GKE でパブリック NAT を使用する

コンソール

1. Google Cloud Console で、[VPC ネットワーク] ページに移動します。

   [VPC ネットワーク] ページに移動

2. [VPC ネットワークを作成] をクリックします。

3. [名前] に「custom-network1」を入力します。

4. [サブネット] で、[サブネット作成モード] を [カスタム] に設定します。

5. [新しいサブネット] の [名前] に「subnet-us-east-192」と入力します。

6. [リージョン] で [us-east4] を選択します。

7. [IP アドレス範囲] に「192.168.1.0/24」と入力します。

8. [完了]、[作成] の順にクリックします。

gcloud

1. プロジェクトに新しいカスタムモードの Virtual Private Cloud（VPC）ネットワークを作成します。

   gcloud compute networks create custom-network1 \
       --subnet-mode custom

   出力:

   NAME             MODE     IPV4_RANGE   GATEWAY_IPV4
   custom-network1  custom

2. 最初のリージョンに対応するサブネット接頭辞を指定します。この例では、リージョン us-east4 に 192.168.1.0/24 を割り当てます。

   gcloud compute networks subnets create subnet-us-east-192 \
      --network custom-network1 \
      --region us-east4 \
      --range 192.168.1.0/24

   出力:

   NAME                REGION    NETWORK          RANGE
   subnet-us-east-192  us-east4  custom-network1  192.168.1.0/24

Terraform

Terraform モジュールを使用して、Virtual Private Cloud のカスタムのネットワークとサブネットを作成できます。

module "test-vpc-module" {
  source       = "terraform-google-modules/network/google"
  version      = "~> 9.0"
  project_id   = var.project_id # Replace this with your project ID in quotes
  network_name = "custom-network1"
  mtu          = 1460

  subnets = [
    {
      subnet_name   = "subnet-us-east-192"
      subnet_ip     = "192.168.1.0/24"
      subnet_region = "us-east4"
    }
  ]
}

コンソール

1. Google Cloud コンソールで、[Kubernetes クラスタ] ページに移動します。

   [Kubernetes クラスタ] ページに移動

2. [クラスタを作成] をクリックします。

3. [名前] に「nat-test-cluster」と入力します。

4. [ロケーション タイプ] を [ゾーン] に設定します。

5. [ゾーン] を us-east4-c に設定します。

6. ナビゲーション パネルで [ネットワーキング] をクリックします。

7. [限定公開クラスタ] を選択します。

8. [外部 IP アドレスを使用してコントロール プレーンにアクセス] チェックボックスをオフにします。

9. [コントロール プレーンの IP 範囲] に「172.16.0.0/28」と入力します。

10. [ネットワーク] を custom-network1 に設定します。

11. クラスタを作成して起動するには、[作成] をクリックします。

gcloud

gcloud container clusters create "nat-test-cluster" \
    --zone "us-east4-c" \
    --username "admin" \
    --cluster-version "latest" \
    --machine-type "e2-medium" \
    --disk-type "pd-standard" \
    --disk-size "100" \
    --scopes "https://www.googleapis.com/auth/compute","https://www.googleapis.com/auth/devstorage.read_only","https://www.googleapis.com/auth/logging.write","https://www.googleapis.com/auth/monitoring","https://www.googleapis.com/auth/servicecontrol","https://www.googleapis.com/auth/service.management.readonly","https://www.googleapis.com/auth/trace.append" \
    --num-nodes "3" \
    --enable-private-nodes \
    --enable-private-endpoint \
    --master-ipv4-cidr "172.16.0.0/28" \
    --enable-ip-alias \
    --network "projects/PROJECT_ID/global/networks/custom-network1" \
    --subnetwork "projects/PROJECT_ID/regions/us-east4/subnetworks/subnet-us-east-192" \
    --max-nodes-per-pool "110" \
    --enable-master-authorized-networks \
    --addons HorizontalPodAutoscaling,HttpLoadBalancing \
    --enable-autoupgrade \
    --enable-autorepair

Terraform

Terraform リソースを使用して限定公開クラスタを作成できます。

resource "google_container_cluster" "primary" {
  project            = var.project_id
  name               = "nat-test-cluster"
  location           = "us-east4-c"
  initial_node_count = 3
  network            = var.network # Replace with a reference or self link to your network, in quotes
  subnetwork         = var.subnet  # Replace with a reference or self link to your subnet, in quotes
  private_cluster_config {
    master_ipv4_cidr_block  = "172.16.0.0/28"
    enable_private_endpoint = true
    enable_private_nodes    = true
  }
  ip_allocation_policy {
  }
  master_authorized_networks_config {
  }
}

コンソール

1. Google Cloud コンソールで [ファイアウォール ポリシー] ページに移動します。

   [ファイアウォール ポリシー] ページに移動

2. [ファイアウォール ルールを作成] をクリックします。

3. [名前] に「allow-ssh」を入力します。

4. [ネットワーク] に custom-network1 を指定します。

5. [トラフィックの方向] を上り（内向き）に設定します。

6. [一致したときのアクション] を [許可] に設定します。

7. [ターゲット] を [ネットワーク上のすべてのインスタンス] に設定します。

8. [ソースフィルタ] を [IPv4 範囲] に設定します。

9. [ソース IP の範囲] を 35.235.240.0/20 に設定します。

10. [プロトコルとポート] を [指定したプロトコルとポート] に設定します。

11. [tcp] チェックボックスをオンにして、ポート「22」を入力します。

12. [作成] をクリックします。

gcloud

gcloud compute firewall-rules create allow-ssh \
    --network custom-network1 \
    --source-ranges 35.235.240.0/20 \
    --allow tcp:22

