このページの情報の一部またはすべては、S3NS の Trusted Cloud には適用されない場合があります。

転送ルールの概要

転送ルールは、ネットワークトラフィックをロードバランサのバックエンドサービスにルーティングする方法を指定します。転送ルールには、IP アドレス、IP プロトコル、ロードバランサがトラフィックを受け入れる 1 つ以上のポートが含まれます。一部のTrusted Cloud by S3NS ロードバランサは、事前に定義されたポートセットに限定されていますが、それ以外では任意のポートを指定できます。

転送ルールとこれに対応する IP アドレスは、 Trusted Cloud by S3NS ロードバランサのフロントエンド構成を表します。

ロードバランサの種類により、次が該当します。

転送ルールには、バックエンドサービス、ターゲットプロキシ、ターゲットプールのいずれかを指定します。
転送ルールとその IP アドレスは、内部または外部のいずれかになります。
転送ルールはリージョンです。

また、リージョン転送ルールは、プレビュー版の App Hub でサービスとして指定されているリソースにすることもできます。

内部転送ルール

内部転送ルールは、 Trusted Cloud ネットワーク内で発生したトラフィックを転送します。クライアントは、バックエンドと同じ Virtual Private Cloud（VPC）ネットワーク内にあっても、接続されたネットワーク内にあっても構いません。

内部転送ルールは、次の Trusted Cloud ロードバランサで使用されます。

内部アプリケーションロードバランサ
内部プロキシネットワークロードバランサ
内部パススルーネットワークロードバランサ

内部アプリケーションロードバランサ

内部アプリケーションロードバランサは、HTTP、HTTPS、または HTTP/2 プロトコルを使用する IPv4 トラフィックをサポートします。

転送ルールのスコープは、ロードバランサの種類によって異なります。

各リージョン内部アプリケーションロードバランサには、少なくとも 1 つのリージョン内部転送ルールがあります。リージョン内部転送ルールは、ロードバランサのリージョンターゲット HTTP または HTTPS プロキシを指し示します。転送ルールは、リージョン内部 IP アドレスに関連付けられます。

ターゲット HTTP(S) プロキシに接続された内部マネージド転送ルールは、1～65535 の任意のポート番号をサポートします。

たとえば、次の図は、リージョン内部アプリケーションロードバランサのアーキテクチャでの転送ルールの位置付けを示しています。

リージョン内部アプリケーションロードバランサの転送ルール。 — リージョン内部アプリケーションロードバランサの転送ルール（クリックして拡大）

内部アプリケーションロードバランサの詳細については、次のページをご覧ください。

内部プロキシネットワークロードバランサ

内部プロキシのネットワークロードバランサの場合、サポートされるトラフィックタイプは IPv4、サポートされるプロトコルは TCP です。

転送ルールのスコープは、ロードバランサの種類によって異なります。

各リージョン内部プロキシネットワークロードバランサには、少なくとも 1 つのリージョン内部転送ルールがあります。転送ルールでは、内部 IP アドレス、ポート、リージョンターゲット TCP プロキシを指定します。クライアントは IP アドレスとポートを使用してロードバランサの Envoy プロキシに接続します。転送ルールの IP アドレスはロードバランサの IP アドレスです（仮想 IP アドレスまたは VIP と呼ぶこともあります）。

ターゲット TCP プロキシに接続された内部マネージド転送ルールは、1～65535 の任意のポート番号をサポートします。

次の図は、リージョン内部プロキシネットワークロードバランサのアーキテクチャにおける転送ルールの位置付けを示しています。

リージョン内部プロキシネットワークロードバランサの転送ルール。 — リージョン内部プロキシネットワークロードバランサの転送ルール（クリックして拡大）

内部プロキシネットワークロードバランサの詳細については、次のページをご覧ください。

内部パススルーネットワークロードバランサ

内部パススルーネットワークロードバランサの場合、サポートされるトラフィックタイプは IPv4 または IPv6 です。サポートされているプロトコルについて詳しくは、転送ルールプロトコルをご覧ください。

