Cloud Interconnect のベスト プラクティス

Cloud Interconnect を計画して構成する場合は、次のベスト プラクティスに従ってください。

注: このページで使用している用語の定義については、Cloud Interconnect の主な用語をご覧ください。

Google Cloud プロジェクトの使用

ネットワーク アーキテクチャがサポートしている場合は、このセクションで推奨されているように Cloud Interconnect プロジェクトを構成します。

別のプロジェクトに物理 Cloud Interconnect 接続をプロビジョニングする

警告: プロジェクトで Cloud Interconnect 接続を作成した後は、その接続を別のプロジェクトに移動することはできません。また、後で接続の名前を変更することもきません。

1 つのプロジェクトに Cloud Interconnect の物理接続（ポート）をプロビジョニングし、別のプロジェクトに VLAN アタッチメントをプロビジョニングします。他のプロジェクトは、物理接続を含むプロジェクトと同じ Google Cloud 組織に属している必要があります。

Cloud Router 経由でリージョンに物理接続を行う VLAN アタッチメントは、物理接続と同じプロジェクトに存在する必要はありません。詳細については、他のプロジェクトで接続を使用するをご覧ください。

これにより、次の構成手順が簡単になります。

• 物理接続を含むプロジェクトに別の内部請求先アカウントを関連付けることができます。
• 物理接続を含むプロジェクトで Identity and Access Management（IAM）のロールと権限を構成できます。
• 物理接続ではないリソースの削除または更新は、物理接続に影響を与えずに行うことができます。

共有 VPC ホスト プロジェクトで VLAN アタッチメントを構成する

共有 VPC ネットワークでは、物理 Cloud Interconnect 接続（ポート）ではなく、ホスト プロジェクト内ですべての VLAN アタッチメントを構成します。共有 VPC ネットワークへのアタッチメントの接続について詳しくは、複数の VPC ネットワークに接続するための選択肢をご覧ください。

十分な容量の冗長 Cloud Interconnect 接続を作成する

このセクションでは、フェイルオーバー シナリオで冗長性を備え十分な容量のある Cloud Interconnect 接続を作成するためのベスト プラクティスについて説明します。こうした方法によって、計画的なメンテナンスやハードウェア障害などのイベントによってダウンタイムが発生しないようにします。

容量がエッジの可用性ドメイン間で均等に分割されている場合、Cloud Interconnect 接続では、合計容量の最大 50% のネットワーク トラフィックが保護されます。障害や計画的なメンテナンスが発生した場合に十分な容量を確保できるようになっています。使用料が Cloud Interconnect の容量の 50% を超えると、ネットワークの輻輳時に接続がスロットリングされる可能性があります。たとえば、オンプレミス ネットワークと Google Cloudの間で 100 Gbps の保護されたトラフィックを送信する場合は、容量が 200 Gbps 以上の冗長な Cloud Interconnect 接続をプロビジョニングする必要があります。

次のいずれかの推奨トポロジに従って、Cloud Interconnect 接続を作成できます。

• 本番環境レベル アプリケーション用のトポロジ
• ミッション クリティカルでないアプリケーション用のトポロジ

これらのトポロジに従って Cloud Interconnect 接続を作成する場合は、1 つ以上の大都市圏で接続のペアを作成します。1 つの大都市圏内で、異なるエッジ アベイラビリティ ドメイン内に Cloud Interconnect 接続を配置します。

各エッジ アベイラビリティ ドメインに十分な容量を確保する

大都市圏のいずれかのエッジ アベイラビリティ ドメインにダウンタイムまたはメンテナンスがある場合、トラフィックは他のエッジ アベイラビリティ ドメインにフェイルオーバーします。

