NAT Gatewayガイド

NAT Gatewayの概要、仕組み、活用するタイミング、最適化の方法を解説します。

Network Address Translation（NAT：ネットワークアドレス変換）は、長年利用されてきた技術です。IPv4の利用期間を延ばし、IPv6を導入するための時間的な余裕を生み出すうえで、重要な役割を果たしてきました。企業は何十年もの間、社内ネットワークやデータセンターネットワークで、ネットワーク管理とセキュリティの重要な要素としてNATを利用しています。

組織によるクラウドサービスの利用方法が変化する中、ITチームは、プライベートサブネットを容易に拡張しながらセキュリティを強化する方法を求めています。この課題を解決するために、NAT Gatewayはネットワークに自然に組み込める選択肢となります。ここでは、その仕組み、活用するタイミング、さらに効果を引き出す方法を紹介します。

NAT Gatewayとは？

Network Address Translation（NAT）Gatewayは、プライベートサブネット内のリソースが、パブリックインターネットやその他の外部リソースに安全にアクセスできるようにしながら、外部からそれらのリソースへの接続を許可しない仕組みです。対象となるリソースは、データベースやアプリケーションサーバー、マネージドサービスなどの仮想マシン（VM）であり、多くの場合、大量のデータを扱います。

NAT Gatewayは中継役として機能し、アウトバウンドトラフィックのプライベートIPアドレスをパブリックIPアドレスに変換します。

NAT Gatewayの仕組み

プライベートサブネット内のリソースが、インターネットから更新プログラムをダウンロードする必要がある場合を考えてみましょう。NAT Gatewayはそのリクエストを受信して処理し、IPアドレスを自身のパブリックIPアドレスに置き換えて外部に送信した後、応答をリソースに返します。許可されるのは、内部からのリクエストに対応する応答だけです。そのため、リソースは必要な更新プログラムを受け取れますが、それ以外のリクエストは拒否されます。

主要クラウドプロバイダーのNAT Gatewayサービス

AWS

AWSは、パブリックとプライベートの両方のNAT Gatewayを提供しています。デフォルトのパブリックインスタンスは、プライベートの送信元IPアドレスをパブリックIPアドレスに変換することで、プライベートサブネット内のリソースがインターネットに接続できるようにします。インスタンスは、インターネットからの要求していないインバウンド接続を受け付けません。

プライベートインスタンスは、プライベートNAT Gatewayを通じて、プライベートサブネット内のリソースを他のVPCやオンプレミスネットワークに接続します。ただし、他のVPCやオンプレミスネットワークからの要求していないインバウンド接続は受け付けません。

どちらのインスタンスも高い拡張性を備え、AWSによって管理されます。5 Gbpsの帯域幅をサポートし、最大100 Gbpsまで自動的に拡張します。

Azure

Azure NAT GatewayはVNetサブネットに接続され、追加のルーティング設定は必要ありません。仮想ネットワークからインターネットへの接続を開始できる一方で、要求していないインバウンド接続をブロックします。各NAT Gatewayは最大50 Gbpsまで自動的に拡張します。

Google Cloud

Google Cloud NATは、パブリックとプライベートの両方のNATタイプを提供しています。Public NATは、プライベートIPアドレスを持つ内部の仮想マシンがインターネット上の宛先にアクセスできるようにしながら、要求していないトラフィックをブロックします。Private NATは、内部の仮想マシンがVPCネットワーク間で通信できるようにします。

Google Cloud NATは、VPCネットワーク外へのルーティングにおけるインスタンスごとの送信帯域幅の上限に対応し、最大25 Gbpsまで自動的に拡張します。

Oracle

Oracle NAT GatewayはVirtual Cloud Network（VCN）に接続され、要求していないトラフィックをブロックしながら、プライベートネットワークからインターネットへのアウトバウンド接続を可能にします。VCNごとに設定できるNAT Gatewayは1つで、単一の宛先に対して最大20,000の同時接続をサポートします。

NAT Gateway自体は無料ですが、送信データに対する料金が発生します。

NAT Gatewayのメリット

• セキュリティの強化： アウトバウンドトラフィックを許可しながら、プライベートリソースをインターネットから見えない状態に保ちます。
• 高可用性： AWSアベイラビリティーゾーンなど、障害が分離された複数のゾーンやデータセンターにまたがって運用できます。
• 管理の簡素化： 通常はマネージドサービスとして提供され、保守作業や運用負荷を軽減します。
• 送信元の一貫性： すべてのアウトバウンドトラフィックに固定のパブリックIPアドレスを使用するため、アクセス制御や許可リストの管理が容易になります。
• パフォーマンスの向上： 大量のネットワークトラフィックを自動的に処理できるように設計されています。
• シームレスな統合： あらゆるクラウド環境の仮想ネットワーク、ルートテーブル、ハイブリッド接続構成と容易に連携できます。

