このドキュメントでは、 Google Cloudに Cross-Cloud Network の VPC 間ネットワーク トポロジをデプロイするために使用できるリファレンス アーキテクチャについて説明します。このネットワーク設計により、オンプレミス データセンターや他のクラウド サービス プロバイダ（CSP）などの外部ネットワークにソフトウェア サービスをデプロイできます。 Google Cloud
このドキュメントは、ネットワーク接続を構築するネットワーク管理者、クラウド アーキテクト、エンタープライズ アーキテクトを対象としています。また、ワークロードのデプロイ方法を計画するクラウド アーキテクトも含まれます。このドキュメントは、ルーティングとインターネット接続に関する基本的な知識があることを前提としています。
この設計では、複数の外部接続、サービスとサービス アクセス ポイントを含む複数のサービス アクセス Virtual Private Cloud（VPC）ネットワーク、複数のワークロード VPC ネットワークがサポートされます。
このドキュメントでは、サービス アクセス ポイントという用語は、 Google Cloud プライベート サービス アクセスと Private Service Connect を使用して利用可能になったサービスのアクセス ポイントを指します。Network Connectivity Center は、Google Cloudでのネットワーク接続管理のためのハブアンドスポーク コントロール プレーン モデルです。ハブリソースは、Network Connectivity Center の VPC スポークの一元的な接続管理を提供します。
Network Connectivity Center ハブは、接続されているさまざまなスポークタイプ間でルートを学習して分散するグローバル コントロール プレーンです。通常、VPC スポークは、サブネット ルートを一元化されたハブ ルートテーブルに挿入します。通常、ハイブリッド スポークは、集中型ハブ ルート テーブルに動的ルートを挿入します。Network Connectivity Center ハブのコントロール プレーン情報を使用して、 Google Cloudは Network Connectivity Center スポーク間でデータプレーン接続を自動的に確立します。
Google Cloudでスケーラブルな成長のために VPC を相互接続する場合は、Network Connectivity Center を使用することをおすすめします。トラフィック パスにネットワーク仮想アプライアンス（NVA）を挿入する必要がある場合は、動的ルートにルーター アプライアンスの機能を使用するか、VPC ネットワーク ピアリングとともに静的ルートまたはポリシーベースのルートを使用して VPC を相互接続します。詳細については、VPC ネットワーク ピアリングを使用した Cross-Cloud Network の VPC 間の接続をご覧ください。
アーキテクチャ
次の図は、ネットワークのアーキテクチャと、このアーキテクチャがサポートするさまざまなパケットフローの概要を示しています。
このアーキテクチャには、次の要素が含まれています。
| コンポーネント | 目的 | インタラクション |
|---|---|---|
| 外部ネットワーク（オンプレミスまたは他の CSP ネットワーク） | ワークロード VPC とサービス アクセス VPC で実行されるワークロードのクライアントをホストします。外部ネットワークでサービスをホストすることもできます。 | トランジット ネットワークを介して Google Cloudの VPC ネットワークとデータを交換します。Cloud Interconnect または HA VPN を使用してトランジット ネットワークに接続します。 次のフローの一方の端を終了します。
|
| トランジット VPC ネットワーク（Network Connectivity Center の ルーティング VPC ネットワーク） | 外部ネットワーク、サービス アクセス VPC ネットワーク、ワークロード VPC ネットワークのハブとして機能します。 | Cloud Interconnect、HA VPN、Network Connectivity Center を組み合わせて、外部ネットワーク、サービス アクセス VPC ネットワーク、Private Service Connect コンシューマー ネットワーク、ワークロード VPC ネットワークを接続します。 |
| サービス アクセス VPC ネットワーク | ワークロード VPC ネットワークまたは外部ネットワークで実行されているワークロードに必要なサービスへのアクセスを提供します。また、他のネットワークでホストされているマネージド サービスへのアクセス ポイントも提供します。 | トランジット ネットワークを介して、外部ネットワーク、ワークロード ネットワーク、Private Service Connect コンシューマ ネットワークとデータを交換します。HA VPN を使用してトランジット VPC に接続します。HA VPN が提供するトランジタビリティ ルーティングにより、外部トラフィックはサービス アクセス VPC ネットワークを介してマネージド サービス VPC に到達できます。 次のフローの一方の端を終了します。
|
