GKE でパブリック NAT を使用する

このページでは、Google Kubernetes Engine（GKE）で Public NAT の設定例を構成する方法について説明します。Public NAT を設定する前に、Public NAT の概要をご覧ください。

前提条件

Public NAT を設定する前に、以下ことを行う必要があります。

IAM 権限を取得する

roles/compute.networkAdmin ロールにより、Cloud Router での NAT ゲートウェイの作成、NAT IP アドレスの予約と割り当て、トラフィックが NAT ゲートウェイによるネットワーク アドレス変換を使用する必要があるサブネットワーク（サブネット）の指定を行う権限を取得できます。

Google Cloud の設定

始める前に、Google Cloud で次の項目を設定します。

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. Install the Google Cloud CLI.

5. To initialize the gcloud CLI, run the following command:

   gcloud init

6. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

7. Make sure that billing is enabled for your Google Cloud project.

8. Install the Google Cloud CLI.

9. To initialize the gcloud CLI, run the following command:

   gcloud init

注:

このページの Google Cloud CLI の説明では、コマンド発行前にプロジェクト ID を設定済みであることを前提としています。プロジェクト ID は、次のコマンドで設定できます。

    gcloud config set project PROJECT_ID
  

すでに設定されているプロジェクト ID を表示することもできます。

    gcloud config list --format='text(core.project)'
  

GKE の設定例

GKE で動作する単純な Public NAT 構成を確認する場合は、この例を使用します。

手順 1: VPC ネットワークとサブネットを作成する

すでにネットワークとサブネットが存在する場合は、この手順をスキップできます。

コンソール

1. Google Cloud Console で、[VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] ページに移動

2. [VPC ネットワークを作成] をクリックします。

3. [名前] に「custom-network1」を入力します。

4. [サブネット] で、[サブネット作成モード] を [カスタム] に設定します。

5. [新しいサブネット] の [名前] に「subnet-us-east-192」と入力します。

6. [リージョン] で [us-east4] を選択します。

7. [IP アドレス範囲] に「192.168.1.0/24」と入力します。

8. [完了]、[作成] の順にクリックします。

gcloud

1. プロジェクトに新しいカスタムモードの Virtual Private Cloud（VPC）ネットワークを作成します。

   gcloud compute networks create custom-network1 \
       --subnet-mode custom

   出力:

   NAME             MODE     IPV4_RANGE   GATEWAY_IPV4
   custom-network1  custom

   注: これは VPC ネットワークです。ネットワーク レベルの IPv4 範囲またはゲートウェイ IP アドレスがないため、何も表示されません。

2. 最初のリージョンに対応するサブネット接頭辞を指定します。この例では、リージョン us-east4 に 192.168.1.0/24 を割り当てます。

   gcloud compute networks subnets create subnet-us-east-192 \
      --network custom-network1 \
      --region us-east4 \
      --range 192.168.1.0/24

   出力:

   NAME                REGION    NETWORK          RANGE
   subnet-us-east-192  us-east4  custom-network1  192.168.1.0/24

Terraform

Terraform モジュールを使用して、Virtual Private Cloud のカスタムのネットワークとサブネットを作成できます。

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 9.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "custom-network1"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "subnet-us-east-192"
      subnet_ip     = "192.168.1.0/24"
      subnet_region = "us-east4"
    }
  ]
}

