OCI VCNの5大ゲートウェイ（IGW・NAT・Service GW・DRG・LPG）の役割とルート表設計を完全図解
※当ページにはAmazonアソシエイト等の広告リンクを含みます。
公式ドキュメントで検証最終検証 2026-10-31編集部出典 4件
当ページの解説・制限値・構成図は、一般公開されている Oracle Cloud Infrastructure (OCI) 公式ドキュメント、Oracle Cloud Price List、および Oracle University 公開試験ガイドを一次根拠として検証し、独自のSVG視覚図解として作成しています。
1. 一目でわかる！OCI VCNの「5大ゲートウェイ」全体マップ
OCIのVCN（Virtual Cloud Network）を設計する際、VCNの外にあるネットワークやサービスと通信するための「出入口」となるのが 5種類のゲートウェイ です。どのサブネットから、どこへ向かって通信したいかによって、使うゲートウェイの候補が絞られます。
- IGW：インターネットと双方向。パブリックIPを持つリソース用。
- NAT：外へ出るだけ。外からの接続は受けない。
- SGW：インターネットを通らずOracleのサービスへ。
- DRG：オンプレミス、他のVCN、別リージョンへの私的な経路。
- LPG：同一リージョンのVCN同士を接続。多くのVCNをつなぐならDRG。
図1の5つのゲートウェイについて、通信の向き（Inbound / Outbound）、接続先、対象サブネットを表1にまとめました。
表1：OCI 5大ゲートウェイの役割・通信方向の比較
| ゲートウェイ名 | 主な接続先 | 通信の向き | 対象サブネット | 特徴・設計の勘所 |
|---|---|---|---|---|
| 1. Internet Gateway (IGW) | パブリック・インターネット | 双方向 （Inbound / Outbound） | パブリック・サブネット | パブリックIPを持つPublic Load Balancerや踏み台ホストを外部公開する時に使用。 |
| 2. NAT Gateway (NAT GW) | パブリック・インターネット | 外向きのみ （Outboundのみ） | プライベート・サブネット | 外部からの着信を遮断したまま、外部のyumリポジトリや外部APIへ通信する時に使用。 |
| 3. Service Gateway (SGW) | OCI内のOracleサービス群 （Object Storage等） | VCNからOracleサービスへ | 主にプライベート・サブネット（パブリックは Object Storage 用ラベルのみ） | インターネットを通らずOCIのネットワーク内で通信が完結する。 |
| 4. Dynamic Routing Gateway (DRG) | オンプレミス（FastConnect / VPN）または他VCN | 双方向（プライベート通信） | 主にプライベート・サブネット | ハイブリッドクラウド接続の要。複数VCNを束ねるハブ＆スポーク構成の中心にもなる。 |
| 5. Local Peering Gateway (LPG) | 同一リージョン内の別VCN | 双方向（プライベート通信） | プライベート / パブリック | 同一リージョン内の2つのVCNを1対1で接続する。多くのVCNをつなぐならDRGが勧められているが、2つのVCN間で最高の帯域や低遅延が必要な場合はLPGが選択肢になる。 |
ゲートウェイ自体の利用料は公式価格表で確認してください（2026-10-31確認）。SGWのほか、DRG、ローカルピアリング、Site-to-Site VPNにも追加料金はかかりません。
2. プライベートサブネットの黄金ルート表設計（NAT GW ＋ SGW ＋ DRG）
実務のプライベートサブネット（APサーバーやDBが稼働するサブネット）では、「オンプレミスとも通信したいし、OCIのObject Storageにもバックアップを取りたいし、外部のOSアップデートサーバーにも繋ぎたい」という3つの要件が同時に発生します。
この場合、1つのルート表（Route Table）に3つのゲートウェイのルート・ルールを並べて記述するだけで、OCIが宛先に応じて最適な経路へ自動振り分けしてくれます。
表2：プライベートサブネットの標準ルート表（Route Table）設定例
| 宛先（Destination） | ターゲット種別 | ルーティングの動作 |
|---|---|---|
All NRT Services in Oracle Services Network（東京の例） | Service Gateway (SGW) | 宛先がOracleサービス（Object Storage等）の場合はSGWへ流れる。 |
192.168.0.0/16（社内オンプレCIDR） | Dynamic Routing Gateway (DRG) | 宛先が社内ネットワークのプライベートIPの場合、FastConnectまたはIPSec VPN経由でオンプレミスへ流れる。 |
0.0.0.0/0（その他すべての外部通信） | NAT Gateway (NAT GW) | 上記2つに該当しない外部インターネット宛て通信（外部Web APIやOSパッチ取得等）のみNAT GWを通る。 |
3. Security ListとNSG（ネットワーク・セキュリティ・グループ）の使い分け
OCIの仮想ファイアウォールには「Security List」と「NSG」の2種類があります。
- Security List（セキュリティ・リスト）： サブネット単位で紐づきます。そのサブネット内に作られたすべてのインスタンス・DBに同じルールが強制適用されます。
- NSG（Network Security Group）： VNIC（ネットワークカード）単位で紐づきます。同じプライベートサブネットの中にあるリソースでも、「Web用NSG」「AP用NSG」「DB用NSG」のように役割ごとに異なるルールを付与でき、さらに 「送信元：AP用NSG からの TCP 1521 だけを DB用NSG で許可する」 といった柔軟な参照が可能です。
どちらも許可ルールだけで、拒否は書けません。VNICには、サブネットのSecurity ListとNSGのルールの和が適用されます。
よくある質問（FAQ）
- OCIのサブネットはアベイラビリティ・ドメイン（AD）ごとに分ける必要がありますか？
- いいえ、OCIでは複数ADにまたがる「リージョナル・サブネット（Regional Subnet）」が強く推奨されています。1つのリージョナル・サブネットを作れば、AD障害時にも同じサブネットCIDRのまま別ADでフェイルオーバー構成を組むことができます。
- プライベートサブネットからObject Storageへ通信する場合、NAT GatewayとService Gatewayのどちらを使うべきですか？
- Oracle Cloud内の対象サービス（Object Storage、Autonomous AI Database等）へのアクセスであれば、インターネットを経由せず、ゲートウェイ自体の料金もかからない「Service Gateway（SGW）」を使うのが基本です。
- Security List（セキュリティ・リスト）とNSG（ネットワーク・セキュリティ・グループ）はどちらを使うべきですか？
- Oracle公式のベストプラクティスでは、サブネット全体に一律適用されるSecurity Listは最小限にし、VNIC（インスタンスやDBなど）単位で役割ごとに細かくアタッチできる「NSG」をメインに使うことが推奨されています。