変更要約: Professional Cloud Network Engineer 第6章を新規作成（ドメイン6「ネットワークセキュリティ」: Google Cloud Armor＝エッジ/バックエンドポリシー・WAF(SQLi/XSS/RFI)・高度な DDoS と Adaptive Protection・レート制限・bot 管理・Threat Intelligence、Cloud NGFW/VPC ファイアウォール＝戦略/階層型/実効ポリシー/L7 検査(Enterprise)/移行/ルール条件(優先度/プロトコル/方向/送信元・宛先)/ログ/マイクロセグメンテーション(セキュアタグ/SA/ネットワークタグ)/ティア(Essentials/Standard/Enterprise)、パブリック Cloud NAT(自動・手動 IP/静的・動的ポート)、Secure Web Proxy、自己管理 NVA(マルチ NIC/内部 LB ネクストホップ/ポリシーベースルート)/アウトオブバンド Network Security Integration/パケットミラーリング）。
6.2Cloud NAT・Secure Web Proxy と NVA / パケットミラーリング
パブリック Cloud NAT の IP アドレッシング（自動/手動割り当て）と静的/動的ポート割り当て、Secure Web Proxy による外向き通信の制御、自己管理のネットワーク仮想アプライアンス（マルチ NIC VM／NGFW アプライアンス）と内部 LB をネクストホップにする HA ルーティング、HA マルチ NIC VM 向けのポリシーベースルート、アウトオブバンドの Network Security Integration、自己管理コレクタへのパケットミラーリングを理解します。
外向き通信の制御と、サードパーティ機器/可視化の組み込みを扱います。NAT と Secure Web Proxy で egress を統制し、NVA とパケットミラーリングで検査を組み込みます。
6.2.1Cloud NAT と Secure Web Proxy
外部 IP を持たない VM のインターネット外向き通信は パブリック Cloud NAT で行います。NAT の IP は 自動割り当て か 手動割り当て（固定の外向き IP が必要なときに使用）を選び、ポート枯渇を避けるため 静的ポート割り当て と 動的ポート割り当て を構成します。アプリケーション層で外向き先 URL/SNI を許可リスト制御したいなら Secure Web Proxy（SWP）を使い、ポリシーで「どこへ出てよいか」を制御します。「外部 IP なしで外向き＝Cloud NAT」「外向き先を URL/SNI で制御＝Secure Web Proxy」を結びます。
6.2.2ネットワーク仮想アプライアンスとパケットミラーリング
サードパーティの NGFW アプライアンス などで VPC 間トラフィックを検査するには、マルチ NIC VM（複数ネットワークインターフェイス）を経路上に挿入します。可用性のために 内部ロードバランサをネクストホップ にして HA な複数アプライアンスへ冗長に流し、特定トラフィックだけ通すには ポリシーベースルート を使います。インラインに置かず可視化だけ行う アウトオブバンドの Network Security Integration や、トラフィックを複製して自己管理コレクタ（IDS 等）へ送る パケットミラーリング も選べます。「インラインで検査＝マルチ NIC NVA＋ILB ネクストホップ」「経路に挟まず複製して解析＝パケットミラーリング（アウトオブバンド）」を押さえます。
「要件 → 手段」が頻出。例：「外部 IP なし VM の外向き」＝パブリック Cloud NAT、「固定の外向き IP が必要」＝手動 NAT IP 割り当て、「外向き先を URL/SNI で許可リスト」＝Secure Web Proxy、「サードパーティ FW で東西を検査（インライン・HA）」＝マルチ NIC NVA＋内部 LB ネクストホップ、「経路に挟まず複製して IDS で解析」＝パケットミラーリング、「特定トラフィックだけ検査へ迂回」＝ポリシーベースルート。
混同に注意：
①Cloud NAT（一般インターネット外向き）と Private Google Access（Google API へ非公開）と Secure Web Proxy（URL/SNI で外向き制御）は目的が別。
②NAT のポート枯渇は静的/動的ポート割り当てで緩和。
③パケットミラーリングはアウトオブバンド（複製）＝インラインで止めるなら NVA を経路に挿入する。
6.2.3この節のまとめ
- 外向き＝パブリック Cloud NAT（自動/手動 IP・静的/動的ポート）、URL/SNI 制御＝Secure Web Proxy
- インライン検査＝マルチ NIC NVA＋内部 LB ネクストホップ＋ポリシーベースルート
- 複製して解析＝パケットミラーリング（アウトオブバンド・自己管理コレクタへ）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 外部 IP を持たない多数の VM が、インターネットへ外向き通信できるようにしたい。最適なのはどれですか？
Q2. 外向きの宛先を URL や SNI に基づいて許可リスト制御し、不要な egress を遮断したい。最適なのはどれですか？
Q3. サードパーティの NGFW アプライアンスをインラインに挟み、可用性のために複数台へ冗長にトラフィックを通したい。最適な構成はどれですか？
Q4. トラフィックを経路に挟まず複製して、自己管理の IDS コレクタで解析したい。最適なのはどれですか？
Q5. 外部パートナーが許可リストに登録する必要があるため、Cloud NAT の外向き IP を固定したい。設定はどれですか？