Azure NAT Gateway についてよく寄せられる質問

Azure NAT Gateway は、Azure 仮想ネットワーク用のフル マネージドで回復性の高い送信接続ソリューションです。 セキュリティで保護されたスケーラブルなアウトバウンド接続を実現するには、NAT ゲートウェイを、仮想ネットワーク内のサブネットと、少なくとも 1 つの静的パブリック IP アドレスにアタッチします。

「Azure NAT Gateway の価格」を参照してください。

Azure NAT Gateway の制限に関するページを参照してください。

1 つのリージョンの 1 つのサブスクリプションに許可される NAT ゲートウェイ リソースの数は、無料試用版、従量課金、クラウド ソリューション プロバイダー (CSP)、Enterprise Agreement などのオファー カテゴリの種類によって異なります。 Enterprise Agreement と CSP のオファーの種類には、最大 1,000 個の NAT ゲートウェイ リソースを含めることができます。 スポンサープランと従量課金制プランの種類には、最大 100 個の NAT ゲートウェイ リソースを含めることができます。 無料試用版など、他のすべてのオファーの種類には、最大 15 個の NAT ゲートウェイ リソースを含めることができます。

いいえ。NAT ゲートウェイ リソースは、一度に複数のサブスクリプションで使用することはできません。 詳細なガイダンスについては、リージョン移動後の NAT ゲートウェイの作成と構成に関する記事をご覧ください。

いいえ。NAT ゲートウェイは、サブスクリプション、リージョン、またはリソース グループ間で移動できません。 他のサブスクリプション、リージョン、またはリソース グループ用に新しい NAT ゲートウェイを作成する必要があります。

NAT ゲートウェイは、仮想ネットワークからのアウトバウンド接続を提供します。 アウトバウンド フローに直接応答する戻りトラフィックも、NAT ゲートウェイを通過できます。 インターネットから直接届くインバウンド トラフィックは、NAT ゲートウェイを通過できません。

ネットワーク セキュリティ グループ (NSG) のフロー ログを使うと、NAT ゲートウェイを使ってサブネットまたは仮想ネットワーク内のリソースからアウトバウンドに向かうトラフィック フローを監視できます。

Azure Security Center を使用し、ネットワークの保護に関する推奨事項に従って、Azure のネットワーク リソースを保護します。 NSG フロー ログを有効にし、監査のためにログを Azure Storage アカウントに送信します。 また、フロー ログを Log Analytics ワークスペースに送信してから、Traffic Analytics を使用して Azure クラウド内のトラフィック フローに関する分析情報を提供することもできます。 Traffic Analytics のいくつかの利点として、ネットワーク アクティビティを視覚化したり、ホット スポットやセキュリティの脅威を識別したり、トラフィック フロー パターンを把握したり、ネットワークの誤った構成の正確な場所を特定したりする機能が挙げられます。

NAT ゲートウェイ リソースを削除するには、最初にサブネットからリソースの関連付けを解除する必要があります。 すべてのサブネットからの関連付けを解除された後の NAT ゲートウェイ リソースは、削除できます。 ガイダンスについては、既存のサブネットからの NAT ゲートウェイ リソースの削除とリソースの削除に関する記事をご覧ください。

いいえ。NAT ゲートウェイでは、伝送制御プロトコル (TCP) またはユーザー データグラム プロトコル (UDP) の IP 断片化はサポートされていません。

SNAT 接続数メトリックは、1 秒間に行われた新しいソース ネットワーク アドレス変換 (SNAT) 接続の数を示します。 SNAT 接続数の合計メトリックは、NAT ゲートウェイ リソースでのアクティブな接続の合計数を示します。

NAT ゲートウェイに関する SNAT ポート使用量メトリックはありません。 SNAT 接続数と SNAT 接続数の合計メトリックを使って、NAT ゲートウェイ リソースの SNAT 容量を評価できます。

NAT ゲートウェイ メトリックは、メトリック REST API を使用して取得できます。 または、Azure portal の [NAT ゲートウェイ メトリック] ペインから [共有]、[Excel にダウンロード] の順に選ぶこともできます。

