ネットワーキング

インターネットに接続するアプリケーションの配信: ネットワーキングアーキテクチャ

2023年5月11日

※この投稿は米国時間 2023 年 5 月 4 日に、Google Cloud blog に投稿されたものの抄訳です。

アプリケーションをインターネットに公開することは、企業にとっての一般的な要件です。この記事では、インターネット接続アプリケーションの配信について取り上げます。この記事は、ドキュメント「インターネットに接続するアプリケーションのネットワーキング: リファレンスアーキテクチャ」の情報を参考にしています。詳細についてはそちらをご参照ください。

インターネット上のユーザーが使用することを意図したアプリケーションは、高可用性、幅広い消費、厳重なセキュリティに適するように構築する必要があります。サービスとウェブアプリは、拡張しても保護できるように構築する必要があります。

Google Cloud には、外部接続アプリケーションにセキュリティ制御を追加できるいくつかのサービスがあります。

エッジ - サービスの公開にあたり、Cloud Armor は WAF と DDoS 対策を提供し、ロードバランサは単一の IP を提供します。
リージョン内 - 次世代ファイアウォールなどのネットワーク仮想アプライアンスを使用してトラフィックを検査し、ネットワークファイアウォールポリシーを使用してリソースへのアクセスを制御できます。
その他のサービス - Cloud IDS（Cloud Intrusion Detection System）は、East West と North South の両方のトラフィックフローで脅威を検出できます。

ドキュメント「インターネットに接続するアプリケーションのネットワーキング: リファレンスアーキテクチャ」では、次のようにグループ化されたいくつかのパターンについて説明しています。

ハイブリッドサービスアーキテクチャグループの 2 つのアーキテクチャについて説明します。

Google Cloud では、エッジでサービスアクセスを保護し、トラフィックを複数のソースに分散できます。この設計に関連するコンポーネントには、ロードバランサ、Cloud CDN、Cloud Armor、Identity-Aware Proxy、Google マネージド SSL 証明書、ネットワークエンドポイントグループがあります。

以下の設計は、Google Cloud フロントエンドサービス、ロードバランサ、複数のバックエンドソースを示しています。

この設計の構成要素は次のとおりです。

エッジサービス

ロードバランサ - 外部クライアントからトラフィックを取り込みます。
Cloud CDN - 静的コンテンツがあり、この機能が有効になっている場合、Cloud CDN はユーザーに最も近い場所にコンテンツをキャッシュし、そこから提供することでレイテンシを短縮します。
マネージド証明書 - Google マネージド SSL 証明書を使用してドメインを管理します。
Cloud Armor - DDoS の対策と OWASP トップ 10 の保護を提供します。
Identity-Aware Proxy - ID に基づいてアクセスを許可します。

バックエンド
選択されるバックエンドリソースは、URL マップの構成によって異なります。ここで使用されるいくつかのバックエンドタイプを見てみましょう。

マネージドインスタンスグループ - これは、Google Cloud 内の仮想マシンリソースに使用できます。
ハイブリッドネットワークエンドポイントグループ（NEG） - オンプレミスおよびその他のクラウド接続用に設定できます。ハイブリッド NEG へのトラフィックは、Cloud VPN または相互接続を介してルーティングされます。

Intrusion Detection System（IDS）は、ネットワークトラフィックを検査し、疑わしいアクティビティの可能性を可視化します。Cloud IDS は、この要件を満たす Google Cloud サービスです。

以下の設計は、インターネットトラフィックのトラフィック検査を提供する Cloud IDS を示しています。

この設計の構成要素は以下のとおりです。

フロントエンド。

ロードバランサ - この設計は、非 HTTP(S) トラフィック用のリージョンネットワークロードバランサとグローバル HTTP(S) ロードバランサの両方の使用を示しています。トラフィックはロードバランサの IP に送信され、関連するバックエンドリソースに分散されます。
外部 IP - アクセスを許可するファイアウォールルールを備えた外部 IP アドレスを持つ VM もあります。

Cloud IDS。
Cloud IDS が機能するには、次の設定が必要です。

サービスネットワーキング、Cloud IDS API を有効にする必要があります。
サービス IP の予約 - サービスには多くのプライベート IP を割り当てる必要があります。
サービスプロデューサーへのプライベート接続を有効にする必要があります。これにより、モニタリング対象ネットワークからサービスネットワークへの VPC ネットワークピアリングが作成されます。
Cloud IDS エンドポイントは、トラフィックをモニタリングするリージョンに設定する必要があります。Cloud IDS サービスプロファイルと Packet Mirroring ポリシーをエンドポイントに追加します。
トラフィックログが生成され、Cloud IDS コンソールまたは Cloud Logging で表示できます。

スキルブーストサイトで実践的な導入ラボを利用できます。Cloud IDS: クイックスタート。

全体として、この設計により、インターネットトラフィックと内部トラフィック（脅威侵入検知、マルウェア、スパイウェア、コマンドアンドコントロール攻撃）が可視化され、組織の特定のコンプライアンス要件を満たすのに役立ちます。