ユース・ケース 1: 透過 VNF とスポーク間トラフィックがあるプライベート・ハブとスポーク

図 1 は、VPC スポーク内のデータ・トラフィックを処理するために中継 (ハブ) VPC 内で使用される透過 VNF を示しています。

以下のリソースが構成されています。

• VPC ハブには、「経路モード」で構成されたプライベート NLB が含まれており、HA を有効にするために透過 VNF がそのプールに追加されます。
• VPC-spoke#1 には、 zone1 (10.174.0.0/24) および zone2 (10.174.4.0/24) のワークロード・サブネットを含むプールを持つプライベート IBM Cloud Application Load Balancer (ALB) for VPC が含まれています。
• VPC-spoke#2 には、 zone1 (10.174.2.0/24) のワークロード・サブネットを含むプールを持つプライベート ALB が含まれています。
• 中継ゲートウェイは、ハブとスポークの間の相互接続を管理します。
• VNF インターフェース上の IP スプーフィングは、ハブ内のネクスト・ホップです。

VPC-spoke#2 zone1 のワークロードと通信する必要がある VPC-spoke#1 zone1 のワークロードは、VPC-hub の VNF をトラバースする必要があります。 VPC-hub NLB (10.175.0.4) を経由する VPC-spoke#2 (10.174.2.0/24) を宛先とする VPC-spoke#1 サブネット (10.174.0.0/24) からの Egress 経路により、アウトバウンド・トラフィックがその宛先に到達できます。 同様の Egress 経路が VPC-spoke#2 上に作成されます。これにより、応答で VPC-hub もトラバースできるようになります。 VPC-spoke#1 zone2 のワークロードの場合、アウトバウンド・トラフィックに対しても同様の Egress 経路が作成されます。

最後に、NLBがフェイルオーバーし、ネクストホップの更新が必要になる可能性があるため、フェイルオーバー時にNLBのIPアドレスが確実に更新されるよう、送信元をTransit Gatewayとするインジェスルートが作成されます。 NLB は、VPC (VPC-hub) 内のカスタム経路のみを更新できます。スポーク VPC 内の経路を自動的に更新することはできません。

ユース・ケース 2: アクティブ/アクティブ HA 透過 VNF (単一、マルチゾーン・リージョン VPC)

図 2 は、透過的で可用性の高いアクティブ/アクティブ仮想ネットワーク機能 (VNF) を示しています。 このデプロイメント・トポロジーにより、ネットワークとそのサービスが常にオンになり、常にアクセス可能になり、アクティブ・セッションは中断されることなく常に保持されます。

この VNF は透過的であるため、クライアント (送信元) は、ファイアウォール IP アドレスではなく、10.241.66.5 のターゲット仮想サーバー・インスタンス (宛先) に対して TCP 要求を行います。

ターゲット (10.241.66.5) 宛てのクライアント (10.241.0.6) データ・パケットが NLB 経由でホップするようにするために、Egress カスタム経路が作成されました。 NLB は経路モードを有効にして構成されているため、すべてのポートに対する TCP 要求が自動的にその宛先に転送されます。 VNF は NLB プール内にあるため、NLB の後のネクスト・ホップになります。 このアクティブ/アクティブ単一リージョンの例では、ターゲットからのリターン・パケットがリターン・トリップ時に NLB 経由でホップし、次に同じ VNF を経由して送信され、最終的にクライアントに返されるようにするために、Egress 経路も必要です。 このユース・ケースでは、クライアントはターゲットとは異なるゾーンにありますが、ターゲットは NLB および VNF と同じゾーンにあります。

ユースケース 3：非対称ルーティングを用いたマルチゾーン・高可用性

以下の設定は、ウェイト付きフォワーディングプールアルゴリズムを採用した、ルートモードが有効になっているプライベートNLBでのみ使用できます。

図3は、非対称ルーティングを通じてマルチゾーンの高可用性を実現するように設計された、プライベート・ルートモードのネットワーク・ロードバランサー（NLB）を示しています。 このアーキテクチャでは、コンシューマーのトラフィックは、ダイレクトリンク、 Transit Gateway、またはインターネットを経由して、プロバイダのハブVPCに到達します。 その後、プライベートルートモードのNLBは、 Transit Gateway を経由して、スポークVPC内にある仮想サーバーインスタンスへトラフィックを転送します。 重み付き転送が有効になっている場合、同じゾーン内で発信および着信するトラフィックは、対称的な経路をたどります。 また、この設計では非対称ルーティングもサポートされており、既存の接続状態に依存することなく、返信トラフィックを元のリクエストとは異なる経路で送信することが可能です。

たとえば、リクエストパケットはゾーン 1 の NLB を経由してサービスに入り、VPC 1 の仮想サーバーに転送される一方で、レスポンスパケットはゾーン 2 の NLB を経由して戻ってくる場合があります。 転送は元の接続経路とは独立しているため、応答は正常に受け入れられ、正しく転送されます。 設定された重み付けは、各NLBにおけるトラフィックの分散方法に引き続き影響を与えるため、運用担当者は、マルチゾーンの高可用性を維持しつつ、容量の大きいバックエンドにより多くのトラフィックを誘導することができます。

このアーキテクチャは、地域レベルでの高可用性も実現しています。 ゾーン全体の障害、正常なファイアウォールインスタンスのすべてが失われた場合、または正常なNLBアプライアンスのすべてが利用不能になった場合、ルート広告は自動的に撤回されます。 この動作により、利用できないリソースへトラフィックが誘導されるのを防ぎ、正常なゾーンにのみトラフィックがルーティングされるようにします。

開始前に

カスタム・ルーティングを構成し、IP スプーフィングを有効にするために必要な IAM 権限があることを確認します。

始めに

サポートされる IBM Cloud VNF の高可用性を構成するには、以下の基本的な手順を実行します。

1. 仮想ネットワーク機能の既知の問題を確認する。
2. VPC リソースを構成します。
3. セキュリティー・グループを構成します。
4. VNF をデプロイします。
5. ルーティング・モードを使用してネットワーク・ロード・バランサーを作成します。
6. カスタム経路を構成します。

VNF の制限

高可用性（HA）仮想ネットワーク機能（VNF）の展開には、以下の既知の制限がある：

• 仮想ネットワーク機能 (VNF) は、1 つのサブネットをネットワーク・ロード・バランサー (NLB) と共有する必要があります。