含まれています。ターゲットインスタンスには NAT ポリシーがないため、それらのインスタンスを使用して、IPsec プロトコルを直接使用する独自の VPN 接続を設定できます。

転送ルールは既存のターゲットリソースを参照する必要があるため、転送ルールを作成するには、ターゲットインスタンスを作成しておく必要があります。存在しないターゲットリソースにトラフィックを送信する転送ルールを作成することはできません。この例では、次のようにしてターゲットインスタンスを作成します。
```
gcloud compute target-instances create pf-target-instance --instance pf-instance
```
転送ルールオブジェクトを作成します。

転送ルールオブジェクトは、IP プロトコルとポートに一致するトラフィックを、指定したターゲットインスタンスに送信します。詳細については、転送ルールの説明をご覧ください。

この例では、次のコマンドによって 3 つの転送ルールが作成されます。それぞれに、TCP トラフィックをターゲットインスタンスに転送するエフェメラル IP アドレスがあります。複数の静的外部 IP アドレスがある場合は、--address IP-ADDRESS フラグを指定し、転送ルールで使用することもできます。
```
gcloud compute forwarding-rules create pf-rule1 --ip-protocol TCP \
    --ports 80 --target-instance pf-target-instance
```
```
gcloud compute forwarding-rules create pf-rule2 --ip-protocol TCP \
    --ports 80 --target-instance pf-target-instance
```
```
gcloud compute forwarding-rules create pf-rule3 --ip-protocol TCP \
    --ports 80 --target-instance pf-target-instance
```

これで作業は完了です。ターゲットインスタンスへのトラフィックの送信を開始できるようになりました。

インスタンスへのトラフィックの送信

新しい転送ルールの外部 IP アドレスを取得します。

gcloud compute forwarding-rules list を実行して、転送ルールの外部 IP アドレスを取得します。たとえば、次の表には以前に作成した転送ルールに割り振られたエフェメラル IP アドレスのリストが示されています。

予約された IP アドレスを使用するように選択すると、エフェメラル IP アドレスの代わりに、それらのアドレスがここに表示されます。
```
gcloud compute forwarding-rules list
```
```
NAME     REGION      IP_ADDRESS     IP_PROTOCOL TARGET
pf-rule1 us-central1 [ADDRESS_1]    TCP         us-central1-a/targetInstances/pf-target-instance
pf-rule2 us-central1 [ADDRESS_2]    TCP         us-central1-a/targetInstances/pf-target-instance
pf-rule3 us-central1 [ADDRESS_3]    TCP         us-central1-a/targetInstances/pf-target-instance
```
次の手順で使用するため、IP アドレスをメモしておきます。

宛先 URL に基づいて異なる情報を処理するように、仮想マシンインスタンスの Apache 仮想ホストを構成します。

まず、インスタンスに SSH を設定します。

gcloud compute ssh pf-instance

次に、/etc/apache2/sites-enabled/000-default.conf ファイルを編集して次の行を追加します。VirtualHostcd .. 行には、前の手順で確認した IP アドレスを使用します。

<VirtualHost [ADDRESS_1]>
 DocumentRoot /var/www1
 <Directory /var/www1>
  Require all granted
 </Directory>
</VirtualHost>
<VirtualHost [ADDRESS_2]>
 DocumentRoot /var/www2
 <Directory /var/www2>
  Require all granted
 </Directory>
</VirtualHost>
<VirtualHost [ADDRESS_3]>
 DocumentRoot /var/www3
 <Directory /var/www3>
  Require all granted
 </Directory>
</VirtualHost>

