ハイブリッド サブネットを使用した Google Cloud への移行について

このページでは、ハイブリッド サブネット ルーティングを使用してワークロードを Google Cloudに移行する方法について説明します。

ハイブリッド サブネット ルーティングを使用すると、VPC ネットワークは接続されたオンプレミス ネットワークと CIDR ブロックを共有できます。パケットがハイブリッド サブネット ルートと一致するが、宛先 IP アドレスがそのサブネット内のリソースに関連付けられていない場合、Google Cloud は動的ルートまたは静的ルートを使用してパケットをオンプレミス ネットワークに転送できます。

この構成により、IP アドレスを変更することなく、ワークロードを Google Cloudに段階的に移行できます。移行中、VPC ネットワークに移行したワークロードは、内部 IP アドレスを使用してオンプレミス ネットワークに残っているワークロードと通信できます。すべてのワークロードが移行されたら、ハイブリッド サブネット ルーティングを無効にして、通常のルーティング動作を復元できます。

ハイブリッド サブネットを使用して Google Cloud に移行するには、連携して機能する 3 つの異なるコンポーネントが必要です。

  • 接続: オンプレミス ネットワークと VPC ネットワークは、Cloud VPN や Cloud Interconnect などのネットワーク接続プロダクトで接続されている必要があります。ハイブリッド サブネットは、この接続を単独で提供しません。
  • ハイブリッド サブネット ルーティング: サブネット リソースに allow-cidr-routes-overlap フラグを適用して、ハイブリッド サブネット ルーティングを有効にする必要があります。
  • 移行ツール: ワークロードを Google Cloudに移行するには、Migrate to Virtual Machines などの移行ツールが必要です。
3 段階の図は、ハイブリッド サブネットを使用してオンプレミスから Google Cloud にワークロードを移行する様子を示しています。
図 1. 移行中、ハイブリッド サブネット ルーティングにより、両方のネットワークのサブネットが同じ CIDR ブロックを使用している場合でも、オンプレミス ネットワーク内のワークロードは内部 IP アドレスを使用して、接続された VPC ネットワーク内のワークロードと通信できます（クリックして拡大）。

仕様

オンプレミス ネットワークからGoogle Cloud へのワークロードの移行をサポートするようにハイブリッド サブネットを構成するには、環境が次の要件を満たしている必要があります。

  • 接続要件:
    • オンプレミス ネットワークと VPC ネットワークは、Cloud VPN や Cloud Interconnect などの Network Connectivity プロダクトで接続されている必要があります。
    • ハイブリッド サブネット ルーティングが有効になっている HA VPN トンネルまたは VLAN アタッチメント、Cloud Router、サブネットは、すべて同じリージョンに存在する必要があります。
  • VPC ネットワークの構成:
    • ハイブリッド サブネット ルーティングが有効になっているサブネットの IPv4 アドレス範囲は、移行するワークロードをホストするオンプレミス ネットワークの CIDR ブロックと一致する必要があります。ほとんどの場合、サブネットのプライマリ IPv4 アドレス範囲は、オンプレミス ネットワークの CIDR ブロックと一致します。
    • ハイブリッド サブネット ルーティングを有効にする必要があります。ハイブリッド サブネット ルーティングが有効になっている場合、サブネット ルートと静的ルートの相互作用のルールと、サブネット ルートと動的ルートの相互作用のルールは適用されません。宛先がサブネットのプライマリ IPv4 アドレス範囲またはセカンダリ IPv4 アドレス範囲のいずれかに一致するか、その範囲内にある場合でも、ローカルおよびピアリングの静的ルートまたは動的ルートが存在する可能性があります。
    • VM を VPC ネットワークに移行するときに VM の IP アドレスを選択的にアドバタイズするには、Cloud Router のカスタム アドバタイズ ルートを構成する必要があります。プロキシ ARP と最長プレフィックス一致をサポートするには、これらのカスタム アドバタイズド ルートが、サブネット ルーティングが有効になっているサブネットの IPv4 アドレス範囲よりも限定的である（サブネット マスクが長い）必要があります。移行された VM の IP アドレスごとに 1 つの /32 カスタム アドバタイズ ルートを使用できます。
  • オンプレミス ネットワークの構成:
    • オンプレミス ルーターのプロキシ ARP を構成する必要があります。
    • 共有 CIDR ブロックの IP アドレス範囲をアドバタイズするようにオンプレミス ルーターを構成する必要があります。
Cloud Router とオンプレミス ルーターは、オンプレミス ネットワークと VPC ネットワーク間で共有される CIDR ブロック全体でルーティングを処理します。
図 2. この図は、共有 CIDR ブロック全体で内部接続を維持するように VPC ネットワークとオンプレミス ネットワークを構成する方法の概要を示しています（クリックして拡大）。

