ローカル・ピアリング・ゲートウェイを使用したローカルVCNピアリング

ローカルVCNピアリングとは、同じリージョン内の2つのVCNを接続し、それらのリソースがインターネット経由またはオンプレミス・ネットワーク経由でトラフィックをルーティングすることなく、プライベートIPアドレスを使用して通信できるようにするプロセスです。VCNが存在する場所は、同じOracle Cloud Infrastructureテナンシ内である場合と、異なる場合があります。ピアリングを行わない場合、特定のVCNは、別のVCNと通信する必要があるインスタンスに対してインターネット・ゲートウェイおよびパブリックIPアドレスを必要とします。

制限関連の情報については、ゲートウェイの制限およびサービス制限の引上げのリクエストを参照してください。

詳細は、他のVCNへのアクセス: ピアリングを参照してください。

LPGを使用したピアリングのネットワーキング・コンポーネントのサマリー

ローカル・ピアリングに必要なネットワーキング・サービス・コンポーネントの概要は次のとおりです:

• 重複しないCIDRを含む同じリージョン内の2つのVCN
• ピアリング関係の各VCN上のローカル・ピアリング・ゲートウェイ(LPG)。
• 2つのLPG間の接続。
• 接続を介したトラフィックのフローを可能にするルート・ルールのサポート。各VCN内の選択サブネットに対してのみ有効にします(必要な場合)。
• 他のVCNと通信する必要があるサブネット内のインスタンス間で許可されるトラフィックのタイプを制御するセキュリティ・ルールのサポート。

次の図は、これらのコンポーネントを示しています。

ノート

特定のVCNでは、ピアリングされたLPGを使用して次のリソースに到達できます:

• 他のVCN内のVNIC
• 転送ルーティングと呼ばれる拡張ルーティング・シナリオがVCNに設定されている場合に、他のVCNにアタッチされているオンプレミス・ネットワーク

VCNは、ピアリングされたVCNを使用して、VCN外部の他の宛先(インターネットなど)に到達することはできません。たとえば、前の図のVCN-1にインターネット・ゲートウェイがあっても、VCN-2のインスタンスはそれを使用してインターネット上のエンドポイントにトラフィックを送信できません。ただし、VCN-2は、VCN-1を経由してインターネットからトラフィックを受信できます。詳細は、VCNピアリングの重要な意味を参照してください。

次の概念は、VCNピアリングの基本およびローカル・ピアリングの確立方法を理解するのに役立ちます。

ピアリング

ピアリングは、2つのVCN間の単一のピアリング関係です。例: VCN-1が他の3つのVCNとピアリングしている場合、3つのピアリングがあります。ローカル・ピアリングのローカルという部分は、VCNが同じリージョン内にあることを示します。1つのVCNは、一度に最大10個のローカル・ピアリングを持つことができます。

注意

ピアリング関係内の2つのVCNは、重複するCIDRを持つことはできません。ただし、VCN-1が他の3つのVCNとピアリングされている場合、それらの3つのVCNは、相互に重複するCIDRを持つことができます。ターゲットのピアリングVCNにトラフィックを転送するルート・ルールを持つように、VCN-1のサブネットを設定します。

VCN管理者

通常、VCNピアリングは、両方のVCN管理者が同意している場合にのみ実行できます。実際には、2人の管理者が次を行う必要があります:

• 一定の基本情報を相互に共有します。
• ピアリングを有効にするために必要なOracle Cloud Infrastructure Identity and Access Managementポリシーを設定するように調整します。
• ピアリング用にVCNを構成します。

状況によっては、一方の管理者が両方のVCNおよび関連ポリシーを担当します。

必要なポリシーおよびVCN構成の詳細は、ローカル・ピアリングの設定を参照してください。

アクセプタおよびリクエスタ

ピアリングに必要なIAMポリシーを実装するには、2人のVCN管理者が1人の管理者をリクエスタとして、もう1人をアクセプタとして指定する必要があります。リクエスタは、2つのLPGを接続するリクエストを開始する必要があります。一方、アクセプタは、アクセプタのコンパートメント内のLPGに接続するためのリクエスタ権限を付与する特定のIAMポリシーを作成する必要があります。このポリシーがないと、リクエスタの接続リクエストは失敗します。

ローカル・ピアリング・ゲートウェイ(LPG)

ローカル・ピアリング・ゲートウェイ(LPG)は、ローカル・ピアリングされたVCNにトラフィックをルーティングするためのVCN上のコンポーネントです。VCN構成の一環として、各管理者は、VCN用のLPGを作成する必要があります。指定したVCNでは、確立されるローカル・ピアリングごとに個別のLPG (VCNごとに最大10個のLPG)が必要です。前の例を続行する場合: VCN-1には、他の3つのVCNとピアリングするための3つのLPGがあります。APIでは、LocalPeeringGatewayはピアリングに関する情報を含むオブジェクトです。後で別のピアリングを確立するためにLPGを再利用することはできません。

