このドキュメントでは、ネットワーク仮想アプライアンス（NVA）を使用して Google Cloud 内またはGoogle Cloud外のネットワーク内でトラフィックをルーティングする ハイブリッドまたはクロスクラウド ネットワークのハブアンドスポーク ネットワーク トポロジをデプロイするために使用できるリファレンス アーキテクチャについて説明します。
このドキュメントは、ネットワーク接続を構築するネットワーク管理者と、ワークロードのデプロイ方法を計画するクラウド アーキテクトを対象としています。このドキュメントは、ルーティング、BGP プロトコル、インターネット接続、デプロイする NVA ソフトウェアに関する基本的な知識があることを前提としています。
この設計では、オンプレミスまたはクラウド サービス プロバイダ（CSP）のロケーションへの複数のリモート接続と、複数のワークロード Virtual Private Cloud（VPC）ネットワークがサポートされています。動的ルーティングを使用してリージョン アフィニティとクロスリージョン フェイルオーバーを提供する、高パフォーマンスで復元力のあるマルチリージョン デプロイの作成に重点を置いています。動的ルーティングは BGP を利用して、NVA の停止を完全に自動化して検出およびリカバリーします。この設計では、 Google Cloud からオンプレミスまたは他の CSP へのすべてのフローに NVA が配置され、ワークロード VPC ネットワーク間に NVA が配置されます。
ネットワークに NVA を含める場合、このアーキテクチャは次の設計要件に適しています。
- クロスリージョン NVA フェイルオーバーのサポート: リージョン内の NVA ルーティング障害を自動的に検出し、必要に応じてトラフィックを近くのGoogle Cloud リージョン内の NVA に再ルーティングします。
- リージョン アフィニティを維持する: 障害が発生しない限り、レイテンシとデータ転送コストを削減するために、 Google Cloud リージョン内でルーティングを維持します。障害が発生した場合にのみ、トラフィックはリモート リージョンまたはハイブリッド接続にルーティングされます。
この設計では、スケーラビリティ セクションで後述するオプションを使用して構成しない限り、NVA 間で対称ルーティングは提供されません。リージョン フェイルオーバーとローカル トラフィック アフィニティよりも対称ルーティングが設計上重要な場合は、NVA とリージョン アフィニティを使用した VPC ネットワーク ピアリング クロスクラウド ネットワークをご覧ください。
アーキテクチャ
次の図は、このアーキテクチャで使用されるコンポーネントを示しています。この図には 2 つのリージョンしか示されていませんが、設計は追加のリージョンに拡張できます。
アーキテクチャ コンポーネント
上記のサンプル アーキテクチャには、次のコンポーネントが含まれています。
- 外部ネットワーク（オンプレミスまたは他の CSP ネットワーク）
外部ネットワークは、オンプレミスまたは別の CSP に配置できます。ワークロード VPC ネットワークで実行されるアプリケーションのクライアントをホストします。外部ネットワークでアプリケーションをホストすることもできますが、NVA はワークロード VPC ネットワークとの間で送受信されるトラフィックのみを処理します。
この図では、Cloud Interconnect が外部ネットワークをルーティング VPC ネットワークに接続しています。このアーキテクチャでは、Cloud Interconnect の代わりに Cloud VPN を使用することもできます。外部ネットワークは、Cloud Interconnect VLAN アタッチメントまたは Cloud VPN トンネルを使用して、ハイブリッド スポークとして Network Connectivity Center（NCC）ハブ 1 に接続します。
- ルーティング VPC ネットワーク
ルーティング VPC ネットワークは、Cloud Interconnect または Cloud VPN を使用して外部ネットワークに接続します。マルチ NIC NVA を介してトランジット VPC ネットワークに接続します。
ルーティング VPC ネットワークとトランジット VPC ネットワークの間を通過するトラフィックは、NVA を通過する必要があります。ルーティング VPC ネットワーク内の Cloud Router は、外部ネットワーク ルーターと、ルーティング VPC ネットワークに接続されている NVA NIC とルートを交換します。
- トランジット VPC ネットワーク
トランジット VPC ネットワークは、マルチ NIC NVA を介してルーティング VPC ネットワークに接続します。このネットワークは、ルーティング VPC ネットワークとワークロード VPC ネットワーク間のトラフィックを転送します。
トランジット VPC ネットワークは、ワークロード VPC ネットワークから NVA にトラフィックを渡し、ワークロード間のトラフィックのためにワークロード VPC ネットワークに戻します。