Terraform

Terraform リソースを使用してファイアウォール ルールを作成できます。

resource "google_compute_firewall" "rules" {
  project = var.project_id
  name    = "allow-ssh"
  network = var.network
  allow {
    protocol = "tcp"
    ports    = ["22"]
  }
  source_ranges = ["35.235.240.0/20"]
}

コンソール

1. Google Cloud コンソールで、[Identity-Aware Proxy] ページに移動します。

   [Identity-Aware Proxy] ページに移動

2. [SSH と TCP のリソース] タブを選択します。

3. [すべてのトンネル リソース] > [us-east4-c] で、リストの最初のノードの横にあるチェックボックスをオンにします。名前は gke-nat-test-cluster-default-pool-b50db58d-075t のようになります。

4. ノードの名前を書き留めます。後の接続テストで使用します。

5. 右側のペインで、[プリンシパルを追加] をクリックします。

6. ユーザー、グループ、またはサービス アカウントにリソースへのアクセス権を付与するには、[新しいプリンシパル] フィールドで、プリンシパルのメールアドレスを指定します。

   この機能のテストのみを行う場合は、ご自身のメールアドレスを入力できます。

7. Cloud IAP の TCP 転送機能を使用して、プリンシパルにリソースへのアクセス権を付与するには、[ロール] プルダウン リストから [Cloud IAP] > [IAP で保護されたトンネル ユーザー] を選択します。

8. [保存] をクリックします。

gcloud

この手順では、Console の手順に従います。

コンソール

1. Google Cloud Console で、[VM インスタンス] ページに移動します。

   [VM インスタンス] ページに移動

2. IAP SSH 権限を作成したノードを探します。[接続] 列で、[SSH] プルダウン矢印をクリックし、[ブラウザ ウィンドウで開く] を選択します。

   今回インスタンスに初めて接続する場合は、Google Cloud によって自動的に SSH 認証鍵が生成されます。

3. ノード プロンプトで、kube-dns コンテナのプロセス ID を確認します。

   pgrep '^kube-dns$'

4. コンテナにアクセスします。

   sudo nsenter --target PROCESS_ID --net /bin/bash

5. kube-dns からインターネットへの接続を試みます。

   curl example.com

   結果は何も表示されません。この場合、クラスタが限定公開クラスタとして作成されていないか、他の問題が発生している可能性があります。トラブルシューティングを行うには、Public NAT なしで、なぜか VM がインターネットに接続できるをご覧ください。

   コマンドを終了するには、「Ctrl+C」と入力することが必要な場合があります。

gcloud

1. クラスタノードの名前の 1 つを確認します。

   gcloud compute instances list

   ノード名は gke-nat-test-cluster-default-pool-1a4cbd06-3m8v のようになります。ノード名をメモし、その名前を次のコマンドの NODE_NAME で使用します。

2. ノードに接続します。

   gcloud compute ssh NODE_NAME \
       --zone us-east4-c \
       --tunnel-through-iap

3. ノード プロンプトで、kube-dns コンテナのプロセス ID を確認します。

   pgrep '^kube-dns$'

4. コンテナにアクセスします。

   sudo nsenter --target PROCESS_ID --net /bin/bash

5. kube-dns からインターネットへの接続を試みます。

   curl example.com

   何も表示されません。コマンドを終了するには、「Ctrl+C」と入力することが必要な場合があります。

コンソール

1. Google Cloud Console で、[Cloud NAT] ページに移動します。

   [Cloud NAT] ページに移動

2. [開始] または [NAT ゲートウェイを作成] をクリックします。

3. [ゲートウェイの名前] に 「nat-config」 と入力します。

4. [VPC ネットワーク] を custom-network1 に設定します。

5. [リージョン] を us-east4 に設定します。

6. [Cloud Router] で [新しいルーターを作成] を選択します。

   1. [名前] に「nat-router」を入力します。
   2. [作成] をクリックします。

7. [作成] をクリックします。

gcloud

1. Cloud Router を作成します。

   gcloud compute routers create nat-router \
       --network custom-network1 \
       --region us-east4

2. ルーターに構成を追加します。

   gcloud compute routers nats create nat-config \
       --router-region us-east4 \
       --router nat-router \
       --nat-all-subnet-ip-ranges \
       --auto-allocate-nat-external-ips

Terraform

Terraform リソースを使用して Cloud Router を作成できます。

resource "google_compute_router" "router" {
  project = var.project_id
  name    = "nat-router"
  network = var.network
  region  = "us-east4"
}

Terraform モジュールを使用して NAT 構成を作成できます。

module "cloud-nat" {
  source                             = "terraform-google-modules/cloud-nat/google"
  version                            = "~> 5.0"
  project_id                         = var.project_id
  region                             = "us-east4"
  router                             = google_compute_router.router.name
  name                               = "nat-config"
  source_subnetwork_ip_ranges_to_nat = "ALL_SUBNETWORKS_ALL_IP_RANGES"
}