Azure仮想ネットワークの「NATゲートウェイ」が正式版に：Microsoft Azure最新機能フォローアップ（103）

Azure仮想ネットワークの新しいNAT機能、「NATゲートウェイ（NAT Gateway）」が一般提供になりました。NATゲートウェイは、Azure仮想ネットワークのサブネットからインターネットへの送信方向の接続に対して、NAT（ネットワークアドレス変換）機能を提供します。

[山市良，テクニカルライター]

Microsoft Azure最新機能フォローアップ

これまでのAzure仮想ネットワークの“暗黙的”なNAT機能

　2020年3月13日（米国時間）、「Azure仮想ネットワーク（Azure Virtual Network）」の新しいNAT機能、「NATゲートウェイ（NAT Gateway）」が一般提供になりました。

• Virtual Network NAT now generally available［英語］（Microsoft Azure）

　NATゲートウェイは、2020年2月中旬からパブリックプレビューが開始され、その約1カ月後に一般提供となった新しいサービスであり、Azure仮想ネットワークのサブネットからインターネットへの送信方向の接続に対して、NAT（ネットワークアドレス変換）機能を提供します。

　NATゲートウェイのパブリックプレビューが開始されるまで、「Azureリソースマネージャー（ARM）」のデプロイメントでは、NATを構成する方法はありませんでした。言い換えると、Azure仮想ネットワークにおいてNAT機能は“暗黙的に有効”であり、以下の表1に示す3つのシナリオのいずれかの方法を用いて、インターネットアクセスが実現されていました。

シナリオ	ロードバランサーまたはパブリックIPのSKU	NATの方式	対応プロトコル
インスタンスレベルのパブリックIPアドレスを含む仮想マシン（ロードバランサーあり、またはなし）	Standard、Basic	SNAT（ポートマスカレードは不使用）	TCP、UDP、ICMP、ESP
仮想マシンに関連付けられたパブリックロードバランサー	Standard、Basic	ロードバランサーのフロントエンドを使用したポートマスカレードによるSNAT	TCP、UDP
スタンドアロン仮想マシン（ロードバランサーなし、パブリックIPなし）	なし、またはBasic	ポートマスカレードによるSNAT	TCP、UDP
表1　これまでのAzure仮想ネットワークのNAT機能

　しかし、この機能にはスケールに上限があり、エフェメラル（短命な）ポートが（一般的な動的な送信元ポート）やポートマスカレード（PAT）のためのポートが枯渇する（シナリオ2およびシナリオ3）、送信元のパブリックIPアドレスが固定されない（シナリオ3）などの問題が生じることがありました。

　上記の表1に示したシナリオとNAT機能の仕様の詳細については、以下のMicrosoft Azure公式ドキュメントで説明されています。

• AzureのOutbound connections

これまでのNAT機能の潜在的な問題を解決できる新しいNATゲートウェイ

　新たに利用可能になったNATゲートウェイは、仮想マシンに直接関連付けられたインスタンスレベルのパブリックIPアドレスや、ロードバランサーがなくても、NATゲートウェイを介したアウトバウンド接続（送信方向、Azure仮想ネットワークからインターネットへの接続）を可能にします。

　また、既存のインタンスレベルのパブリックIPアドレスやロードバランサーが構成された環境との共存も可能です。NATゲートウェイは、アウトバウンド接続に関しては上記表1に示したこれまでの暗黙的なNAT機能よりも優先され、インバウンド接続（着信方向、インターネットからAzure仮想ネットワークへの接続）には影響しません。

　NATゲートウェイを利用するには、「NATゲートウェイ」リソースを作成し、1つ以上のパブリックIPアドレスまたはパブリックIPプレフィックス（またはその両方の組み合わせ）を作成（または作成済みのStandard SKUのパブリックIPアドレスを選択）し、NATゲートウェイを利用したい既存のAzure仮想ネットワークのサブネットに関連付けます（画面1、画面2）。

画面1　「NAT gateway」リソースを作成する

画面2　パブリックIPアドレスまたはパブリックIPアドレスプレフィックス（またはその両方）を指定して、サブネットに関連付ける

　パブリックIPアドレスは1〜最大16まで追加することができ、1つのパブリックIPアドレスで最大6万4000のTCPおよびUDPの同時接続に対応できます。パブリックIPプレフィックスを使用する場合は、IPアドレスの数を「/31（2個のアドレス）」〜最大「24（256個のアドレス）までスケールアップすることができます。

　NATゲートウェイを利用すると、Azure仮想ネットワークからのアウトバウンド接続の送信元を単一のパブリックIPアドレス、または同じパブリックIPプレフィックスのアドレスに固定できるため、Azure仮想ネットワークからオンプレミスの公開サーバやサービスへの接続、あるいは自社が利用する他のクラウドサービスへのアクセスをホワイトリストで許可することが簡単になります。また、使用するパブリックIPアドレスをスケールアップできるため、エフェメラルポートが枯渇するという問題も回避できます。

　NATゲートウェイの機能やデプロイの方法については、以下のAzure公式ドキュメントを確認してください。

• What is Virtual Network NAT?［英語］
• Virtual Network NAT（パブリックプレビュー）とは
• Designing virtual networks with NAT gateway resources［英語］
• NATゲートウェイリソースを使用した仮想ネットワークの設計（パブリックプレビュー）

　なお、一般提供開始時点でAzureポータルのAzure Marketplaceでは「NAT gateway（preview）」となっています。また、日本語の公式ドキュメントでもパブリックプレビューとなっています。

　しかし、パブリックプレビュー時の制限は一般提供時点で解除されています。例えば、パブリックプレビュー時点では利用可能なリージョンは東日本を含む6リージョン（西日本は含まれない）でしたが、現在はその制限はありません（西日本でも利用できます）。

筆者紹介

山市 良（やまいち りょう）

岩手県花巻市在住。Microsoft MVP：Cloud and Datacenter Management（2019-2020）SIer、IT出版社、中堅企業のシステム管理者を経て、フリーのテクニカルライターに。Microsoft製品、テクノロジーを中心に、IT雑誌、Webサイトへの記事の寄稿、ドキュメント作成、事例取材などを手掛ける。個人ブログは『山市良のえぬなんとかわーるど』。近著は『ITプロフェッショナル向けWindowsトラブル解決 コマンド＆テクニック集』（日経BP社）。