ルートマップを使用して VPC 間の通信を無効化する - Cloud Enterprise Network (CEN) - Alibaba Cloud - Cloud Enterprise Network

このトピックでは、ルーティングポリシーを使用して、Cloud Enterprise Network (CEN) インスタンスにアタッチされた Virtual Private Cloud (VPC) インスタンス間の通信を制限する方法を説明します。

前提条件

説明

このトピックは、Basic Edition トランジットルーターにのみ適用されます。

CEN インスタンスを作成済みであること。詳細については、「CEN インスタンスの作成」をご参照ください。
VPC インスタンスを CEN インスタンスにアタッチ済みであること。詳細については、「Basic Edition トランジットルーターを使用した VPC 接続の作成」をご参照ください。

背景情報

デフォルトでは、同じ CEN インスタンスにアタッチされた、VPC、仮想ボーダールーター (VBR)、Cloud Connect Network (CCN) インスタンスなどのすべてのネットワークインスタンスは、相互に通信できます。ただし、シナリオによっては、それらの間の通信を制限する必要があります。限制VPC间互通

前の図に示すように、VPC1、VPC2、および VPC3 は同じ CEN インスタンスにアタッチされています。デフォルトでは、VPC1、VPC2、VPC3 は相互に通信できます。 VPC1 と VPC2 間のトラフィックをブロックしたい場合は、ルーティングポリシーを使用してそれらの間の通信を制限できます。この設定を適用した後も、VPC1 と VPC3 間、および VPC2 と VPC3 間の通信は許可されます。

ステップ 1：VPC1 から VPC2 へのトラフィックのブロック

Cloud Enterprise Network コンソールにログインします。
インスタンス ページで、目的の CEN インスタンスを見つけ、その ID をクリックします。
CEN インスタンスの詳細ページで、対象リージョン内のトランジットルーターを見つけて、トランジットルーターの ID をクリックします。
トランジットルーターの詳細ページで、ルートテーブル タブをクリックし、次に ルートマップ をクリックします。
ルートマップ ページで ルートマップの追加 をクリックし、以下の設定でルーティングポリシーを設定して OK をクリックします。
- [ポリシーの優先度]： 20 を入力します。値が小さいほど優先度が高くなります。
- [リージョン]: 中国 (杭州)を選択します。
- 送信方向：RegionOut を選択します。
- [一致条件]: 送信元インスタンス ID リストを VPC1 インスタンスの ID に、宛先インスタンス ID リストを VPC2 インスタンスの ID に設定します。
- [ポリシーアクション]: 拒否を選択します。
ポリシーを追加した後、それを検証できます。ルーティング情報 タブで VPC1 ネットワークインスタンスを選択し、192.168.0.0/24 のルートエントリを探します。ルートタイプが CEN で、ステータスが拒否になっていれば、ポリシーが有効で、VPC1 から VPC2 へのトラフィックがブロックされていることを確認できます。

ステップ 2：VPC2 から VPC1 へのトラフィックのブロック

左側のナビゲーションペインで、インスタンス をクリックします。
インスタンス ページで、対象の CEN インスタンスを見つけ、その ID をクリックします。
CEN インスタンスの詳細ページで、対象リージョン内のトランジットルーターを見つけて、トランジットルーターの ID をクリックします。
トランジットルーターの詳細ページで、ルートテーブル タブをクリックし、次に ルートマップ をクリックします。
ルートマップ ページで、ルートマップの追加 をクリックします。以下の設定でルーティングポリシーを設定し、OK をクリックします。
- [ポリシーの優先度]： 50 を入力します。値が小さいほど、優先度が高くなります。
- [リージョン]: 中国 (杭州) を選択します。
- [送信方向]: RegionOut を選択します。
- [一致条件]：ソースインスタンス ID リストを VPC2 インスタンスの ID に、宛先インスタンス ID リストを VPC1 インスタンスの ID に設定します。
- [ポリシーアクション]: 拒否を選択します。
ポリシーを追加した後、ポリシーを検証できます。ルーティング情報 タブで、VPC2 ネットワークインスタンスを選択します。172.16.0.0/24 のルートエントリのステータスが [拒否] になっていることがわかります。これにより、ポリシーが有効であることが確認されます。

