【入門編】 Ciliumを用いたBPFベースのSNAT（Source Network Address Translation）制御メカニズム – クラウド＆コンテナネットワーク実践ガイド

iptablesはもう古い？CiliumとeBPFで実現する「爆速」ネットワークの秘密

こんにちは！クラウドとKubernetesの深淵を覗き込んでいるSREの皆さん、そしてこれからインフラの沼に足を踏み入れる未来のエンジニアの皆さん。

今日は、Kubernetesネットワーク界の「革命児」であるCilium（シリウム）が、なぜこれほどまでに爆速で、なぜ多くの企業がこぞって採用しているのか、その核心にある「SNAT（送信元IP書き換え）」の仕組みを紐解いていこうと思います。

「難しいことは苦手だな…」と思っている方も大丈夫。郵便配達の仕組みに例えて、一緒に一歩ずつ理解していきましょう！

—

1. なぜ「IPアドレスの書き換え（SNAT）」が必要なの？

まず、なぜパケットのIPアドレスを書き換える必要があるのか、そこからお話ししましょう。

想像してみてください。あなたは、社内の「極秘プロジェクト室（プライベートサブネット）」にいる一人の社員です。あなたは外部の取引先（インターネット）に手紙を送りたいのですが、プロジェクト室は機密保持のため、外部からは直接見えない場所（プライベートIPアドレス）にあります。

このままでは、返事の出しようがありませんよね。そこで登場するのが「受付係」です。

1. あなたは手紙に自分の名前（プライベートIP）を書いて、受付に渡す。
2. 受付係は、あなたの手紙を預かり、送り主の名前を「会社の代表者名（パブリックIP）」に書き換えて、外の世界へ投函する。
3. 外の世界からの返事は、「会社の代表者」宛に届く。
4. 受付係は、「あ、これはあのプロジェクト室の誰々さん宛だな」と記録を元に、あなたに手紙を転送する。

この「名前の書き換え」こそが SNAT（Source Network Address Translation） です。これがないと、プライベートな世界にいるサーバーたちは、外の世界と通信ができないのです。

—

2. 従来の「iptables」というベテラン受付係

これまで、この受付係を担ってきたのはLinuxカーネルの iptables という仕組みでした。しかし、この iptables は少し「苦労人」なんです。

iptables は、パケットが来るたびに、膨大な「ルールリスト」を上から順に一行ずつ確認します。
「これは許可？」「これは転送？」「あ、これはIP書き換え？」。もしルールが1,000個あったら、パケットは毎回1,000行のチェックを受けなければなりません。

通信量が増えれば増えるほど、このチェック作業は渋滞を引き起こします。これが、高負荷なKubernetesクラスターでネットワークが遅くなる原因の一つでした。

—

3. CiliumのeBPF：魔法のような「近道」の作り方

ここで登場するのが、Ciliumが武器にする eBPF（extended Berkeley Packet Filter） です。

eBPFを使うと、カーネルの中に「自分専用のプログラム」を直接埋め込むことができます。例えるなら、iptables が「毎回ルールブックをめくる受付係」だとしたら、eBPF は「パケットを見た瞬間に、どこへ送るべきか、どう書き換えるべきかを直感で理解する超能力者」です。

Ciliumは、パケットがカーネルを通る際、iptables のような長ったらしい手順をバイパス（無視）して、この超能力者プログラムに直接処理を委ねます。これが、Ciliumが「爆速」と呼ばれる理由です。

—

4. 実際にやってみよう：CiliumでのSNAT設定

Ciliumでは、SNATの制御も非常にスマートです。例えば、特定の通信だけパケットの送信元を固定したい場合、CiliumEgressGatewayPolicy というリソースを使います。

以下は、ある特定のアプリからの通信を、指定したIPアドレスに変換する設定例です。

apiVersion: "cilium.io/v2"
kind: CiliumEgressGatewayPolicy
metadata:
  name: egress-policy-example
spec:
  selectors:
  - podSelector:
      matchLabels:
        app: my-secret-app # このアプリからの通信が対象
  destinationCIDRs:
  - 0.0.0.0/0 # 全てのインターネット宛が対象
  egressGateway:
    nodeSelector:
      matchLabels:
        node-role.kubernetes.io/egress: "" # Egressゲートウェイを担うノード
    # 送信元IPアドレスをこのIPに固定（SNAT）
    egressIP: "203.0.113.10"

この設定を投入するだけで、CiliumのeBPFプログラムが裏側で自動的にパケットをキャッチし、高速にIPを書き換えてくれます。面倒な iptables のコマンドを叩く必要はありません！

—

5. まとめ：未来のネットワークへ

ここまで、Ciliumの仕組みを少しだけ覗いてきました。

SNAT は、プライベートな世界と外の世界を繋ぐための「名前の書き換え」。
iptables は、ルールを一行ずつ確認する丁寧だけど遅い受付係。
eBPF/Cilium は、パケットの行き先を瞬時に判断する超能力者。

今の時代、クラウドネイティブな開発において「ネットワークの遅延」はサービスの死活問題です。iptables の制約から解放され、eBPFという新しい技術を活用することで、あなたのサービスはより速く、より強固なものになります。

「ネットワークはブラックボックスで怖い…」と思わず、ぜひ一度Ciliumの構築にチャレンジしてみてください。その爆速なレスポンスを体感したら、もう昔のネットワークには戻れなくなるはずですよ！

それでは、良いSREライフを！また次回の記事でお会いしましょう。