ピアリング接続

リクエスタが(コンソールまたはAPIで)ピアへのリクエストを開始すると、2つのLPGを接続するように事実上求められます。リクエスタには、各LPGを識別する情報(LPGのコンパートメントと名前、またはLPGのOCIDなど)が必要です。各管理者は、コンパートメントまたはテナンシに必要なIAMポリシーを設定する必要があります。

どちらのVCN管理者も、LPGを削除することでピアリングを終了できます。この場合、他のLPGのステータスはREVOKEDに切り替わります。かわりに、管理者は、接続でのトラフィック・フローを可能にするルート・ルールまたはセキュリティ・ルールを削除することで、接続を無効化できます(次の各項を参照)。

LPGへのルーティング

VCN構成の一環として、各管理者は、VCN間のトラフィック・フローを可能にするようにVCNのルーティングを更新する必要があります。実際には、これはゲートウェイ(インターネット・ゲートウェイや動的ルーティング・ゲートウェイなど)に設定したルーティングと同様です。他のVCNと通信する必要があるサブネットごとに、サブネットのルート表を更新します。ルート・ルールでは、宛先トラフィックのCIDRとLPGをターゲットとして指定します。LPGは、そのルールに一致するトラフィックを他のLPGにルーティングし、さらにそこから他のVCN内のネクスト・ホップにトラフィックをルーティングします。

次の図で、VCN-1とVCN-2はピアリングされています。サブネットA (10.0.0.15)のインスタンスからのトラフィックのうち、VCN-2 (192.168.0.15)のインスタンスに対して送信されるものは、サブネットAのルート表にあるルールに基づいてLPG-1にルーティングされます(コールアウト1: サブネットAルート表を参照)。トラフィックは、そこからLPG-2にルーティングされ、さらにサブネットXの宛先にルーティングされます。

コールアウト1: サブネットAルート表

宛先CIDR	ルート・ターゲット
0.0.0.0/0	インターネット・ゲートウェイ
172.16.0.0/12	DRG
192.168.0.0/16	LPG-1

コールアウト2: サブネットXルート表

宛先CIDR	ルート・ターゲット
10.0.0.0/16	LPG-2

ノート

前述のように、特定のVCNは、他のVCN内のVNICに到達するためにピアリングされたLPGを使用するか、VCNに対して転送ルーティングが設定されている場合はオンプレミス・ネットワークを使用できます。ただし、VCNは、ピアリングされたVCNを使用して、VCN外部の他の宛先(インターネットなど)に到達することはできません。たとえば、前の図で、VCN-2はVCN-1にアタッチされたインターネット・ゲートウェイを使用できません。

セキュリティ・ルール

VCNの各サブネットには、パケット・レベルでサブネットのVNIC内外のトラフィックを制御する1つ以上のセキュリティ・リストがあります。セキュリティ・リストを使用して、他のVCNで許可されるトラフィックのタイプを制御できます。VCN構成の一環として、各管理者は、自分のVCN内のどのサブネットが他のVCN内のVNICと通信する必要があるかを判断し、それに応じてサブネットのセキュリティ・リストを更新する必要があります。

ネットワーク・セキュリティ・グループ(NSG)を使用してセキュリティ・ルールを実装する場合、トラフィックのソースまたは宛先として別のNSGを指定するNSG用セキュリティ・ルールを記述するオプションがあることに注意してください。ただし、2つのNSGは同じVCNに属している必要があります。

まだ参照していない場合は、ピアリングの重要な意味を読んで、ピアリングされたVCNのアクセス制御、セキュリティおよびパフォーマンスに対する重要な影響を理解してください。

同じリージョン内の2つのVCN間にピアリングを設定するための一般的なプロセスを次に示します:

1. LPGの作成: 各VCN管理者は、独自のVCN用にLPGを作成します。
2. 情報の共有: 管理者は基本的な必須情報を共有します。
3. 接続に必要なIAMポリシーの設定: 管理者は、IAMポリシーを設定して、接続を確立できるようにします。
4. 接続の確立: リクエスタは2つのLPGを接続します。
5. ルート表の更新: 各管理者は、VCNのルート表を更新して、ピアリングされたVCN間のトラフィックを必要に応じて有効にします。
6. セキュリティ・ルールの更新: 各管理者は、VCNのセキュリティ・ルールを更新して、ピアリングされたVCN間のトラフィックを必要に応じて有効にします。

必要に応じて、管理者は接続を確立する前にタスクEおよびFを実行できます。その場合、各管理者は、他のVCNのCIDRブロックまたは特定のサブネットを把握して、タスクBでそれを共有する必要があります。接続の確立後、独自のLPGの詳細をコンソールで確認することにより、他のVCNのCIDRブロックを取得することもできます。「ピア通知CIDR」を確認してください。または、APIを使用している場合は、peerAdvertisedCidrパラメータを参照してください。

また、段階的なプロセスを実行する前に、グループなどの一部のIAM設定を事前構成する必要もあります。