111. NATは少ないパブリックIPを大勢で分け合う仕組みである — IGWの1:1変換とNATゲートウェイの多:1変換
プライベートIP(10.0.x.x)はインターネットでは通用しない——では外と話すとき、誰がアドレスを書き換えているのか。境界で起きる2種類の付け替えを、上から下へ図で追っていきます。
① 前提 — プライベートIPは外の世界では通用しない
- プライベートIPは「VPCとサブネットの内側で定義された私的アドレス空間」であり、グローバルに一意ではない
- 公式: 「Your instance is only aware of the private (internal) IP address space defined within the VPC and subnet」
プライベートIPはローカルでしか一意でない。外と話すには、境界のどこかでグローバルに一意なパブリックIPへ変換する仕掛けが必要になる。これがNAT(ネットワークアドレス変換)であり、IPv4アドレス枯渇という歴史的制約への答えでもある。
② IGWの1:1変換 — パブリックIPはOSに存在しない「付け替え札」
- 「一つのインスタンス ↔ 一つのパブリックIP」の1:1対応
- 公式: 「the internet gateway logically provides the one-to-one NAT on behalf of your instance」
IGWの変換は1インスタンス:1パブリックIPの対称的な付け替えである。パブリックIPアドレスはインスタンスのOSには存在せず、境界での付け替え札として働く——これがこの回の最初の驚きポイント。
③ NATゲートウェイの多:1変換 — 大勢を1つのIPに束ねる二段変換
- 戻りのトラフィックはNATゲートウェイが元の送信元IP(10.0.2.11 等)へ逆変換して届ける
- 公式: 「map the source private IPv4 address of the instances to the private IPv4 address of the NAT gateway... the internet gateway then maps the private IPv4 address of the public NAT gateway to the Elastic IP address」
多数のプライベートIPが1つのNATゲートウェイのプライベートIPに束ねられ、パブリックNATゲートウェイではIGWがさらにElastic IPへ変換する。戻りはNATゲートウェイが元の送信元へ逆変換する。ここで当然の疑問が生まれる——1つのIPに束ねたら、戻ってきた返信を誰に渡すか区別できるのか?
④ ポートが答え — アドレスの延長として会話を捌き分ける(PAT)
- 使用ポート範囲は 1024–65535
- 1つのIPv4アドレスあたり、同一宛先に最大 55,000 同時接続。同一宛先は「宛先IP + 宛先ポート + プロトコル(TCP/UDP/ICMP)」の組で識別される
- 公式: 「Each IPv4 address can support up to 55,000 simultaneous connections to each unique destination」
- パブリックNATゲートウェイに関連付けられるElastic IPはデフォルトで2個まで(クォータ引き上げで拡張可)
ポート番号を割り当てて変換表に記録することで、1つのIPでも多数の会話を取り違えずに捌ける。この「変換表を持つ」性質こそNATがステートフルである正体——メッセージング編で見たコネクション追跡と同じデータ構造がここにも住んでいる。上限の 55,000 は「1 IPあたり・同一宛先ごと」なので、IPを足して拡張できる(最大8個まで)。
⑤ 規模とAZ構造 — 自動スケールするが、AZに縛られる
- 公式: 「Each NAT gateway is created in a specific Availability Zone and implemented with redundancy in that zone」
- NATゲートウェイにセキュリティグループは付けられない(NACLは効く)
- 接続タイプ: パブリック(デフォルト・作成時にEIP関連付け必須・パブリックサブネットに設置)/ プライベート(EIP関連付け不可・VPC間やオンプレ向け)
性能は自動スケールするが、NATゲートウェイはAZ単位の資源である。AZ障害の巻き添えを避けるため、AZごとに1つ置いて同一AZのものを使わせるのが公式推奨。なおNATゲートウェイにセキュリティグループは付けられず、制御はNACLで行う。
⑥ 締め — 「外から始められない」は変換表の副産物である
- 公式: 「external services can't initiate a connection with those instances」
- 公式: 「Connections must always be initiated from within the VPC containing the NAT gateway」
「外から接続を開始できない」のはアクセス制御ルールではなく、変換表に載っていない着信は戻し先が決まらないという構造的帰結である。この非対称設計は、メッセージング編のポーリング(受け手から取りに行く)と同じ方向——「開始の向き」を絞ることで安全を作る発想だ。Lambda編で「VPC接続したLambdaが外に出るにはNATが要る」と触れたのは、まさにこの仕組みが理由である。