ハイブリッド サブネット ルーティング

ハイブリッド サブネットの仕様で説明されている構成を完了すると、両方のネットワーク内の VM は内部 IP アドレスを使用して通信できます。

以降のセクションでは、この構成が完了した後の、ハイブリッド サブネット ルーティングが有効になっているサブネットを含む VPC ネットワークとオンプレミス ネットワークでのルーティングの動作について説明します。

VPC ネットワークのルーティング

VPC ルーティング モデルのサブネット ルート一致ステップで、パケットの宛先がローカル サブネット ルートまたはピアリング サブネット ルートと一致する場合、 Google Cloud は一致するサブネット ルートを使用してパケットを配信しようとします。通常のサブネットでは、宛先が実行中の VM または内部転送ルールに関連付けられていない場合、パケットは破棄され、他のすべてのルートは無視されます。

ただし、サブネットでハイブリッド サブネット ルーティングが有効になっている場合、サブネット ルートはハイブリッド サブネット ルートになり、ルーティングの動作は異なります。

  • 一致するリソース: パケットの宛先が、実行中の VM インスタンスのネットワーク インターフェースまたはサブネット内の内部転送ルールと一致する場合、 Google Cloud はパケットをインターフェースまたは転送ルールに配信します。この動作は、通常のサブネットと同じです。
  • 一致しないリソース: パケットの宛先がサブネット内のリソースと一致しない場合、 Google Cloud はハイブリッド サブネット内の不一致のリソースのプロセスに従います。このプロセスでは、ハイブリッド サブネットと同じリージョンにネクストホップがある限り、パケットがローカルまたはピアリングの静的ルートまたは動的ルートのネクストホップに転送されます。ローカルまたはピアリングの静的ルートまたは動的ルートは、パケットをオンプレミス ネットワークに配信するパスを提供します。
ハイブリッド サブネット ルーティングが有効になっているサブネットでは、パケット A はローカルでルーティングされ、パケット B はオンプレミス宛先にルーティングされます。
図 3. ハイブリッド サブネット ルーティングを使用するサブネットでは、パケットの宛先がサブネット内のリソースと一致する場合、 Google Cloud はそのリソースにトラフィックを転送します。一致しないリソースについては、 Google Cloud はハイブリッド サブネット内の不一致のリソースのプロセスを使用します（クリックして拡大）。

たとえば、図 3 では、ローカル ハイブリッド サブネット ルートを使用して、パケット A がローカル サブネット内の VM に転送されます。パケット B の宛先は、ハイブリッド サブネット ルーティングを使用するサブネット内の実行中の VM または内部転送ルールに関連付けられていないため、 Google Cloud は、ハイブリッド サブネット ルートの宛先範囲内に収まる動的ルートまたは静的ルートを確認します。一致が見つかり、 Google Cloud は動的ルートを使用してパケット B をオンプレミス ネットワークに配信します。

オンプレミス ネットワークでのルーティング

このセクションでは、オンプレミス ネットワークでのルーティングの動作について説明します。この例では、Cloud VPN トンネルを使用してオンプレミス ネットワークが VPC ネットワークに接続されています。

オンプレミス ネットワーク内のクライアント VM が、2 つのネットワークで共有されている CIDR ブロック内のサーバー VM にパケットを送信すると、オンプレミス ネットワークのルーターまたはファーストホップ デバイスがルーティング テーブルのルックアップを実行します。