最後に、Apache を再始動します。

user@myinst:~$ sudo /etc/init.d/apache2 restart

いくつかのトラフィックをインスタンスに送信してみます。

ローカルマシンで、作成した転送ルールによって処理される外部 IP アドレスへのリクエストを作成します。

次に、curl を使用して IP アドレスにトラフィックを送信します。IP アドレスに応じて、w1、w2、または w3 の応答が返されます。
```
me@local:~$curl [ADDRESS_1]
w1
```
```
me@local:~$ curl [ADDRESS_2]
w2
```
```
me@local:~$ curl [ADDRESS_3]
w3
```
これで作業は完了です。最初のプロトコル転送構成が設定されました。

転送ルール

転送ルールはターゲットプールおよびターゲットインスタンスと連携して機能し、負荷分散機能とプロトコル転送機能をサポートします。負荷分散とプロトコル転送を使用するには、トラフィックを特定のターゲットプール（負荷分散の場合）またはターゲットインスタンス（プロトコル転送の場合）に振り向ける転送ルールを作成する必要があります。転送ルールを設定することなく、これらの機能を使用することはできません。

転送ルールのリソースは転送ルールのコレクションに含まれています。各転送ルールでは、特定の IP アドレス、プロトコル、およびポート範囲（オプション）と、単一のターゲットプールまたはターゲットインスタンスが照合されます。トラフィックが転送ルールから提供される外部 IP アドレスに送信されると、転送ルールによって、対応するターゲットプールまたはターゲットインスタンスにそのトラフィックが振り向けられます。プロジェクトごとに、最大 50 個の転送ルールオブジェクトを作成できます。

転送ルールを扱うときに注意する必要のある点を以下に示します。

転送ルールの名前はこのプロジェクト内で固有であり、63 文字以内の長さで、正規表現 [a-z]([-a-z0-9]*[a-z0-9])? と一致している必要があります。この正規表現は、先頭文字に小文字を使用し、残りの文字には、ダッシュ、小文字、数字を使用する必要があることを示しています。ただし最後の文字にはダッシュを使用できません。
転送ルールのプロトコルを指定しなかった場合は、デフォルトの TCP が使用されます。また、特定のプロトコルはターゲットプールまたはターゲットインスタンスとしてしか使用できないことにも注意してください。
- ESP、AH、SCTP、ICMP を使用する場合、ターゲットインスタンスを指定する必要があります。これらのプロトコルを使用する場合、ターゲットプールを指定することはできません。
- TCP または UDP を使用する場合は、ターゲットプールまたはターゲットインスタンスのいずれかを指定できます。
ポート範囲は、TCP、UDP、SCTP プロトコルでのみ使用できます。

転送ルールの追加

gcloud compute forwarding-rules create コマンドを使用したり、転送ルールコレクションに対する HTTP POST リクエストを作成したりして、新しい転送ルールを追加できます。gcloud コマンドラインツールを使用してターゲットインスタンスに転送ルールを作成する例を次に示します。

gcloud compute forwarding-rules create [FORWARDING_RULE] \
    --load-balancing-scheme internal | external \
    --region [REGION] \
    [--target-instance-zone [ZONE]] \
    --ip-protocol TCP --ports 80 \
    --target-instance [TARGET_INSTANCE]

gcloud config set compute/zone によって compute/zone プロパティが設定されておらず、--target-instance-zone フラグが省略された場合、gcloud コマンドラインツールはゾーンの選択を求めるプロンプトを表示します。詳細については、デフォルトのゾーンとリージョンの設定をご覧ください。

gcloud compute forwarding-rules create コマンドでは、負荷分散スキームが内部である場合にターゲットインスタンスをターゲットとして設定することがサポートされます。

ターゲットプールへの転送ルールを作成する例を以下に示します。

gcloud compute forwarding-rules create [FORWARDING_RULE] \
    --target-pool [TARGET_POOL] \
    [--region [REGION]]

gcloud config set compute/region によって compute/region プロパティが設定されておらず、--region フラグが省略された場合、gcloud コマンドラインツールはリージョンの選択を求めるプロンプトを表示します。詳細については、デフォルトのゾーンとリージョンの設定をご覧ください。