それぞれの内部パススルーネットワークロードバランサには、少なくとも 1 つのリージョン内部転送ルールがあります。リージョン内部転送ルールは、ロードバランサのリージョン内部バックエンドサービスを参照します。次の図は、内部パススルーネットワークロードバランサのアーキテクチャの中での、転送ルールの位置付けを示しています。

内部パススルーネットワークロードバランサの転送ルール。 — 内部パススルーネットワークロードバランサの転送ルール（クリックして拡大）

次の図は、サブネットとリージョンの中でのロードバランサコンポーネントの位置付けを示しています。

内部転送ルールはリージョンとサブネット内で定義する必要があります。バックエンドサービスはリージョンに対応するだけで構いません。

内部パススルーネットワークロードバランサの概要。 — 内部パススルーネットワークロードバランサの概要（クリックして拡大）

内部パススルーネットワークロードバランサの詳細については、次のページをご覧ください。

外部転送ルール

外部転送ルールは、インターネットにアクセス可能な次のクライアントシステムからのトラフィックを受け入れます。

Trusted Cloudの外部のクライアント
外部 IP アドレスを持つ Trusted Cloud VM
Cloud NAT またはインスタンスベースの NAT システムを使用し、外部 IP アドレスを持たない Trusted Cloud VM

外部転送ルールは、次の Trusted Cloud ロードバランサタイプで使用されます。

外部アプリケーションロードバランサ
外部プロキシネットワークロードバランサ
外部パススルーネットワークロードバランサ

外部アプリケーションロードバランサ

外部アプリケーションロードバランサの場合、転送ルールと IP アドレスは、ロードバランサモードと、ロードバランサ用に選択した Network Service Tiers によって異なります。

外部アプリケーションロードバランサでは、転送ルールはターゲット HTTP(S) プロキシを参照します。ターゲット HTTP(S) プロキシに接続された外部転送ルールは、1～65535 の任意のポート番号をサポートします。

リージョン外部アプリケーションロードバランサは、リージョン外部 IPv4 アドレスとリージョン外部転送ルールを使用します。

次の図は、リージョン外部アプリケーションロードバランサのアーキテクチャにリージョン転送ルールがどのように適合するかを示しています。

外部アプリケーションロードバランサの詳細については、外部アプリケーションロードバランサの概要をご覧ください。

外部プロキシネットワークロードバランサ

外部プロキシネットワークロードバランサは TCP プロキシ機能を提供します。これらのロードバランサは、TCP セッションを終端できるため、外部アプリケーションロードバランサに似ています。ただし、これらのロードバランサは、外部アプリケーションロードバランサなどのパスベースのリダイレクトをサポートしていません。

外部プロキシネットワークロードバランサでは、転送ルールはターゲット TCP プロキシを参照します。ターゲット TCP プロキシに接続された外部転送ルールは、1～65535 の任意のポート番号をサポートします。

次の図は、リージョン外部プロキシネットワークロードバランサのアーキテクチャにおける転送ルールの位置付けを示しています。

外部プロキシネットワークロードバランサの詳細については、外部プロキシネットワークロードバランサの概要をご覧ください。外部プロキシネットワークロードバランサの構成については、外部プロキシネットワークロードバランサを設定するをご覧ください。

外部パススルーネットワークロードバランサ

外部パススルーネットワークロードバランサは、単一リージョンのバックエンドインスタンス間でトラフィックを分散するパススルーロードバランサです。外部パススルーネットワークロードバランサは、リージョン外部転送ルールとリージョン外部 IP アドレスを使用します。リージョン外部 IP アドレスには、インターネット上のどこからでもアクセスでき、またインターネットアクセスを使用した Trusted Cloud VM でアクセスできます。

バックエンドサービスベースの外部パススルーネットワークロードバランサの場合、リージョン外部転送ルールはバックエンドサービスを参照します。バックエンドサービスベースの外部パススルーネットワークロードバランサは、TCP、UDP、ESP、GRE、ICMP、ICMPv6 のトラフィックをサポートします。詳細については、バックエンドサービスベースの外部パススルーネットワークロードバランサの転送ルールプロトコルをご覧ください。バックエンドサービスベースのロードバランサの転送ルールは、IPv4 または IPv6 アドレスのいずれかで構成できます。バックエンドサービスベースの外部パススルーネットワークロードバランサの転送ルールは、次の高度な機能をサポートしています。

