はじめに
概要
本ドキュメントはAWSのNAT Gatewayに関する調査結果を丁寧にまとめたものです。基本概念、仕組み、作成と設定、接続タイプ、サポートされるプロトコル、主要なユースケースを網羅的に解説します。クラウド上でのネットワーク管理に役立つ実践的な知識を提供します。
本章の目的
第1章では全体の位置づけと読者にとっての期待値を示します。以降の章で何を学べるかを分かりやすく案内します。
想定読者
- AWSを使い始めたエンジニアや運用担当者
- ネットワークの基礎は知っているがNATの実務経験が浅い方
- 設定手順やユースケースを確認したい管理者
本ドキュメントで得られること
- NAT Gatewayの役割と動作イメージがつかめます。例：プライベートなサーバーがインターネットへ接続する際の中継役。
- 実際の設定手順や接続タイプの違い、対応する通信プロトコルがわかります。
- 代表的な利用シーンを踏まえた設計の考え方を学べます。
前提条件
AWSの基本用語（VPC、サブネット、ルーティング）にある程度ご理解があることを想定します。用語が不明な場合は注釈で補足します。
AWS NAT Gatewayとは
概要
AWS NAT Gatewayは、プライベートサブネット内のサーバーなどがインターネットや外部サービスへアウトバウンド通信を行えるようにする、Amazonが提供する完全に管理された機能です。外部からプライベート側へ直接接続されないため、内部資源を守りながら通信できます。
主な特徴
- 管理や運用をAWS側が引き受けるため、ユーザーは設定に集中できます。
- 高いスループットを想定して設計されており、大量のアウトバウンド通信に対応します。
- Elastic IPを割り当てることで送信元のグローバルIPを固定できます。
利用イメージ（例）
例えば、社内用のアプリサーバーをプライベートに置き、OSやソフトの更新や外部APIの呼び出しだけを行いたい場合に使います。サーバーはNAT Gateway経由で外へ出られますが、外部から直接アクセスはできません。
注意点
- リージョンやアベイラビリティゾーンの構成に応じた設計が必要です。
- 完全マネージドのため細かな挙動制御は制限されます。設定や料金体系を確認してください。
NAT Gatewayの基本的な仕組み
全体イメージ（家庭用ルーターの例）
NAT Gatewayは家庭のルーターに似ています。家の中にある複数の端末が同じ外向きの住所（IPアドレス）でインターネットに接続するのと同じ働きをします。プライベートサブネット内のインスタンスは個別のプライベートIPを持ちますが、外部へ出るときはNAT GatewayのパブリックIPに変わります。
動作フロー
- プライベートサブネットのインスタンスが外へアクセスしたいとき、パケットをNAT Gatewayへ送ります。
- NAT Gatewayは送信元のプライベートIPとポートを、自分のパブリックIPと別のポートに置き換えます（ソースNAT）。
- インターネット上の相手からの応答をNAT Gatewayが受け取り、変換したポート情報を基に元のプライベートIPとポートへ戻します（宛先変換）。
- 元のインスタンスに応答を届けます。これにより、プライベートインスタンスは外部と通信できますが、外部から直接到達されません。
技術的ポイント（分かりやすく）
- NATテーブル：NAT Gatewayは変換の対応表を内部で持ち、送信時にエントリを作成して応答を正しく戻します。
- ポート変換：同じパブリックIPでも異なるポートを使うことで多数の内部接続を扱います。例としてAさんとBさんが同じ外向きIPで別ウェブサイトに接続できます。
- 経路：プライベートサブネットのルートテーブルでインターネット向けトラフィックをNAT Gatewayへ向けます。
セキュリティと制限（簡潔）
- 外部からNAT Gateway経由でプライベート側のインスタンスへ直接着信することはできません。これにより外部からの不意の接続を防げます。
- 一方、NATは発信接続のみを扱うため、受信を必要とするサービスには別の仕組み（パブリックIPやロードバランサー）が必要です。
NAT Gatewayの作成と設定
概要
NAT Gatewayを作成すると、プライベートサブネット内のインスタンスがインターネットへ発信できるようになります。ここでは作成手順と注意点を分かりやすく説明します。
作成手順（手順順に）
- パブリックサブネットを選ぶ
-
NAT Gatewayはパブリックサブネットに配置します。パブリックサブネットにはインターネットゲートウェイへのルートがある必要があります。例：同じAZのパブリックサブネットを選びます。
-
Elastic IP（EIP）を関連付ける
-
作成時にEIPを割り当てます。割り当てたEIPは後から別のアドレスに変更できません。固定のグローバルIPが必要な場合に有用です。
-
プライベートサブネットのルートテーブルを更新する
- プライベートサブネットのルートテーブルで、0.0.0.0/0（全てのインターネット宛）をNAT Gatewayへ向けるエントリを追加します。これによりプライベート内のインスタンスがNAT経由で通信します。
設定上の注意点
