VPCネットワークについて

IBM Cloud® Virtual Private Cloud (VPC）ネットワーキングは、クラウドリソースを展開するための、プライベートで分離されたソフトウェア定義のネットワーク環境を提供する。 デフォルトで強力な分離とセキュリティを維持しながら、VPC内、プライベート・ネットワーク間、パブリック・インターネットとのリソースの通信方法を制御することができます。

以下のセクションでは、VPCネットワーキングのコンセプトと、安全で拡張性の高いネットワーク・アーキテクチャの設計に役立つさまざまなネットワーキング・コンポーネントの連携方法について説明します。

VPC、リージョン、ゾーン、サブネット

VPC を使用する前に、 リージョン、 ゾーン、および_サブネットの_基本概念を確認してください。

リージョン

リージョンは1つまたは複数のゾーンで構成される独立した地理的領域。、VPCが展開される地理的な領域を抽象化したものです。 それぞれの地域には複数の ゾーン地域内の独立した断層領域として機能し、その地域の他のゾーンへの待ち時間が短縮された場所。がある。 VPC は、割り当てられたリージョン内の複数のゾーンにまたがるようにして作成することができます。

IBM Cloud は2段階のリージョンを提供する：

  • マルチゾーン・リージョンフォールトトレランスを向上させるために、複数のゾーンの物理的な場所にまたがるリージョン。- 高可用性のために3つ以上のゾーンを持つリージョン。
  • 単一キャンパス・マルチゾーン・リージョン単一の建物またはキャンパス内に位置する複数のゾーンで構成される地域。 電源、冷却、ネットワーク、物理的セキュリティなどの依存関係は共有される可能性があるが、高度な障害独立性を提供するように設計されている。 - 単一キャンパス内に複数のゾーンを持つリージョン。

リージョンについての詳細は、 リソース配置のロケーションを 参照してください。

ゾーン

ゾーンとは、リージョン内で障害から隔離されたデータセンターのことである。 VPC内の各ゾーンには、サブネットを作成できるアドレス範囲を指定するデフォルト・アドレス・プレフィックスが割り当てられる。 デフォルトのアドレススキームが要件を満たさない場合は、アドレスプレフィックスをカスタマイズできます。 例えば、自分のパブリックアドレス（ IPv4 ）を持参したい。 詳しくは、 サブネットの持参を 参照。

論理ゾーン名と物理ゾーンのマッピングは、 アカウント相対的である。 その結果、ゾーンのデフォルトアドレスのプレフィックス範囲は、 アカウント間で 異なるかもしれない。 詳細は ゾーンマッピングを 参照。

Subnets

サブネットとは、リソースを配置するVPC内のIPアドレスの範囲（CIDRブロック）のことです。 サブネットは、ワークロードにネットワークのセグメンテーションと分離を提供します。 詳しくは サブネットについてを 参照。

サブネットの特徴

  • 各サブネットは、指定されたIPアドレス範囲（CIDRブロック）で構成される
  • サブネットは単一のゾーンに束縛され、複数のゾーンやリージョンにまたがることはできない
  • 同じVPC内のサブネットは、暗黙のルーターを介して自動的に接続されます
  • 各サブネットは、システム用に特定のIPアドレスを予約する

アドレス指定とシステム予約IPアドレス

サブネットを作成すると、CIDR範囲内の特定のIPアドレスが IBM、VPCの運用用に予約されます。 これらのアドレスをワークロードに割り当てることはできない。 例えば、サブネットのCIDR範囲が 10.10.10.0/24 の場合、以下のアドレスが予約されている：

  • CIDR 範囲内の 1 番目のアドレス (10.10.10.0): ネットワーク・アドレス

  • CIDR 範囲内の 2 番目のアドレス (10.10.10.1): ゲートウェイ・アドレス

  • CIDR 範囲内の 3 番目のアドレス (10.10.10.2): IBM により予約済み

  • CIDR 範囲内の 4 番目のアドレス (10.10.10.3): IBM により将来の使用のために予約済み

  • CIDR範囲の最後のアドレス(10.10.10.255)：プラットフォームによって予約されている（伝統的にブロードキャストアドレス）

    ワークロードに十分なIPアドレスが利用できるように、サブネットのサイジングを計画する。

VPCネットワークモデル

VPCネットワーキングは、3つの接続スコープを中心に構築されている：

  • 内部接続- 単一VPC内のリソース間の通信
  • プライベート・コネクティビティ- 公共インターネットを使用せずに、他のプライベート・ネットワークとリソースの通信を行う
  • 外部接続性- 公共インターネットとの、または公共インターネットからのリソースの通信