いいえ。診断設定を使って NAT ゲートウェイ メトリックをエクスポートすることはできません。 NAT ゲートウェイ メトリックは多次元です。 診断設定では、多次元メトリックのエクスポートはサポートされていません。

NAT ゲートウェイは、パブリック IP アドレスまたはプレフィックスとサブネットにアタッチされた後、アウトバウンドをインターネットに自動的に接続します。 NAT ゲートウェイは、アウトバウンド規則を使っている Azure Load Balancer、仮想マシン (VM) 上のインスタンス レベルのパブリック IP アドレス、アウトバウンド接続用の Azure Firewall より優先されます。

いいえ。接続の中断はありません。 以前のアウトバウンド サービス (Load Balancer、Azure Firewall、インスタンス レベルのパブリック IP アドレス) を使っている既存の接続は、それらの接続が閉じるまで引き続き動作します。 NAT ゲートウェイが仮想ネットワークのサブネットに追加された後は、すべての新しい接続でアウトバウンド接続を行うために NAT ゲートウェイが使われます。

いいえ。NAT ゲートウェイのパブリック IP アドレスは、インターネット経由でプライベート IP に直接接続できません。

パブリック IP アドレスに関連付けられているアクティブな接続は、パブリック IP アドレスが削除されると終了します。 NAT ゲートウェイ リソースに複数のパブリック IP がある場合、割り当てられた IP 間で新しいトラフィックが分散されます。

NAT ゲートウェイに関連付けられている IP とは異なる IP がアウトバウンドへの接続に使用されている場合、考えられる理由がいくつかあります。 トラブルシューティングについては、Azure NAT Gateway 接続のトラブルシューティング ガイドに関する記事をご覧ください。

NAT ゲートウェイは、サブネットのシステムの既定のインターネット パスを使って、トラフィックをインターネットにルーティングします。 ユーザー定義ルートが、0.0.0.0/0 トラフィックをネクスト ホップの種類のネットワーク仮想アプライアンス (NVA) または仮想ネットワーク ゲートウェイに送信するように作成されている場合、トラフィックは NAT ゲートウェイを通過しません。

NAT ゲートウェイとのアウトバウンド接続を始めるために、サブネット ルート テーブルの構成は必要ありません。 NAT ゲートウェイがサブネットに割り当てられると、NAT ゲートウェイはすべてのインターネット宛てトラフィックに対してネクスト ホップの種類になります。 NAT ゲートウェイがサブネットおよび少なくとも 1 つのパブリック IP アドレスに割り当てられるとすぐに、トラフィックはインターネットへのアウトバウンド接続を開始できます。

はい。NAT ゲートウェイは、パブリック IP アドレスまたはプレフィックスとサブネットがなくてもデプロイできます。 ただし、少なくとも 1 つのパブリック IP アドレスまたはプレフィックスとサブネットをアタッチするまでは動作しません。

はい。NAT ゲートウェイのパブリック IP アドレスは固定であり、変更されません。

NAT ゲートウェイでは、最大 16 個のパブリック IP アドレスを使用できます。 NAT ゲートウェイでは、パブリック IP アドレスとパブリック IP プレフィックスの任意の組み合わせを、合計で 16 個のアドレスまで使用できます。 NAT ゲートウェイでは、/28 (16 アドレス)、/29 (8 アドレス)、/30 (4 アドレス)、/31 (2 アドレス) のプレフィックス サイズがサポートされています。

カスタム IP プレフィックス (Bring Your Own IP (BYOIP) とも呼ばれます) から派生したパブリック IP プレフィックスとアドレスを、NAT ゲートウェイで使用できます。 詳細については、「カスタム IP アドレス プレフィックス (BYOIP)」を参照してください。