| マネージド サービスの VPC ネットワーク | 他のネットワークのクライアントに必要なマネージド サービスをホストします。 | 外部、サービス アクセス、Private Service Connect コンシューマ、ワークロード ネットワークとデータを交換します。VPC ネットワーク ピアリングを使用するプライベート サービス アクセスを使用して、サービス アクセス VPC ネットワークに接続します。マネージド サービス VPC は、Private Service Connect またはプライベート サービス アクセスを使用して、Private Service Connect コンシューマ VPC に接続することもできます。 他のすべてのネットワークからのフローの一方の端を終端します。 |
| Private Service Connect コンシューマ VPC | 他のネットワークからアクセス可能な Private Service Connect エンドポイントをホストします。この VPC はワークロード VPC の場合もあります。 | トランジット VPC ネットワークを介して、外部 VPC ネットワークとサービス アクセス VPC ネットワークとデータを交換します。Network Connectivity Center VPC スポークを使用して、トランジット ネットワークと他のワークロード VPC ネットワークに接続します。 |
| ワークロードの VPC ネットワーク | 他のネットワークのクライアントが必要とするワークロードをホストします。このアーキテクチャでは、複数のワークロード VPC ネットワークを使用できます。 | トランジット VPC ネットワークを介して、外部 VPC ネットワークとサービス アクセス VPC ネットワークとデータを交換します。Network Connectivity Center VPC スポークを使用して、トランジット ネットワーク、Private Service Connect コンシューマー ネットワーク、その他のワークロード VPC ネットワークに接続します。 次のフローの一方の端を終了します。
|
| Network Connectivity Center | Network Connectivity Center ハブには、任意のリージョンの VPC サブネットとハイブリッド接続のルートのネットワーク コントロール プレーンとして機能するグローバル ルーティング データベースが組み込まれています。 Google Cloud | コントロール プレーン ルーティング テーブルを使用するデータパスを構築して、任意の VPC とハイブリッド ネットワークを任意のトポロジで相互接続します。 |
次の図は、コンポーネント間の 4 つの接続をハイライト表示したアーキテクチャの詳細を示しています。
接続の説明
このセクションでは、上の図に示す 4 つの接続について説明します。Network Connectivity Center のドキュメントでは、トランジット VPC ネットワークをルーティング VPC と呼んでいます。これらのネットワークの名前は異なりますが、目的は同じです。
接続 1: 外部ネットワークとトランジット VPC ネットワークの間
外部ネットワークとトランジット VPC ネットワーク間のこの接続は、Cloud Interconnect または HA VPN を介して行われます。ルートは、トランジット VPC ネットワーク内の Cloud Router と外部ネットワーク内の外部ルーター間で BGP を使用して交換されます。
- 外部ネットワーク内のルータは、外部サブネットのルートをトランジット VPC Cloud Router にアドバタイズします。通常、特定のロケーションにある外部ルータは、他の外部ロケーションのルートよりも、同じ外部ロケーションからのルートを優先としてアドバタイズします。ルートの優先度は、BGP 指標と属性を使用して表すことができます。
- トランジット VPC ネットワーク内の Cloud Router は、 Google Cloudの VPC 内のプレフィックスのルートを外部ネットワークにアドバタイズします。これらのルートは、Cloud Router のカスタムルート アドバタイズを使用して通知する必要があります。
- Network Connectivity Center を使用すると、Google バックボーン ネットワークを使用して、異なるオンプレミス ネットワーク間でデータを転送できます。相互接続 VLAN アタッチメントを Network Connectivity Center ハイブリッド スポークとして構成する場合は、サイト間データ転送を有効にする必要があります。
- 同じ外部ネットワーク プレフィックスをソースとする Cloud Interconnect VLAN アタッチメントは、単一の Network Connectivity Center スポークとして構成されます。
接続 2: トランジット VPC ネットワークとサービス アクセス VPC ネットワークの間
トランジット VPC ネットワークとサービス アクセス VPC ネットワーク間のこの接続は、リージョンごとに個別のトンネルを使用して HA VPN を介して行われます。ルートは、トランジット VPC ネットワークとサービス アクセス VPC ネットワーク内のリージョン Cloud Router 間で BGP を使用して交換されます。