1 つのエッジ アベイラビリティ ドメインの障害が発生した場合にパケットロスを回避するには、次のガイダンスに沿って操作してください。

容量のタイプ	ガイダンス
Cloud Interconnect の接続容量	各エッジ アベイラビリティ ドメインに、すべての本番環境トラフィックを転送するために十分な接続容量が割り当てられていることを確認します。
VLAN アタッチメントの容量	各エッジ アベイラビリティ ドメインに、ターゲット VPC ネットワークのすべての本番環境トラフィックを転送するために十分な VLAN アタッチメントの容量が割り当てられていることを確認します。 Cloud Interconnect 接続の VPC トラフィックは VLAN アタッチメントを介して転送され、接続を VPC ネットワークにリンクします。各エッジ アベイラビリティ ドメインに十分な接続容量が割り当てられている場合でも、十分な VLAN アタッチメントの容量も割り当てられている必要があります。

VLAN アタッチメントの容量と複数の VPC ネットワーク

Cloud Interconnect 接続を使用して複数の Virtual Private Cloud（VPC）ネットワークにアクセスする場合は、各 VPC ネットワークから各 Cloud Interconnect 接続への VLAN アタッチメントを作成します。VPC ネットワークごとに、フェイルオーバーが発生した場合に VPC ネットワークのすべての本番環境トラフィックを転送するために十分な VLAN アタッチメントの容量があることを確認します。

次の VPC ネットワークとワークロードが存在する例を考えてみます。

• vpc-1 は、お客様のオンプレミス ネットワークから合計 2 Gbps のトラフィックを受信します。
• vpc-2 もお客様のオンプレミス ネットワークから合計 2 Gbps のトラフィックを受信します。

次の表に、VPC ネットワークごとに各エッジ アベイラビリティ ドメインで必要な、最小のアタッチメントの容量を示します。

エッジ アベイラビリティ ドメイン	接続容量	アタッチメントの容量
EDGE_DOMAIN_1	1 x 10 Gbps	vpc-1 に対して 2 x 1 Gbps vpc-2 に対して 2 x 1 Gbps
EDGE_DOMAIN_2	1 x 10 Gbps	vpc-1 に対して 2 x 1 Gbps vpc-2 に対して 2 x 1 Gbps

Cloud Interconnect 接続を介して VLAN アタッチメントを追加すると、構成したアタッチメントの容量が接続の合計容量を超えることがあります。この構成は有効ですが、実際のトラフィックが接続の合計容量を超えることはできません。ワークロードで接続の容量を超えるトラフィックが生成されないようにします。

アクティブ / アクティブな VLAN アタッチメントの使用

冗長性を備えた VLAN アタッチメントを構成するには、次の 2 つの方法があります。

• VLAN アタッチメント間でトラフィックを分割するアクティブ / アクティブ構成。
• 一度に 1 つの VLAN アタッチメントのみを使用するアクティブ / パッシブ構成。

通常のオペレーション中にすべての VLAN アタッチメントが正しく機能しているかどうかを簡単に確認できるように、アクティブ / アクティブ構成を使用することをおすすめします。アクティブ / アクティブ構成を使用する場合は、使用パターンをモニタリングして、障害が発生した場合に十分な容量が確保されるようにします。

アクティブ / パッシブ構成では、気づかないうちに VLAN アタッチメントが誤って構成されていることがあります。この構成を使用する場合は、本番環境のトラフィックを追加する前にフェイルオーバーをテストしてください。

警告: アクティブ / アクティブな VLAN アタッチメント間で ECMP を使用する場合に信頼性の高い接続を確保するには、オンプレミス デバイスでフローベースのハッシングを使用します。ECMP では、パケットごとのロード バランシング（ラウンドロビンやランダムなど）は使用できません。この構成を使用すると、Private Service Connect などの VPC ネットワーク内のサービスで TCP 接続が予期せずに終了する可能性があります。

リージョン間のフェイルオーバーについて

リージョンから送信されたネットワーク トラフィックでは、Cloud Router の概要の動的ルーティング モードの効果で説明しているように、指標が最も低いパスを優先して使用します。一般的な使用状況では、下り（外向き）トラフィックは、最も近いリージョンがローカル リージョンであることから、ライブ VLAN アタッチメントが存在する最も近い Google Cloud リージョンを経由して送信されます。

