【AWS VPC】NAT Gatewayとは？役割・仕組みとIGWとの違いを初心者向けに解説

前の記事では、 パブリックサブネットとプライベートサブネット の違いについて学びました。

パブリックサブネットには インターネットゲートウェイ（IGW）へのルートがあり、 プライベートサブネットには IGWへの直接のルートがありません。

しかし、ここで1つ疑問が出てきます。

たとえば、EC2からOSのアップデートを行ったり、 外部のパッケージをダウンロードしたりする場合、 インターネットへの通信が必要になることがあります。

そこで利用できるのが、 NAT Gatewayです。

NAT Gatewayとは？

NAT Gatewayは、 ネットワークアドレス変換（NAT）を行う AWSのマネージドサービスです。

代表的な用途は、 プライベートサブネットにあるリソースから IPv4インターネットへ外向きに通信させること です。

プライベートサブネットのEC2は、 IGWへ直接通信するのではありません。

まずNAT Gatewayへ通信を送り、 そこからIGWを経由して インターネットへアクセスします。

なぜNAT Gatewayが必要なのか？

プライベートサブネットは、 IGWへの直接のルートを持たないように設計します。

そのため、 EC2からIGWへ直接通信させることはできません。

とはいえ、 プライベートサブネットのEC2でも インターネットへの通信が必要になるケースがあります。

このような場合、 EC2自体をパブリックサブネットへ移動させるのではなく、 NAT Gatewayを経由させる ことで外向き通信を実現できます。

インターネット側からPrivate EC2へ直接接続するためのものではない

NAT Gatewayを利用すると、 プライベートサブネットのEC2から インターネットへ通信できます。

しかし、 これはインターネット側から プライベートEC2への 未要求の新規接続を開始できるようにする仕組みではありません。

EC2側から開始した通信に対する 戻りの通信はNAT Gatewayを経由して返ってきます。

NAT Gatewayはどこに配置する？

ここはNAT Gatewayを理解するうえで 非常に重要です。

インターネットへ接続する構成では、 パブリックNAT Gatewayを パブリックサブネットに配置します。

プライベートサブネットにあるEC2からの通信は、 パブリックサブネットにある NAT Gatewayへ送られます。

そしてNAT Gatewayから IGWを経由してインターネットへ通信します。

パブリックNAT GatewayにはElastic IPを関連付ける

パブリックNAT Gatewayを作成する際には、 Elastic IPアドレス（EIP） を関連付けます。

インターネットとの通信では、 NAT Gatewayに関連付けられた Elastic IPを利用して通信できます。

そのため、 プライベートEC2自身に パブリックIPv4アドレスを付与する必要はありません。

プライベートサブネットのルートテーブル

では、 プライベートサブネットから NAT Gatewayへ通信を送るには どうすればよいのでしょうか。

ここでも重要になるのが、 ルートテーブルです。

ポイントは、 プライベートサブネットでは 0.0.0.0/0のターゲットをIGWではなく NAT Gatewayにすることです。

NAT Gateway側にもIGWへの経路が必要

プライベートサブネットから NAT Gatewayへ通信を送るだけでは、 まだインターネットへ到達できません。

NAT Gatewayが配置されている パブリックサブネット側には、 IGWへのルートが必要です。

この2つのルーティングを組み合わせることで、 プライベートEC2から インターネットへ通信できます。

NAT Gatewayを使った通信経路を整理しよう

ここまでの内容を 1つの構成として整理します。

IGWとNAT Gatewayの違い

IGWとNAT Gatewayは、 どちらもインターネット通信に関係するため 混同しやすいポイントです。

理解度チェック：正しいルートを選んでみよう

次の構成を考えてみましょう。

Private EC2から IPv4インターネットへ通信させたい場合、 プライベートサブネットの 0.0.0.0/0のターゲットは どこに設定すればよいでしょうか。

実際の構成ではAZごとにNAT Gatewayを配置することも重要

ここまでは仕組みを理解しやすくするため、 NAT Gatewayを1つだけ配置した構成で説明しました。

しかし、 本番環境などで可用性を重視する場合は、 複数AZを利用し、AZごとにNAT Gatewayを配置する 構成が一般的です。

各プライベートサブネットから 同じAZにあるNAT Gatewayを利用することで、 1つのNAT GatewayやAZへの依存を避けやすくなります。

通信経路ができても「誰でも通信できる」わけではない

ここまでで、 VPCの通信経路についてかなり理解できるようになりました。

しかし、 ネットワークでは 「通信経路が存在すること」と 「その通信が許可されていること」 は別です。

AWSでは、 通信を制御する代表的な仕組みとして Security Groupと Network ACL（NACL） があります。

確認問題：NAT Gateway

まとめ