【実務・中級編】 インターネットゲートウェイ（IGW）の役割とパケット転送 – クラウド＆コンテナネットワーク実践ガイド

インターネットゲートウェイ（IGW）の正体：パケットがVPCの境界を越える瞬間と、現場で役立つL3/L4ルーティングの現実

こんにちは。数々の修羅場――深夜の突然のP99レイテンシ急上昇や、原因不明のパケットドロップといったネットワークの悪夢を乗り越えてきたシニアSREの私です。

Web APIの設計やモダンなマイクロサービスの運用に携わるエンジニアなら、毎日何百万、何千万というリクエストがAWSやGCPなどのVPC（Virtual Private Cloud）に出入りする様子を頭に思い描いたことがあるはずです。しかし、あなたの書いたAPIコードがクライアントに届く直前、そしてユーザーからのリクエストが最初にクラウドの足を踏み入れた瞬間、クラウドの境界線上で何が起きているか、正確に説明できるでしょうか？

今回は、その境界線を守る影の主役であり、水平スケーリングの化身でもあるインターネットゲートウェイ（IGW）にスポットライトを当てます。教科書的な仕様の斜め上を行く、パケットのリアルな挙動と、現場で役立つ実践知を紐解いていきましょう。

—

1. IGWの基本思想：なぜ「ステートレス」かつ「水平スケーリング」なのか

パブリッククラウドのVPCにおけるインターネットゲートウェイ（AWSのIGWや、GCPのデフォルトインターネットゲートウェイなど）を語る上で絶対に外せないキーワードが2つあります。それは「レイヤー3/4でのステートレスなパケットフォワーディング」と「完全な水平スケーリング」です。

多くのエンジニアが誤解しがちなのですが、IGW自体はステートフルなファイアウォールでも、NAT（Network Address Translation）のステートテーブルをゴリゴリ保持するデバイスでもありません。

  • ステートレスなフォワーディング: IGWは、流れてくるパケットのIPヘッダー（L3）とTCP/UDPヘッダー（L4）だけを見て、あらかじめ定義されたルーティングテーブルに従ってパケットを淡々と転送します。「この通信のコネクションが今どうなっているか」といった文脈をIGW自身は基本的に保持しません。
  • NATの分業: 「えっ、プライベートIPしか持たないEC2インスタンスから外に出るとき、IGWがNATをやっているんじゃないの？」と思われるかもしれません。実は、AWSなどのモダンなクラウドアーキテクチャでは、IGWの手前（あるいはインスタンスのvNICレベル、あるいはVPCの分散ルーター層）でNATやセキュリティグループ（SG）・ネットワークACL（NACL）のステート管理が行われており、IGWそのものは純粋なルーティングと外向きパケットのEgress/Ingress処理に特化しています。
  • 無限のスケール: 「ゲートウェイ」という言葉から、特定のハードウェアボックスがどこかのラックに鎮座している姿を想像してはなりません。IGWは、クラウドプロバイダーの巨大なソフトウェア定義ネットワーク（SDN）基盤上に分散配置された、論理的な冗長コンポーネントです。トラフィックが10Gbpsから1Tbpsに跳ね上がろうとも、ユーザー側で帯域幅のプロビジョニングやスケールアップの指示をする必要は一切ありません。パケットの増減に合わせて、基盤側が自動的にスケーリングします。

—

2. パケットの旅：VPC境界線におけるL3/L4の振る舞い

では、私たちが書いたコードから発せられたパケットが、どのようにIGWを通過してインターネットへ出ていくのか。そのシーケンスを、パケットのレイヤー（L2〜L4）の視点から覗いてみましょう。

通信フローの全体像（エグレス：VPCからインターネットへ）

1. アプリケーション層〜トランスポート層（L4）:
例えば、PythonのrequestsやNode.jsのfetchから、外部の決済APIへHTTPSリクエストを投げたとします。TCPの3wayハンドシェイクを経て、宛先ポート 443 のTCPセグメントが生成されます。
2. ネットワーク層（L3）:
パケットのIPヘッダーには、送信元にインスタンスのプライベートIP（例：10.0.1.100）、宛先にインターネット上のサーバーのグローバルIP（例：203.0.113.50）が格納されます。
3. ルートテーブルの評価:
インスタンスから送出されたパケットは、属するサブネットのルートテーブルを参照されます。ここで 0.0.0.0/0（すべての宛先）のターゲットとして igw-xxxxxxxx（インターネットゲートウェイ）が指定されているため、パケットはVPCのルーターを経由してIGWへ向かいます。
4. IGWでの転送処理:
IGWに到達したパケットは、ここでソースNAT（SNAT）の処理を受けます（※構成による）。プライベートIP 10.0.1.100 は、Elastic IP（EIP）やNATゲートウェイのパブリックIPに書き換えられます。その後、IGWはパケットをインターネット側の外向きルーターへと送り出します。

[EC2 インスタンス (10.0.1.100)]
      │  (L3/L4パケット生成: 宛先 203.0.113.50:443)
      ▼
[サブネット ルートテーブル (0.0.0.0/0 -> igw-xxxxxxxx)]
      │
      ▼
[インターネットゲートウェイ (IGW)] ──(SNAT / パケットフォワーディング)──> [パブリックインターネット]

—

3. 実践：IGWを意識したAPIクライアントの実装と設定

インフラの挙動が分かったところで、次はアプリケーション側およびIaC（インフラストラクチャ・作為コード）側の実務的な設定を見ていきましょう。ここでは、IGW経由で外部のWeb APIを叩くPythonスクリプトと、それを支えるTerraformの設定例を紹介します。