ステップ 2: 限定公開クラスタを作成する

コンソール

1. Google Cloud コンソールで、[Kubernetes クラスタ] ページに移動します。

   [Kubernetes クラスタ] ページに移動

2. [クラスタを作成] をクリックします。

3. [名前] に「nat-test-cluster」と入力します。

4. [ロケーション タイプ] を [ゾーン] に設定します。

5. [ゾーン] を us-east4-c に設定します。

6. ナビゲーション パネルで [ネットワーキング] をクリックします。

7. [限定公開クラスタ] を選択します。

8. [外部 IP アドレスを使用してコントロール プレーンにアクセス] チェックボックスをオフにします。

9. [コントロール プレーンの IP 範囲] に「172.16.0.0/28」と入力します。

10. [ネットワーク] を custom-network1 に設定します。

11. クラスタを作成して起動するには、[作成] をクリックします。

gcloud

gcloud container clusters create "nat-test-cluster" \
    --zone "us-east4-c" \
    --username "admin" \
    --cluster-version "latest" \
    --machine-type "e2-medium" \
    --disk-type "pd-standard" \
    --disk-size "100" \
    --scopes "https://www.googleapis.com/auth/compute","https://www.googleapis.com/auth/devstorage.read_only","https://www.googleapis.com/auth/logging.write","https://www.googleapis.com/auth/monitoring","https://www.googleapis.com/auth/servicecontrol","https://www.googleapis.com/auth/service.management.readonly","https://www.googleapis.com/auth/trace.append" \
    --num-nodes "3" \
    --enable-private-nodes \
    --enable-private-endpoint \
    --master-ipv4-cidr "172.16.0.0/28" \
    --enable-ip-alias \
    --network "projects/PROJECT_ID/global/networks/custom-network1" \
    --subnetwork "projects/PROJECT_ID/regions/us-east4/subnetworks/subnet-us-east-192" \
    --max-nodes-per-pool "110" \
    --enable-master-authorized-networks \
    --addons HorizontalPodAutoscaling,HttpLoadBalancing \
    --enable-autoupgrade \
    --enable-autorepair

Terraform

Terraform リソースを使用して、限定公開クラスタを作成できます。

resource "google_container_cluster" "primary" {
  project            = var.project_id
  name               = "nat-test-cluster"
  location           = "us-east4-c"
  initial_node_count = 3
  network            = var.network # Replace with a reference or self link to your network, in quotes
  subnetwork         = var.subnet  # Replace with a reference or self link to your subnet, in quotes
  private_cluster_config {
    master_ipv4_cidr_block  = "172.16.0.0/28"
    enable_private_endpoint = true
    enable_private_nodes    = true
  }
  ip_allocation_policy {
  }
  master_authorized_networks_config {
  }
}

手順 3: SSH 接続を許可するファイアウォール ルールを作成する

コンソール

1. Google Cloud コンソールで [ファイアウォール ポリシー] ページに移動します。

   [ファイアウォール ポリシー] ページに移動

2. [ファイアウォール ルールを作成] をクリックします。

3. [名前] に「allow-ssh」を入力します。

4. [ネットワーク] に custom-network1 を指定します。

5. [トラフィックの方向] を上り（内向き）に設定します。

6. [一致したときのアクション] を [許可] に設定します。

7. [ターゲット] を [ネットワーク上のすべてのインスタンス] に設定します。

8. [ソースフィルタ] を [IPv4 範囲] に設定します。

9. [ソース IP の範囲] を 35.235.240.0/20 に設定します。

10. [プロトコルとポート] を [指定したプロトコルとポート] に設定します。

11. [tcp] チェックボックスをオンにして、ポート「22」を入力します。

12. [作成] をクリックします。

gcloud

gcloud compute firewall-rules create allow-ssh \
    --network custom-network1 \
    --source-ranges 35.235.240.0/20 \
    --allow tcp:22

Terraform

Terraform リソースを使用してファイアウォール ルールを作成できます。

resource "google_compute_firewall" "rules" {
  project = var.project_id
  name    = "allow-ssh"
  network = var.network
  allow {
    protocol = "tcp"
    ports    = ["22"]
  }
  source_ranges = ["35.235.240.0/20"]
}

手順 4: いずれかのノードに IAP SSH 権限を作成する

あとの手順で、IAP を使用してノードに接続します。

コンソール

1. Google Cloud コンソールで、[Identity-Aware Proxy] ページに移動します。

   [Identity-Aware Proxy] ページに移動

2. [SSH と TCP のリソース] タブを選択します。

3. [すべてのトンネル リソース] > [us-east4-c] で、リストの最初のノードの横にあるチェックボックスをオンにします。名前は gke-nat-test-cluster-default-pool-b50db58d-075t のようになります。

4. ノードの名前を書き留めます。後の接続テストで使用します。

5. 右側のペインで、[プリンシパルを追加] をクリックします。

6. ユーザー、グループ、またはサービス アカウントにリソースへのアクセス権を付与するには、[新しいプリンシパル] フィールドで、プリンシパルのメールアドレスを指定します。

   この機能のテストのみを行う場合は、ご自身のメールアドレスを入力できます。

7. Cloud IAP の TCP 転送機能を使用して、プリンシパルにリソースへのアクセス権を付与するには、[ロール] プルダウン リストから [Cloud IAP] > [IAP で保護されたトンネル ユーザー] を選択します。

8. [保存] をクリックします。

gcloud

この手順では、Console の手順に従います。

手順 5: ノードにログインしてインターネットに接続できないことを確認する

コンソール

1. Google Cloud Console で、[VM インスタンス] ページに移動します。

   [VM インスタンス] ページに移動

2. IAP SSH 権限を作成したノードを探します。[接続] 列で、[SSH] プルダウン矢印をクリックし、[ブラウザ ウィンドウで開く] を選択します。

   今回インスタンスに初めて接続する場合は、Google Cloud によって自動的に SSH 認証鍵が生成されます。

3. ノード プロンプトで、kube-dns コンテナのプロセス ID を確認します。

   pgrep '^kube-dns$'

