【入門編】 CNIプラグインにおけるマスカレード（Masquerade）機能とポッドCIDRの隠蔽 – クラウド＆コンテナネットワーク実践ガイド

Kubernetesの「住所」を隠せ！CNIのMasquerade（マスカレード）が魔法のように通信を繋ぐ仕組み

こんにちは！クラウドとコンテナの深淵を日々覗き込んでいるSREです。

Kubernetesを触り始めると、必ずと言っていいほど直面するのが「ネットワークの壁」ですよね。「なぜPodのIPアドレスが外から見えないのか？」「NATゲートウェイを通ると何が起きているのか？」といった疑問は、誰もが一度は頭を抱える登竜門です。

今日は、そんなネットワークの霧を晴らすために、CNI（Container Network Interface）が裏で行っている「Masquerade（マスカレード）」という名の魔法について、身近な例えを交えながら紐解いていきましょう。

—

1. 郵便配達で例える「プライベートIP」の限界

まずは、皆さんの家の住所を想像してみてください。
マンションの「101号室」という住所は、マンションの中では通じますが、郵便局の配達員さんが直接そこまで届けることはできませんよね。まずは「マンションの管理室（ノード）」に届き、そこから管理人が各部屋へ配るはずです。

KubernetesのPodもこれと同じです。
Podはクラスター内だけの特別な住所（10.x.x.xのようなプライベートIP）を持っています。しかし、AWSやGCPといった広大なクラウドの外の世界（インターネット）から見ると、そのPodの住所は「存在しない場所」なのです。

そこで登場するのが「Masquerade（マスカレード）」です。

—

2. マスカレード：仮面舞踏会の演出

マスカレードとは、直訳すると「仮面舞踏会」です。
Podがクラスターの外へパケット（手紙）を送る際、CNIプラグインはPodの素顔（プライベートIP）を隠し、ノード（ホスト）の顔（IPアドレス）を被せて送り出します。

外の世界から見た図： 「おっ、ノードさんから手紙が届いたな」
ノードの中での真実： 「実際は、中のPod 101号室のやつが書いた手紙を、俺が代筆して送ってやったんだぜ」

これがNAT（Network Address Translation）の仕組みであり、Kubernetesではこれを「Masquerade」と呼んでいます。これにより、PodのプライベートなIPアドレスを外部に漏らさず、安全に通信ができるようになるのです。

—

3. なぜ「隠蔽」が必要なのか？

「別に隠さなくてもいいんじゃない？」と思うかもしれません。しかし、これには重要な理由が2つあります。

1. ルーティングの問題： クラウド側のルーターは、クラスター内部のPod用IPアドレスを知りません。「そんな住所は知らないよ！」とパケットを捨てられてしまいます。
2. セキュリティ： 内部の詳細なネットワーク構造を外部にさらすのは、家の中に誰が住んでいるか名札を掲げて歩くようなもの。ノードのIPで一本化することで、最小限の情報公開で済ませているのです。

—

4. 実践：CNIの設定を覗いてみよう

多くのKubernetes環境で使われている flannel や calico などのCNIプラグインには、このマスカレードを有効にするかどうかを決めるスイッチがあります。

例えば、flannel の設定ファイル（net-conf.json）では、以下のように記述します。

{
  "Network": "10.244.0.0/16",
  "Backend": {
    "Type": "vxlan",
    /* このtrueが「マスカレードするよ！」という合図です */
    "Masquerade": true 
  }
}

もし、皆さんが構築している環境が「クラウドのプライベートサブネット内だけで閉じていて、直接VPCルーターがPodのIPを知っている（ルーティングされている）」ような高度な構成であれば、この Masquerade を false にすることで、無駄な変換処理を省き、パフォーマンスを向上させることも可能です。

—

5. トラブルシューティングのヒント

もし「Podから外（インターネット）への通信が繋がらない！」という事態に陥ったら、まずはノードの iptables を疑ってみましょう。

以下のコマンドで、マスカレードのルールが正しく設定されているか確認できます。

# NATテーブルのルールを確認して、マスカレード（MASQUERADE）が設定されているか見る
sudo iptables -t nat -L POSTROUTING -n -v

もしここが真っ白だったり、ルールが足りていない場合、パケットは「迷子」になって外へ出られません。現場のトラブルでは、このルールが他のセキュリティ製品や管理用エージェントによって上書き・削除されてしまうケースも多々あります。

—

最後に：一歩ずつ進んでいきましょう

最初は「IPアドレスが書き換わる」という概念に抵抗があるかもしれません。でも大丈夫です。
「Podはノードという大きな家の住人であり、ノードが代表して郵便をやり取りしてくれている」
このイメージさえ持っておけば、複雑なネットワーク設定も怖くありません。

ネットワークのトラブルは、ときに泥臭いものですが、パケットの流れを一つずつ追っていけば必ず答えに辿り着けます。皆さんのクラウドジャーニーが、より快適で安定したものになることを応援しています！

次回の記事では、このマスカレードをもっと詳しく掘り下げて、iptables の深い層を覗いてみようと思います。それでは、また！