使用できるフラグの詳細な説明については、転送ルールの create コマンドを参照するか、gcloud compute forwarding-rules create --help と入力してください。

API を使用して転送ルールを追加するには、次の URI に対して HTTP POST リクエストを実行します。

https://www.googleapis.com/compute/v1/projects/myproject/regions/us-central1/forwardingRules

リクエストボディには、次のフィールドが含まれている必要があります。

{
 "name": "example-forwarding-rule",
 "IPAddress": "`10.1.1.1",
 "IPProtocol": "TCP",
 "portRange": "80",
 "target": "zones/us-central1-f/targetInstances/example-target-instances"
}

転送ルールの一覧取得

gcloud コマンドラインツールを使用した転送ルールのリストを取得するには、list コマンドを使用します。

gcloud compute forwarding-rules list

API の場合は、次の URI に空の HTTP GET リクエストを行います。

https://www.googleapis.com/compute/v1/project/myproject/regions/us-central1/forwardingRules

転送ルールに関する情報の取得

gcloud コマンドラインツールを使用した単一転送ルールに関する情報を取得するには、describe コマンドを使用します。

gcloud compute forwarding-rules describe [FORWARDING_RULE] [--region [REGION] | --global]

--region フラグまたは --global フラグが省略された場合、gcloud コマンドラインツールはリージョン転送ルールの操作が行われていると判断します。その際に、gcloud config set compute/region によって compute/region プロパティが設定されていない場合、リージョンの選択を求めるプロンプトが表示されます。詳細については、デフォルトのゾーンとリージョンの設定をご覧ください。

API の場合は、次の URI に空の HTTP GET リクエストを行います。

https://www.googleapis.com/compute/v1/project/myproject/regions/us-central1/forwardingRules/example-forwarding-rule

転送ルールのターゲットの更新

転送ルールをすでに作成したものの、転送ルールが使用するターゲットプールを変更する場合、gcloud コマンドラインツールの set-target コマンドを使用して変更できます。

gcloud compute forwarding-rules set-target [FORWARDING_RULE] --target-pool [TARGET_POOL] \
    [--region [REGION] | --global]

API の場合は、次の URI に HTTP POST リクエストを行います。

https://www.googleapis.com/compute/v1/projects/myproject/regions/us-central1/forwardingRules/example-forwarding-rule/setTarget

リクエストボディには、設定するターゲットインスタンスまたはターゲットプールに対する URL が含まれている必要があります。たとえば、ターゲットプールの場合、URI は次のような形式にする必要があります。

{
  "target": "https://www.googleapis.com/compute/v1/projects/myproject/regions/us-central1/targetPools/example-target-pool"
}

転送ルールの削除

gcloud コマンドラインツールを使用して転送ルールを削除するには、delete コマンドを使用します。

gcloud compute forwarding-rules delete [FORWARDING_RULE] [--region [REGION] | --global]

API から転送ルールを削除するには、次の URI に対してリクエストの本文が空の HTTP DELETE リクエストを行います。

https://www.googleapis.com/compute/v1/project/myproject/regions/us-central1/forwardingRules/example-forwarding-rule

ターゲットインスタンス

ターゲットインスタンスリソースには、1 つ以上の転送ルールからトラフィックを処理する 1 つの仮想マシンインスタンスが含まれており、単一のソース（AH や ESP など）によって管理される必要のある特定のタイプのプロトコルトラフィックを転送するのに理想的ですが、TCP および UDP プロトコルにはターゲットインスタンスを使用することもできます。ターゲットインスタンスには、それらに適用されている NAT ポリシーがないため、仮想プライベートネットワーク（VPN）に対して NAT 処理されない IPsec トラフィックが必要なトラフィックに使用できます。

ターゲットインスタンスは転送ルールと同じリージョンに存在している必要があります。また、ターゲットインスタンスは仮想マシンインスタンスと同じゾーンに入っている必要もあります。たとえば、転送ルールが us-central1 にあり、使用するインスタンスが us-central1-a にある場合、ターゲットインスタンスは us-central1-a に入っている必要があります。インスタンスが us-central1-b にある場合、ターゲットインスタンスも us-central1-b に入っている必要があります。