ステップ 3：ネットワーク接続性のテスト

VPC1 内の ECS1 インスタンスにログインします。
ping コマンドを使用して、VPC2 内の ECS2 インスタンスの IP アドレスに ping を実行し、接続できないことを確認します。
ping テストは失敗します。これにより、ECS1 インスタンスが ECS2 インスタンスにアクセスできないことを確認できます。
```
[root@xxx ~]# ping 192.168.0.1
PING 192.168.0.1 (192.168.0.1) 56(84) bytes of data.
^C
--- 192.168.0.1 ping statistics ---
17 packets transmitted, 0 received, 100% packet loss, time 15999ms
```
VPC2 内の ECS2 インスタンスにログインします。
ping コマンドを使用して、VPC1 内の ECS1 インスタンスの IP アドレスに ping を実行し、接続性を確認します。
ping テストは失敗します。これにより、ECS2 インスタンスが ECS1 インスタンスにアクセスできないことを確認できます。
```
[root@xxx ~]# ping 172.16.0.1
PING 172.16.0.1 (172.16.0.1) 56(84) bytes of data.
^C
--- 172.16.0.1 ping statistics ---
6 packets transmitted, 0 received, 100% packet loss, time 5000ms
```

VPC1 内の ECS1 インスタンスにログインします。

ping コマンドを実行して、VPC3 内の ECS3 インスタンスの IP アドレスに ping を実行し、接続性を確認します。

ping テストは成功します。これにより、ECS1 インスタンスが ECS3 インスタンスにアクセスできることを確認できます。

C:\Users\Administrator>ping 10.0.0.1

Pinging 10.0.0.1 with 32 bytes of data:
Reply from 10.0.0.1: bytes=32 time<1ms TTL=128
Reply from 10.0.0.1: bytes=32 time<1ms TTL=128
Reply from 10.0.0.1: bytes=32 time<1ms TTL=128
Reply from 10.0.0.1: bytes=32 time<1ms TTL=128

Ping statistics for 10.0.0.1:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 0ms, Maximum = 0ms, Average = 0ms

VPC3 内の ECS3 インスタンスにログインします。

ping コマンドを使用して、VPC1 内の ECS1 インスタンスの IP アドレスに ping を実行し、通信が正常であることを確認します。

ping テストは成功します。これにより、ECS3 インスタンスが ECS1 インスタンスにアクセスできることを確認できます。

C:\Users\Administrator>ping 172.16.0.1

Pinging 172.16.0.1 with 32 bytes of data:
Reply from 172.16.0.1: bytes=32 time<1ms TTL=128
Reply from 172.16.0.1: bytes=32 time<1ms TTL=128
Reply from 172.16.0.1: bytes=32 time<1ms TTL=128
Reply from 172.16.0.1: bytes=32 time<1ms TTL=128

Ping statistics for 172.16.0.1:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 0ms, Maximum = 0ms, Average = 0ms

VPC2 内の ECS2 インスタンスにログインします。
ping コマンドを使用して、VPC3 内の ECS3 インスタンスの IP アドレスに ping を実行し、ネットワーク接続性を確認します。

ping テストは成功します。これにより、ECS2 インスタンスが ECS3 インスタンスにアクセスできることを確認できます。
VPC3 内の ECS3 インスタンスにログインします。

ping コマンドを実行して、VPC2 内の ECS2 インスタンスの IP アドレスに ping を実行し、接続性を確認します。

ping テストは成功します。これにより、ECS3 インスタンスが ECS2 インスタンスにアクセスできることを確認できます。

C:\Users\Administrator>ping 192.168.0.1

Pinging 192.168.0.1 with 32 bytes of data:
Reply from 192.168.0.1: bytes=32 time<1ms TTL=128
Reply from 192.168.0.1: bytes=32 time<1ms TTL=128
Reply from 192.168.0.1: bytes=32 time<1ms TTL=128
Reply from 192.168.0.1: bytes=32 time<1ms TTL=128

Ping statistics for 192.168.0.1:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 0ms, Maximum = 0ms, Average = 0ms