これらのスコープは、ユースケースに適したネットワーキング・サービスを選択し、セキュリティとパフォーマンスの要件を満たすアーキテクチャを設計するのに役立ちます。

内部VPC接続

内部接続は、単一のVPC内のリソース間の通信を可能にする。 この接続は自動的でプライベートであり、基本的なサブネット間通信のための追加設定は必要ない。 同じVPC内のすべてのサブネットは暗黙のルーターを介して接続され、プライベートなサブネット間およびインスタンス間の通信が可能になります。 VPC内の基本的な接続には、ルーティング・テーブルやスタティック・ルートを設定する必要はありません。

この内部接続は、多階層アプリケーション（ウェブ、アプリケーション、データベースのサブネット）、インスタンス間の東西トラフィック、高可用性のためのクロスゾーン通信などの一般的なアーキテクチャをサポートします。

仮想ネットワーク・インターフェース

ネットワークに参加するすべてのVPCリソースは、 仮想ネットワーク・インターフェース （VNI）を使用してネットワークにアタッチします。 VNIは、リソースをサブネットに接続するネットワークインターフェースの論理的表現である。

VNIの主な特徴：

  • 特定のサブネット内に作成
  • サブネットのCIDR範囲からプライベートIPアドレスを割り当てる
  • セキュリティ・グループへの接続ポイントとして機能する
  • 外部接続用のフローティングIP アドレスと関連付けることが可能
  • 交通の流れ、セキュリティの実施、接続性の基盤を形成する

VNIは、きめ細かなレベルでネットワーク・アクセスを制御し、ネットワーク・コンフィギュレーションを柔軟に管理するのに役立つ。 詳しくは、 仮想ネットワークインターフェースについてを 参照。

内部接続のセキュリティ管理

VPC内のトラフィックは、リソースを保護するために連携する複数のセキュリティ制御レイヤーによって管理されます。

セキュリティー・グループ

セキュリティ・グループは、個々のリソースへのインバウンド・トラフィックとアウトバウンド・トラフィックを制御することで、ステートフルなインスタンス・レベルのセキュリティを提供する。 VNI レベルで適用されるセキュリティ・グループは、接続状態情報を保持し、明示的なルールを必要とせずに、許可された接続のリターン・トラフィックを自動的に許可する。 詳細については、 セキュリティグループについてを 参照してください。

ネットワーク ACL

ネットワーク・アクセス・コントロール・リスト（ACL）は、サブネットに出入りするトラフィックをフィルタリングすることで、ステートレスなサブネットレベルのセキュリティを提供する。 セキュリティ・グループとは異なり、ネットワークACLはステートレスであるため、返送トラフィックは別のルールで明示的に許可する必要がある。 サブネットレベルで適用されるネットワークACLは、サブネット内のすべてのリソースに影響し、ベースラインセキュリティポリシーとして機能する粗視化フィルタリングを提供する。 詳細については、 ネットワークACLについてを 参照のこと。

ルーティング・テーブルおよび経路

VPCはルーティング・テーブルを使用して、VPC内外のトラフィックの方向性を制御します。 暗黙ルーターは基本的なサブネット間の接続を自動的に処理しますが、カスタムルートを作成して高度なルーティングシナリオを実装し、トラフィックフローをより正確に制御することができます。

以下の場合は、カスタム・ルーティング・テーブルを使用する：

  • 特定のサブネットやトラフィックソースに対してデフォルトのルーティング動作をオーバーライドする。
  • 検査または処理のために、トラフィックを仮想ネットワーク・アプライアンス経由でルーティングすること。
  • ハブ・アンド・スポークのネットワーク・トポロジーを集中型サービスで実現する。
  • インターネットまたはVPN接続からのイングレス・トラフィックをどのようにルーティングするかを制御する。
  • 複数のルーティングドメインを持つ高度なネットワークアーキテクチャを実装する。