  • サーバー VM がオンプレミス ネットワークの IP アドレスに関連付けられている場合、オンプレミス ルーターはプロキシ ARP に介入しません。サーバー VM は、クライアント VM からの ARP who-has パケットに対して、サーバーの MAC アドレスを含むレスポンスで応答します。クライアント VM がサーバー VM にイーサネット フレームを送信します。

  • サーバー VM がオンプレミス ネットワークの IP アドレスに関連付けられておらず、オンプレミス ルーターが VPC ネットワークの Cloud VPN トンネルの Cloud Router BGP セッションから特定のカスタムルート アドバタイズを受信した場合、オンプレミス ルーターはプロキシ ARP を使用して介入します。オンプレミス ルーターは、ルーターの MAC アドレスを含むレスポンスで、クライアント VM からの ARP who-has パケットに応答します。クライアント VM はオンプレミス ルーターにイーサネット フレームを送信し、オンプレミス ルーターは IP パケットを抽出して、Cloud VPN トンネルのいずれかに転送します。これにより、ハイブリッド サブネット ルーティングが有効になっているサブネット内の VM にパケットが配信されます。

オンプレミス ルーターは、プロキシ ARP を使用して、オンプレミス ネットワーク内のワークロードから Google Cloudに移行した VM にパケットをルーティングします。
図 4. オンプレミス ルーターは、プロキシ ARP を使用して、オンプレミス ネットワーク内のワークロードから Google Cloud に移行した VM にパケットをルーティングします（クリックして拡大）。

制限事項

ハイブリッド サブネットには次の制限があります。

  • IP アドレス管理とサポートされているトラフィック:

    • IPv6: ハイブリッド サブネットは IPv6 トラフィックをサポートしていません。

    • ブロードキャストとマルチキャスト: ハイブリッド サブネットは、ブロードキャスト トラフィックとマルチキャスト トラフィックをサポートしていません。

    • IP アドレスの競合: ハイブリッド サブネットは、オンプレミス ネットワーク内のリソースと、ハイブリッド サブネット ルーティングが有効になっているサブネットを含む VPC ネットワーク間の IP アドレスの競合を検出しません。各 IP アドレス（デフォルト ゲートウェイを除く）が 1 回だけ使用されていることを確認します。

    • 使用できないアドレス: サブネットのプライマリ IPv4 アドレス範囲内の最初の 2 つと最後の 2 つの IPv4 アドレスは、どの Google Cloud リソースでも使用できません。このルールは、ハイブリッド サブネット ルーティングを有効にしても有効です。詳細については、IPv4 サブネット範囲で使用できないアドレスをご覧ください。

  • リージョンが一致しない: 一致したハイブリッド サブネット ルートの宛先範囲内の静的ルートまたは動的ルートのネクストホップがサブネットのリージョンとは異なるリージョンにある場合、パケットはドロップされます。詳細については、リージョンに関する制限事項をご覧ください。

  • ネットワーク タグを含む静的ルート: 一致するハイブリッド サブネット ルートの宛先範囲内の一致する静的ルートでネットワーク タグが使用されていないことを確認します。ネットワーク タグを使用する一致した静的ルートは、パケット レートが高い場合にパケットロスを引き起こします。

  • サポートされていないプロダクトのインタラクション: 次のプロダクトでハイブリッド サブネットを使用しないでください。

    • Network Connectivity Center（NCC）: ハイブリッド サブネットでは NCC はサポートされていません。 Google Cloudを使用しても、ハイブリッド サブネット ルーティングが有効になっているサブネットを NCC ハブにエクスポートできますが、予期しないルーティング動作が発生する可能性があります。

    • ハイブリッド接続 NEG: エンドポイントがハイブリッド サブネット ルートに適合する場合、一元管理されたヘルスチェック用の Google のヘルスチェック プローブ システムは、ハイブリッド NEG のエンドポイントと通信できません。

    • ハイブリッド NAT: ハイブリッド サブネットではハイブリッド NAT はサポートされていません。ハイブリッド サブネット ルートが最初に一致した場合、ハイブリッド NAT は、VM から静的ルートまたは動的ルートの宛先に送信されたパケットに対して送信元 NAT（SNAT）を実行しません。

