レガシーDRGを使用したリモートVCNピアリング

リモートVCNピアリングは、異なるリージョン(ただし、同じテナンシ内)にある2つのVCNを接続するプロセスです。ピアリングにより、VCNsのリソースは、インターネット経由またはオンプレミス・ネットワーク経由でトラフィックをルーティングすることなく、プライベートIPアドレスを使用して通信できます。ピアリングを行わない場合は、VCNは、異なるリージョン内の別のVCNと通信する必要があるインスタンスに対してインターネット・ゲートウェイおよびパブリックIPアドレスを必要にします。

リモート・ピアリングのネットワーキング・コンポーネントのサマリー

リモート・ピアリングに必要なネットワーキング・サービス・コンポーネントの概要は次のとおりです:

• リモート・ピアリングをサポートする異なるリージョンで、CIDRが重複しない2つのVCNs。

  ノート
  
  

  いずれのVCN CIDRにも重複がないことが必要

  ピアリング関係にある2つのVCNに、重複するCIDRがないことが必要です。また、特定のVCNに複数のピアリング関係がある場合、それらの他のVCNは、相互に重複するCIDRを持つことはできません。たとえば、VCN-1がVCN-2とピアリングされ、さらにVCN-3ともピアリングされている場合、VCN-2とVCN-3に重複するCIDRがない必要があります。

• ピアリング関係の各VCNにアタッチされたDynamic Routing Gateway (DRG)。サイト間VPN IPSecトンネルまたはOracle Cloud Infrastructure FastConnectプライベート仮想回線を使用している場合、VCNにはすでにDRGがあります。
• ピアリング関係にある各DRG上のリモート・ピアリング接続(RPC)。
• その2つのRPCの間の接続。
• ルート・ルールをサポートして、トラフィックが接続を経由し、各VCNs内の選択したサブネットとの間のみ(必要な場合)を経由できるようにします。
• 他のVCNと通信する必要があるサブネット内のインスタンス間で許可されるトラフィックのタイプを制御する、サポート・セキュリティ・ルール。

次の図は、これらのコンポーネントを示しています。

ノート

VCNは、接続されたRPCを使用して、他のVCNまたはオンプレミス・ネットワークのVNICに到達することのみでき、インターネットなどのVCNsの外部の宛先には到達できません。たとえば、前の図でVCN-1にインターネット・ゲートウェイがある場合、VCN-2のインスタンスはそれを使用してインターネット上のエンドポイントにトラフィックを送信できませんでした。詳細は、ピアリングの重要な意味を参照してください。

スポークツースポーク: 転送ルーティングを使用するリモート・ピアリング

ノート

この項で説明するシナリオはまだサポートされていますが、非推奨です。「中央ネットワーク仮想アプライアンスを介したトラフィックのルーティング」で説明されているDRG転送ルーティング方法を使用することをお薦めします。

次の図に示すように、各リージョンで複数のVCNsがハブアンドスポーク・レイアウトにあるとします。リージョン内のこのタイプのレイアウトについては、ハブVCN内の転送ルーティングで詳しく説明しています。特定のリージョン内のスポークVCNは、ローカル・ピアリング・ゲートウェイを使用して、同じリージョン内のハブVCNとローカル・ピアリングされます。

2つのハブVCNの間にリモート・ピアリングを設定できます。さらに、ハブVCN内の転送ルーティングで説明されているように、ハブVCNのDRGとLPGに転送ルーティングを設定することもできます。この設定により、あるリージョン内のスポークVCNは、それらのVCNs間で直接リモート・ピアリング接続を必要とせずに、他のリージョン内の1つ以上のスポークVCNと通信できます。

たとえば、VCN-1-A内のリソースがハブVCNを経由してVCN-2-AおよびVCN-2-B内のリソースと通信できるように、ルーティングを構成できます。これにより、VCN 1-Aは、他のリージョンの各スポークVCNsと別個のリモート・ピアリングを持つ必要はありません。また、VCN-1-Bが独自のリモート・ピアリングを持たずにリージョン2内の各スポークVCNと通信できるようにルーティングを設定することもできます。

次の概念は、ピアリングの基本およびリモート・ピアリングの確立方法を理解するのに役立ちます。

ピアリング

ピアリングは、2つのVCN間の単一のピアリング関係です。例: VCN-1が他の2つのVCNとピアリングする場合、2つのピアリングが存在します。リモート・ピアリングのリモートという部分は、VCNが異なるリージョンに存在することを示します。

VCN管理者

通常、VCNピアリングは、両方のVCN管理者が同意している場合にのみ実行できます。実際には、2人の管理者が次を行う必要があります:

• 一定の基本情報を相互に共有します。
• ピアリングを有効にするために必要なOracle Cloud Infrastructure Identity and Access Managementポリシーを設定するように調整します。
• ピアリング用にVCNを構成します。

状況によっては、一方の管理者が両方のVCNおよび関連ポリシーを担当します。

必要なポリシーおよびVCN構成の詳細は、リモート・ピアリングの設定を参照してください。

アクセプタおよびリクエスタ

ピアリングに必要なIAMポリシーを実装するには、2人のVCN管理者が1つの管理者をリクエスタとして、もう1人をアクセプタとして指定する必要があります。2つのRPCを接続する要求を開始するには、リクエスタがリクエスタである必要があります。次に、アクセプタは、アクセプタのコンパートメント内のRPCに接続する権限をリクエスタに付与する特定のIAMポリシーを作成する必要があります。このポリシーがないと、リクエスタの接続リクエストは失敗します。