本番環境レベル アプリケーション用のトポロジを構築する場合の例について考えてみましょう。さらに、次の VPC ネットワークが存在するとします。

• 2 つのリージョンでの VLAN アタッチメント
• グローバル動的ルーティングが有効

下り（外向き）トラフィックについては、ローカル リージョン内の VLAN アタッチメントが過負荷の状態であっても、VLAN アタッチメントを経由するトラフィックが優先されます。ローカル リージョン内のすべての VLAN アタッチメントがダウンしている場合、トラフィックは他のリージョンに対してのみ流れます。つまり、トポロジ内の 4 つの各 Cloud Interconnect 接続に、すべての本番環境トラフィックを転送するために十分な VLAN アタッチメントの容量が必要です。

シナリオ

このセクションでは、Cloud Interconnect リソースを構成するシナリオについて説明します。また、通常のオペレーションとフェイルオーバーの際に、各構成がワークロードをどのように処理するかについても説明します。各シナリオには、冗長性と容量のベスト プラクティスに関連する推奨事項が含まれています。

シナリオ 1: 十分な容量

このシナリオでは、次の表に示すように、異なる 2 つのエッジ アベイラビリティ ドメインで 2 つの Dedicated Interconnect 接続をプロビジョニングします。

エッジ アベイラビリティ ドメイン	接続容量	アタッチメントの容量	アタッチメントのリージョン
EDGE_DOMAIN_1	1 x 10 Gbps	1 x 10 Gbps	ATTACHMENT_REGION_1
EDGE_DOMAIN_2	1 x 10 Gbps	1 x 10 Gbps	ATTACHMENT_REGION_1

次の表に、この構成が通常のオペレーションとフェイルオーバーの際にワークロードをどのように処理するかを示します。

リソース	説明
ワークロードのサイズ	ATTACHMENT_REGION_1 とオンプレミス ネットワークの間の、合計 10 Gbps のトラフィック。
通常のオペレーション時の容量	十分な容量 ATTACHMENT_REGION_1 からオンプレミス ネットワークへの 20 Gbps の容量。10 Gbps のワークロードは正常に実行されます。
フェイルオーバー時の容量	Cloud Interconnect 接続のいずれかがダウンした場合に十分な容量。 たとえば、EDGE_DOMAIN_1 で接続に失敗した場合の使用可能な容量は、EDGE_DOMAIN_2 の接続です。この単一の Cloud Interconnect 接続の容量は 10 Gbps です。Cloud Interconnect 接続に対して作成した 10 Gbps のアタッチメントの容量は、本番環境ワークロードを処理するのに十分な容量です。 ワークロードのトラフィックが 10 Gbps を超えると、アタッチメントの容量を超え、パケットロスが発生する可能性があります。
推奨事項	各エッジ アベイラビリティ ドメインに、すべての本番環境ワークロード用の十分な容量を確保できるように、Cloud Interconnect 接続と VLAN アタッチメントの容量をプロビジョニングします。

シナリオ 2: フェイルオーバー時の容量の不足

このシナリオでは、次の表に示すように、異なる 2 つのエッジ アベイラビリティ ドメインで 2 つの Dedicated Interconnect 接続をプロビジョニングします。

エッジ アベイラビリティ ドメイン	接続容量	アタッチメントの容量	アタッチメントのリージョン
EDGE_DOMAIN_1	1 x 100 Gbps	100 Gbps（2 x 50 Gbps）	ATTACHMENT_REGION_1
EDGE_DOMAIN_2	1 x 100 Gbps	100 Gbps（2 x 50 Gbps）	ATTACHMENT_REGION_1

