アップグレード済DRGを介したローカルVCNピアリング

概要

ローカル・ピアリング接続を使用するかわりに、共通の動的ルーティング・ゲートウェイ(DRG)にアタッチし、VCNおよびDRGルート表に適切な変更を加えることで、同じリージョン内の2つ以上の仮想クラウド・ネットワーク(VCNs)間のプライベート・ネットワーク通信を確立できます。

このシナリオは、アップグレードされたDRGでのみ使用できます。

If you're using the legacy DRG, you can peer two VCNs in the same region using Local Peering Gateways (LPG) as described in the scenario Local VCN Peering using Local Peering Gateways. Peering two VCNs in the same region through a DRG gives you more routing flexibility and simplified management but comes at the cost of microseconds increase in latency because the traffic routes through a virtual router, the DRG.

このサンプル・シナリオでは、2つのVCNがピアリングされます。このシナリオを実装する前に、次を確認してください:

• VCN-AはDRGにアタッチされていません
• VCN-BがDRGにアタッチされていません
• VCN-AおよびVCN-Bによって使用されるCIDRが重複しません

異なるテナンシ内のVCNsのピアリングには、クロステナンシ認可のための追加のIAMポリシーが必要です。必要な権限の詳細は、VCNs間のルーティングのIAMポリシーを参照してください。別のリージョン内のVCNをDRGにアタッチする場合は、「別のテナンシ内のVCNにDRGをアタッチする」のステップを使用します。このシナリオのほとんどのステップは、DRGと両方のVCNsが同じテナンシにあることを前提としています。

ステップ

DRGを使用して同じリージョン内の2つのVCN間にピアリングを設定するための一般的なプロセスを次に示します:

1. DRGの作成: タスクA: DRGの作成を参照してください。
2. VCN AのDRGへのアタッチ: タスクB: DRGへのVCN-Aのアタッチを参照してください。
3. VCN BのDRGへのアタッチ: タスクC: DRGへのVCN-Bのアタッチを参照してください。
4. VCN BのCIDRを宛先とするトラフィックをDRGに送信するためのVCN Aでのルート表の構成: タスクD: VCN-BのCIDRを宛先とするトラフィックをDRGアタッチメントに送信するためのVCN-Aでのルート表の構成を参照してください。
5. VCN AのCIDRを宛先とするトラフィックをDRGに送信するためのVCN Bでのルート表の構成: タスクE: VCN-AのCIDRを宛先とするトラフィックをDRGアタッチメントに送信するためのVCN-Bでのルート表の構成を参照してください。
6. セキュリティ・ルールの更新: 各VCNのセキュリティ・ルールを更新して、ピアリングされたVCNs間のトラフィックを意図したとおりに有効にします。タスクF: セキュリティ・ルールの更新を参照してください。

DRGを介したピアリングのネットワーキング・コンポーネントのサマリー

DRGを介したローカル・ピアリングに必要なネットワーキング・サービス・コンポーネントの概要は次のとおりです:

• CIDRが重複しない同じリージョン内の2つのVCNs
• 各ピアVCNにアタッチされた単一のDynamic Routing Gateway (DRG)
• トラフィックが接続上、および各VCNs内の選択したサブネットとの間のみ(必要な場合)に流れることを可能にするルート・ルールのサポート
• 他のVCNと通信する必要があるサブネット内のインスタンス間で許可されるトラフィックのタイプを制御するセキュリティ・ルールのサポート

次の図は、これらのコンポーネントを示しています。

ローカル・ピアリングの重要な概念

次の概念は、DRGを使用したVCNピアリングの基本およびローカル・ピアリングの確立方法を理解するのに役立ちます。

ピアリング

ピアリングとは、2つのVCNs間の関係で、どちらも同じDRGに接続し、トラフィックを相互にルーティングできます。ローカル・ピアリングのローカルという部分は、VCNが同じリージョン内にあることを示します。特定のDRGは、一度に最大300のローカルDRGアタッチメントを持つことができます。

注意

ピアVCNは、重複するCIDRを持つことはできません。

管理者

通常、VCNピアリングは、関連するすべてのVCN管理者およびDRG管理者が同意している場合にのみ実行できます。状況によっては、1人の管理者が、関連するすべてのDRG、VCNおよび関連ポリシーを担当します。

必要なポリシーおよびVCN構成の詳細は、VCNs間のルーティングのためのIAMポリシーを参照してください。

DRGへのルーティング

VCN構成の一環として、各管理者は、VCN間のトラフィック・フローを可能にするようにVCNのルーティングを更新する必要があります。実際には、これはゲートウェイ(インターネット・ゲートウェイや動的ルーティング・ゲートウェイなど)に設定したルーティングと似ています。他のVCNと通信する必要があるサブネットごとに、サブネットのルート表を更新します。ルート・ルールでは、宛先トラフィックのCIDRとDRGをターゲットとして指定します。VCNは、このルールに一致するトラフィックをDRGにルーティングします。このトラフィックは、さらにそこから他のVCN内のネクストのホップにトラフィックをルートします。

次の図で、VCN-1とVCN-2はピアリングされています。サブネットA (10.0.0.15)のインスタンスからのトラフィックのうち、VCN-2 (192.168.0.15)のインスタンスに対して送信されるものは、サブネットAのルート表にあるルールに基づいてDRGにルーティングされます。トラフィックは、そこからVCN-2にルーティングされ、さらにサブネットXの宛先にルーティングされます。このシナリオのDRGでは、デフォルト・ルート表が使用されます。

コールアウト1: サブネットAルート表

宛先CIDR	ルート・ターゲット
172.16.0.0/12	DRG
192.168.0.0/16	DRG
0.0.0.0/0	インターネット・ゲートウェイ

コールアウト2: サブネットXルート表

宛先CIDR	ルート・ターゲット
172.16.0.0/12	DRG
10.0.0.0/16	DRG

セキュリティ・ルール

VCNの各サブネットには、パケット・レベルでサブネットのVNIC内外のトラフィックを制御する1つ以上のセキュリティ・リストがあります。セキュリティ・リストを使用して、他のVCNで許可されるトラフィックのタイプを制御できます。As part of configuring the VCNs, each administrator must decide which subnets in their own VCN need to communicate with VNICs in the other VCN and update their subnet's security lists to match.

ネットワーク・セキュリティ・グループ(NSG)を使用してセキュリティ・ルールを実装する場合、トラフィックのソースまたは宛先として別のNSGを指定するNSG用セキュリティ・ルールを記述できることに注意してください。ただし、2つのNSGは同じVCNに属している必要があります。

コンソールでのこのシナリオの設定