ネットワーク内の Cloud Router は、トランジット ネットワークに接続されている NVA NIC とルートを交換します。
- NVA
マルチ NIC NVA は、複数のGoogle Cloud リージョンにペアでデプロイされます。各 NVA には、ルーティング VPC ネットワークに接続された NIC と、トランジット VPC ネットワークに接続された NIC が 1 つずつあります。NVA は 2 つのネットワーク間でトラフィックを転送し、トラフィック検査などの他の機能を提供できます。
このアーキテクチャでは、ワークロード VPC ネットワーク間のトラフィックは NVA を通過する必要があります。このアーキテクチャでは、NVA に少なくとも 2 つの NIC があります。1 つの NIC はルーティング VPC ネットワークに接続され、もう 1 つの NIC はトランジット VPC ネットワークに接続されます。このアーキテクチャでは、管理用または追加のネットワークへの接続用の追加の NIC を必要に応じてサポートできます。
- NCC ハブ 1
この NCC ハブは、外部ネットワーク ハイブリッド接続と、ルーティング VPC ネットワークに接続されている NVA NIC 間の接続を提供します。
ハブは、ルーター アプライアンス スポーク、Cloud VPN スポーク、Cloud Interconnect VLAN アタッチメント スポークなどのハイブリッド スポークを含むメッシュ トポロジで構成されます。
ルーティング VPC ネットワークに接続されている NVA NIC は、ルーター アプライアンス スポークとしてハブに追加されます。最大 8 つの NVA を 1 つのスポークとして追加できます。
- ワークロード VPC ネットワーク
ワークロード VPC ネットワークは、外部ネットワーク内のクライアントからアクセスできるアプリケーション、または他のワークロード VPC ネットワーク内のクライアントからアクセスできるアプリケーションをホストします。ワークロード VPC ネットワークは、他のネットワークからアクセスできる Private Service Connect エンドポイントをホストすることもできます。
ワークロード VPC ネットワークは、NCC ハブ 2 の VPC スポークとして構成されます。ワークロード VPC ネットワークは、NCC ハブ 2 を介してトランジット VPC ネットワークの NVA NIC に接続されます。ワークロード VPC ネットワークから送信されるトラフィックは、トラフィックの最終的な宛先に関係なく NVA にルーティングされます。
- NCC ハブ 2
この NCC ハブは、ワークロード VPC ネットワークとトランジット VPC ネットワーク内のルーター アプライアンス NVA インターフェース間の接続を提供します。
ハブはスタートポロジで構成され、スポークは次のように接続されています。
- トランジット VPC ネットワークの NVA インターフェースは、センター スポーク グループのルーター アプライアンス スポークとして構成されます。
- ワークロード VPC ネットワークは、エッジ スポーク グループの VPC スポークとして構成されます。
ワークロード VPC ネットワークとの間のトラフィックは、NVA を通過する必要があります。
トラフィック フロー
次のセクションでは、すべての NVA と外部ネットワークへの接続が機能している場合の通常のトラフィック フローと、リージョン内の接続または NVA が失敗した場合のフェイルオーバー トラフィック フローを示します。
通常のトラフィック フロー
次の図は、NVA と外部ネットワークへの接続が稼働している場合のトラフィック フローを示しています。
すべてが正常に機能している場合、リージョン トラフィックはリージョン内に留まります。
- BGP 指標は、リージョン内のローカル トラフィック（リージョン A からリージョン A またはロケーション A）を維持し、リソースまたはルートのタグ付けの必要性を排除します。
- このアーキテクチャでは、ワークロード VPC ネットワーク間、ワークロード VPC ネットワークと外部ネットワーク間のトラフィックを処理するように NVA が配置されます。
次のリストは、図に示されているトラフィック フローを示しています。
- 外部ネットワークからワークロード VPC ネットワーク
- トラフィックは、Cloud Interconnect 接続を介してルーティング VPC ネットワークに転送されます。ルートは、Cloud Router によって Network Connectivity Center ハブを介して NVA に通知されます。
- ルーティング VPC ネットワークでは、NVA から学習した動的ルートを使用して、トラフィックがアクティブな NVA の NIC に転送されます。トラフィックは、NVA を経由して他の NIC にルーティングされ、その NIC がトラフィックをトランジット VPC ネットワークに渡します。トラフィックは、NCC ピアリングを介して宛先ワークロード VPC ネットワークに到達します。