- トランジット VPC HA VPN Cloud Router は、外部ネットワーク プレフィックス、ワークロード VPC、その他のサービス アクセス VPC のルートをサービス アクセス VPC Cloud Router にアドバタイズします。これらのルートは、Cloud Router のカスタムルート アドバタイズを使用して通知する必要があります。
- サービス アクセス VPC は、そのサブネットと、接続されているマネージド サービス VPC ネットワークのサブネットをトランジット VPC ネットワークに通知します。マネージド サービスの VPC ルートとサービス アクセス VPC サブネット ルートは、Cloud Router のカスタムルート アドバタイズを使用してアドバタイズする必要があります。
接続 3: トランジット VPC ネットワーク、ワークロード VPC ネットワーク、Private Service Connect サービス アクセス VPC ネットワーク間
トランジット VPC ネットワーク、ワークロード VPC ネットワーク、Private Service Connect コンシューマ VPC ネットワーク間の接続は、Network Connectivity Center を使用してサブネットとプレフィックス ルートが交換されるときに行われます。この接続により、ワークロード VPC ネットワーク、Network Connectivity Center VPC スポークとして接続されているサービス アクセス VPC ネットワーク、Network Connectivity Center ハイブリッド スポークとして接続されている他のネットワーク間の通信が可能になります。これらの他のネットワークには、接続 1 と接続 2 を使用している外部ネットワークとサービス アクセス VPC ネットワークが含まれます。
- トランジット VPC ネットワークの Cloud Interconnect または HA VPN アタッチメントは、Network Connectivity Center を使用して、ワークロード VPC ネットワークに動的ルートをエクスポートします。
- ワークロード VPC ネットワークを Network Connectivity Center ハブのスポークとして構成すると、ワークロード VPC ネットワークはサブネットをトランジット VPC ネットワークに自動的にエクスポートします。必要に応じて、トランジット VPC ネットワークを VPC スポークとして設定できます。ワークロード VPC ネットワークからトランジット VPC ネットワークに静的ルートがエクスポートされることはありません。トランジット VPC ネットワークからワークロード VPC ネットワークに静的ルートがエクスポートされることはありません。
接続 4: Network Connectivity Center 伝播を使用した Private Service Connect コンシューマ VPC
- Private Service Connect エンドポイントは、コンシューマがファーストパーティ マネージド サービスとサードパーティ マネージド サービスにアクセスできるように、共通の VPC に編成されます。
- Private Service Connect コンシューマ VPC ネットワークは、Network Connectivity Center VPC スポークとして構成されています。このスポークにより、Network Connectivity Center ハブで Private Service Connect の伝播が可能になります。Private Service Connect の伝播では、Private Service Connect エンドポイントのホスト プレフィックスが、Network Connectivity Center ハブ ルーティング テーブルへのルートとして通知されます。
- Private Service Connect サービス アクセスのコンシューマ VPC ネットワークは、ワークロード VPC ネットワークとトランジット VPC ネットワークに接続します。これらの接続により、Private Service Connect エンドポイントへの転送接続が可能になります。Network Connectivity Center ハブで Private Service Connect 接続の伝播が有効になっている必要があります。
- Network Connectivity Center は、すべてのスポークから Private Service Connect エンドポイントへのデータパスを自動的に構築します。
トラフィック フロー
次の図は、このリファレンス アーキテクチャで有効になっているフローを示しています。
次の表に、図のフローを示します。
| ソース | 宛先 | 説明 |
|---|---|---|
| 外部ネットワーク | サービス アクセス VPC ネットワーク |
|
| サービス アクセス VPC ネットワーク | 外部ネットワーク |
|
| 外部ネットワーク | ワークロードの VPC ネットワークまたは Private Service Connect コンシューマ VPC ネットワーク |
|
| ワークロードの VPC ネットワークまたは Private Service Connect コンシューマ VPC ネットワーク | 外部ネットワーク |
|
| ワークロードの VPC ネットワーク | サービス アクセス VPC ネットワーク |