また、次の実質的な制限事項にも注意してください。

  • オンプレミス ネットワークでプロキシ ARP がサポートされている必要がある: ハイブリッド サブネットでは、Azure や AWS などの他のクラウド サービス プロバイダのリモート ネットワークからのワークロードの移行はサポートされていません。これらのリモート ネットワークはプロキシ ARP をサポートしていないためです。

  • オンプレミス ネットワークで /32 ルート アドバタイズを受け入れる必要がある: レイヤ 3 Partner Interconnect を使用する場合は、パートナーに /32 プレフィックスの受信がサポートされているかどうかを確認します。

移行オプション

ハイブリッド サブネットと Migrate to Virtual Machines を使用して、VMware ソースまたは Google Cloud VMware Engine ソースから VM を移行するプロセスを自動化することをおすすめします。

また、このドキュメントで説明するハイブリッド サブネットの要件を満たしていれば、ハイブリッド サブネットでサードパーティの移行ツールを使用することもできます。

Migrate to Virtual Machines を使用した移行計画については、Migrate to VMs を使用した移行の流れをご覧ください。

移行オプションの詳細については、移行リソースをご覧ください。

ハイブリッド サブネットを使用した Google Cloud への移行計画でサポートが必要な場合は、サポートケースを登録してください。

ハイブリッド サブネットの使用に関する考慮事項

以降のセクションでは、ハイブリッド サブネットを使用してワークロードを Google Cloudに移行する際の考慮事項について説明します。

プロキシ ARP とハイブリッド サブネット

ハイブリッド サブネットでは、オンプレミス ネットワークのルーターまたはファーストホップ デバイス（ホストがローカル ネットワーク外の宛先を持つトラフィックを最初に送信するポイント）でプロキシ ARP を構成する必要があります。

ファーストホップ デバイスは、ルーター、仮想アプライアンス、ファイアウォール、または choparp などのソフトウェア ソリューションを実行する VM にできます。

オンプレミス ネットワークでプロキシ ARP を使用する場合は、次のことをおすすめします。

  • プロキシ ARP の有効化とネットワーク環境の保護に関連するベスト プラクティスについては、ネットワーク ファブリックのベンダーにお問い合わせください。
  • Google Cloudへの移行が完了したら、プロキシ ARP を無効にします。

地域制限

この制限は、トラフィックがハイブリッド サブネット ルートと一致するが、宛先 IP アドレスが実行中の VM または内部転送ルールに関連付けられていない場合に適用されます。 Google Cloudのルート選択モデルのハイブリッド サブネット内の不一致のリソースのステップでは、パケットの送信元がハイブリッド サブネット ルートと同じ VPC ネットワークにあるかのようにルートが評価されます。

ハイブリッド サブネット ルート内に収まる宛先範囲を持つ静的ルートまたは動的ルートのネクストホップが別のリージョンにある場合:

  • ルートにネクストホップが混在している場合（ハイブリッド サブネット ルートと同じリージョンにあるものと、別のリージョンにあるもの）、ECMP がサブネット以外のリージョンにあるネクストホップを選択すると、トラフィックはドロップされます。このパケット ドロップは、パケットがサブネットのリージョンにネクストホップを持つ限定性の低いルートにも一致する場合でも発生します。
  • ハイブリッド サブネット ルーティングを使用するサブネットと同じリージョンにネクストホップがない場合、パケットはドロップされます。

次のリソースが同じリージョンにあることを確認します。

  • ハイブリッド サブネット ルーティングが有効になっているサブネット
  • オンプレミス ネットワークへのルートを学習する Cloud Router
  • ハイブリッド接続を提供する HA VPN トンネルまたは VLAN アタッチメント

たとえば、ハイブリッド サブネット ルーティングが有効になっている IP アドレス範囲 192.0.2.0/24 のサブネットがあるとします。サブネットはリージョン us-central1 にあります。Cloud Router は、ハイブリッド サブネット ルートに収まる宛先範囲を持つ 2 つのルートを学習しました。

