デベロッパー

NVA とリージョンアフィニティを使用したクロスクラウドネットワーク VPC ネットワークピアリングを設計する

2025年11月4日

https://storage.googleapis.com/gweb-cloudblog-publish/images/0-ccn-nva-doc-hero.max-2500x2500.png

Ammett Williams

Developer Relations Engineer

※この投稿は米国時間 2025 年 10 月 24 日に、Google Cloud blog に投稿されたものの抄訳です。

ネットワーク設計にセキュリティを組み込むために、ネットワーク仮想アプライアンス（NVA）を使用する必要がある場合があります。これらの構成をサポートするクロスクラウドネットワークの柔軟性により、企業はハイブリッド接続からクラウドに既存のセキュリティ要素を拡張して、一貫したエクスペリエンスを実現できます。このブログ投稿では、単一リージョン内で NVA を使用したハブアンドスポーク通信のリファレンスアーキテクチャをご紹介します。

リージョンアフィニティ

企業によっては、低レイテンシ、データ所在地、リソースの最適化に関する具体的な要件が存在する場合があります。リージョンアフィニティにより、同じリージョン内のサービス間のリソースとネットワークトラフィックが保持されます。ただし、考えられるトレードオフとして、障害が発生した場合にトラフィックが別のリージョンに再ルーティングされるリージョンフェイルオーバーが欠如する点があります。これらの考慮事項は、企業の要件に基づいて設定を設計する際に念頭に置く必要があります。リージョンデプロイの詳細については、Google Cloud リージョンデプロイアーキタイプのドキュメントをご覧ください。

クロスクラウドネットワーク

クロスクラウドネットワークは、多対多の接続を可能にする一連の機能とアーキテクチャを提供します。Google のソフトウェア定義グローバルバックボーンは、分散アプリケーションを接続する優れた機能を提供します。Google は、そのグローバルな規模をサポートするために、マルチシャード、Protective ReRoute（PRR）、自律型ネットワーキングを使用してネットワークを構築しています。

設計パターンの例

リージョン設計で VPC ネットワークピアリングを使用して NVA のネットワークを設定する方法を理解するために、設計パターンを見てみましょう。

このネットワークを構成するのは、外部ネットワーク（オンプレミスと他のクラウド）と Google Cloud ネットワーク（インターネットアクセス VPC、ルーティング VPC、サービスアクセス VPC、マネージドサービス VPC、ワークロード VPC）です。

https://storage.googleapis.com/gweb-cloudblog-publish/images/1-ccn-vnp-nva-flows.max-2000x2000.png

トラフィックフロー

この設計では、エンドツーエンドのソリューションを提供するために次のサービスを使用します。

Cloud Interconnect（Direct、Partner、Cross-Cloud）- オンプレミスまたは他のクラウドからルーティング VPC に接続する
HA VPN - サービスアクセス VPC からルーティング VPC に接続し、マネージドサービスネットワークからカスタムルートをエクスポートする
内部パススルーネットワークロードバランサ - NVA のフロントエンドとして機能する
ネットワーク仮想アプライアンス - 特殊な機能を実行するコンピューティングリソース
タグなしのポリシーベースのルート - すべてのトラフィックに適用される
ポリシーベースのルートのスキップ - ポリシーベースのルートをスキップして VPC ルーティングを使用する
VPC ネットワークピアリング - ワークロード VPC からルーティング VPC に接続する
プライベートサービスアクセス - サービスアクセス VPC でマネージドサービスにプライベート接続する
Private Service Connect - プロデューサーネットワークでサービスを公開して、そのサービスをサービスアクセス VPC で使用できるようにする
Network Connectivity Center VPC スポーク - 必要に応じてワークロード VPC 間の通信を許可する

次の図は、パケットフローを示しています。

https://storage.googleapis.com/gweb-cloudblog-publish/images/2-ccn-nva-flow.max-2000x2000.png

この図で、オレンジ色の線は外部ネットワーク（オンプレミスと他のクラウド）と Google Cloud のサービスアクセス VPC ネットワーク間のフローを示しています。

トラフィックは Interconnect を経由して、ルーティング VPC の外部 Cloud Router から学習したルートに従います。
ルーティング VPC は、タグなしのポリシーベースのルートを直接使用して、トラフィックを内部パススルー NLB に転送します。トラフィックが検査され、NVA は送信トラフィックでポリシーベースのルートのスキップを使用します。
トラフィックは、VPN 接続を介してサービスアクセス VPC へのカスタムルートに従います。
戻りのトラフィックは、同じトラフィックフローをたどり、Cloud Interconnect を介してオンプレミスに戻ります。

この図で、青い線は外部ネットワーク（オンプレミスと他のクラウド）と Google Cloud のワークロード VPC ネットワーク 1 の間のフローを示しています。

トラフィックは Interconnect を経由して、ルーティング VPC の外部 Cloud Router から学習したルートに従います。
ルーティング VPC は、タグなしのポリシーベースのルートを直接使用して、トラフィックを内部パススルー NLB に転送します。トラフィックが検査され、NVA は通過するトラフィックでポリシーベースのルートのスキップを使用します。
トラフィックは、VPC ネットワークピアリング接続を介して、サブネットルートに従ってワークロード VPC ネットワーク 1 に到達します。
戻りのトラフィックは、同じトラフィックフローをたどり、Cloud Interconnect を介してオンプレミスに戻ります。

この図で、ピンクの線は Google Cloud のワークロード VPC ネットワーク 1 と Google Cloud のサービスアクセス VPC ネットワーク間のフローを示しています。

ワークロード VPC ネットワークからのトラフィックは、ルーティング VPC ネットワーク内の NVA の前にある内部パススルーネットワークロードバランサにフローを転送するようにプログラムされたポリシーベースのルートに従います。
トラフィックは検査され、NVA から送信されるトラフィックに割り当てられたポリシーベースルートのスキップを使用して、タグなしのポリシーベースルートをスキップし、VPC ルーティングに従います。
トラフィックは、HA VPN トンネルからサービスアクセス VPC ネットワークへの動的ルートに従います。
戻りのトラフィックは、同じフローをたどり、ルーティング VPC と NVA を経由してワークロード VPC ネットワークに戻ります。