|
| サービス アクセス VPC ネットワーク | ワークロードの VPC ネットワーク |
|
| ワークロードの VPC ネットワーク | ワークロードの VPC ネットワーク | 1 つのワークロード VPC から送信されるトラフィックは、Network Connectivity Center を経由して、他のワークロード VPC へのより具体的なルートをたどります。戻りトラフィックは、このパスを逆にたどります。 |
使用するプロダクト
- Virtual Private Cloud（VPC）: ワークロードにグローバルでスケーラブルなネットワーキング機能を提供する仮想システム。 Google Cloud VPC には、VPC ネットワーク ピアリング、Private Service Connect、プライベート サービス アクセス、共有 VPC が含まれます。
- Network Connectivity Center: ハブと呼ばれる一元管理リソースに接続されているスポーク リソース間のネットワーク接続を簡素化するオーケストレーション フレームワークです。
- Cloud Interconnect: 高可用性で低レイテンシの接続を通じて、外部ネットワークを Google ネットワークに拡張するサービス。
- Cloud VPN: IPsec VPN トンネルを介してピア ネットワークを Google のネットワークに安全に拡張するサービス。
- Cloud Router: 分散型のフルマネージド サービスで、Border Gateway Protocol（BGP）のスピーカー機能とレスポンダー機能を提供します。Cloud Router は、Cloud Interconnect、Cloud VPN、Router アプライアンスと連携して、BGP で受信したルートやカスタム学習ルートに基づいて VPC ネットワークに動的ルートを作成します。
- Cloud Next Generation Firewall: 高度な保護機能、マイクロセグメンテーション、簡素化された管理を備えた完全分散型のファイアウォール サービス。 Google Cloud ワークロードを内部および外部の攻撃から保護します。
設計上の考慮事項
このセクションでは、このリファレンス アーキテクチャを使用して、セキュリティ、信頼性、パフォーマンスに関する特定の要件を満たすトポロジを開発する際に考慮すべき設計要素、ベスト プラクティス、設計に関する推奨事項について説明します。
セキュリティとコンプライアンス
次のリストは、このリファレンス アーキテクチャのセキュリティとコンプライアンスの考慮事項を示しています。
- コンプライアンス上の理由から、ワークロードを単一のリージョンにのみデプロイする場合があります。すべてのトラフィックを 1 つのリージョンに保持する場合は、99.9% のトポロジを使用できます。
- Cloud Next Generation Firewall（Cloud NGFW）を使用して、サービス アクセス VPC ネットワークとワークロード VPC ネットワークとの間で送受信されるトラフィックを保護します。トランジット ネットワークを介してハイブリッド ネットワーク間で、または外部ネットワークと Google マネージド サービス間で送受信されるトラフィックを検査するには、外部ファイアウォールまたは NVA ファイアウォールを使用する必要があります。
- L7 トラフィック検査が必要な場合は、侵入検知および侵入防止サービス（必要に応じて TLS インスペクションのサポート）を有効にして、悪意のあるアクティビティをブロックし、脆弱性、スパイウェア対策、ウイルス対策をサポートしてワークロードを脅威から保護します。このサービスは、パケット インターセプト テクノロジーを使用して、ルートの再アーキテクチャ化を必要とせずにワークロードを透過的に検査する Google 管理のゾーン ファイアウォール エンドポイントを作成します。Cloud Next Generation Firewall Enterprise では、ゾーン ファイアウォール エンドポイントとデータ処理の料金が発生します。
- Google 脅威インテリジェンス データに基づいてトラフィックを許可またはブロックする場合は、Google 脅威インテリジェンスを使用します。Cloud Next Generation Firewall Standard のデータ処理料金が発生します。
- ファイアウォール ルール ロギングを有効にして、ファイアウォール インサイトを使用して、ファイアウォール ルールの効果を監査、検証、把握、最適化します。ファイアウォール ルール ロギングには費用が発生する可能性があるため、対象を絞って使用することを検討してください。
- 接続テストを有効にして、トラフィックが期待どおりに動作していることを確認します。
- トラフィックとコンプライアンスのニーズに応じて、ロギングとモニタリングを有効にします。トラフィック パターンの分析情報を取得するには、Flow Analyzer とともに VPC フローログを使用します。
- Cloud IDS またはアラート モードの Cloud NGFW Enterprise 侵入防止サービスを使用して、トラフィックに関する追加の分析情報を収集します。
信頼性
次のリストは、このリファレンス アーキテクチャの信頼性に関する考慮事項を示しています。
