ワークロード VM のインターネット アクセスを構成する

Google Cloud VMware Engine では、VMware ワークロードのインターネット アクセス ネットワーク サービスをリージョン単位で構成します。Google Cloud のインターネット エッジまたはオンプレミス接続を使用して、ワークロード VM からインターネットに向かうトラフィックを転送できます。

インターネットにアクセスできるワークロード VM も、限定公開の Google アクセスを使用して Google Cloud サービスにアクセスできます。限定公開の Google アクセスを使用して Google Cloud サービスへアクセスしても、Google Cloud ネットワーク内に留まり、インターネットに接続することはできません。

インターネット アクセス ネットワーク サービスは、以下をサポートしています。

  • リージョンごとに最大 100 個のパブリック IP アドレス
  • ファイアウォール テーブルあたり最大 300 個のファイアウォール ルール
  • リージョンごとに 128k の同時接続で最大 2 Gbps のスループット
  • TCP、UDP、ICMP プロトコル

インターネット アクセス ネットワーク サービスは、アプリケーション レベル ゲートウェイ(ALG)機能をサポートしていません。

始める前に

プライベート クラウドのインターネット アクセス設定を変更するには、VMware Engine に対する管理者権限が必要です。

インターネット アクセスを有効にするには、Edge サービスの CIDR アドレス範囲が必要です。インターネット アクセスまたはパブリック IP ネットワーク サービスを有効にすると、サービス テナント コンテキストの中でゲートウェイがデプロイされます。

VMware Engine のインターネット ゲートウェイとパブリック IP ゲートウェイのアドレスには、Edge サービスの CIDR アドレス範囲を使用します。アドレス範囲は、次の要件を満たしている必要があります。

  • プライベート範囲として RFC 1918 に準拠する。
  • 他の VMware Engine アドレス範囲(管理アプライアンスや NSX-T セグメントに使用されるアドレス範囲など)と重複しない。
  • Virtual Private Cloud(VPC)ネットワーク サブネットやオンプレミス ネットワークに使用されるような、VMware Engine にアドバタイズされるアドレス範囲と重複しない。
  • 26 サブネット マスク ビット(/26)を IP アドレス範囲専用にする。

インターネット アクセス サービスを構成する

インターネット アクセス ネットワーク サービスを有効にすると、ワークロード VM からインターネットにアクセスできるようになります。デフォルトでは、インターネット アクセス ネットワーク サービスは無効になっています。

リージョンでインターネット アクセス サービスを有効にする

リージョンでインターネット アクセス サービスを有効にするには、次の操作を行います。

  1. VMware Engine ポータルにアクセスします
  2. [ネットワーク] > [Regional Settings] に移動します。
  3. 目的のリージョンに対応する行で「編集」を選択します。リージョンがサマリー テーブルに表示されていない場合は、[Add Region] をクリックしてリージョンを追加します。
  4. [Internet Access] を有効に切り替えます。
    • インターネット アクセスを有効にし、パブリック IP サービスを無効のままにすることができます。その場合、ポイント対サイト VPN とパブリック IP の割り振りは使用できません。
  5. [Edge Services CIDR] フィールドに、VMware Engine インターネット ゲートウェイのアドレス指定に使用するアドレス範囲(/26 アドレス範囲)を入力します。
  6. [送信] をクリックします。

オペレーションが完了すると、通常数分後に、サービスのステータスが [有効] に変わります。

リージョンでインターネット アクセス サービスを無効にする

リージョンでインターネット アクセス サービスを無効にするには、次の操作を行います。

  1. VMware Engine ポータルにアクセスします
  2. [ネットワーク] > [Regional Settings] に移動します。
  3. 目的のリージョンに対応する行で「編集」を選択します。
  4. [Internet access] を無効に切り替えます。
    • インターネット アクセスを無効にする前に、パブリック IP サービスを無効にする必要があります。
    • パブリック IP サービスを無効にする前に、割り振られたパブリック IP アドレスとポイント対サイト VPN ゲートウェイを削除する必要があります。
  5. [送信] をクリックします。

オペレーションが完了すると、通常数分後に、サービスのステータスが [無効] に変わります。

ワークロードのインターネット接続にオンプレミス接続を使用する

オンプレミス接続を介して、VMware Engine のワークロード VM からインターネットに向かうトラフィックを転送できます。トラフィックは、次の状態に基づいて転送されます。

  • オンプレミスからのデフォルト ルート(0.0.0.0/0)のアドバタイズ
  • VMware Engine のパブリック IP サービス
  • VMware Engine インターネット アクセス サービス
  • VPC ネットワークと VMware Engine 間の VPC ピアリング接続での VPC Service Controls

オンプレミス接続を介したインターネット トラフィックのルーティングを有効にする

オンプレミス接続を介してワークロード VM からインターネットにアクセスするには、デフォルト ルート(0.0.0.0/0)をアドバタイズし、VPC ピアリング接続で VPC Service Controls を有効にします。

  1. オンプレミス接続(Cloud VPN または Cloud Interconnect)を介して、オンプレミスからデフォルト ルート(0.0.0.0/0)をアドバタイズします。VPN へのオンプレミス接続が終端する Cloud VPN ゲートウェイまたは Cloud Router を確認します。
  2. VMware Engine ポータルにアクセスします
  3. [ネットワーク] > [Regional Settings] に移動します。
  4. オンプレミス接続を使用してインターネット アクセスを有効にするリージョンの編集アイコンをクリックします。
  5. [Public IP] を [Disabled] に切り替えます。

  6. [Internet access] を [Disabled] に切り替えます。

  7. [Submit] をクリックします。

  8. gcloud services vpc-peerings enable-vpc-service-controls コマンドを使用して、VPC ネットワークと VMware Engine の間の VPC ピアリング接続で VPC Service Controls を有効にします。

    gcloud services vpc-peerings enable-vpc-service-controls \
       --network=VPC_NETWORK \
       --service=servicenetworking.googleapis.com

オンプレミス接続を介したインターネット トラフィックのルーティングを無効にする

オンプレミス接続を介したワークロード VM からのインターネット トラフィックのルーティングを無効にするには、デフォルト ルート(0.0.0.0/0)のアドバタイズを停止し、VPC ピアリング接続で VPC Service Controls を無効にします。

VPC ネットワークと VMware Engine の間の VPC ピアリング接続で VPC Service Controls を無効にするには、gcloud services vpc-peerings disable-vpc-service-controls コマンドを実行します。

gcloud services vpc-peerings disable-vpc-service-controls \
    --network=VPC_NETWORK \
    --service=servicenetworking.googleapis.com

次のステップ