NATゲートウェイの請求に驚いたら — コスト・料金を下げるVPCエンドポイント設計

AWSの請求明細で「EC2-その他」や「NatGateway」の項目が想定外に膨らんでいる——コスト相談の定番です。NAT Gatewayは便利な一方、存在するだけの時間課金と、通った分の処理量課金の両建てで、しかも通信の中身は見えにくい。この記事では、請求の正体の突き止め方から、無料でできる削減、マルチアカウントでの集約設計までを順に解説します。

01NAT Gatewayの料金構造を正しく理解する

東京リージョンのNAT Gatewayは、おおよそ時間課金 $0.062/時（≒月45ドル）＋処理量課金 $0.062/GBの2階建てです（2026年7月時点の目安。最新は公式料金表を）。

ポイントは2つ。まず、1バイトも通さなくても月45ドルかかること。可用性のためにAZごとに置けば×2、×3です。次に、処理量課金は「インターネット向け」だけでなくNATを経由するすべての通信にかかること。ここに最大の落とし穴があります。

02請求の正体は、だいたいS3とECR

プライベートサブネットのEC2やECSがS3にバックアップを置く、ECRからコンテナイメージをプルする——これらはAWS内部の通信に見えますが、素の構成ではNAT Gateway経由になり、全量に$0.062/GBがかかります。毎晩100GBのバックアップをS3に送っていれば、それだけで月約190ドル。イメージプルが頻繁なECS環境も同様です。

03まず無料の一手：S3とDynamoDBのGatewayエンドポイント

S3とDynamoDBには無料のGatewayエンドポイントがあります。ルートテーブルに追加するだけで、S3/DynamoDB宛の通信はNATを通らなくなり、処理量課金がその分消えます。作成もワンアクション、既存通信への影響もほぼなく、やらない理由が見当たらない設定ですが、意外なほど入っていない環境が多いのが実情です。

04Interfaceエンドポイントは「損益分岐」を計算してから

ECR・CloudWatch・SSMなど他のAWSサービスへの閉域接続にはInterfaceエンドポイント（PrivateLink）を使いますが、こちらは有料です：約$0.014/時×AZ数（2AZで月約20ドル）＋$0.01/GB。

つまり判断は単純な算数です。エンドポイントの固定費＋処理量課金（2AZなら月約20ドル＋$0.01/GB）が、NAT経由の処理量課金（$0.062/GB）を下回る点が損益分岐になります。東京・2AZ構成ではおおむね月400GB前後（1AZなら約200GB）が境目で、式にすると 20.44＋0.01×D ＜ 0.062×D → D ＞ 約393GB/月 です。月数十GB程度ではNAT経由のままの方が安く、恒常的に数百GB以上流れるサービスでこそエンドポイントが効きます。逆に「とりあえず全サービス分作る」と、エンドポイント費用がNAT費用を超える本末転倒が起きます。ECSを使っているならecr.api・ecr.dkr・CloudWatch Logsの3つ＋S3 Gatewayが定番のスタメンです。

05マルチアカウントなら「集約」が効く

アカウントが数十になると、各アカウントに同じInterfaceエンドポイント一式を作るのは費用の無駄が大きくなります（必要なエンドポイント種類数×時間課金×アカウント数、という掛け算になるため）。定石は共有ネットワークアカウントの集約VPCにエンドポイントをまとめ、Transit Gateway経由で各アカウントから利用する構成です。DNS解決はRoute 53のプライベートホストゾーン共有（Route 53 Profiles）で各VPCに配布します。

当社はこの集約構成を数十アカウント規模の環境で設計・運用しており、アカウントごとの個別作成と比べてエンドポイント費用を桁違いに圧縮できています。マルチアカウント統制（導入パック）と同時に入れると、統制とコストの両方が片付きます。

06そもそも論：NATを「減らす」設計

• 検証環境のNATは共有か停止を検討 — 環境ごとにNATを常設せず、検証系VPCをまとめる・夜間は落とす等で時間課金を圧縮
• 外に出る必要があるものを棚卸し — OSパッチはSSMパッチマネージャ＋エンドポイント経由に、外部APIアクセスは必要なものだけに
• 閉域要件が強い環境では「NATなし構成」も成立 — 必要なAWSサービスをすべてエンドポイントで賄えば、そもそもインターネット経路を持たない設計にできます。セキュリティとコストが同じ方向を向く数少ないケースです

—まとめ：削減の順番

①Cost ExplorerとフローログでNATを通る通信の正体を特定。②S3/DynamoDBのGatewayエンドポイント（無料）を即入れる。③通信量の多いサービスだけInterfaceエンドポイントを損益分岐込みで追加。④マルチアカウントなら集約VPC＋TGW共有へ。⑤検証環境のNAT常設を見直す。——この順にやれば、多くの環境でNAT関連費用は数分の一になります。しかも可用性を落とす変更は1つもありません。