- Cloud Interconnect で 99.99% の可用性を実現するには、2 つの異なるゾーンにまたがる異なる大都市圏の 2 つの異なるリージョンに接続する必要があります。 Google Cloud
- 信頼性を向上させ、リージョン障害の影響を最小限に抑えるには、ワークロードやその他のクラウド リソースをリージョン間で分散します。
- 予想されるトラフィックを処理するには、十分な数の VPN トンネルを作成します。個々の VPN トンネルには帯域幅の上限があります。
パフォーマンスの最適化
次のリストは、このリファレンス アーキテクチャのパフォーマンスに関する考慮事項を示しています。
- ネットワークと接続の最大伝送単位（MTU）を増やすと、ネットワーク パフォーマンスを改善できる場合があります。詳細については、最大伝送単位をご覧ください。
- トランジット VPC とワークロード リソース間の通信は、Network Connectivity Center 接続を介して行われます。この接続により、追加料金なしでネットワーク内のすべての VM にフルラインレートのスループットが提供されます。外部ネットワークをトランジット ネットワークに接続する方法はいくつかあります。費用とパフォーマンスの考慮事項のバランスを取る方法の詳細については、Network Connectivity プロダクトの選択をご覧ください。
デプロイ
このセクションでは、このドキュメントで説明する Network Connectivity Center アーキテクチャを使用して、Cross-Cloud Network の VPC 間接続をデプロイする方法について説明します。
このドキュメントのアーキテクチャでは、中央トランジット VPC への 3 種類の接続と、ワークロード VPC ネットワークとワークロード VPC ネットワーク間の接続を作成します。Network Connectivity Center が完全に構成されると、すべてのネットワーク間の通信が確立されます。
このデプロイでは、2 つのリージョンの外部ネットワークとトランジット ネットワーク間に接続を作成することを前提としています。ただし、ワークロード サブネットは他のリージョンに配置できます。ワークロードが 1 つのリージョンにのみ配置されている場合は、そのリージョンにのみサブネットを作成する必要があります。
このリファレンス アーキテクチャをデプロイするには、次のタスクを完了します。
- Network Connectivity Center でネットワーク セグメンテーションを作成する
- 接続とワークロードを配置するリージョンを特定する
- VPC ネットワークとサブネットを作成する
- 外部ネットワークとトランジット VPC ネットワーク間の接続を作成する
- トランジット VPC ネットワークとサービス アクセス VPC ネットワークの間に接続を作成する
- トランジット VPC ネットワークとワークロード VPC ネットワーク間の接続を確立する
- Cloud NGFW ポリシーを構成する
- ワークロードへの接続をテストする
Network Connectivity Center でネットワーク セグメンテーションを作成する
Network Connectivity Center ハブを初めて作成する前に、フルメッシュ トポロジとスター トポロジのどちらを使用するかを決定する必要があります。相互接続された VPC のフルメッシュまたは VPC のスター トポロジにコミットする決定は元に戻せません。この取り消し不可能な決定を行うには、次の一般的なガイドラインを使用します。
- 組織のビジネス アーキテクチャで VPC ネットワーク間のトラフィックが許可されている場合は、Network Connectivity Center メッシュを使用します。
- 特定の異なる VPC スポーク間のトラフィック フローが許可されていないが、これらの VPC スポークが VPC スポークのコアグループに接続できる場合は、Network Connectivity Center スター トポロジを使用します。
接続とワークロードを配置するリージョンを特定する
通常、接続とワークロードは、オンプレミス ネットワークまたは他のクラウド クライアントの近くに配置します。 Google Cloud ワークロードの配置の詳細については、Google Cloud リージョン選択ツールと Compute Engine のリージョン選択に関するベスト プラクティスをご覧ください。
VPC ネットワークとサブネットを作成する
VPC ネットワークとサブネットを作成するには、次のタスクを完了します。
VPC ネットワークを作成するプロジェクトを作成または特定します。ガイダンスについては、ネットワーク セグメンテーションとプロジェクト構造をご覧ください。共有 VPC ネットワークを使用する場合は、プロジェクトを共有 VPC ホスト プロジェクトとしてプロビジョニングします。
ネットワークの IP アドレス割り振りを計画します。内部範囲を作成して、範囲を事前に割り振って予約できます。これにより、後で行う構成と運用がより簡単になります。
グローバル ルーティングを有効にしてトランジット ネットワーク VPC を作成します。
サービス アクセス VPC ネットワークを作成します。複数のリージョンにワークロードを配置する場合は、グローバル ルーティングを有効にします。
ワークロードの VPC ネットワークを作成します。複数のリージョンにワークロードがある場合は、グローバル ルーティングを有効にします。