- 可用性：NAT GatewayはAZごとに作成します。高可用性が必要なら複数AZに配置してください。
- コスト：EIPの割り当てやデータ転送で課金されます。無駄な作成に注意してください。
具体的な操作はAWSコンソールのウィザードで案内があり、CLIやIaCでも同様の設定が可能です。
NAT Gatewayの接続タイプ
概要
AWSのNAT Gatewayには大きく分けて2種類の接続タイプがあります。パブリックNAT Gatewayと、プライベートNAT Gateway（VPCピアリング用）です。用途に応じて使い分けることで、セキュリティと利便性を両立できます。
パブリックNAT Gateway
パブリックNAT Gatewayは、プライベートサブネット内のインスタンスがインターネットへアクセスするために使います。Elastic IPを割り当てて外部と通信を仲介します。ポイントは、内部からの発信（アウトバウンド）は可能ですが、インターネットからの非要請の着信（インバウンド）は受け付けない点です。例えば、アップデートの取得や外部APIの呼び出しなどに適しています。
プライベートNAT Gateway（VPCピアリング用）
プライベートNAT Gatewayは、同じ組織内の別VPCやピアリングされたVPC間で安全に通信するために使います。インターネットを経由せず、VPCピア接続やプライベートリンクと組み合わせて内部リソース同士のアクセスを仲介します。これにより、機密データをインターネットにさらさずに別VPCのサービスへ接続できます。
運用時のポイント
- ルートテーブルで送信先を適切に設定します。NAT Gatewayを参照するルートを作成してください。
- パブリック型はElastic IPが必要です。コストやIP管理に注意してください。
- プライベート型はピアリングやTransit Gatewayとの組み合わせで柔軟に構成できます。
利用例
- パブリック: 社内サーバーが外部のパッケージリポジトリに接続する場合。
- プライベート: 本番VPCからログ収集VPCへ安全にデータを送る場合。
用途に合わせて接続タイプを選ぶことで、セキュリティと可用性を両立できます。
サポートされるプロトコル
概要
NAT Gatewayは主にTCP、UDP、ICMPのトラフィックをサポートします。プライベートサブネット内のインスタンスがインターネットにアクセスする際、これらのプロトコルを変換して送受信を仲介します。
TCP（接続指向）
TCPは通信の信頼性を重視するプロトコルです。NAT Gatewayは接続ごとに変換テーブルを作り、送信元ポートとパケットの状態を追跡します。例：プライベート内のWebサーバーが外部APIに接続すると、NATが送信元IPとポートを外向きのIPに置き換え、戻りパケットを正しい内部ホストへ返します。
UDP（コネクションレス）
UDPは接続を張らずに送信しますが、NATは疑似的に“セッション”を作って応答を関連付けます。DNSクエリやリアルタイム通信（音声やゲーム）で多く使われます。短時間のやり取りを前提とするため、セッションの保持はTCPより短めです。
ICMP（ネットワーク診断）
ICMPはpingや経路追跡などの診断に使います。NAT Gatewayはエコー要求・応答など基本的なICMPメッセージを変換し、内部ホストからの疎通確認を可能にします。
実務上の注意点
- 外部からプライベート側への着信は、内部からの発信に対応した応答のみ許可されます。外部発 initiated の接続は成立しません。
- 各プロトコルに対してタイムアウトやポート割り当ての挙動が異なります。必要に応じてアプリ側で再試行や短いセッションへの対応を組み込んでください。
NAT Gatewayの主要なユースケース
概要
NAT Gatewayは、インターネットへの直接公開を避けたいプライベートサブネット内のリソースに対して、安全に外向き接続を提供します。主な目的は、内部リソースが外部サービスにアクセスできるようにすることです。
主なユースケースと具体例
- ソフトウェア更新とパッチ管理
- プライベートインスタンスがOSやミドルウェアの更新を取得する際に利用します。例：社内サーバーが定期的にセキュリティパッチをダウンロードする場合。
- 外部APIやライセンスサーバーへの接続
- 決済APIやライセンス認証サービスにアクセスするとき、インスタンスを公開せずに通信できます。
- コンテナイメージやパッケージの取得
- ECRやDocker Hubからイメージをプルする場合に使います。プライベートなアプリ環境を守りながら更新します。
- 中央集約型のインターネットアクセス
- 複数のプライベートサブネットから1つのNAT Gatewayを経由して外向き通信を管理し、アクセス制御やログ収集を容易にします。
設計と運用のポイント
- 高可用性：冗長化のために各アベイラビリティゾーンごとにNAT Gatewayを設置すると可用性が向上します。
- コスト管理：NAT Gatewayはトラフィックと時間で課金されます。大量データ転送がある場合はVPCエンドポイントやプロキシの併用を検討してください。
- セキュリティとログ：必要なアウトバウンドのみ許可するルール設計と、フローログで接続を監視することを推奨します。