詳しくは、ルーティング・テーブルおよび経路についてを参照してください。

単一のVPCを超えたプライベート接続

プライベート接続により、VPCはパブリック・インターネット上でトラフィックをルーティングすることなく、他のネットワークと通信することができます。 すべてのトラフィックは、 IBM Cloud Private バックボーン上に残り、セキュリティの強化、低レイテンシー、予測可能なパフォーマンスを提供します。

複数のVPCを接続する

使用方法 IBM Cloud® Transit Gateway を使用すると、複数のVPC間でスケーラブルなルーティングが可能になります。 Transit Gateway を提供する：

  • 地域間の接続性- 異なる IBM Cloud リージョン間の VPC を接続
  • アカウントアカウント接続- 異なる IBM Cloud アカウント間で VPC を接続
  • ハブ・アンド・スポーク型トポロジー- 単一のTransit Gateway接続を一元化
  • 推移的ルーティング- 接続されたネットワーク間の通信を可能にする

Transit Gateway は、一元化されたネットワーク管理と複数のVPCにまたがる接続性を必要とするエンタープライズ・アーキテクチャに最適です。 詳しくは、 IBM Cloud Transit Gateway を ご覧ください。

オンプレミスネットワークへの接続

以下のオプションを使用して、VPCをオンプレミスのデータセンターまたは他のクラウド環境に接続します：

VPN for VPC

VPN for VPC は、VPCとリモートネットワーク間のインターネットを介した暗号化接続を提供します。 このソリューションは、VPCをオンプレミスのデータセンターに接続したり、ユーザーのリモートアクセスを可能にしたり、異なる拠点間のサイト間接続を確立したりする必要があるハイブリッド・クラウド・アーキテクチャに最適です。

VPN for VPC は、業界標準の暗号化プロトコルを使用して転送中のデータを保護し、高スループットをサポートしているため、帯域幅を必要とするワークロードに適しています。 VPN接続は、ネットワーク要件とオンプレミスVPNデバイスの機能に応じて、ポリシー・ベースまたはルート・ベースのアプローチを使用して構成できます。

  • ポリシー・ベースVPNは、アクセス・コントロール・リストを使用して、どのトラフィックを暗号化してトンネル経由で送信するかを決定する。
  • ルートベースVPNは、ルーティング・テーブルを使用してVPN接続を通じてトラフィックを誘導するため、複雑なネットワーク・トポロジーに対してより柔軟な対応が可能です。 詳しくは、 VPN for VPC を ご覧ください。

個人的に IBM Cloud サービスにアクセスする

以下のオプションを使用することで、パブリック・インターネットにトラフィックを公開することなく、VPCから IBM Cloud ：

仮想プライベート・エンドポイント (VPE)

Virtual Private Endpointsは、VPCアドレス空間からプライベートIPアドレスを使用することで、VPC内のリソースがサポートされている IBM Cloud サービスにアクセスできるようにします。 この機能は、 IBM Cloud Object Storage （オブジェクト・ストレージ）、 Key Protect （暗号化キー管理）、またはマネージド・データベース・サービスなどのサービスに、パブリック・インターネットを経由せずにアクセスする必要がある場合に便利です。 詳細については、 仮想プライベート・エンドポイントについてを 参照してください。

プライベート・パス

IBM Cloud プライベート・パスは、 IBM、パートナー、またはお客様サービスのための、 IBM Cloud Private ネットワークを介したプライベートな消費者間接続を可能にする。 このソリューションは、公共のインターネットにトラフィックを公開することなく、サードパーティのサービス、パートナーのソリューション、またはカスタム・アプリケーションにアクセスする必要がある場合に役立ちます。 詳しくは、 IBM Cloud プライベート・パスについてを 参照。

外部接続

外部接続は、VPCリソースとパブリック・インターネット間の通信を可能にします。 デフォルトでは、すべてのVPCリソースはプライベートであり、インターネットからアクセスすることはできません。 ネットワークアドレス変換（NAT）を使用して、明示的に外部接続を有効にする必要があります。

ネットワーク・アドレス変換 (NAT)