外部ネットワークとトランジット VPC ネットワーク間の接続を作成する
このセクションでは、2 つのリージョン間の接続を前提としています。また、外部ロケーションが接続されており、相互にフェイルオーバーできることを前提としています。また、外部ロケーションのクライアントが、外部ロケーションが存在するリージョンのサービスにアクセスすることを優先することを前提としています。
- 外部ネットワークとトランジット ネットワーク間の接続を設定します。これをどのように考えるかについては、外部接続とハイブリッド接続をご覧ください。接続プロダクトの選択に関するガイダンスについては、Network Connectivity プロダクトの選択をご覧ください。
次のように、接続されている各リージョンで BGP を構成します。
- 次のように、指定された外部ロケーションでルーターを構成します。
- 両方のインターフェースで同じ BGP MED（100 など）を使用して、その外部ロケーションのすべてのサブネットをアドバタイズします。両方のインターフェースが同じ MED を通知する場合、 Google Cloud は ECMP を使用して両方の接続間でトラフィックをロード バランシングできます。
- 最初のリージョンよりも優先度の低い MED（200 など）を使用して、他の外部ロケーションからすべてのサブネットをアドバタイズします。両方のインターフェースから同じ MED を通知します。
- 接続されたリージョンのトランジット VPC で、外部向けの Cloud Router を次のように構成します。
- プライベート ASN を使用して Cloud Router を設定します。
- カスタム ルート アドバタイズを使用して、両方の外部向け Cloud Router インターフェースを介して、すべてのリージョンのすべてのサブネット範囲を通知します。可能であれば、それらを集約します。両方のインターフェースで同じ MED（100 など）を使用します。
- 次のように、指定された外部ロケーションでルーターを構成します。
Network Connectivity Center ハブとハイブリッド スポークを操作する場合は、デフォルトのパラメータを使用します。
- Network Connectivity Center ハブを作成します。組織ですべての VPC ネットワーク間のトラフィックが許可されている場合は、デフォルトのフルメッシュ構成を使用します。
- Partner Interconnect、Dedicated Interconnect、HA-VPN、または Router アプライアンスを使用してオンプレミス プレフィックスに到達する場合は、これらのコンポーネントを異なる Network Connectivity Center ハイブリッド スポークとして構成します。
- Network Connectivity Center ハブ ルート テーブルのサブネットをリモート BGP ネイバーにアドバタイズするには、すべての IPv4 アドレス範囲を含むようにフィルタを設定します。
- ハイブリッド接続がデータ転送をサポートするリージョンの Cloud Router で終端する場合は、サイト間データ転送を有効にしてハイブリッド スポークを構成します。これにより、Google のバックボーン ネットワークを使用するサイト間データ転送がサポートされます。
トランジット VPC ネットワークとサービス アクセス VPC ネットワーク間の接続を作成する
外部ネットワークとサービス アクセス VPC 間、ワークロード VPC とサービス アクセス VPC 間の推移的ルーティングを提供するため、サービス アクセス VPC は接続に HA VPN を使用します。
- 各リージョンのトランジット VPC とサービス アクセス VPC 間で転送する必要があるトラフィックの量を見積もります。それに応じて、想定されるトンネル数をスケーリングします。
HA VPN ゲートウェイを作成して VPC ネットワークに接続するの手順に沿って、トランジット VPC ネットワークとリージョン A のサービス アクセス VPC ネットワークの間に HA VPN を構成します。トランジット VPC ネットワークに専用の HA VPN Cloud Router を作成します。外部ネットワーク接続用に外部ネットワークに接続するルーターを残します。
- トランジット VPC Cloud Router の構成:
- 外部ネットワークとワークロードの VPC サブネットをサービス アクセス VPC に通知するには、トランジット VPC の Cloud Router でカスタム ルート アドバタイズを使用します。
- サービス アクセス VPC Cloud Router の構成:
- サービス アクセス VPC ネットワーク サブネットをトランジット VPC に通知するには、サービス アクセス VPC ネットワークの Cloud Router でカスタム ルート アドバタイズを使用します。
- プライベート サービス アクセスを使用してマネージド サービス VPC ネットワークをサービス アクセス VPC に接続する場合は、カスタムルートを使用してこれらのサブネットもアドバタイズします。
- HA VPN トンネルのトランジット VPC 側で、トンネルのペアを Network Connectivity Center ハイブリッド スポークとして構成します。