次の表に、この構成が通常のオペレーションとフェイルオーバーの際にワークロードをどのように処理するかを示します。

リソース	説明
ワークロードのサイズ	ATTACHMENT_REGION_1 とオンプレミス ネットワーク間の、合計 150 Gbps のトラフィック。
通常のオペレーション時の容量	十分な容量 ATTACHMENT_REGION_1 からオンプレミス ネットワークへの 200 Gbps の容量。150 Gbps のワークロードは正常に実行されます。
フェイルオーバー時の容量	Cloud Interconnect 接続のいずれかがダウンした場合に容量が不足。 いずれかの Cloud Interconnect 接続がメンテナンスで停止すると、150 Gbps のワークロード全体が 1 つの 100 Gbps 接続へのフェイルオーバーを試行します。これは接続の容量を超えるため、輻輳とパケットロスが発生します。
推奨事項	障害イベント発生時に完全な可用性を確保するには、各接続を介したトラフィックの合計が 1 つのエッジ アベイラビリティ ドメインの総容量を超えないようにする必要があります。このシナリオでは、フェイルオーバー時の十分な容量を確保するために、各エッジ アベイラビリティ ドメインには少なくとも 200 Gbps の接続容量と 3 x 50 Gbps のアタッチメント容量が必要です。

シナリオ 3: 不均衡な VLAN アタッチメント

このシナリオでは、次の表に示すように、異なる 2 つのエッジ アベイラビリティ ドメインで 2 つの Dedicated Interconnect 接続をプロビジョニングします。最初に、EDGE_DOMAIN_1 で 1 × 10 Gbps のアタッチメント容量をプロビジョニングします。その後、ワークロードが 20 Gbps まで増加したことに気付きました。そのため、EDGE_DOMAIN_1 のアタッチメント容量のみを 2 x 10 Gbps に更新します。

エッジ アベイラビリティ ドメイン	接続容量	アタッチメントの容量	アタッチメントのリージョン
EDGE_DOMAIN_1	1 x 100 Gbps	1 x 10 Gbps（最初にプロビジョニングを実施） 2 x 10 Gbps（後で更新）	ATTACHMENT_REGION_1
EDGE_DOMAIN_2	1 x 100 Gbps	1 x 10 Gbps	ATTACHMENT_REGION_1

次の表に、この構成が通常のオペレーションとフェイルオーバーの際にワークロードをどのように処理するかを示します。

リソース	説明
ワークロードのサイズ	ATTACHMENT_REGION_1 とオンプレミス ネットワーク間の、合計 20 Gbps のトラフィック。
通常のオペレーション時の容量	十分な容量 ATTACHMENT_REGION_1 からオンプレミス ネットワークへの 30 Gbps の容量。20 Gbps のワークロードは正常に実行されます。
フェイルオーバー時の容量	EDGE_DOMAIN_2 の Cloud Interconnect 接続がダウンした場合に十分な容量。 EDGE_DOMAIN_1 の Cloud Interconnect 接続がダウンした場合に容量が不足。 EDGE_DOMAIN_2 の Cloud Interconnect 接続がダウンしても、残りの接続に依然として 20 Gbps のアタッチメント容量が存在し、ワークロードは正常に実行されます。 ただし、EDGE_DOMAIN_1 の Cloud Interconnect 接続がダウンした場合、残りの接続のアタッチメント容量は 10 Gbps のみであり、輻輳とパケットロスが発生します。
推奨事項	大都市圏の両方のエッジ アベイラビリティ ドメインと同等の容量があることを確認します。これは、Cloud Interconnect 接続と VLAN アタッチメントの両方について該当します。このシナリオでは、いずれかの Cloud Interconnect 接続がダウンしても十分な容量を確保するために、各エッジ アベイラビリティ ドメインに少なくとも 2 x 10 Gbps のアタッチメント容量が必要です。