特定範囲の送信元 IP アドレスから特定のバックエンドサービスにトラフィックを転送します。詳細については、トラフィックステアリングをご覧ください。
重み付きロードバランシングを使用して、HTTP ヘルスチェックによって報告された重みに基づいてトラフィックをロードバランサのバックエンドインスタンス間で分散します。

ターゲットプールベースの外部パススルーネットワークロードバランサの場合、転送ルールはターゲットプールを参照します。ターゲットプールベースの外部パススルーネットワークロードバランサは、TCP または UDP トラフィックのみをサポートします。ターゲットプールベースの外部パススルーネットワークロードバランサの転送ルールは、IPv4 アドレスのみをサポートします。

複数のリージョンでバックエンドインスタンスをサポートするには、各リージョンに外部パススルーネットワークロードバランサを作成する必要があります。

次の図は、IP アドレス 120.1.1.1 を使用するリージョン外部転送ルールのある外部パススルーネットワークロードバランサを示しています。ロードバランサは、us-central1 リージョンのバックエンドからのリクエストを処理しています。

外部パススルーネットワークロードバランサの例。 — 外部パススルーネットワークロードバランサの例（クリックして拡大）

外部パススルーネットワークロードバランサの詳細については、外部パススルーネットワークロードバランサの概要をご覧ください。外部パススルーネットワークロードバランサの構成については、次のいずれかをご覧ください。

IP プロトコルの仕様

各転送ルールには、ルールに対応する IP プロトコルが関連付けられています。デフォルトのプロトコル値は TCP です。

プロダクト	ロードバランシングスキーム	IP プロトコルのオプション
リージョン外部アプリケーションロードバランサ	EXTERNAL_MANAGED	TCP
リージョン内部アプリケーションロードバランサ	INTERNAL_MANAGED	TCP
リージョン外部プロキシネットワークロードバランサ	EXTERNAL_MANAGED	TCP
リージョン内部プロキシネットワークロードバランサ	INTERNAL_MANAGED	TCP
外部パススルーネットワークロードバランサ	EXTERNAL	TCP、UDP、L3_DEFAULT
内部パススルーネットワークロードバランサ	INTERNAL	TCP、UDP、L3_DEFAULT
Cloud Service Mesh	INTERNAL_SELF_MANAGED	TCP

IP アドレスの仕様

転送ルールには、ユーザーがロードバランサにアクセスするために使用する IP アドレスが必要です。IP アドレスは静的またはエフェメラルです。

静的 IP アドレスは、ドメインの参照に使用できる単一の予約済み IP アドレスを提供します。転送ルールを削除して再度追加する必要がある場合は、同じ予約済み IP アドレスを引き続き使用できます。

転送ルールが存在している間は、エフェメラル IP アドレスは変わりません。エフェメラル IP アドレスを選択すると、 Trusted Cloud はロードバランサの転送ルールに IP アドレスを関連付けます。転送ルールを削除して再度追加する必要がある場合は、転送ルールに新しい IP アドレスが割り当てられることがあります。

IP アドレスには、ロードバランサの種類に応じたさまざまな属性があります。次の表は、ロードバランシングスキームと転送ルールのターゲットに基づく有効な IP アドレス構成をまとめたものです。