ターゲットインスタンスの追加

新しいターゲットインスタンスを追加するには、gcloud compute target-instances コマンドを使用するか、targetInstances コレクションに対する HTTP POST リクエストを作成します。GCP Console からターゲットインスタンスリソースを作成することはできません。gcloud コマンドラインツールを使用してターゲットインスタンスを作成する例を以下に示します。

gcloud compute target-instances create [TARGET_INSTANCE] --instance INSTANCE

gcloud config set compute/zone によって compute/zone プロパティが設定されておらず、--zone フラグが省略された場合、gcloud コマンドラインツールはゾーンの選択を求めるプロンプトを表示します。詳細については、デフォルトのゾーンとリージョンの設定をご覧ください。

使用できるフラグの詳細な説明については、create コマンドを参照するか、gcloud compute target-instances create --help と入力してください。

API では、次の URI に HTTP POST リクエストを送ります。

https://www.googleapis.com/compute/v1/projects/myproject/zones/us-central1-f/targetInstances

次のリクエストボディを使用します。

body = {
  "name": "example-target-instance",
  "instance": "zones/us-central1-f/instances/example-instance"
}

ターゲットインスタンスの一覧取得

gcloud コマンドラインツールを使用してターゲットインスタンスのリストを取得するには、list コマンドを使用します。

gcloud compute target-instances list

API の場合は、次の URI に空の HTTP GET リクエストを行います。

https://www.googleapis.com/compute/v1/projects/myproject/aggregatedList/targetInstances

ターゲットインスタンスの取得

gcloud コマンドラインツールを使用して単一ターゲットインスタンスに関する情報を取得するには、describe コマンドを使用します。

gcloud compute target-instances describe [TARGET_INSTANCE]

API の場合は、次の URI に空の HTTP GET リクエストを行います。

https://www.googleapis.com/compute/v1/projects/myproject/zones/us-central1-f/targetInstances/<target-instance>

ターゲットインスタンスの削除

ターゲットインスタンスを削除するには、最初に、それがどの転送ルールからも参照されていないことを確認します。転送ルールが現在ターゲットインスタンスを参照している場合、その転送ルールを削除して、参照を削除する必要があります。

ターゲットインスタンスを参照する転送ルールを削除した後、gcloud コマンドラインツールの delete コマンドを使用してターゲットインスタンスそのものを削除できます。

gcloud compute target-instances delete [TARGET_INSTANCE]

API の場合は、次の URI に空の HTTP DELETE リクエストを行います。

https://www.googleapis.com/compute/v1/projects/myproject/zones/us-central1-f/targetInstances/<target-instance>

プライベート VIP のためのプロトコル転送

プロトコル転送は、プライベート（RFC 1918）アドレスを使用するプライベートリージョン転送ルールに使用できます。この機能を使用して、TCP または UDP トラフィックを同じリージョン内のターゲットインスタンスに送信するプライベート転送ルールを構成します。プライベートリージョン転送ルールを、ターゲットインスタンスを使用したバックエンドサービスからバックエンドサービスに、またはその逆に、簡単に切り替えることもできます。

ターゲットインスタンスには、1 つ以上の転送ルールによってトラフィックを処理する 1 つのバックエンドインスタンスが含まれます。各ターゲットインスタンスを指定する 1 つのプライベート転送ルールのみを構成できます。

次の状況では、プライベート転送ルールとともにプロトコル転送を使用します。

サービスの 1 つのバックエンドインスタンスをデプロイし、ヘルスチェックやその他を自分で管理する場合。
転送グルールのプライベート IP アドレスを保持し、転送ルールで指定されるターゲットインスタンスを変更する場合。
プライベート転送ルールの IP アドレスを変更せずに、単一のインスタンス（ターゲットインスタンス）から複数のバックエンドインスタンス（バックエンドサービス）に簡単に移動できるようにすることで、展開を安定させる場合。