すべての VLAN アタッチメントに同じ MTU を使用する

同じ VPC ネットワークに接続しているすべての VLAN アタッチメントに同じ MTU を使用することと、VPC ネットワークの MTU を同じ値に設定することをおすすめします。これはおすすめの方法ですが、VLAN アタッチメントの MTU と VPC ネットワークの MTU を一致させる必要はありません。ただし、次のいずれかの場合は、TCP 以外のプロトコルでパケットがドロップされる可能性があります。

• 同じ VPC ネットワークに接続している VLAN アタッチメントに、異なる VLAN アタッチメント MTU を使用する。
• VLAN アタッチメントを含む VPC ネットワークの MTU より小さい MTU を VLAN アタッチメントに構成する。

プロトコルが MTU の不一致を扱う仕組みの一般的な情報については、VPC MTU のドキュメントの MTU の不一致、MSS クランプ、パス MTU 探索をご覧ください。

VLAN アタッチメント経由で送信されたパケットは、次のように処理されます。

状況	動作
TCP SYN パケットと SYN-ACK パケット	Google Cloud は MSS クランプを実行し、パケットが VLAN アタッチメント MTU 内に収まるように MSS を変更します。たとえば、VLAN アタッチメントの MTU が 1,500 バイトの場合、MSS クランプは最大 1,460 バイトのセグメント サイズを使用します。
VLAN アタッチメントの MTU までの IP パケット（MTU を含む）	最初の行で説明されている SYN パケットと SYN-ACK パケットを除き、Google Cloud はパケットを変更しません。
IP パケットの MTU チェック	Google Cloud リソースから VLAN アタッチメント経由で送信されるパケットの MTU は、VLAN アタッチメントの MTU によって制限されます。たとえば、ネクストホップが VLAN アタッチメントの動的ルートで到達可能な宛先に VM インスタンスがパケットを送信すると、VLAN アタッチメントの MTU を超えるパケットはドロップされます。 Google Cloud はパケットをドロップし、Don't Fragment（DF）ビットがオンかオフかに関係なく、Fragmentation Needed（IPv4 上の ICMP）または Packet Too Big（ICMPv6）というメッセージを送信します。 ICMP（IPv4 の場合）または ICMPv6（IPv6 の場合）が元のパケットの宛先と一致する送信元からのみ許可されるように、上り（内向き）許可の VPC ファイアウォール ルールまたはファイアウォール ポリシーのルールを構成する必要があります。 内部パススルー ネットワーク ロードバランサと内部プロトコル転送の転送ルールでは、パス MTU 探索（PMTUD）の ICMP と元のパケットで使用されるプロトコルの両方を処理するように、L3_DEFAULT プロトコルを使用する必要があります。 Cloud Interconnect は、オンプレミス ネットワークから受信されたパケットに対して VLAN アタッチメントの MTU を適用しません。代わりに、 Google Cloud は、パケットを受信する Google Cloud リソースに MTU を適用します。 パケットを受信するリソースが VM インスタンスの場合、 Google Cloud は、受信側の VM が VPC ネットワーク内でルーティングされたパケットを受信した場合のように、受信側の VM のネットワーク インターフェースで使用される VPC ネットワークの MTU を適用します。 VLAN アタッチメントを介してオンプレミスから Google API とサービスに送信されるパケットは、VM インスタンスから Google API とサービスに送信されるパケットと同じ方法で処理されます。詳細については、Google API とサービスへの通信をご覧ください。
Cloud Interconnect を介した HA VPN を介して送信されたパケット	Cloud Interconnect を介した HA VPN では、ゲートウェイ MTU は 1,440 バイト、ペイロード MTU はそれよりも小さい値になります（使用される暗号によって異なります）。詳細については、Cloud VPN のドキュメントの MTU に関する考慮事項をご覧ください。

次のステップ

• Cloud Interconnect の接続タイプを選択するには、Network Connectivity プロダクトの選択をご覧ください。
• Cloud Interconnect の詳細を確認するには、Cloud Interconnect の概要をご覧ください。