Virtual Private Cloud（VPC）の概要

Virtual Private Cloud（VPC）は、Compute Engine 仮想マシン（VM）インスタンス、Google Kubernetes Engine（GKE）クラスタ、サーバーレスワークロードにネットワーキング機能を提供します。VPC は、クラウドベースのリソースとサービスに、スケーラブルで柔軟性に優れたグローバルなネットワーキングを提供します。

このページでは、VPC のコンセプトと機能の概要を説明します。

VPC ネットワーク

VPC ネットワークは、Google Cloud 内で仮想化されている点を除き、物理ネットワークと同じように考えることができます。VPC ネットワークは、データセンター内のリージョン仮想サブネットワーク（サブネット）のリストで構成されるグローバルリソースであり、すべてグローバルな広域ネットワークで接続されています。VPC ネットワークは、Google Cloud 内で互いに論理的に隔離されています。

VPC ネットワークは次のことを行います。

Google Kubernetes Engine（GKE）クラスタ、サーバーレスワークロードなどの Compute Engine 仮想マシン（VM）インスタンスや、Compute Engine VM 上に構築された他の Google Cloud プロダクトに向けた接続を提供します。
内部アプリケーションロードバランサ用に内部パススルーネットワークロードバランサとプロキシシステムを提供します。
Cloud VPN トンネルと、Cloud Interconnect 用の VLAN アタッチメントを使用して、オンプレミスネットワークに接続します。
Google Cloud の外部ロードバランサからバックエンドにトラフィックを分散します。

VPC ネットワークの詳細をご覧ください。

ファイアウォールルール

各 VPC ネットワークは、構成可能な分散仮想ファイアウォールを実装しています。ファイアウォールルールを使用すると、どのパケットをどの宛先に送信できるようにするかを制御できます。すべての VPC ネットワークには、すべての着信接続をブロックし、すべての発信接続を許可する 2 つの暗黙のファイアウォールルールがあります。

default ネットワークには、default-allow-internal ルールなどの、ネットワークでのインスタンス間の通信を許可する追加のファイアウォールルールがあります。

ファイアウォールルールの詳細をご覧ください。

ルート

ルートは、VM インスタンスと VPC ネットワークに対して、インスタンスから宛先（ネットワーク内部または Google Cloud の外部）にトラフィックを送信する方法を通知するものです。各 VPC ネットワークにはいくつかのシステム生成ルートが用意されており、サブネット間でのトラフィックのルーティングや、適切なインスタンスからインターネットへのトラフィックの送信ができます。

カスタム静的ルートを作成して、一部のパケットを特定の宛先に送信できます。

ルートの詳細をご覧ください。

転送ルール

ルートは、インスタンスから発信されるトラフィックを制御しますが、転送ルールは、IP アドレス、プロトコル、ポートに基づいて VPC ネットワーク内の Google Cloud リソースにトラフィックを転送します。

転送ルールには、Google Cloud 外部からネットワーク内の宛先にトラフィックを転送するものと、ネットワーク内からトラフィックを転送するものがあります。転送ルールの宛先は、ターゲットインスタンス、ロードバランサターゲット（ターゲットプロキシ、ターゲットプール、バックエンドサービス）、Cloud VPN ゲートウェイです。

転送ルールの詳細をご覧ください。

インターフェースと IP アドレス

IP アドレス

Compute Engine VM インスタンス、転送ルール、GKE コンテナ、App Engine などの Google Cloud リソースは、通信を IP アドレスに依存しています。

IP アドレスの詳細をご覧ください。

エイリアス IP 範囲

単一の VM インスタンス上で実行しているサービスが複数ある場合は、エイリアス IP 範囲を使用して各サービスに異なる内部 IP アドレスを割り当てることができます。VPC ネットワークは特定のサービス宛てのパケットを、対応する VM に転送します。

エイリアス IP 範囲の詳細をご覧ください。

複数のネットワークインターフェース

1 つの VM インスタンスに複数のネットワークインターフェースを追加できます。各インターフェースは固有の VPC ネットワーク内にあります。複数のネットワークインターフェースにより、ネットワークアプライアンス VM がさまざまな VPC ネットワーク間またはインターネットとの間のトラフィックを保護するゲートウェイとして機能するようになります。

複数のネットワークインターフェースの詳細をご覧ください。

共有 VPC

1 つのプロジェクト（ホストプロジェクトと呼ばれます）から Google Cloud 組織内の他のプロジェクトに VPC ネットワークを共有できます。共有 VPC ネットワーク全体へのアクセスを許可するか、特定の IAM 権限を使用してサブネットを選択できます。これにより、組織の柔軟性を維持しながら、一般的なネットワーク上で集中管理を行うことができます。共有 VPC は、特に大規模な組織で役立ちます。

共有 VPC の詳細をご覧ください。

VPC ネットワークピアリング

VPC ネットワークピアリングを利用すると、Google Cloud に Software as a Service（SaaS）エコシステムを構築できます。これにより、ネットワークが同じプロジェクト、異なるプロジェクト、または別の組織のプロジェクトかどうかに関係なく、異なる VPC ネットワーク間でサービスを非公開で利用できるようになります。

VPC ネットワークピアリングでは、内部 IP アドレスを使用してすべての通信が行われます。ファイアウォールルールに従い、ピアリングしたネットワーク内の VM インスタンスは、外部 IP アドレスを使用せずに互いに通信できます。

ピアリングしたネットワークは、プライベート IP アドレス範囲のサブネットルートを自動的に交換します。VPC ネットワークピアリングでは、次の種類のルートを交換するかどうかを構成できます。

非公開で再利用されるパブリック IP 範囲のサブネットルート
カスタムの静的ルートと動的ルート

ピアリングされる各ネットワークのネットワーク管理は変わりません。IAM ポリシーが VPC ネットワークピアリングによって交換されることはありません。たとえば、1 つの VPC ネットワークのネットワーク管理者とセキュリティ管理者が、ピアリングされたネットワークのロールを自動的に取得することはありません。

VPC ネットワークピアリングの詳細をご覧ください。

ハイブリッドクラウド

Cloud VPN

Cloud VPN では、安全なバーチャルプライベートネットワークを使用して、VPC ネットワークを物理的なオンプレミスネットワークまたは別のクラウドプロバイダに接続できます。

Cloud VPN の詳細をご覧ください。

Cloud Interconnect

Cloud Interconnect は、高速の物理接続を使用して、VPC ネットワークをオンプレミスネットワークに接続します。

Cloud Interconnect の詳細をご覧ください。

Cloud Load Balancing

Google Cloud では、多くのバックエンドタイプにトラフィックとワークロードを分散するため、グローバルとリージョンのロードバランシング構成がいくつか用意されています。詳細については、Cloud Load Balancing の概要をご覧ください。

特別な構成

限定公開の Google アクセス

サブネットに対して限定公開の Google アクセスを有効にすると、VPC ネットワークのサブネット内のインスタンスは、外部 IP アドレスの代わりにプライベート IP アドレスを使用して Google API およびサービスと通信できます。

限定公開の Google アクセスの詳細をご覧ください。