- リージョン間データ転送をサポートするには、サイト間データ転送が有効になっているハイブリッド スポークを構成します。
- Network Connectivity Center ハブ ルート テーブルのサブネットをリモート BGP ネイバーにアドバタイズするには、すべての IPv4 アドレス範囲を含むフィルタを設定します。このアクションは、すべての IPv4 サブネット ルートをネイバーにアドバタイズします。
- 外部ルーターの容量が制限されている場合に動的ルートをインストールするには、カスタム ルート アドバタイズを使用してサマリー ルートを通知するように Cloud Router を構成します。Network Connectivity Center ハブの完全なルート テーブルを通知する代わりに、この方法を使用します。
- トランジット VPC Cloud Router の構成:
VPC ネットワーク ピアリング接続の確立後にプライベート サービス アクセスを使用してマネージド サービス VPC をサービス アクセス VPC に接続する場合は、VPC ネットワーク ピアリング接続のサービス アクセス VPC 側も更新して、カスタムルートをエクスポートする必要があります。
トランジット VPC ネットワークとワークロード VPC ネットワーク間の接続を確立する
VPC 間の大規模な接続を確立するには、VPC スポークで Network Connectivity Center を使用します。Network Connectivity Center は、フルメッシュ データプレーン モデルとスター トポロジ データプレーン モデルの 2 種類のデータプレーン モデルをサポートしています。
- すべてのネットワークで相互通信を許可できる場合は、フルメッシュ接続を確立します。
- ビジネス アーキテクチャにポイントツーマルチポイント トポロジが必要な場合は、スター トポロジ接続を確立します。
フルメッシュ接続を確立する
Network Connectivity Center VPC スポークには、トランジット VPC、Private Service Connect コンシューマ VPC、すべてのワークロード VPC が含まれます。
- Network Connectivity Center は VPC スポークの完全メッシュ ネットワークを構築しますが、ネットワーク オペレーターはファイアウォール ルールまたはファイアウォール ポリシーを使用して、送信元ネットワークと宛先ネットワーク間のトラフィック フローを許可する必要があります。
- すべてのワークロード、トランジット、Private Service Connect コンシューマ VPC を Network Connectivity Center VPC スポークとして構成します。VPC スポーク間でサブネットが重複することはできません。
- VPC スポークを構成するときに、重複しない IP アドレスのサブネット範囲を Network Connectivity Center ハブ ルートテーブルに通知します。
- エクスポート サブネット範囲を含めます。
- エクスポート サブネット範囲を除外します。
- VPC スポークを構成するときに、重複しない IP アドレスのサブネット範囲を Network Connectivity Center ハブ ルートテーブルに通知します。
- VPC スポークが異なるプロジェクトにあり、スポークが Network Connectivity Center ハブ管理者以外の管理者によって管理されている場合、VPC スポーク管理者は、他のプロジェクトの Network Connectivity Center ハブに参加するためのリクエストを開始する必要があります。
- Network Connectivity Center ハブ プロジェクトの Identity and Access Management（IAM）権限を使用して、そのユーザーに
roles/networkconnectivity.groupUserロールを付与します。
- Network Connectivity Center ハブ プロジェクトの Identity and Access Management（IAM）権限を使用して、そのユーザーに
- 他の Network Connectivity Center スポークからプライベート サービス接続に推移的かつグローバルにアクセスできるようにするには、Network Connectivity Center ハブで Private Service Connect 接続の伝播を有効にします。
ワークロード VPC 間の完全な VPC 間メッシュ通信が許可されない場合は、Network Connectivity Center スター トポロジの使用を検討してください。
スター トポロジ接続を確立する
ポイントツーマルチポイント トポロジを必要とする一元化されたビジネス アーキテクチャでは、Network Connectivity Center のスター トポロジを使用できます。
Network Connectivity Center のスター型トポロジを使用するには、次の操作を行います。
- Network Connectivity Center で Network Connectivity Center ハブを作成し、スター トポロジを指定します。
