Cloud NAT: NATのsubnetに対する設定について

概要

参考: https://registry.terraform.io/providers/hashicorp/google/latest/docs/resources/compute_router_nat#source_subnetwork_ip_ranges_to_nat-1

  • All subnets（全サブネット対応）
    • 新サブネット追加だけで自動的にNAT対象になる
    • どんなIPレンジでも問題ない
  • List of subnetwork（特定サブネット対象）
    • 新サブネットのIPレンジをNATの設定に明示的に追加する必要がある

それぞれの比較

比較項目All subnets（全サブネット対象）List of subnetwork（特定サブネット対象）
運用の手間低い（新規作成時に設定不要）高い（追加時にNAT設定の更新が必要）
セキュリティ境界が曖昧になりやすい明確で制御しやすい（最小権限の原則）
設定ミス意図しないサブネットの疎通リスクあり設定漏れによる通信不可のリスクあり
推奨環境検証環境、小規模環境、プロトタイプ本番環境、マルチテナント環境、高セキュリティ環境
適した管理手法運用の簡略化を優先する場合IaC（Terraform）での厳格な管理