NAT か専用 IPv4 か：転送ポート 1 つでできること、できないこと

NAT が何を意味するのか、多くの人は購入から 10 分ほどで知ることになります。Nginx は起動し、curl localhost はページを返すのに、ノート PC のブラウザはくるくる回り続けるだけ。何も壊れていません。サーバーに自分専用の公開 IPv4 がなく、唯一の入口が SSH 用に転送された 1 つのポートだというだけです。

この 1 つの入口で、驚くほど多くの仕事がこなせます。一方で、ごく一般的な用途のいくつかにはまったく足りません。まだ 2 種類のプランで迷っているなら、以前の記事 専用 IP か NAT VPS か が決め手になる質問を 1 つ投げかけています。この記事はその答えと付き合う話です。NAT サーバーが実際に何をできるのか、どこで壁にぶつかるのか、手狭になったらどう抜け出すのか。

実際に手に入るもの

NAT サーバーは、私たちのゲートウェイの内側にあるプライベートアドレスを使います。ダッシュボードにホストと専用ポートが表示されるので、次のように接続します。

ssh -p 20123 root@host

このポートはサーバー内部の 22 番ポートにつながっています。IPv4 のそれ以外の受信ポートは外部からすべて閉じられていて、転送を増やすオプションもありません。外向きは話が別です。サーバーはインターネット上のどこへでも接続できます。例外は SMTP の 25 番と 465 番で、NAT かどうかに関係なく全プランで閉じています。ルールの全体は ネットワークとポート にあります。

一部の人にとって重要な点がもう 1 つあります。送信元アドレスはあなた自身のものではありません。通信はあなたが管理できないアドレスから出ていくため、逆引き DNS を設定することも、送信者としての評価を積み上げることもできません。

ポート 1 つの裏で問題なく動くもの

自分から会話を始めるものなら何でもです。思ったより幅広い範囲になります。

• ポーリングするボット。ロングポーリングの Telegram ボット、gateway 接続の Discord ボット、取引所の API と通信するトレーディングボット。どれも外向きの通信です。
• AI エージェント。モデルの API を呼び出し、ウェブを閲覧し、ファイルを書き、コードを実行するエージェントは、誰かに呼び出してもらう必要がありません。必要なのは CPU とメモリ、そして外への接続です。
• ワーカーとスクレイパー。キューからジョブを取り出す、ページを巡回する、スケジュールに沿ってデータを同期する、といった処理全般です。
• ビルドマシンと Runner。CI の Runner は通常、自分からサーバーに登録して仕事を取りに行くので、NAT でも快適に動きます。

この種の負荷なら、正直いちばん安いプランで十分です。Nano は月 3 ドルで 2 vCPU、メモリ 1 GB、ディスク 15 GB。Small は月 8 ドルで 4 vCPU、4 GB、35 GB です。一覧は NAT プランのページ にあります。

ポート 1 つでは足りない場面

壁になるのは、相手のほうから接続を始める必要があるものすべてです。

いちばんわかりやすいのはウェブサイトです。ブラウザは 443 番ポート（とリダイレクト用の 80 番）に接続しますが、NAT プランでは外から見てそのポートが存在しません。標準外のポートで公開する手もうまくいきません。少なくとも訪問者が受け入れる形にはなりません。

HTTPS の独自ドメインは、同じ壁に 2 回ぶつかります。DNS レコードをゲートウェイのアドレスに向けることはできますが、そこに届いたものは SSH ポート以外、あなたのサーバーには転送されません。しかも無料の証明書を取る一般的な方法は、80 番か 443 番ポートでサーバーを確認します。

Webhook は黙って失敗します。決済の通知、更新を送ってくるボットのプラットフォーム、新しいコミットを知らせる Git サーバー。どれもあなたのサーバーに到達する必要があります。ロングポーリングで問題なく動いていたボットは、Webhook に切り替えた瞬間に動かなくなります。

VPN のエンドポイント、ゲームサーバー、メールサーバーは、そもそも受信ポートが必要です。同僚にブラウザで開いてもらいたいものも同じです。

回避策を正直に評価すると

IPv6。新しい Linux サーバーには公開 IPv6 アドレスが付き、NAT プランではそれがどのポートでも直接サーバーに届きます。サービスのクライアントがすべて自分のもの（自分のノート PC、ほかのサーバー、IPv6 対応の監視プローブ）なら、うまく機能します。公開サイトでは駄目です。訪問者の一部はいまも IPv6 のないネットワークにいて、ページを一度も読み込めません。Windows プランは今のところ IPv4 のみです。

トンネル。別の場所にある中継サーバーへ外向きの接続を張り続ける小さなエージェントを動かし、中継側が公開トラフィックをトンネル経由で送り返す方法です。動作はしますし、デモや社内向けダッシュボードなら妥当です。ただ大事なサービスでは、すべてのリクエストの途中に第三者を挟み、さらに深夜 3 時に壊れうる部品を 1 つ増やすことになります。

自分用の SSH トンネル。管理画面を使うのが自分だけなら、そもそも外に出さないことです。すでにある SSH ポート経由で転送します。

ssh -p 20123 -L 8080:localhost:8080 root@host

あとは自分のマシンで http://localhost:8080 を開くだけ。NAT サーバーでいちばん過小評価されている技で、管理画面をインターネットに公開するより安全でもあります。

正直な意見を言うと、IPv6 と SSH トンネルは良い道具です。けれど、サーバーに IPv4 がないという理由だけで常設の公開サービスをトンネルに通しているなら、たいていは NAT を卒業する時期のサインです。

再インストールなしで専用 IPv4 へ

何も作り直す必要はありません。ダッシュボードでサーバーを開き、「プラン変更」を選んで、同じかそれより大きいサイズの専用 IP プランを選びます。サーバーは 1 回再起動し、専用の公開 IPv4、元のディスク、インストールしたものすべてを持って戻ってきます。80 番、443 番、それにファイアウォールで開けたポートが外から到達できるようになり、SSH は通常の 22 番ポートに移ります。詳しくは プラン変更 をご覧ください。

クリックする前に知っておくとよいこと：

• 現在の期間の残りについて、日割りの差額を残高から支払います。Nano-IP は月 8 ドルで、Nano の 3 ドルとの比較になります。Small-IP は月 16 ドルで、Small は 8 ドルです。
• サーバーのロケーションに空きアドレスが必要です。今空きがない場合は、課金される前にダッシュボードがそう表示します。
• サーバー内のネットワーク設定を手で書き換えていた場合は、再起動後に確認してください。標準イメージなら自動で適用されます。
• 先にバックアップを取りましょう。再起動 1 回だけとはいえ、あなたのデータです。

NAT が合わない場面、そして IPv4 も合わない場面

公開するもの、Webhook を受けるもの、誰かが許可リストに登録する固定アドレスが必要なもの。こうした用途に NAT は不向きです。何日もかけて回避しようとしないでください。Nano と Nano-IP の差額は月 5 ドルです。

とはいえ、専用 IPv4 も魔法ではありません。データセンターのアドレスをブロックしているサイトに入れるようになるわけではないし、レート制限を受けたスクレイパーを救うわけでもありません。そうした判断は、ほかに誰がそのアドレスを使ったかではなく、あなたがいるネットワークで決まるからです。プロジェクトがボット数個とエージェント 1 つだけなら、誰も接続してこない IPv4 を買うのはお金の無駄です。

どのみち大きな構成へ移るつもりなら、ダウンタイムなしで VPS を移行する が手順の順番を、VPS のスペックの読み方 がプラン比較のコツを解説しています。