ターゲットインスタンスとバックエンドサービスの間の移行

1 つの VM インスタンスを使用して、ターゲットインスタンスへのトラフィックの転送をバックエンドサービスへのトラフィックの転送へ、またはその逆へと変更するようにプライベート転送ルールを更新できます。このようにプライベート転送ルールを更新すると、転送ルールの IP アドレスが保持されます。変更によってバックエンドサービスインスタンスの負荷分散が有効または無効になるため、この移行中に既存の接続が中断される可能性があります。

ターゲットインスタンスとバックエンドサービスの間での移行には、プライベート転送ルールのみを使用できます。外部転送ルールを使用したプロトコル転送では、これを行うことができません。

プライベート転送ルールのターゲットの更新

転送ルールがプライベート転送ルールの場合、ターゲットインスタンスを指すのではなく、バックエンドサービスを指すように変更できます。

    gcloud compute forwarding-rules set-target my-forwarding-rule
        --backend-service my-backend-service

ターゲットインスタンスに戻すには次のようにします。

    gcloud compute forwarding-rules set-target my-forwarding-rule
        --target-instance my-target-instance

プライベート転送ルールのプロトコル転送のトラブルシューティング

リージョン制限

プライベート転送ルールのプロトコル転送はリージョナルプロダクトです。すべてのクライアントとターゲットインスタンス VM は、同じリージョンに存在する必要があります。

エラーメッセージ: 「An internal target instance can only be the target of one forwarding rule」

「An internal target instance can only be the target of one forwarding rule」というエラーメッセージが表示される場合、同じターゲットインスタンスを指定する 2 つの転送ルールを構成しようとしている可能性があります。複数の転送ルールで同じターゲットインスタンスを指定することはできません。

制限事項

プライベート転送ルールでターゲットインスタンスを使用する場合、サポートされるプロトコルは TCP と UDP だけです。

制限

ネットワークごとにターゲットインスタンスを指定する 100 個のプライベート転送ルールを構成できます。
プライベート転送ルールごとに 5 つのポートを使用できます。

このページは役立ちましたか？評価をお願いいたします。

Except as otherwise noted, the content of this page is licensed under the Creative Commons Attribution 3.0 License, and code samples are licensed under the Apache 2.0 License. For details, see our Site Policies. Java is a registered trademark of Oracle and/or its affiliates.

最終更新日: 2月 4, 2019

クイックスタート

仮想マシン インスタンスの設定と Apache のインストール

ターゲット インスタンスと、対応する転送ルールの作成

インスタンスへのトラフィックの送信

転送ルール

転送ルールの追加

転送ルールの一覧取得

転送ルールに関する情報の取得

転送ルールのターゲットの更新

転送ルールの削除

ターゲット インスタンス

ターゲット インスタンスの追加

ターゲット インスタンスの一覧取得

ターゲット インスタンスの取得

ターゲット インスタンスの削除

プライベート VIP のためのプロトコル転送

ターゲット インスタンスとバックエンド サービスの間の移行

プライベート転送ルールのターゲットの更新

プライベート転送ルールのプロトコル転送のトラブルシューティング

リージョン制限

エラー メッセージ: 「An internal target instance can only be the target of one forwarding rule」

制限事項

制限

フィードバックを送信...

仮想マシンインスタンスの設定と Apache のインストール

ターゲットインスタンスと、対応する転送ルールの作成

ターゲットインスタンス

ターゲットインスタンスの追加

ターゲットインスタンスの一覧取得

ターゲットインスタンスの取得

ターゲットインスタンスの削除

ターゲットインスタンスとバックエンドサービスの間の移行

エラーメッセージ: 「An internal target instance can only be the target of one forwarding rule」