- 他の Network Connectivity Center スポークからプライベート サービス接続に推移的かつグローバルにアクセスできるようにするには、Network Connectivity Center ハブで Private Service Connect 接続の伝播を有効にします。
- スター トポロジ用に Network Connectivity Center ハブを構成する場合は、VPC を事前定義された 2 つのグループ（センター グループまたはエッジグループ）のいずれかにグループ化できます。
センター グループに VPC をグループ化するには、トランジット VPC と Private Service Connect コンシューマ VPC を、センター グループの一部として Network Connectivity Center VPC スポークとして構成します。
Network Connectivity Center は、中央グループに配置された VPC スポーク間にフルメッシュ ネットワークを構築します。
エッジグループ内のワークロード VPC をグループ化するには、これらのネットワークをそのグループ内の Network Connectivity Center VPC スポークとして構成します。
Network Connectivity Center は、各 Network Connectivity Center VPC スポークからセンター グループ内のすべての VPC へのポイントツーポイント データパスを構築します。
Cloud NGFW ポリシーを構成する
セキュリティとコンプライアンスのガイダンスに加えて、ファイアウォール ルールのベスト プラクティスも検討してください。
その他の考慮事項:
- ワークロードが Compute Engine VM で実行されている場合は、VPC ファイアウォール ルールではなく、ネットワーク ファイアウォール ポリシーを使用することをおすすめします。ネットワーク ファイアウォール ポリシーには、タグを使用したきめ細かいセキュリティとアクセス制御、ルール管理の簡素化、運用の容易さ、豊富な機能セット、柔軟なデータ所在地などのメリットがあります。VPC ファイアウォール ルールがすでにある場合は、VPC ファイアウォール ルールの移行ツールを使用して、グローバル ネットワーク ファイアウォール ポリシーへの移行を支援できます。
- Google Kubernetes Engine は、重要なトラフィックを許可するために特定の VPC ファイアウォール ルールを自動的に作成して管理します。そのため、これらのルールは変更または削除しないことをおすすめします。ただし、ネットワーク ファイアウォール ポリシーは VPC ファイアウォール ルールと併用でき、必要に応じてポリシーの適用順序を変更できます。
- IAM 制御、スケーリングの向上、ネットワーク ファイアウォール ポリシーのサポートにより、ファイアウォール ルールでネットワーク タグではなくタグを使用することをおすすめします。ただし、タグは階層型ファイアウォール ポリシーでサポートされていません。また、Network Connectivity Center ピアリング ネットワーク上でもサポートされていないため、このような場合は CIDR 範囲に基づいてルールを作成する必要があります。
- Cloud NGFW で L7 インスペクションを有効にする場合は、セキュリティ プロファイル、ファイアウォール エンドポイント、VPC の関連付けなど、侵入防止サービスを構成します。
- グローバル ネットワーク ファイアウォール ポリシーと必要なファイアウォール ルールを作成します。すべての VPC ネットワークに存在する、下り（外向き）トラフィックを許可し、上り（内向き）トラフィックを拒否する暗黙のルールを考慮してください。
- VPC ネットワークにポリシーを関連付けます。
- ネットワークで VPC ファイアウォール ルールをすでに使用している場合は、新しいルールが VPC ファイアウォール ルールの前に評価されるように、ポリシーとルールの評価順序を変更することをおすすめします。
- 必要に応じて、ファイアウォール ルール ロギングを有効にします。
ワークロードへの接続をテストする
VPC ネットワークにすでにデプロイされているワークロードがある場合は、そのワークロードへのアクセスをテストします。ワークロードをデプロイする前にネットワークを接続した場合は、ワークロードをデプロイしてテストできます。
次のステップ
- この設計ガイドで使用する Google Cloud プロダクトの詳細を確認する。
- Cloud アーキテクチャ センターで、リファレンス アーキテクチャ、図、ベスト プラクティスを確認する。
寄稿者
著者:
- Eric Yu | ネットワーキング スペシャリスト カスタマー エンジニア
- Deepak Michael | ネットワーキング スペシャリスト カスタマー エンジニア
- Victor Moreno | プロダクト マネージャー、クラウド ネットワーキング
- Osvaldo Costa | ネットワーキング スペシャリスト カスタマー エンジニア
その他の寄稿者:
- Mark Schlagenhauf | テクニカル ライター、ネットワーキング
- Ammett Williams | デベロッパー リレーションズ エンジニア
- Ghaleb Al-habian | ネットワーク スペシャリスト
- Tony Sarathchandra | シニア プロダクト マネージャー