- ワークロード VPC ネットワークから外部ネットワーク
- トラフィックは、NCC ピアリングを介して NCC Hub 2 から学習したルートに従って NVA に到達します。NIC を介してアクティブな NVA に入ります。
- トラフィックは NVA を経由して別の NIC にルーティングされ、ルーティング VPC ネットワークに転送されます。トラフィックは、ルーティング VPC ネットワークにプログラムされたルートに従って VLAN アタッチメントに到達し、リモート ネットワークに転送されます。
- ワークロード VPC ネットワークからワークロード VPC ネットワーク
- トラフィックは、NCC ピアリングを介して NCC Hub 2 から学習したルートに従って NVA に到達します。トランジット VPC の NIC を介して NVA に入ります。
- アクティブな NVA が複数ある場合は、BGP 指標によって次のホップとなる NVA が制御されます。トラフィックは、NCC ハブ 2 から学習したルートに従って、同じ NIC を経由して NCC ピアリングを介して他のワークロード VPC ネットワークに転送されます。
フェイルオーバー トラフィック フロー
次の図は、リージョン内のすべての NVA で障害が発生した場合のトラフィック フローを示しています。
あるリージョンのすべての NVA で障害が発生した場合、システムは最も近いリモート リージョンの正常な NVA を介してトラフィックを自動的に再ルーティングします。このアーキテクチャは、1 つのリージョンでハイブリッド接続が失敗した場合にも対応できます。
使用するプロダクト
このリファレンス アーキテクチャでは、次の Google Cloud プロダクトを使用します。
- Virtual Private Cloud（VPC）: Google Cloud ワークロードにグローバルでスケーラブルなネットワーキング機能を提供する仮想システム。VPC には、VPC ネットワーク ピアリング、Private Service Connect、プライベート サービス アクセス、共有 VPC が含まれます。
- Network Connectivity Center: ハブと呼ばれる一元管理リソースに接続されているスポーク リソース間のネットワーク接続を簡素化するオーケストレーション フレームワーク。
- Cloud Interconnect: 高可用性で低レイテンシの接続を通じて、外部ネットワークを Google ネットワークに拡張するサービス。
- Cloud VPN: IPsec VPN トンネルを介してピア ネットワークを Google のネットワークに安全に拡張するサービス。
- Cloud Router: Border Gateway Protocol（BGP）のスピーカー機能とレスポンダー機能を提供する、分散型のフルマネージド サービスです。Cloud Router は、Cloud Interconnect、Cloud VPN、ルーター アプライアンスと連携して、BGP で受信したルートやカスタム学習ルートに基づいて VPC ネットワークに動的ルートを作成します。
- Compute Engine: Google のインフラストラクチャで VM を作成して実行できる、安全でカスタマイズ可能なコンピューティング サービス。
代替案を設計する
要件に応じて、次の設計の選択肢から選択できます。
- このアーキテクチャでは、特定のアプリケーションに対する一元的なアクセスは提供されません。一元化されたアクセスを追加する場合は、分散アプリケーション用のクロスクラウド ネットワークの説明に従って、サービス アクセス VPC ネットワークを構成します。
- この設計では、VPC ネットワークが複数のプロジェクトに分散されていることを前提としています。 Google Cloud ただし、プロジェクトの割り当て戦略によっては、単一のプロジェクトで VPC ネットワークをプロビジョニングできます。
設計上の考慮事項
このセクションでは、このリファレンス アーキテクチャを使用して、セキュリティ、信頼性、スケーラビリティ、パフォーマンスに関する特定の要件を満たすトポロジを開発する際に考慮すべき設計要素、ベスト プラクティス、設計に関する推奨事項について説明します。
セキュリティとコンプライアンス
ワークロードのセキュリティとコンプライアンスの要件を満たす Google Cloud のトポロジを設計するための設計上の考慮事項と推奨事項は次のとおりです。
- NVA ソフトウェアには、トラフィック検査機能が用意されている場合があります。ただし、デプロイ全体で一貫した品質ベースを確保するには、Cloud NGFW を使用することをおすすめします。
- ファイアウォール ポリシールールの Google Threat Intelligence。Google Threat Intelligence データに基づいて接続を許可またはブロックします。
