アウトバウンド トラフィックに静的 IP アドレスを割り当てる

デフォルトでは、Secure Web Proxy はアウトバウンド ウェブ トラフィックにマネージド Cloud NAT ゲートウェイ（swg-autogen-nat）を使用します。このゲートウェイは通常、自動的に割り振られた IP アドレスを使用します。このページでは、 Google Cloud プロジェクトで所有および管理する特定の静的外部 IPv4 アドレスを使用するように Cloud NAT ゲートウェイを構成する方法について説明します。Secure Web Proxy を介してルーティングされるワークロードからのすべての送信トラフィックは、これらの事前定義された静的 IP のいずれかから送信されます。

アウトバウンド トラフィックに静的 IP アドレスを割り当てる主なメリットは次のとおりです。

  • 予測可能なアウトバウンド トラフィックの送信元 IP: 外部サービス、パートナー、オンプレミス ファイアウォールが特定の IP アドレスを承認済みリストに追加できるようにします。これにより、Secure Web Proxy インスタンスからのトラフィックが確実に受け入れられます。これは、IP ベースのアクセス制御リスト（ACL）で保護されているリソースにアクセスするために不可欠です。

  • 動的ポート割り当て（DPA）: アウトバウンド トラフィック用に割り当てた静的 IP アドレスのセットから、使用可能な送信元ポートを効率的に割り当てます。DPA を使用すると、使用可能なポートをすべて使用することなく、限られた数の静的 IP でアウトバウンド トラフィックを管理できます。詳細については、動的ポート割り当てをご覧ください。

  • セキュリティ ポスチャーの強化: 管理とモニタリングを行う IP アドレスの既知のセットを小さくすることで、セキュリティ監査と脅威分析を簡素化します。

  • サードパーティ統合の改善: セキュリティ強化のために IP 許可リストを必要とする、または推奨する SaaS プロバイダや API とのシームレスな統合を容易にします。

  • コンプライアンスの簡素化: すべてのアウトバウンド トラフィック ポイントとそれに関連付けられた IP アドレスのコンプライアンス要件を満たすことができます。

始める前に

  • 初期設定の手順を完了します。

  • Secure Web Proxy インスタンスで使用する静的 IPv4 アドレスのリストを予約します。 Google Cloudで IP アドレスを予約する前に、gcloud compute addresses create コマンドを使用してアドレス リソースを作成してください。

  • Google Cloud CLI バージョン 406.0.0 以降がインストールされていることを確認します。

    gcloud version | head -n1

    以前のバージョンの gcloud CLI がインストールされている場合は、バージョンを更新します。

    gcloud components update --version=406.0.0

Secure Web Proxy の静的 IP アドレスを構成する

コンソール

  1. Google Cloud コンソールで、[Cloud NAT] ページに移動します。

    Cloud NAT に移動

  2. Secure Web Proxy インスタンスが使用する Cloud NAT ゲートウェイを見つけます。名前は swg-autogen-nat になり、適切なリージョンと Virtual Private Cloud ネットワークの Cloud NAT（名前は swg-autogen-router-YYYY 形式）に関連付けられます。

  3. Cloud NAT ゲートウェイの詳細ページに移動するには、swg-autogen-nat ゲートウェイ名をクリックします。[Cloud NAT ゲートウェイの詳細] ページが開きます。

  4. [編集] をクリックします。[Cloud NAT ゲートウェイの編集] ページが開きます。

  5. [Cloud NAT IP アドレス] で、設定を [自動（推奨）] から [手動] に変更します。

  6. [IP アドレス] で、予約した静的 IP アドレスを選択します。詳細については、Secure Web Proxy 用に Cloud NAT IP を構成するをご覧ください。

    複数の IP アドレスを追加するには、[IP アドレスを追加] ボタンをクリックします。

  7. [詳細構成] セクションを開き、[動的ポートの割り当てを有効にする] チェックボックスをオンにします。

  8. [Min ports per VM] には、2048 を入力することをおすすめします。

  9. [VM あたりの最大ポート数] には、4096 を入力することをおすすめします。

  10. [保存] をクリックします。

  11. 変更を保存したら、次のことを確認します。

    1. Cloud NAT ゲートウェイの詳細ページで、[IP アドレス] セクションに手動で選択した静的 IP アドレスが表示されていることを確認します。

    2. 以前に構成した仮想マシン（VM）あたりの最小ポート数と最大ポート数が正しく設定され、[動的ポートの割り当て] が有効になっていることを確認します。

Cloud Shell

  1. Secure Web Proxy インスタンスのプロビジョニング時に割り当てられた Cloud Router 名を特定するには、gcloud compute routers list コマンドを使用します。

    gcloud compute routers list \
    --region REGION \
    --filter="network:(NETWORK_NAME) AND name:(swg-autogen-router-*)" \
    --format="get(name)"