4. コンテナにアクセスします。

   sudo nsenter --target PROCESS_ID --net /bin/bash

5. kube-dns からインターネットへの接続を試みます。

   curl example.com

   結果は何も表示されません。この場合、クラスタが限定公開クラスタとして作成されていないか、他の問題が発生している可能性があります。トラブルシューティングを行うには、Public NAT なしで、なぜか VM がインターネットに接続できるをご覧ください。

   コマンドを終了するには、「Ctrl+C」と入力することが必要な場合があります。

gcloud

1. クラスタノードの名前の 1 つを確認します。

   gcloud compute instances list

   ノード名は gke-nat-test-cluster-default-pool-1a4cbd06-3m8v のようになります。ノード名をメモし、その名前を次のコマンドの NODE_NAME で使用します。

2. ノードに接続します。

   gcloud compute ssh NODE_NAME \
       --zone us-east4-c \
       --tunnel-through-iap

3. ノード プロンプトで、kube-dns コンテナのプロセス ID を確認します。

   pgrep '^kube-dns$'

4. コンテナにアクセスします。

   sudo nsenter --target PROCESS_ID --net /bin/bash

5. kube-dns からインターネットへの接続を試みます。

   curl example.com

   何も表示されません。コマンドを終了するには、「Ctrl+C」と入力することが必要な場合があります。

手順 6: Cloud Router を使用して NAT 構成を作成する

Public NAT を使用するインスタンスと同じリージョンに Cloud Router を作成する必要があります。Public NAT は、NAT 情報を VM に配置するためにのみ使用されます。実際の NAT ゲートウェイの一部としては使用されません。

この構成により、リージョン内のすべてのインスタンスが、すべてのプライマリとエイリアス IP の範囲で Public NAT を使用できるようになります。また、NAT ゲートウェイに外部 IP アドレスが自動的に割り振られます。その他のオプションについては、Google Cloud CLI のドキュメントをご覧ください。

注: Public NAT は、NAT 構成情報（コントロール プレーン）のグループ化にのみ Cloud Router を使用します。Public NAT から、Cloud Router に BGP の使用またはルートの追加を指示することはありません。NAT トラフィックは、Cloud Router（データプレーン）を通過しません。

コンソール

1. Google Cloud Console で、[Cloud NAT] ページに移動します。

   [Cloud NAT] ページに移動

2. [開始] または [NAT ゲートウェイを作成] をクリックします。

3. [ゲートウェイの名前] に 「nat-config」 と入力します。

4. [VPC ネットワーク] を custom-network1 に設定します。

5. [リージョン] を us-east4 に設定します。

6. [Cloud Router] で [新しいルーターを作成] を選択します。

   1. [名前] に「nat-router」を入力します。
   2. [作成] をクリックします。

7. [作成] をクリックします。

gcloud

1. Cloud Router を作成します。

   gcloud compute routers create nat-router \
       --network custom-network1 \
       --region us-east4

2. ルーターに構成を追加します。

   gcloud compute routers nats create nat-config \
       --router-region us-east4 \
       --router nat-router \
       --nat-all-subnet-ip-ranges \
       --auto-allocate-nat-external-ips

Terraform

Terraform リソースを使用して Cloud Router を作成できます。

resource "google_compute_router" "router" {
  project = var.project_id
  name    = "nat-router"
  network = var.network
  region  = "us-east4"
}

Terraform モジュールを使用して NAT 構成を作成できます。

module "cloud-nat" {
  source                             = "terraform-google-modules/cloud-nat/google"
  version                            = "~> 5.0"
  project_id                         = var.project_id
  region                             = "us-east4"
  router                             = google_compute_router.router.name
  name                               = "nat-config"
  source_subnetwork_ip_ranges_to_nat = "ALL_SUBNETWORKS_ALL_IP_RANGES"
}

手順 7: インターネットに再度接続を試みる

NAT 構成が反映されるまでに最大 3 分かかる場合があるため、少なくとも 1 分待ってからもう一度インターネットにアクセスします。

まだ kube-dns にログインしていない場合は、手順 5 に従って再接続します。ログイン後、curl コマンドを再実行します。

curl example.com

次のコンテンツを含む出力が表示されます。

<html>
<head>
<title>Example Domain</title>
...
...
...
</head>

<body>
<div>
    <h1>Example Domain</h1>
    <p>This domain is established to be used for illustrative examples in documents. You can use this
    domain in examples without prior coordination or asking for permission.</p>
    <p><a href="http://www.iana.org/domains/example">More information...</a></p>
</div>
</body>
</html>

次のステップ

• Public NAT ゲートウェイを設定する。
• サンプルの Compute Engine の設定を作成する。