- ファイアウォール ポリシー ルールの位置情報オブジェクト。許可された国からのトラフィックのみを許可し、禁輸措置が取られている国をブロックします。
- 完全修飾ドメイン名（FQDN）フィルタリングでは、ファイアウォール ポリシーの上り（内向き）ルールでは送信元として、下り（外向き）ルールでは宛先として FQDN オブジェクトを使用します。
- 侵入検知および防止（IPS）は、悪意のあるアクティビティをモニタリングし、プリエンプティブにアクションを実行して防止します。
- TLS インターセプト。暗号化されたトラフィックと暗号化されていないトラフィックを検査し、ネットワーク攻撃や中断の有無を調べます。
- トラフィック パターンの分析情報を取得するには、VPC Flow Logs を使用します。
- ネットワークのコンプライアンスをモニタリングするには、Cloud Logging と Cloud Monitoring を使用します。
信頼性
ワークロードの信頼性の要件を満たす Google Cloud のトポロジを設計するための設計上の考慮事項と推奨事項は次のとおりです。
- リージョン内の NVA を複数のGoogle Cloud ゾーンに分散して信頼性を高めます。これにより、個々のゾーンへの依存関係が解消され、ゾーンの停止に対する復元力が向上します。
- Cloud Interconnect で 99.99% の可用性を実現するには、通常、VM が 1 つのリージョンにしかない場合でも、2 つの異なる Google Cloud リージョンに接続する必要があります。Dedicated Interconnect を使用している場合、一部のリージョンでは単一リージョンで 99.99% の可用性がサポートされています。
スケーラビリティ
このセクションでは、ワークロードの拡張性の要件を満たす Google Cloud のトポロジを設計するための設計上の考慮事項と推奨事項について説明します。
設計が対称ルーティングに依存していない場合は、NVA ノードを追加してスケーリングできます。
設計で対称ルーティングが必要な場合は、NVA ソフトウェアで提供される機能に応じて、次のオプションを検討できます。
- BGP 属性を使用して、リージョンごとに 1 つのアクティブ NVA ノードを維持しますが、トラフィックを処理するように VM のサイズを設定します。
- ベンダーの機能を使用して、NVA で送信元 NAT を構成します。
- ベンダーがサポートしている場合は、ノード間でセッション同期を設定できます。
- BGP トラフィック エンジニアリング オプション（BGP ルートポリシーなど）を活用して、フローごとにアクティブ / スタンバイ構成を構成します。たとえば、特定のネットワークで NVA-B よりも NVA-A を優先するように構成し、他のネットワークでは優先順位を逆にすることができます。
パフォーマンスの最適化
ワークロードのパフォーマンス要件を満たす Google Cloud のトポロジを設計するための設計上の考慮事項と推奨事項は次のとおりです。
- ネットワークと接続の最大伝送単位（MTU）を増やすことで、ネットワーク パフォーマンスを向上させることができます。詳細については、最大伝送単位をご覧ください。
- コンバージェンス時間を短縮するには、必要に応じて BGP BFD を使用して、BGP イベントの中断の検出と緩和を高速化することを検討してください。Cloud VPN トンネルまたはルーター アプライアンス スポークとして構成された NVA に構成されている BGP セッションでは、BFD はサポートされていません。
デプロイ
このリファレンス アーキテクチャをデプロイする手順は次のとおりです。
- Google Cloud リージョンを特定する。
- プロジェクト構造を設計して構築する。
- IP アドレスの割り振りを計画する。
- ルーティング VPC ネットワークを作成します。
- 外部ネットワークへの接続を作成する。
- トランジット VPC ネットワークとワークロード VPC ネットワークを作成します。
- NVA を作成します。
- NCC ハブ 1 を作成します。
- NCC ハブ 2 を作成します。
- Google API への限定公開アクセスを追加します。
- インターネットの上り（内向き）と下り（外向き）を一元管理するように設定します。
- ワークロードへの接続性をテストする。
Google Cloud リージョンを特定する
一般に、接続、VPC サブネット、Google Cloud ワークロードは、オンプレミス ネットワークまたは他のクラウド クライアントの近くに配置します。ワークロードの配置の詳細については、Google Cloud リージョン選択ツールと Compute Engine のリージョン選択に関するベスト プラクティスをご覧ください。
このアーキテクチャのリージョン間フェイルオーバー サポートを活用するには、NVA をホストするリージョンを少なくとも 2 つ選択することをおすすめします。
プロジェクト構造の設計と構築
