AzureでNATゲートウェイとプライベートサブネットを構築する方法

この記事のポイント

・azure nat サブネット はVNetのルートテーブルにNATゲートウェイを割り当てることで機能する
・プライベートサブネットとは、インターネットゲートウェイが直接付いていないサブネットのこと
・NATゲートウェイには静的パブリックIPアドレス（パブリックIPプレフィックス）が必要
・動作確認はVMからcurlコマンドを実行して外部IPを確認するのが最速

# リソースグループの作成（Japaneastリージョン）
az group create \
  --name rg-nat-demo \
  --location japaneast

# 作成確認
az group show --name rg-nat-demo --query "{Name:name, Location:location}" -o table

Name           Location
-------------  ----------
rg-nat-demo    japaneast

# VNetの作成
az network vnet create \
  --resource-group rg-nat-demo \
  --name vnet-nat-demo \
  --address-prefix 10.0.0.0/16 \
  --location japaneast

# VNet作成確認
az network vnet show \
  --resource-group rg-nat-demo \
  --name vnet-nat-demo \
  --query "{Name:name, AddressSpace:addressSpace.addressPrefixes}" -o json

{
  "AddressSpace": [
    "10.0.0.0/16"
  ],
  "Name": "vnet-nat-demo"
}

# プライベートサブネットの作成
az network vnet subnet create \
  --resource-group rg-nat-demo \
  --vnet-name vnet-nat-demo \
  --name subnet-private \
  --address-prefix 10.0.1.0/24

# サブネット確認
az network vnet subnet list \
  --resource-group rg-nat-demo \
  --vnet-name vnet-nat-demo \
  --query "[].{Name:name, Prefix:addressPrefix}" -o table

Name            Prefix
--------------  -----------
subnet-private  10.0.1.0/24

# NATゲートウェイ用パブリックIPアドレスの作成
az network public-ip create \
  --resource-group rg-nat-demo \
  --name pip-nat-demo \
  --sku Standard \
  --allocation-method Static \
  --location japaneast

# パブリックIPの確認（割り当てられたIPアドレスを確認）
az network public-ip show \
  --resource-group rg-nat-demo \
  --name pip-nat-demo \
  --query "{Name:name, IP:ipAddress, AllocationMethod:publicIPAllocationMethod}" -o json

{
  "AllocationMethod": "Static",
  "IP": "20.xxx.xxx.xxx",
  "Name": "pip-nat-demo"
}

# NATゲートウェイの作成
az network nat gateway create \
  --resource-group rg-nat-demo \
  --name nat-gateway-demo \
  --public-ip-addresses pip-nat-demo \
  --idle-timeout 10 \
  --location japaneast

# NATゲートウェイ作成確認
az network nat gateway show \
  --resource-group rg-nat-demo \
  --name nat-gateway-demo \
  --query "{Name:name, ProvisioningState:provisioningState, IdleTimeout:idleTimeoutInMinutes}" -o json

{
  "IdleTimeout": 10,
  "Name": "nat-gateway-demo",
  "ProvisioningState": "Succeeded"
}

# サブネットにNATゲートウェイを関連付ける
az network vnet subnet update \
  --resource-group rg-nat-demo \
  --vnet-name vnet-nat-demo \
  --name subnet-private \
  --nat-gateway nat-gateway-demo

# 関連付け確認
az network vnet subnet show \
  --resource-group rg-nat-demo \
  --vnet-name vnet-nat-demo \
  --name subnet-private \
  --query "{Subnet:name, NatGateway:natGateway.id}" -o json

{
  "NatGateway": "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/rg-nat-demo/providers/Microsoft.Network/natGateways/nat-gateway-demo",
  "Subnet": "subnet-private"
}

# プライベートサブネット内にVMを作成（パブリックIPなし）
az vm create \
  --resource-group rg-nat-demo \
  --name vm-private-test \
  --image Ubuntu2204 \
  --vnet-name vnet-nat-demo \
  --subnet subnet-private \
  --public-ip-address "" \
  --admin-username azureuser \
  --generate-ssh-keys \
  --size Standard_B1s

# VM起動確認
az vm show \
  --resource-group rg-nat-demo \
  --name vm-private-test \
  --query "{Name:name, PrivateIP:privateIps, ProvisioningState:provisioningState}" -o json

{
  "Name": "vm-private-test",
  "PrivateIP": "10.0.1.4",
  "ProvisioningState": "Succeeded"
}

# パッケージリストの更新（インターネット疎通確認）
sudo apt update

# 外部から見た自分のIPアドレスを確認（NATゲートウェイのIPが返るはず）
curl -s https://ifconfig.me
# または
curl -s https://api.ipify.org

20.xxx.xxx.xxx

# サブネットのNATゲートウェイ関連付けを確認
az network vnet subnet show \
  --resource-group rg-nat-demo \
  --vnet-name vnet-nat-demo \
  --name subnet-private \
  --query "natGateway.id" -o tsv

# NSGのアウトバウンドルールを確認
az network nsg rule list \
  --resource-group rg-nat-demo \
  --nsg-name  \
  --query "[?direction=='Outbound'].{Name:name, Priority:priority, Action:access}" -o table

# パブリックIPのSKU確認
az network public-ip show \
  --resource-group rg-nat-demo \
  --name pip-nat-demo \
  --query "{Name:name, SKU:sku.name}" -o json
# → "SKU": "Standard" であることを確認

# "SKU": "Basic" の場合は削除して再作成が必要
az network public-ip delete --resource-group rg-nat-demo --name pip-nat-demo
az network public-ip create \
  --resource-group rg-nat-demo \
  --name pip-nat-demo \
  --sku Standard \
  --allocation-method Static \
  --location japaneast