プロダクトとスキーム	ターゲット	IP アドレスの種類	IP アドレス範囲	IP アドレス階層	予約可能な IP アドレス	注
リージョン外部アプリケーションロードバランサ EXTERNAL_MANAGED	ターゲット HTTP プロキシターゲット HTTPS プロキシ	外部	リージョン	プレミアムティア	○（省略可）	IPv6 は利用不可
リージョン内部アプリケーションロードバランサ INTERNAL_MANAGED	ターゲット HTTP プロキシターゲット HTTPS プロキシ	内部	リージョン	プレミアムティア	○（省略可）	転送ルールのアドレスは、関連付けられたサブネットのプライマリ IPv4 アドレス範囲内にある必要があります。
リージョン外部プロキシネットワークロードバランサ EXTERNAL_MANAGED	ターゲット TCP プロキシ	外部	リージョン	プレミアムティア	○（省略可）	IPv6 は利用不可
リージョン内部プロキシネットワークロードバランサ INTERNAL_MANAGED	ターゲット TCP プロキシ	内部	リージョン	プレミアムティア	○（省略可）	転送ルールのアドレスは、関連付けられたサブネットのプライマリ IPv4 アドレス範囲内にある必要があります。
外部パススルーネットワークロードバランサ EXTERNAL	バックエンドサービスターゲットプール	外部	リージョン	プレミアム（IPv4 または IPv6 アドレス）	○（省略可）	IPv6 サポートには、バックエンドサービスベースの外部パススルーネットワークロードバランサが必要です。転送ルールの IPv6 アドレスは、サブネットの外部 IPv6 アドレス範囲内にある必要があります。外部 IPv6 アドレスは、サブネットの外部 IPv6 アドレス範囲から提供されるため、プレミアムティアにあります。
内部パススルーネットワークロードバランサ INTERNAL	バックエンドサービス	内部	リージョン	プレミアムティア	○（省略可）	転送ルールのアドレスは、関連付けられたサブネットのプライマリ IPv4 アドレス範囲内にある必要があります。
Classic VPN EXTERNAL	Classic VPN のドキュメントをご覧ください。	外部	リージョン	Cloud VPN には Network Service Tiers がありません。	○（必須）	IPv6 はサポートされません。

^* EXTERNAL_MANAGED バックエンドサービスに EXTERNAL 転送ルールを適用できます。ただし、EXTERNAL バックエンドサービスに EXTERNAL_MANAGED 転送ルールを適用することはできません。グローバル外部アプリケーションロードバランサでのみ利用可能な新機能を活用するには、従来のアプリケーションロードバランサからグローバル外部アプリケーションロードバランサにリソースを移行するで説明されている移行プロセスに従って、既存の EXTERNAL リソースを EXTERNAL_MANAGED に移行することをおすすめします。

共通の IP アドレスを持つ複数の転送ルール

次の条件に当てはまる場合、EXTERNAL または EXTERNAL_MANAGED ロードバランシングスキーム（またはその両方の組み合わせ）を使用する 2 つ以上の転送ルールで同じ IP アドレスを共有できます。

各転送ルールで使用されるポートが重複していない。これは、IP address + protocol + port の各組み合わせが一意である必要があるためです。
各転送ルールの Network Service Tiers が、外部 IP アドレスの Network Service Tiers と一致する。

例:

TCP ポート 79 でトラフィックを受け入れる外部パススルーネットワークロードバランサと、TCP ポート 80 でトラフィックを受け入れる外部パススルーネットワークロードバランサは、同じリージョン外部 IP アドレスを共有できます。
外部アプリケーションロードバランサに同じグローバル外部 IP アドレスを使用できます（HTTP および HTTPS）。

次の条件に当てはまる場合、INTERNAL または INTERNAL_MANAGED ロードバランシングスキーム（またはその両方の組み合わせ）を使用する 2 つ以上の転送ルールで同じ IP アドレスを共有できます。

各転送ルールで使用されるポートが重複していない。これは、IP address + protocol + port の各組み合わせが一意である必要があるためです。

詳しくは以下をご覧ください。

内部パススルーネットワークロードバランサについては、共通の IP アドレスを使用する内部パススルーネットワークロードバランサの転送ルールをご覧ください。
内部アプリケーションロードバランサについては、複数の内部転送ルール間で共通の IP アドレスを使用するをご覧ください。
内部プロキシネットワークロードバランサについては、転送ルールと IP アドレスをご覧ください。