A. アプリケーションコード例（Python / requests）

IGWを経由する通信において、開発者が最もハマるのが「タイムアウトの無設定によるコネクションの吊るし」です。IGW自体は非常に信頼性が高いものの、インターネットを挟む以上、パケットロスやルーティングのフラッピングは日常茶飯事です。必ず明示的なタイムアウトを設定しましょう。

import requests
from requests.exceptions import Timeout, RequestException

def call_external_api_via_igw():
    # インターネット上のAPIエンドポイント（IGW経由でアクセス）
    api_url = "https://api.example.com/v1/resource"
    
    headers = {
        "User-Agent": "SRE-Production-Client/1.0",
        "Accept": "application/json"
    }

    try:
        # 接続タイムアウト(connect)と読み込みタイムアウト(read)を明示的に分ける
        # ネットワークの断絶やIGWまでの経路障害を素早く検知するため
        response = requests.get(api_url, headers=headers, timeout=(3.0, 10.0))
        
        # ステータスコードのチェック
        response.raise_for_status()
        
        print(f"成功: ステータス {response.status_code}")
        return response.json()

    except Timeout:
        print("エラー: 外部APIへのリクエストがタイムアウトしました。IGW配下のネットワーク経路やセキュリティグループを確認してください。")
        raise
    except RequestException as e:
        print(f"エラー: 通信中に予期せぬ障害が発生しました: {e}")
        raise

if __name__ == "__main__":
    call_external_api_via_igw()

B. インフラ設定例（Terraform）

次に、このパケットの通り道であるIGWと、それを参照するルートテーブルをTerraformで構築する実例です。実務では、パブリックサブネットから直接IGWに抜けるルートと、NATゲートウェイを挟むプライベートサブネットのルートを明確に分離することが求められます。

# 1. VPCの作成
resource "aws_vpc" "main" {
  cidr_block           = "10.100.0.0/16"
  enable_dns_hostnames = true
  enable_dns_support   = true

  tags = {
    Name        = "production-vpc"
    Environment = "production"
  }
}

# 2. インターネットゲートウェイ（IGW）の作成
resource "aws_internet_gateway" "gw" {
  vpc_id = aws_vpc.main.id

  tags = {
    Name        = "production-igw"
    Environment = "production"
  }
}

# 3. パブリックサブネットの作成
resource "aws_subnet" "public" {
  vpc_id                  = aws_vpc.main.id
  cidr_block              = "10.100.1.0/24"
  availability_zone       = "ap-northeast-1a"
  map_public_ip_on_launch = true # IGW経由で自動的にパブリックIPを付与する場合

  tags = {
    Name        = "production-public-subnet-1a"
    Environment = "production"
  }
}

# 4. パブリックルートテーブルの作成
resource "aws_route_table" "public" {
  vpc_id = aws_vpc.main.id

  # デフォルトルート（0.0.0.0/0）のトラフィックをすべてIGWへ転送する
  route {
    cidr_block = "0.0.0.0/0"
    gateway_id = aws_internet_gateway.gw.id
  }

  tags = {
    Name        = "production-public-rt"
    Environment = "production"
  }
}

# 5. ルートテーブルとパブリックサブネットの関連付け
resource "aws_route_table_association" "public" {
  subnet_id      = aws_subnet.public.id
  route_table_id = aws_route_table.public.id
}

—

4. 現場のトラブルシューティングTips：IGW周りで障害が起きたとき

「突然、外部APIと通信できなくなった」「パケットが途中で消えている気がする」。こんな修羅場に直面したとき、シニアSREが真っ先に確認するチェックリストを伝授します。

1. ルートテーブルの 0.0.0.0/0 の宛先を確認する
Terraformやマネジメントコンソールで、誤ってルートを削除していないか、あるいはターゲットID（igw-xxxx）が間違っていないかをCLIで確認します。

aws ec2 describe-route-tables --route-table-id rtb-xxxxxxxx

2. ネットワークACL（NACL）のイングレス/エグレスルールを疑う
セキュリティグループ（SG）だけでなく、ステートレスなNACLでエグレス（外向き）の 443 ポートや、エフェメラルポート（1024-65535）の戻りパケットがブロックされていないか確認するのが鉄則です。NACLはステートレスなので、「往き」だけでなく「復り」のルールも両方明示的に許可する必要がある点に注意してください。
3. パケットキャプチャ（tcpdump）で生死を確認する
インスタンスにログインし、実際にパケットが外に出ていこうとしているかをキャプチャします。

# 外部の宛先IPを指定して、インターフェース上のTCPパケットを監視
   sudo tcpdump -nnvvS -i eth0 host 203.0.113.50

もしここでパケットが出ていればインスタンス側は正常です。パケットが出ているのに相手から返ってこない場合は、IGWの先（インターネット上のルーティング、あるいは相手方ファイアウォール）のトラブルであると切り分けることができます。

—

まとめ

インターネットゲートウェイ（IGW）は、ただの「外に出るための扉」ではありません。VPCという安全な要塞と、混沌としたパブリックインターネットを繋ぐ、極めて洗練されたL3/L4の交通整理システムです。

その「ステートレスで水平スケーリングする」という特性を深く理解し、ルートテーブルやNACL、そしてアプリケーション側のタイムアウト設計までをトータルでコーディネートできてこそ、真に堅牢なクラウドインフラストラクチャが完成します。

皆さんの設計するシステムが、今日もスムーズに世界中へパケットを届けられますように。それでは、次のトラブルシューティングの現場でお会いしましょう！

スポンサーリンク

コメント

タイトルとURLをコピーしました