リージョン・サブスクリプション

別のリージョン内のVCNとピアリングの際には、まずテナンシがそのリージョンにサブスクライブされている必要があります。サブスクライブの詳細は、リージョンの管理を参照してください。

リモート・ピアリング接続(RPC)

リモート・ピアリング接続(RPC)は、VCNにアタッチされたDRG上に作成するコンポーネントです。RPCの役割は、リモートにピアリングされたVCNの接続ポイントとなることです。VCNの構成の一部として、各管理者はVCN上にDRGのRPCを作成する必要があります。特定のDRGには、VCNに対して確立されるリモート・ピアリングごとに個別のRPCが必要です。前の例から続行する場合: VCN-1のDRGには、他の2つのVCNとピアリングするための2つのRPCがあります。APIでは、RemotePeeringConnectionはピアリングに関する情報を含むオブジェクトです。後で別のピアリングを確立するためにRPCを再利用することはできません。

2つのRPC間の接続

リクエスタがピア(コンソールまたはAPI)へのリクエストを開始すると、2つのRPCを接続するように求められます。つまり、リクエスタは各RPCを特定する情報(RPCのリージョンやOCIDなど)を持っている必要があります。

どちらのVCN管理者でも、RPCを削除することでピアリングを終えることができます。その場合、もう一方のRPCのステータスがREVOKEDに切り替わります。かわりに、管理者は、接続におけるトラフィック・フローを可能にするルート・ルールを削除することで、接続を非アクティブ化できます(次の項を参照)。

DRGへのルーティング

VCN構成の一環として、各管理者は、VCN間のトラフィック・フローを可能にするようにVCNのルーティングを更新する必要があります。他のVCNと通信する必要があるサブネットごとに、サブネットのルート表を更新します。ルート・ルールでは、宛先トラフィックのCIDRとDRGをターゲットとして指定します。DRGは、このルールに一致するトラフィックを他のDRGにルーティングします。これにより、さらにそこから他のVCNのネクストロップにトラフィックがルーティングされます。

次の図で、VCN-1とVCN-2はピアリングされています。サブネットA (10.0.0.15)のインスタンスからのトラフィックのうち、VCN-2 (192.168.0.15)のインスタンスに対して送信されるものは、サブネットAのルート表にあるルールに基づいてDRG-1にルーティングされます。トラフィックは、そこからRPCを介してDRG-2にルーティングされ、さらにサブネットX内の宛先にルーティングされます。

コールアウト3: サブネットAルート表

宛先CIDR	ルート・ターゲット
0.0.0.0/0	インターネット・ゲートウェイ
192.168.0.0/16	DRG-1

コールアウト4: サブネットXルート表

宛先CIDR	ルート・ターゲット
10.0.0.0/16	DRG-2

ノート

前述のように、VCNは接続されたPCのみを使用して他のVCNのVNICに到達でき、VCNsの外部の宛先(インターネットやオンプレミス・ネットワークなど)にはアクセスできません。たとえば、前の図で、VCN-2はVCN-1にアタッチされたインターネット・ゲートウェイを使用することはできません。

セキュリティ・ルール

VCNの各サブネットには、パケット・レベルでサブネットのVNIC内外のトラフィックを制御する1つ以上のセキュリティ・リストがあります。セキュリティ・リストを使用して、他のVCNで許可されるトラフィックのタイプを制御できます。VCNsの構成の一環として、各管理者は、他のVCN内のVNICと通信するために必要な独自のVCN内のサブネットを決定し、トラフィックを許可するようにサブネットのセキュリティ・リストを更新する必要があります。

ネットワーク・セキュリティ・グループ(NSG)を使用してセキュリティ・ルールを実装する場合、トラフィックのソースまたは宛先として別のNSGを指定するNSG用セキュリティ・ルールを記述するオプションがあることに注意してください。ただし、2つのNSGは同じVCNに属している必要があります。

まだ参照していない場合は、ピアリングの重要な意味を読んで、ピアリングされたVCNのアクセス制御、セキュリティおよびパフォーマンスに対する重要な影響を理解してください。

この項では、異なるリージョンにある2つのVCN間にピアリングを設定するための一般的なプロセスについて説明します。

1. RPCの作成: 各VCN管理者は、自分のVCNのDRGにRPCを作成します。
2. 情報の共有: 管理者は基本的な必須情報を共有します。
3. 接続に必要なIAMポリシーの設定:管理者は、IAMポリシーを設定して、接続を確立できるようにします。
4. 接続の確立: リクエスタが2つのRPCを接続します(リクエスタおよびアクセプタの定義については、リモート・ピアリングの重要な概念を参照)。
5. ルート表の更新:各管理者はVCNのルート表を更新して、ピアリングされたVCNまたはサブネット間のトラフィックを有効にします。
6. セキュリティ・ルールの更新:各管理者がVCNのセキュリティ・ルールを更新して、ピアリングされたVCNまたはサブネット間のトラフィックを有効にします。

管理者は、接続を確立する前に、タスクEおよびFを実行できます。各管理者は、他のVCNのCIDRブロックまたは特定のサブネットを把握して、タスクBでそれを共有する必要があります。