VPC ネットワークを作成するプロジェクトを作成または特定します。次のプロジェクトが必要です。
- ルーティング ネットワークをホストするプロジェクト。外部接続を接続する場所です。このプロジェクトには、ハイブリッド接続を NVA の外部向け NIC にリンクする Network Connectivity Center ハブもホストされています。
- トランジット ネットワークとワークロード VPC ネットワークをホストするプロジェクト。ガイダンスについては、ネットワーク セグメンテーションとプロジェクト構造をご覧ください。共有 VPC ネットワークを使用する場合は、プロジェクトを共有 VPC ホスト プロジェクトとしてプロビジョニングします。
IP アドレスの割り振りを計画する
必要なネットワークの IP アドレス割り振りプランを作成します。ワークロード VPC ネットワーク アドレスの集約を容易にするには、単一の大きな範囲からアドレス範囲を選択します。ワークロード VPC ネットワークの割り当てに使用する大きなスーパーネット範囲（/12 など）を 1 つ割り当てることをおすすめします。
計画には、次のネットワークの IP 範囲を含める必要があります。
- 外部ネットワーク
- ルーティング VPC ネットワーク
- トランジット VPC ネットワーク
- すべてのワークロード VPC ネットワークの集約範囲
ルーティング VPC ネットワークを作成する
ルーティング VPC ネットワークには次のコンポーネントがホストされています。
- 外部ネットワークへのハイブリッド接続。
- 各 NVA から 1 つの NIC。図では、この NIC に nic 0 というラベルが付いています。
- リージョンごとに 1 つの Cloud Router。
ルーティング VPC ネットワークを作成するときは、次の操作を行います。
- ルーティング VPC ネットワークを作成するプロジェクトで、グローバル動的ルーティングが有効になっているグローバル カスタムモード VPC ネットワークとしてルーティング ネットワークを作成します。リージョン間のルーティングには、グローバル動的ルーティングが必要です。
- ルーティング ネットワークで、リージョンごとに 1 つのサブネットを作成します。これらのサブネットは、外部ネットワークへのプライベート ルーティングに使用される NVA インターフェースと、必要に応じてインターネットへの通信をホストします。
- 各リージョンに Cloud Router を作成します。Cloud Router は、そのリージョンの VPC ネットワークと外部ネットワーク間の BGP を処理します。ハイブリッド接続とワークロード間のローカル ルーティングを NVA を介して有効にするには、ハイブリッド接続と同じリージョンに NVA とワークロード VPC ネットワークを作成することをおすすめします。
- 同じリージョンに NVA とワークロード ネットワークを作成する場合は、そのリージョンに 1 つの Cloud Router をデプロイするだけで済みます。
- 1 つのリージョンに NVA を作成し、別のリージョンにワークロード VPC ネットワークを作成する場合は、各リージョンに Cloud Router が必要です。
外部ネットワークへの接続を作成する
この設計では、Cloud Interconnect を使用して外部ネットワークを Google Cloud ルーティング VPC ネットワークに接続することをおすすめします。ただし、別の接続プロダクトを選択することはできます。詳細については、Network Connectivity プロダクトの選択をご覧ください。
外部ネットワーク（オンプレミスや他のクラウド）とルーティング VPC ネットワーク間の接続を設定します。本番環境のワークロードには 99.99% の SLA を目標とし、接続を確立する際は Google のベスト プラクティスに従うことをおすすめします。
外部ネットワークへのハイブリッド接続を構成するときに、追加の顧客ネットワークでリモート ロケーションとの間でルーティングが必要な場合は、サブネットをカスタムルート アドバタイズとしてアドバタイズします。
トランジット VPC ネットワークとワークロード VPC ネットワークを作成する
トランジット VPC ネットワークの役割は、NVA をワークロード VPC ネットワークに接続することです。
- トランジット ネットワークを配置するプロジェクトで、グローバル動的ルーティングが有効になっているグローバル カスタムモード VPC ネットワークとしてトランジット ネットワークを作成します。リージョン間のルーティングには、グローバル動的ルーティングが必要です。
- リージョンごとに 1 つのサブネットを作成して、ワークロード VPC ネットワークへのプライベート ルーティングに使用される NVA インターフェースをホストします。
- NVA をプロビジョニングする予定の各リージョンで Cloud Router を構成します。
- 必要に応じて、ワークロード VPC ネットワークを作成します。