いいえ。NAT ゲートウェイでは、IPv6 のパブリック IP アドレスはサポートされていません。 ただし、NAT ゲートウェイとロード バランサーを使用するデュアルスタック構成によって、IPv4 と IPv6 のアウトバウンド接続を提供できます。 詳しくは、「NAT ゲートウェイとパブリック ロード バランサーを使用してデュアル スタック送信接続を構成する」をご覧ください。

いいえ。NAT ゲートウェイでは、ルーティングの優先順位が "インターネット" のパブリック IP アドレスはサポートされていません。パブリック IP でルーティング構成の種類 "インターネット" をサポートする Azure サービスの一覧については、パブリック インターネット経由のルーティングでサポートされているサービスに関するページを参照してください。

いいえ。NAT ゲートウェイでは、DDoS 保護が有効なパブリック IP アドレスはサポートされていません。 詳細については、DDoS の制限に関するページを参照してください。

いいえ、既存のパブリック IP のアドレスは変更できません。 NAT ゲートウェイでパブリック IP アドレスを変更する必要がある場合は、「パブリック IP アドレスを追加または削除する」のガイダンスを参照してください。

サブネット リソースでは、送信接続のために NAT ゲートウェイにアタッチされた任意のパブリック IP アドレスを使用できます。 NAT ゲートウェイ経由で新しいアウトバウンド接続が行われるたびに、アウトバウンド パブリック IP がランダムに選ばれます。

いいえ。 特定のサブネットまたは NAT ゲートウェイが構成されたサブネット内の特定の VM インスタンスに IP を割り当てることはできません。

いいえ。1 つの NAT ゲートウェイを複数の仮想ネットワークにアタッチすることはできません。

はい。1 つの NAT ゲートウェイを、1 つの仮想ネットワーク内の最大 800 個のサブネットに関連付けることができます。 仮想ネットワーク内のすべてのサブネットに関連付けられている必要はありません。

いいえ。NAT ゲートウェイをゲートウェイ サブネットに関連付けることはできません。

いいえ。NAT ゲートウェイはサブネットのプロパティに基づいて動作するため、複数の NAT ゲートウェイを 1 つのサブネットにアタッチすることはできません。

スポーク仮想ネットワークからのトラフィックは、NVA または Azure Firewall を介して一元化されたハブ仮想ネットワークにルーティングできます。 その場合、NAT ゲートウェイは、一元化されたハブ ネットワークからすべてのスポーク仮想ネットワークへのアウトバウンド接続を提供できます。 NVA を使用してハブ アンド スポーク アーキテクチャで NAT ゲートウェイを設定するには、「ハブ アンド スポーク ネットワークで NAT ゲートウェイを使用する」を参照してください。 ハブ アンド スポークの設定で NAT ゲートウェイと Azure Firewall を使用するには、NAT ゲートウェイと Azure Firewall の統合に関する記事を参照してください。

NAT ゲートウェイは、ゾーンにすることも、"ゾーンなし" に配置することもできます。詳しくは、Azure NAT Gateway と可用性ゾーンに関する記事をご覧ください。 さらに:

• 非ゾーンの NAT ゲートウェイは、Azure によって自動的にゾーンに配置されます。
• ゾーンベースの NAT ゲートウェイは、その NAT ゲートウェイが作成されたときにユーザーによって特定のゾーンに関連付けられます。
• NAT ゲートウェイのゾーン構成は、デプロイ後に変更できません。

ゾーン冗長パブリック IP アドレスとプレフィックスは、ゾーンなし NAT ゲートウェイまたは特定の可用性ゾーンに割り当てられた NAT ゲートウェイのいずれかにアタッチできます。 詳しくは、Azure NAT Gateway と可用性ゾーンに関する記事をご覧ください。

いいえ。NAT ゲートウェイは、Standard SKU リソースと互換性があります。 詳しくは、「Azure NAT Gateway の基本」をご覧ください。 NAT ゲートウェイで使うには、Basic ロード バランサーと Basic パブリック IP アドレスを Standard にアップグレードしてください。 詳細については、以下を参照してください。