ネットワークアドレス変換（NAT）は、VPC内で使用されるプライベートIPアドレスを、インターネットと通信できるパブリックIPアドレスにマッピングする方法です。 VPCリソースはRFC1918アドレス範囲（ 10.0.0.0/8、 172.16.0.0/12、 192.168.0.0/16 など）のプライベートIPアドレスを使用し、パブリック・インターネットではルーティングできないため、外部接続にはNATが不可欠です。 NATは、プライベートIPアドレスをパブリックIPアドレスに変換することで、これらのプライベートリソースがインターネットサービスと通信できるようにする。

IBM Cloud VPC は2種類のNATをサポートしている：

ソースNAT（SNAT）
送信トラフィックのソースIPアドレスをプライベートIPからパブリックIPに変換する。 この動作により、仮想サーバーインスタンスはプライベートIPアドレスを隠しながらインターネットへの接続を開始することができる。 SNATはパブリック・ゲートウェイを通じて実装され、複数のインスタンスが単一のパブリックIPアドレスを共有する_多対一_マッピングを使用する。
デスティネーションNAT（DNAT）
受信トラフィックの宛先IPアドレスをパブリックIPからプライベートIPに変換する。 この動作により、外部クライアントがVPC内のインスタンスへの接続を開始できるようになります。 DNATは フローティングIP アドレス 、各パブリックIPアドレスが1つのプライベートIPアドレスに対応する マンツーマン マッピングを使用して実装される。

外部接続オプション

IBM Cloud VPC には、外部接続用に以下のオプションが用意されている：

パブリック・ゲートウェイ

パブリックゲートウェイは、サブネット内のすべてのインスタンスがアウトバウンド接続のためにインターネットにアクセスできるようにする。 インスタンスはインターネットからのインバウンド接続を受信できない。

以下の場合はパブリック・ゲートウェイを使用する：

  • ソフトウェアのアップデートやパッケージをインターネットからダウンロードする必要があるインスタンス
  • アプリケーションは外部サービスにアウトバウンドAPIコールを行う必要がある
  • 複数のインスタンスが、インバウンドのトラフィックにさらされることなく、アウトバウンドのインターネットアクセスを必要とする

詳しくは、 パブリック・ゲートウェイについてを 参照。

浮動 IP アドレス

フローティングIP アドレスは、仮想ネットワーク・インターフェースに関連付けることができるパブリックIPアドレスで、1つのインスタンスに対して双方向のインターネット接続を可能にします。

以下の場合はフローティングIP アドレスを使用する：

  • ウェブサーバー、アプリケーション、APIエンドポイントをインターネットに公開する

  • インターネットからインスタンスへのSSHまたはRDPアクセスを提供するには

  • 特定のインスタンスの双方向接続を容易にするため

  • バスティオンホストまたはジャンプサーバーを実装するには

    フローティングIPインスタンスに関連付けると、インスタンスはインバウンドのインターネット・トラフィックにさらされる。 セキュリティ・グループとネットワークACLを使用して、アクセスを制御し、インスタンスを保護します。

詳細は フローティングIP アドレスについて を参照。

次の表は、パブリック・ゲートウェイとフローティングIP違いを示している：

外部接続オプションの比較
特長 パブリック・ゲートウェイ フローティングIP
方向 アウトバウンドのみ。 インスタンスはインターネットへの接続を開始できるが、インバウンド接続を受信することはできない 双方向。 インスタンスは接続を開始したり受信したりできる
スコープ サブネット全体 単一インスタンス
NAT タイプ ソースNAT (SNAT)- Many-to-1 NAT 宛先NAT（DNAT） - 1-to-1 NAT
ユース・ケース ソフトウェアアップデート、パッケージダウンロード、アウトバウンドAPIコール ウェブサーバー、アプリケーションエンドポイント、SSHアクセス
セキュリティ インスタンスはインバウンドのインターネットトラフィックから保護される インスタンスがインターネットトラフィックの受信にさらされる（セキュリティグループを使ってアクセスを制御する）