NVA を作成する
Google Cloud Marketplace に掲載されている NVA をプロビジョニングする方法については、NVA プロバイダのドキュメントをご覧ください。この設計用に NVA を構成する場合は、次のガイドラインに従ってください。
- マルチリージョンの復元力を確保するため、少なくとも 2 つのリージョンに NVA をペアでデプロイします。NVA は Network Connectivity Center ルーター アプライアンス スポークとして追加されるため、インスタンス グループで構成する必要はありません。
- NVA VM には少なくとも 2 つの NIC が必要ですが、一部のベンダーでは管理専用の NIC が必要です。ベンダーの要件をサポートするために必要な NIC を追加します。
- 単一のアクティブ NVA を介した対称ルーティングを保証するには、NVA が MED などの BGP 指標を設定して、リージョン内の NVA 間でルート設定を提供する必要があります。プライマリに 10、セカンダリに 20 など、MED の値を小さくすることをおすすめします。 Google Cloud はリモート ネットワークのリージョン ウェイトを追加するため、クロスリージョン設定の MED を設定する必要はありません。ルーティングの対称性を確保する方法については、このドキュメントの前半の「スケーラビリティ」セクションをご覧ください。
- ワークロード VPC サブネット範囲を集約または要約したスーパーネット ルートとしてアドバタイズするには、トランジット ネットワークに接続されている NVA NIC で BGP を構成します。このルートは、NVA を介したワークロード間の VPC 通信を有効にするために必要です。Cloud Router に表示されるすべてのサブネットをアドバタイズするように NVA を構成します。
NCC ハブ 1 を作成する
この設計における最初の NCC ハブの役割は、ハイブリッド接続と NVA 間の動的ルート アドバタイズメントを有効にすることです。NCC ハブを構成する際は、次のガイドラインに従ってください。
- すべてのスポークが相互に直接通信できるように、メッシュ トポロジで NCC ハブを構成します。
- ハイブリッド接続（VLAN アタッチメントまたは VPN）をハイブリッド スポークとしてハブに追加します。
- サイト間データ転送を有効にします。サポートされているロケーションについては、データ転送をサポートするロケーションをご覧ください。
- [スポークからハブへの IPv4 サブネット範囲のエクスポートを含める] オプションを有効にします。
- [ハブからスポークへのすべての IPv4 範囲を含める] オプションを有効にします。
- ルーティング VPC ネットワークに接続されている NVA NIC を特定し、ルーター アプライアンス スポークとして NCC ハブ 1 に追加します。
- サイト間データ転送を有効にします。
- [スポークからハブへの IPv4 サブネット範囲のエクスポートを含める] オプションを有効にします。
- [ハブからスポークへのすべての IPv4 範囲を含める] オプションを有効にします。
- 復元性を確保するには、ルーター アプライアンスを構成するときに、Cloud Router の両方のインターフェースに BGP セッションを作成します。
NCC ハブ 2 を作成する
2 番目の NCC ハブは、NVA とワークロード VPC ネットワーク間の動的ルート アドバタイズを有効にします。これを行うには、NVA NIC をルーター アプライアンス スポークとして追加し、ワークロード VPC ネットワークを VPC スポークとして追加します。
- ワークロード VPC スポーク間のトラフィックがトランジット VPC ネットワーク（ハブ）を通過するように、NCC ハブをスター トポロジで構成します。
- NVA をルーター アプライアンス スポークとしてハブのセンター グループに追加します。
- サイト間データ転送を有効にします。
- [スポークからハブへのすべてのエクスポート IPv4 範囲を含める] オプションを有効にします。
- [ハブからスポークへのインポート IPv4 範囲を含める] オプションを有効にします。
- ワークロード VPC スポークをエッジグループに追加します。
- 復元性を確保するには、ルーター アプライアンス スポークを構成するときに、Cloud Router の両方のインターフェースに BGP セッションを作成します。
Google API とサービスへのプライベート アクセスを追加する
アプリケーションが Google API にアクセスする必要がない場合は、初期デプロイでこのセクションをスキップして、一元化されたインターネット上り（内向き）と下り（外向き）を設定するに進むことができます。
ロギングと可視性の要件に基づいて、Google API とサービスへのプライベート アクセスを有効にするには、次の 2 つの方法があります。これらのサービスの詳細については、 Google Cloudサービスのタイプをご覧ください。