• Basic ロード バランサーを Standard にアップグレードするには、Azure パブリック ロード バランサ―のアップグレードに関する記事をご覧ください。
• Basic パブリック IP を Standard にアップグレードするには、「パブリック IP アドレスをアップグレードする」を参照してください。
• VM にアタッチされている Basic パブリック IP を Standard にアップグレードするには、VM にアタッチされている Basic パブリック IP アドレスをアップグレードする方法に関するページを参照してください。

TCP 接続の場合、アイドル タイムアウト タイマーの既定値は 4 分で、最大 120 分まで構成できます。 長い接続フローを維持する必要がある場合は、アイドル タイムアウト タイマーを延長するのではなく、TCP キープアライブを使用します。 TCP キープアライブは、アクティブな接続を長期間維持します。

UDP アイドル タイムアウト タイマーは 4 分に設定されており、構成できません。

TCP/UDP 接続が閉じられると、ポートはクール ダウン期間を経てから、同じ宛先エンドポイントに接続するために再利用できるようになります。 詳細については、「SNAT ポート再利用タイマー」を参照してください。 別の宛先への接続では、すぐに SNAT ポートを使用できます。 詳しくは、SNAT と Azure NAT Gateway に関する記事をご覧ください。

はい。Azure App Service で NAT ゲートウェイを使用して、アプリケーションで仮想ネットワークからインターネットにアウトバウンド トラフィックを転送できます。 NAT ゲートウェイと Azure App Service の間のこの統合を使うには、リージョンでの仮想ネットワーク統合を有効にする必要があります。 仮想ネットワークと NAT ゲートウェイの統合を有効にする方法のガイダンスについては、「Azure NAT Gateway の統合」をご覧ください。

はい。 NAT ゲートウェイと Azure Kubernetes Service の統合の詳細については、「マネージド NAT Gateway」を参照してください。

はい。NAT ゲートウェイは Azure Firewall と併用できます。 NAT ゲートウェイと併用するときは、Azure Firewall をゾーン構成にする必要があります。 NAT ゲートウェイはゾーン冗長ファイアウォールで動作しますが、現時点ではそのデプロイはお勧めしません。 NAT ゲートウェイと Azure Firewall の統合について詳しくは、NAT ゲートウェイを使用した SNAT ポートのスケーリングに関する記事をご覧ください。

はい。サービス エンドポイントを含むサブネットに NAT ゲートウェイを追加しても、エンドポイントへの影響はありません。 仮想ネットワーク サービス エンドポイントを使用すると、宛先となる Azure サービス トラフィックへのより具体的なルートが示されます。 サービス エンドポイントのトラフィックは、インターネットではなく Azure バックボーンを通過します。 Azure ネットワークから Azure サービスとしてのプラットフォーム (PaaS) に直接接続するときは、サービス エンドポイントより Private Link をお勧めします。

はい。 セキュリティで保護されたクラスター接続をワークスペースで有効にする場合、Azure Databricks で NAT ゲートウェイを使うには、2 つの方法のいずれかを使用できます。

• Azure Databricks によって作成される既定の仮想ネットワークでセキュリティ保護されたクラスター接続を使う場合、ワークスペースのサブネットからのアウトバウンド トラフィック用 NAT ゲートウェイが、Azure Databricks によって自動的に作成されます。 NAT ゲートウェイは、Azure Databricks によって管理される管理対象リソース グループ内に作成されます。 このリソース グループ、またはその中にプロビジョニングされたリソースは、変更できません。
• 仮想ネットワーク インジェクションを使用するワークスペースでセキュリティ保護されたクラスター接続を有効にすると、ワークスペースの両方のサブネットに NAT ゲートウェイをデプロイしてアウトバウンド接続を提供できます。 この場合、カスタマイズされた送信接続の要件の構成を変更できます。 詳細については、「セキュリティで保護されたクラスター接続」を参照してください。

次のステップ

ご不明な点がこちらの一覧にない場合は、このページに関するフィードバックに質問を添えてお送りください。 この情報に基づき、製品チームがお客様からの貴重なご質問すべてにお答えできるよう、GitHub のイシューが作成されます。