公共放送の放送範囲に関する計画上の考慮事項

パブリックアドレス範囲を作成する前に、以下の注意事項を確認してください。

一般的な考慮事項

  • 適切な IAM 権限が 設定されていることを確認してください。

  • 1つのVPCに、複数のパブリックIPアドレス範囲を紐付けることができます。

  • アドレス範囲は、一度予約されるとそのサイズを変更することはできません。 ニーズを満たすのに十分な大きさのパブリックアドレス範囲を必ず確保してください。

    異なるパブリックアドレス範囲にあるIPアドレスが連続しているとは限りません。

  • ネットワークACLやセキュリティグループ、あるいはその両方を組み合わせて設定することで、パブリックIPアドレス範囲の使用をVPC内の特定のリソースに限定することができます。

  • 以下のプレフィックスサイズで、パブリックアドレス範囲を予約することができます。 詳細については、パブリックアドレス範囲の 割り当て量 および サービス制限 をご確認ください。

    • /28 = 16個のアドレス
    • /29 = 8つのアドレス
    • /30 = 4つのアドレス
    • /31 = 2つのアドレス
    • /32 = 1つのアドレス

  • パブリックアドレス範囲とVPC内のプライベートアドレスプレフィックスの間に重複がある場合、プライベートアドレスプレフィックスが優先されます。

  • VPC内のゾーンにパブリックIPアドレス範囲がバインドされている場合、そのゾーン内の仮想サーバーまたはベアメタルサーバーから発信されるトラフィックは、そのパブリックIPアドレス範囲の送信元IPアドレスを使用できます。 このようなトラフィックは、パブリックおよびプライベートの宛先と通信することができます。 この動作を制限するには、次の方法があります：

    これらのネットワークトラフィック制御を設定する際は、一部のユーザーにはリソースを適切に保護するために必要なIAM権限がない可能性があることに留意してください。

    VPCが作成されると、デフォルトのセキュリティグループとネットワークACLにより、サポートされているプロトコルに対する受信および送信トラフィックが許可されます。 これらのパブリックIPアドレス範囲を安全かつ意図した通りに利用するために、セキュリティグループのルール、ネットワークACL、およびアウトバウンドルートを確認・調整し、適切なセキュリティ態勢を確保してください。 また、特にアカウント複数のユーザーが仮想サーバーインスタンスやコンピューティングリソースを展開する権限を持っている場合、トラフィックパターンへの意図しないアクセスを防ぐのにも役立ちます。

制限

  • VPC内のリソースには、パブリックIPアドレス範囲のIPアドレスを割り当てることはできません。 これらの宛先 IP アドレスは、「パブリック インターネット」がトラフィック送信元として有効になっているインバウンドのカスタムルートテーブルでのみ使用でき、仮想サーバーインスタンス、ネットワークアプライアンス、その他のコンピューティングリソースなどのネクストホップ先リソースへトラフィックを転送するために使用します。

  • このサービスは、 IBM が提供するパブリックIPアドレス範囲のみに対応しています。 独自のパブリックIPアドレスやサブネットを持ち込むことはサポートされていません。

  • パブリックIPアドレスの範囲をサブ範囲に分割したり、1つの範囲を複数のVPCやゾーンに紐付けたりすることはできません。

  • インバウンドルーティングに共有仮想IP（VIP）を備えたパブリックアドレス範囲を使用すると（たとえば、NSX-T Tier 0 HA VIPや、 Bare Metal Server のVNI VLAN接続を持つ同様のアプライアンスなど）、非対称ルーティングの問題が発生し、セキュリティグループにおけるステートフルファイアウォールの処理に支障をきたす可能性があります。

    この問題を緩和するには、以下の回避策を検討してください：

    • オプション A：影響を受けるパブリックアドレス範囲のプレフィックスについて、セキュリティグループのルールをステートレスとして扱う。
    • オプション B：セキュリティグループのルールですべての受信および送信トラフィックを許可し、アプライアンスに組み込まれたファイアウォール機能に依存する。

    これらのアプライアンスは通常、ファイアウォール機能が統合されたNFVであり、パブリックアドレス範囲とVPCのイングレスのルーティング設定は、トラフィックをそのアプライアンスへ誘導することを目的としています。