Private Service Connect サービスへの直接ルーティング（NVA を介さない）
- 各 VPC ネットワークに Google API 用の Private Service Connect エンドポイントを作成します。
- サービス アクセスが必要な各ワークロード VPC ネットワークに、Google が公開したサービスの Private Service Connect エンドポイントを作成します。
- 外部ネットワークからのアクセスを有効にするには、ルーティング VPC ネットワークに Private Service Connect エンドポイントをプロビジョニングします。オンプレミスから Google API へのプライベート アクセスを有効にする方法については、Private Service Connect のドキュメントをご覧ください。
NVA を介した間接ルーティング
- ルーティング VPC ネットワークで、Google API 用の Private Service Connect エンドポイントを作成します。
- トランジット VPC ネットワークに、Google API 用の Private Service Connect エンドポイントを作成します。
DNS を次のように構成します。
- ワークロード VPC ネットワーク: DNS を構成して、API 呼び出しをルーティング VPC の Private Service Connect エンドポイントの IP アドレスに解決します。
- 外部ネットワーク: トランジット VPC ネットワークに作成した Private Service Connect エンドポイントの IP アドレスに API 呼び出しを解決するように DNS を構成します。
このアプローチにより、NVA は Google APIs トラフィックを転送できます。
Google 公開サービス用の Private Service Connect エンドポイントは、サービスに関連付けられているワークロード VPC にのみ作成します。
Google 公開サービスの Private Service Connect エンドポイントへの VPC ネットワーク間のアクセスを有効にするには、NCC
hub 2で Private Service Connect 伝播を有効にします。
インターネットの上り（内向き）と下り（外向き）を一元管理する
アプリケーションが NVA を介してインターネットにアクセスする必要がない場合は、初期デプロイでこのセクションをスキップして、ワークロードへの接続をテストするに進むことができます。
インターネット上り（内向き）の一元化
インターネットからの上り（内向き）の場合、トラフィックがスポーク VPC のターゲット リソースに転送されるときに、NVA はトラフィックに対して DNAT を実行する必要があります。上り（内向き）を構成する方法については、Google Cloud でネットワーク仮想アプライアンス（NVA）を使用して Google ロードバランサを構成する方法をご覧ください。この構成では、元のターゲット アドレスを NVA の前に配置された Google ロードバランサに割り当てます。選択したロードバランサのタイプは、上り（内向き）サービスのグローバルな性質に影響します。
一元化されたインターネット下り（外向き）
インターネットへの下り（外向き）トラフィックを一元化する場合は、インターネット上のターゲット リソースにトラフィックが転送されるときに、NVA がトラフィックの SNAT を実行する必要があります。 Google Cloud ソースからのトラフィックをルーティングするには、NVA がスポーク VPC にデフォルト ルートをアドバタイズする必要があります。このルーティングにはロードバランサは必要ありません。
ワークロードへの接続性をテストする
トラフィック フローを可視化するには、traceroute を使用します。さまざまなフローの接続をテストするには、異なる VPC にテスト VM を作成します。
次のステップ
- デプロイのモニタリングとロギングを設定するには、 Google Cloudのオブザーバビリティをご覧ください。
- モニタリングとトラブルシューティングの追加ツールについては、Network Intelligence Center の概要をご覧ください。
- Cloud アーキテクチャ センターで、リファレンス アーキテクチャ、図、ベスト プラクティスを確認する。
寄稿者
寄稿者
著者: Haider Witwit | カスタマー エンジニア
その他の寄稿者:
- Jonathan Almaleh | スタッフ テクニカル ソリューション コンサルタント
- Ghaleb Al-habian | ネットワーク スペシャリスト
- Mark Schlagenhauf | テクニカル ライター、ネットワーキング
- Ammett Williams | デベロッパー リレーションズ エンジニア
- Osvaldo Costa | ネットワーキング スペシャリスト カスタマー エンジニア