  • 宛先範囲が 192.0.2.0/25 で、ネクストホップが us-central1 リージョンにある動的ルート
  • 宛先範囲が 192.0.2.0/30 で、ネクストホップが us-west1 リージョンにある動的ルート。

パケットが宛先 192.0.2.2 に送信されます。この IP アドレスは、ローカル サブネットで実行中の VM または内部転送ルールに関連付けられていないため、ルート選択モデルは、最も限定的な宛先（192.0.2.0/30）を持つカスタムルートを選択します。このルートにはサブネットのリージョンにネクストホップがないため、パケットはドロップされます。

詳細については、ハイブリッド サブネット内の不一致のリソースをご覧ください。

VPC ネットワーク ピアリング

VPC ネットワーク ピアリングを使用して、ハイブリッド サブネット ルーティングを使用するサブネットを含む VPC ネットワークをピア VPC ネットワークに接続できます。

ピアリングされたネットワーク内のクライアントからのトラフィックは、宛先がGoogle Cloud リソースであるかオンプレミス ネットワーク内にあるかに関係なく、共有 CIDR ブロック内の宛先に到達できます。ピアリングされたネットワーク内のクライアントからのパケットの宛先がピアリング ハイブリッド サブネット ルートと一致し、宛先が実行中の VM または内部転送ルールと一致しない場合、パケットはピアリングされた VPC ネットワーク内の静的ルートまたは動的ルートを使用してルーティングできます。

ピアリングされた VPC ネットワーク内の静的ルートまたは動的ルートを使用したルーティングは、クライアントを含む VPC ネットワークとのカスタムルートの交換に依存しません。ただし、次の点は引き続き関連しています。

  • クライアントを含む VPC ネットワークのピアリング グループあたりのリージョンごとの動的ルートの割り当ての使用量が、割り当ての上限を下回っていることを確認します。

  • ピアリング ハイブリッド サブネット ルートに収まるピアリング ネットワーク内の静的ルートまたは動的ルートと一致する宛先範囲について、クライアントの VPC ネットワークに他のルートが存在しないことを確認します。

ネットワーク パフォーマンス

ハイブリッド サブネットは、OSI モデルのレイヤ 3 を使用して、オンプレミス ネットワークと VPC ネットワークの間でパケットをルーティングします。移行中に一部のワークロードがオンプレミス ネットワークに存在し、他のワークロードがクラウドに移行した状況になると、レイテンシ、ジッター、スループットの問題が発生する可能性がありますが、ハイブリッド サブネットでは、こうした問題を回避できます。

特に、レイヤ 2 トンネリングを回避することで、追加のレイヤ 2 オーバーレイのカプセル化と暗号化に関連するパフォーマンスの低下を防いでいます。また、レイヤ 2 トンネリングでは、トラフィックが送信元に近い宛先に到達する前に中央ノードに送信されることがよくありますが、ハイブリッド サブネットでは、レイヤ 3 ルーティングによってこの問題の発生を防いでいます。この問題は、ネットワーク トロンボーニングとも呼ばれます。

ハイブリッド サブネットではこのルーティング アプローチが使用されるため、ハイブリッド サブネットを使用しないネットワークと同等のパフォーマンスが期待できます。

ファイアウォールとハイブリッド サブネット

ハイブリッド サブネットにより、レイヤ 2 オーバーレイでカプセル化されたトラフィックでファイアウォールを使用する際の問題を回避できます。レイヤ 2 トラフィックの場合、透過的な復号やオーバーレイ トラフィックの詳細な検査などの特定の手段を講じない限り、ファイアウォールはオーバーレイ エンドポイントに到達した後のパケットのみを検査します。

ハイブリッド サブネットで既存のファイアウォールとファイアウォール ルールを使用する場合、特別な考慮事項はありません。ただし、 Google Cloud VM がオンプレミス ネットワークのワークロードと通信できるように、ファイアウォール ルールを構成する必要があります。

料金

ハイブリッド サブネットの料金については、Virtual Private Cloud の料金をご覧ください。

次のステップ