GCPネットワークの深淵：VPCファイアウォールルールの「優先度」とパケットが辿る真実
クラウドのネットワークを語る時、多くのエンジニアは「VPC」を単なる巨大なスイッチングハブか何かだと誤解している。しかし、現場のSREとして数多の障害対応を潜り抜けてきた経験から言えば、GCPのVPCは、分散システムにおける「動的な境界線」そのものだ。
特に、ファイアウォールルールの評価順序は、ただの「数値の大小」ではない。それは、パケットがあなたのシステムという聖域に足を踏み入れる際の、冷徹な検問所なのだ。今日は、この評価ロジックの深淵を覗き込み、パフォーマンスとセキュリティを両立させるためのアーキテクチャ論を紐解いていく。
0から65535の階層：優先度という名の「重力」
GCPのファイアウォールルールにおいて、priorityは0から65535の値を取る。この数値が小さいほど評価順序が先になる。ここまでは教本通りだが、現場で重要なのは「最初に見つかったルールで即座に評価が打ち切られる」という非対称な性質だ。
暗黙のルールとの戦い
GCPには、設定せずとも存在する「暗黙の拒否（Ingress: 65535）」と「暗黙の許可（Egress: 65535）」がある。多くのエンジニアが陥る罠は、特定の許可ルールを優先度 1000 で作成したつもりが、別の場所で定義した 900 の拒否ルールに食われているケースだ。
# 現在の優先度を確認するためのgcloudコマンド
# 優先度の逆順（数値が大きい順）にソートして、評価のボトルネックを探るのが定石
gcloud compute firewall-rules list --sort-by="PRIORITY" --format="table(name, priority, direction, action)"ステートフルという名の特権：戻りトラフィックの最適化
GCPのファイアウォールが他のレガシーなファイアウォールと一線を画すのは、その「完全ステートフル」な設計にある。一度許可された接続（例えば TCP の SYN パケット）に対しては、その後の ACK や、戻りの FIN/RST パケットを明示的に許可する必要はない。
これは単なる便利機能ではなく、カーネルレベルでの conntrack の恩恵だ。もしこれがステートレスであれば、戻りトラフィックすべてに広大なエフェメラルポート範囲を開放せねばならず、それは即座にセキュリティホールへと直結する。
極限のパフォーマンス：TCPバッファとRTTの呪縛
ファイアウォールの評価順序を最適化しても、物理的な RTT（往復遅延時間）は克服できない。だが、TCPの挙動をチューニングすることで、体感速度は劇的に変わる。
特に、グローバルなトラフィックを扱う場合、TCP の初期ウィンドウサイズ（initcwnd）を調整し、ハンドシェイクのオーバーヘッドを最小化することが肝要だ。
# LinuxカーネルパラメータでのTCPバッファチューニング例
# 高負荷なAPIサーバーでは、受信バッファを拡大し、再送時のパフォーマンスを維持する
sysctl -w net.ipv4.tcp_rmem="4096 87380 16777216"
sysctl -w net.ipv4.tcp_wmem="4096 65536 16777216"セキュリティとパフォーマンスのトレードオフ：TLSハンドシェイクの最適化
ファイアウォールを通過したパケットが次に直面するのは、TLSのハンドシェイクだ。TLS 1.3 を強制し、0-RTT を活用することで、最初の接続におけるレイテンシを極限まで削り出すことができる。
ここで忘れてはならないのが、ヘッダー圧縮だ。HTTP/2 や HTTP/3 (QUIC) を採用する際、HPACK や QPACK を適切に機能させるには、ファイアウォール側で UDP のポート（QUIC 用の 443）を確実に許可しておく必要がある。多くの現場で「HTTP/3がなぜか遅い（TCPフォールバックが発生している）」という問題の正体は、この UDP 許可の欠如にある。
SREとしての結論：アーキテクチャは「シンプル」に帰結する
最後に、ファイアウォールルール設計の鉄則を記す。
1. 最小権限の原則: 0.0.0.0/0 を許可するルールは、必ず優先度 60000 以上に配置し、緊急時の遮断（priority: 0）を常に確保しておくこと。
2. タグ（Network Tags）とサービスアカウントの使い分け: IPベースの管理は破綻する。GCPの Service Account を用いた動的なファイアウォール制御を導入せよ。
3. 可観測性: ファイアウォールログを Cloud Logging に流し込み、BigQuery で「拒否されたトラフィック」の推移を監視すること。これが攻撃の予兆を検知する唯一の手段だ。
ネットワークは、魔法ではない。パケットという名の小さなデータの断片が、設定されたルールという「論理」に従って正確にルーティングされているだけだ。その論理を深く理解し、制御できていると自負できる時、あなたは本当の意味でクラウドを「支配」していると言えるだろう。
さあ、次はどのパケットを最適化しようか？
コメント