    次のように置き換えます。

    • REGION: Secure Web Proxy インスタンス用に Cloud Router がデプロイされているリージョン
    • NETWORK_NAME: VPC ネットワークの名前

    出力は次のようになります。

    swg-autogen-router-1

  2. Secure Web Proxy インスタンスのプロビジョニング時に割り当てられた外部自動プロビジョニングされた IP アドレスを一覧表示するには、gcloud compute routers get-status コマンドを使用します。

    gcloud compute routers get-status ROUTER_NAME  \
    --region=REGION

    出力は次のようになります。

    kind: compute#routerStatusResponse
result:
  natStatus:
  - autoAllocatedNatIps:
    - 34.144.80.46
    - 34.144.83.75
    - 34.144.88.111
    - 34.144.94.113
    minExtraNatIpsNeeded: 0
    name: swg-autogen-nat
    numVmEndpointsWithNatMappings: 3
  network: https://www.googleapis.com/compute/projects/PROJECT_NAME/global/networks/NETWORK_NAME

    この出力には次の値が含まれます。

    • PROJECT_NAME: Google Cloudプロジェクトの名前
    • NETWORK_NAME: VPC ネットワークの名前

  3. 事前定義された IP 範囲を使用するように Cloud NAT ゲートウェイを更新するには、gcloud compute routers nats update コマンドを使用します。

    gcloud compute routers nats update swg-autogen-nat  \
    --router=ROUTER_NAME \
    --nat-external-ip-pool=IPv4_ADDRESSES... \
    --region=REGION

    IPv4_ADDRESSES は、使用する外部 IPv4 アドレス リソースの名前をカンマ（,）で区切って置き換えます。

  4. IP 範囲が Cloud NAT ゲートウェイに割り当てられていることを確認するには、gcloud compute routers nats describe コマンドを使用します。

    gcloud compute routers nats describe swg-autogen-nat \
    --router=ROUTER_NAME  \
    --region=REGION

    出力は次のようになります。

    enableEndpointIndependentMapping: false
icmpIdleTimeoutSec: 30
logConfig:
  enable: false
  filter: ALL
name: swg-autogen-nat
natIpAllocateOption: MANUAL_ONLY
natIps:
- https://www.googleapis.com/compute/projects/PROJECT_NAME/regions/REGION/addresses/ADDRESS
sourceSubnetworkIpRangesToNat: ALL_SUBNETWORKS_ALL_IP_RANGES

    この出力には次の値が含まれます。

    • PROJECT_NAME: Google Cloudプロジェクトの名前
    • REGION: Cloud NAT ゲートウェイがデプロイされているリージョン
    • ADDRESS: 静的 IPv4 アドレス リソースの名前

  5. 動的ポート割り当て（DPA）モードを使用するように Cloud NAT ゲートウェイを更新するには、gcloud compute routers nats update コマンドを使用します。DPA モードでは、Secure Web Proxy インスタンスが割り当てられた IP アドレスを使用できます。

    gcloud compute routers nats update swg-autogen-nat  \
    --router=ROUTER_NAME \
    --min-ports-per-vm=2048 \
    --max-ports-per-vm=4096 \
    --enable-dynamic-port-allocation \
    --region=REGION

    --min-ports-per-vm フラグと --max-ports-per-vm フラグについては、それぞれの値を 2048 と 4096 に設定することをおすすめします。

    Metrics Explorer を使用して、次の指標データをモニタリングし、必要に応じて DPA の最小値と最大値を調整します。

    • Cloud NAT Gateway - Port usage
    • Cloud NAT Gateway - New connection count
    • Cloud NAT Gateway - Open connections

  6. DPA が有効になっていて、ポートの最小値と最大値が設定されていることを確認するには、gcloud compute routers nats describe コマンドを使用します。

    gcloud compute routers nats describe swg-autogen-nat \
    --router=ROUTER_NAME \
    --region=REGION

    出力で natIpAllocateOption: MANUAL_ONLY を確認し、natIps リストに静的 IP アドレスが含まれていることを確認します。

    出力は次のようになります。

    enableDynamicPortAllocation: true
enableEndpointIndependentMapping: false
endpointTypes:
- ENDPOINT_TYPE_SWG
logConfig:
  enable: true
  filter: ERRORS_ONLY
maxPortsPerVm: 4096
minPortsPerVm: 2048
name: swg-autogen-nat
natIpAllocateOption: MANUAL_ONLY
natIps:
- https://www.googleapis.com/compute/projects/PROJECT_NAME/regions/REGION/addresses/ADDRESS
sourceSubnetworkIpRangesToNat: ALL_SUBNETWORKS_ALL_IP_RANGES
type: PUBLIC

    この出力には次の値が含まれます。

    • PROJECT_NAME: Google Cloudプロジェクトの名前
    • REGION: Cloud NAT ゲートウェイがデプロイされているリージョン
    • ADDRESS: 静的 IPv4 アドレス リソースの名前

次のステップ