パブリック・アドレス範囲

パブリックアドレス範囲は、 IBM-提供されるパブリックIPアドレスの連続したセットで、アベイラビリティゾーン内のVPCに予約してバインドすることができます。 個々のパブリックIPアドレスを提供するフローティングIP アドレスとは異なり、パブリックアドレス範囲は、高度なルーティングやセキュリティシナリオに使用できる連続したパブリックIPアドレスのブロックを提供します。

次のような場合は、パブリック・アドレス・レンジを使用してください：

  • 受信したインターネット・トラフィックを集中型のセキュリティ・アプライアンスやファイアウォールを経由させて検査すること。

  • 複数のフローティングIP アドレスを個別に管理することを避け、代わりに単一のスケーラブルなIPレンジを介してトラフィックを処理する。

  • スケーラブルなルーティングとセキュリティポリシーのために、連続したパブリックIPアドレスのブロックを割り当てる。

  • VNFアプライアンスやサードパーティのセキュリティ・ソリューションを使用して、高度なネットワーク・アーキテクチャを実装する。

    パブリックアドレスの範囲は、リソースに直接割り当てることはできません。 これらは、ファイアウォールなどのネクストホップターゲットリソースにトラフィックを誘導するために、イングレスカスタムルートテーブルでのみ使用される。 パブリックアドレス範囲IPのトラフィックフローを制御するために、セキュリティグループルール、ネットワークACL、およびイグレスルートを見直し、カスタマイズします。

詳しくは、 パブリックアドレスの範囲についてを 参照してください。

ゲートウェイ・サービスの比較

次の表は、VPCゲートウェイ・サービスの機能をまとめたものです：

ゲートウェイ・サービス機能
機能 パブリックゲートウェイ（SNAT） フローティングIP （DNAT） Network ACL VPN for VPC
アウトバウンド・インターネット・アクセス サブネット全体 はい - シングル・インスタンス 該当なし 該当なし
インバウンド・インターネット接続 いいえ はい - 単一インスタンスに限定 あり - ルールによる制限あり いいえ
アクセス制御 インバウンド・トラフィックから保護されたインスタンス 保護にはセキュリティグループが必要 サービス、プロトコル、ポートによるステートレスフィルタリング 暗号化されたサイト間接続
スケーラビリティー サブネットあたり数千のインスタンスをサポート インスタンスごとに1つのフローティングIP サブネット全体に適用 複数のVPN接続をサポート
ユース・ケース アウトバウンド専用インターネット・アクセス 公共向けサービス ベースライン・サブネット・セキュリティ ハイブリッド・クラウド接続

VPCをサブ
方法を示す図 IBM VPCの接続性とセキュリティ

ロードバランシングとDNSサービス

VPCは、トラフィックを分散し、可用性を向上させ、ネットワーク・アーキテクチャ全体でサービス・ディスカバリーを可能にするロードバランシングとDNSサービスを提供します。

VPC用ロードバランサー

IBM Cloud VPC用ロードバランサーは複数のインスタンスにトラフィックを分散し、アプリケーションの可用性とパフォーマンスを向上させます。

ロードバランサーの種類

  • アプリケーションロードバランサー- HTTP / HTTPS トラフィックに基づく高度なルーティング機能を備えたレイヤー7ロードバランシング
  • ネットワークロードバランサー- TCP および UDP のトラフィックを高スループットと低レイテンシーでレイヤー4ロードバランシング

ロードバランサーの展開オプション

  • パブリックロードバランサー- インターネットからのトラフィックをVPC内のインスタンスに分散します
  • プライベートロードバランサー- 内部リソース間またはプライベートネットワークからのトラフィックを分散します

ロードバランサーはVPCサブネット、VNI、セキュリティコントロールとシームレスに統合し、完全なトラフィック分散ソリューションを提供します。 詳しくは、 IBM Cloud Load Balancer for VPC を ご覧ください。

DNS Services

IBM Cloud® DNS Services は、VPCリソースの権威あるDNS名前解決を提供し、ネットワーク・アーキテクチャ全体でサービス・ディスカバリーを可能にします。 DNS Services は、リソースとサービスの名前解決を提供することで、3つの接続スコープ（内部、プライベート、外部）すべてにおいて重要な役割を果たす。 詳しくは、 DNS Services を ご覧ください。

次のステップ

VPCネットワーキングのコンセプトを理解したところで、次のことができる：