ポートの仕様

次の表は、ロードバランシングスキームと転送ルールのターゲットに基づく有効なポート構成をまとめたものです。

プロダクト	ロードバランシングスキーム	ターゲット	ポート要件
リージョン外部アプリケーションロードバランサ	EXTERNAL_MANAGED	ターゲット HTTP プロキシターゲット HTTPS プロキシ	1～65535 のポートを 1 つだけ参照
リージョン内部アプリケーションロードバランサ	INTERNAL_MANAGED	ターゲット HTTP プロキシターゲット HTTPS プロキシ	1～65535 のポートを 1 つだけ参照
リージョン外部プロキシネットワークロードバランサ	EXTERNAL_MANAGED	ターゲット TCP プロキシ	1～65535 のポートを 1 つだけ参照
リージョン内部プロキシネットワークロードバランサ	INTERNAL_MANAGED	ターゲット TCP プロキシ	1～65535 のポートを 1 つだけ参照
外部パススルーネットワークロードバランサ	EXTERNAL	バックエンドサービス	転送ルールプロトコルが `TCP` または `UDP` の場合、次のように構成できます。最大 5 つのポート（連続か不連続かを問いません）、または単一のポート範囲（連続）、またはすべてのポート。すべてのポートを構成するには: `gcloud` コマンドラインツールを使用して `--ports=ALL` を設定するか、API を使用して `allPorts` を `True` に設定します。転送ルールプロトコルが `L3_DEFAULT` の場合、すべてのポートを構成する必要があります。すべてのポートを構成するには: `gcloud` コマンドラインツールを使用して `--ports=ALL` を設定するか、API を使用して `allPorts` を `True` に設定します。
外部パススルーネットワークロードバランサ	EXTERNAL	ターゲットプール	単一のポート範囲（連続）にする必要があります。ターゲットプールベースの外部パススルーネットワークロードバランサで使用される転送ルールでは、ポートの指定は任意です。ポートが指定されていない場合、すべてのポート（1～65535）からのトラフィックが転送されます。
内部パススルーネットワークロードバランサ	INTERNAL	バックエンドサービス	最大 5 つのポート（連続するポートまたは連続していないポート）を指定するか、次のいずれかの方法でポートを構成できます。 `gcloud` コマンドラインツールを使用して `--ports=ALL` を設定する API を使用して `allPorts` を `True` に設定する。
Classic VPN	EXTERNAL	ターゲット VPN ゲートウェイ	次のポートのいずれかのみを参照: 500、4500

IAM 条件

Identity and Access Management（IAM）条件を使用すると、プリンシパルに付与されるロールを制御する条件を設定できます。この機能を使用すると、構成条件が満たされた場合にプリンシパルに権限を付与できます。

IAM 条件は、転送ルールのロードバランシングスキーム（たとえば INTERNAL や EXTERNAL）を確認し、転送ルールの作成を許可（または拒否）します。プリンシパルが権限なしで転送ルールを作成しようとすると、エラーメッセージが表示されます。

詳しくは、IAM 条件をご覧ください。

転送ルールを使用する

Trusted Cloud コンソールを使用してロードバランサを設定する場合は、転送ルールがフロントエンド構成の一部として暗黙的に設定されます。Google Cloud CLI または API を使用している場合は、転送ルールを明示的に構成する必要があります。

転送ルールを作成した後は、そのルールに限定的な変更を加えることができます。たとえば、転送ルールを定義した後に、IP アドレス、ポート番号、プロトコルを変更することはできません。ただし、転送ルールが関連付けられているロードバランサのフロントエンド構成を編集することで、ターゲットプロキシの特定の設定を更新できます。その他の変更を行うには、gcloud CLI または API を使用します。

転送ルールの IP アドレスを変更する

既存の転送ルールの IP アドレスを変更することはできません。転送ルールの IP アドレスを更新するには、次の手順でルールを削除して再作成する必要があります。

gcloud compute forwarding-rules delete コマンドまたは forwardingRules.delete メソッドを使用して、転送ルールを削除します。
gcloud compute forwarding-rules create コマンドまたは forwardingRules.insert メソッドを使用して、転送ルールを再作成します。

API

REST API で転送ルールを操作する場合に使用できるプロパティとメソッドについては、以下をご覧ください。

リージョン: forwardingRules

Google Cloud CLI

gcloud CLI のリファレンスドキュメントについては、次のトピックをご覧ください。

gcloud compute forwarding-rules

リージョン: --region=[REGION]

次のステップ

プロトコル転送の詳細を確認する。プロトコル転送の概要をご覧ください。