NAT Gatewayを活用するタイミング

中規模から大規模の組織で大量のデータを移動する場合、NAT Gatewayの導入を検討する価値があります。主なユースケースには、以下が含まれます。

• プライベートインスタンスのインターネットアクセス： プライベートサブネット内のEC2インスタンスが、更新プログラム、パッチ、ソフトウェアのダウンロードのためにインターネットへアクセスできるようにします。
• 外部APIやサービスへのアクセス： バックエンドサーバーが、自身のIPアドレスを公開することなく外部APIやサードパーティーのサービスを呼び出せるようにします。
• 安全なデータ転送： 外部からのアクセスを防ぎながら、プライベートリソースがS3や外部の分析サービスなどへデータを送信できるようにします。
• ハイブリッド接続： VPNやDirect Connectを通じてクラウドリソースに接続し、アウトバウンドのインターネットアクセスのみを必要とするオンプレミスシステムをサポートします。
• コンプライアンスやセキュリティのための分離： コンプライアンスに対応した厳密なネットワークのセグメント化を維持しながら、管理された処理のためにアウトバウンド接続を許可します。
• マネージドサービスへのアクセス： インスタンスにパブリックIPアドレスを割り当てることなく、プライベートサブネットをパブリックエンドポイントに接続できるようにします。

NAT Gatewayのデプロイ方法

NAT Gatewayは、対応するサービスを提供しているクラウドプロバイダー、またはMegaportのようなサードパーティープロバイダーを通じてデプロイします。

Megaport NAT Gatewayは、Megaport Portalから直接、シームレスにデプロイして管理できます。数分でプロビジョニングでき、他のMegaportサービスとあわせて一元的に状況を把握できるため、ネットワーク管理やリソースの監視が容易になります。

すべてのMegaportサービスについてポータルに表示される基本的な利用統計に加え、より詳細な分析や高度なサービス監視が必要な場合は、Megaportの包括的なAPIエンドポイント群も利用できます。これらの強力なツールにより、詳細な統計へのプログラムによるアクセス、サービスパラメーターの設定、既存のネットワーク管理システムへのNAT Gateway監視の統合が可能になります。

APIファーストのアプローチは、大規模なデプロイ、自動化、複雑な運用に必要な柔軟性を提供し、NAT Gatewayのパフォーマンスと利用状況に対する完全な制御と透明性を実現します。

NAT Gatewayの最適化方法

パフォーマンス

ニーズの拡大に合わせて、複数のパフォーマンス階層を仮想的に切り替えられるプロバイダーを選びましょう。Megaport NAT Gatewayのパフォーマンスオプションは、クラウドプロバイダー経由のインターネットアクセスから、重複するIPアドレス空間間の接続まで、さまざまな導入シナリオに容易に対応できます。

セキュリティ

NAT Gatewayのセキュリティを最適化するには、厳密なエグレスフィルタリングと組み合わせ、プライベートリソースがインターネット上のどのリソースにアクセスできるかを制御します。これにより、構成のアウトバウンド側を保護できます。

Megaport NAT Gatewayは、クラウドプロバイダーのネットワーク内にあるプライベートサブネットからインターネットへの接続を可能にしながら、要求していないインバウンドのインターネットトラフィックがプライベートネットワークに到達するのを防ぎます。これをMegaport Virtual Edge（MVE）のファイアウォールサービスチェイニングと組み合わせることで、多層的な保護を実現できます。

コスト

ここで大きな論点となるのがコストです。NAT Gatewayは従量課金サービスであり、利用規模が拡大するとコストも大幅に増加します。大量のデータを移動する企業では、適切に管理しなければNAT関連のコストが指数関数的に増える可能性があります。

ハイパースケーラーのエグレス料金と、従来の接続ソリューションに内在する非効率性により、企業のデータ関連費用は驚くほど高額になることがあります。年間500万米ドルを超え、場合によっては5,000万米ドルに達することもあります。その要因には、以下が挙げられます。

• 積み重なるエグレス料金： ハイパースケーラーのネットワークからデータを1 GB転送するたびに料金が発生します。大規模になると、その額は膨大になります。
• 非効率なスケーリング： 小規模ではうまく機能するソリューションでも、料金モデルが事業の成長に合わせて効率的に拡張するとは限りません。
• プロバイダーに固定された料金： 従来のクラウドプロバイダーがNATのコストを決めるため、柔軟性やコスト削減の余地が限られます。

コストを削減して管理するうえで、最も簡単で効率的な方法は、基盤となる接続にプライベート接続ソリューションを導入し、ハイパースケーラーの料金を支払わずに済むようにすることです。これにより料金に上限を設けられ、大量のデータを管理・移動する場合に高い費用対効果を得られます。

Megaport NAT Gateway

大量のデータを扱うソフトウェアサービスの運用、エンタープライズ規模のクラウドインフラの管理、ペタバイト単位のNATトラフィックの処理を行っている場合、Megaport NAT Gatewayにより、最大70%、あるいはそれ以上の大幅なコスト削減を実現できます。

• 規模とともに拡大するコスト削減： 小規模なワークロードには損益分岐点がある場合もありますが、NATの需要が大きくなるほど削減額も増えます。例えば、月間1ペタバイトのデータを処理する企業は、毎月78,000米ドル以上、NAT費用の76%を削減できます。年間では約100万米ドルの削減に相当します。
• エグレス料金の大幅な削減： ハイパースケーラーの料金を支払う代わりに、より経済的なMegaportのネットワークバックボーンを利用し、高額なイングレス料金とエグレス料金を削減できます。
• 高可用性と拡張性： 当社のソリューションは、ネットワークのレジリエンスを維持しながらエンタープライズ規模のワークロードを処理できるように設計されています。世界中の1,200 +のロケーションと、最大100Gの帯域幅を利用できます。
• 成長に対応する柔軟性： ベンダーニュートラルでスケーラブルなネットワークアンダーレイにより、単一プロバイダーの料金に縛られることなく、ビジネスのニーズに合わせてネットワークを拡張できます。

Megaport NAT Gatewayの詳細を見る。