Cloud Enterprise Network:ポリシーベースのルーティング

シナリオA：送信元 IP アドレスに基づくトラフィックルーティング

• 前提条件: 同じ vSwitch 内の 2 つのサブネットから、同じ宛先 IDC (10.1.0.0/16) へのトラフィックを、異なる Virtual Border Router (VBR) (VBR-A と VBR-B) を経由して送信する必要があります。

• 設定：2 つの PBR ルールを作成します。各ルールは 1 つのサブネットの送信元 CIDR に一致し、そのトラフィックを対応する VBR に関連付けられたルートテーブルに転送します。

• 高度: デュアルプライベート接続で ECMP を使用する場合、Cloud Enterprise Network (CEN) ルートポリシー (RouteMap) で AsPathPrepend 属性を使用して、対称的なリターンパスを確保します。

シナリオB：サブネットレベルのアクティブ/スタンバイパス

• 前提条件：単一の VPC に 2 つのサブネットが含まれています。2 つのプライベート接続 A と B がトランジットルーター (TR) に接続されています。サブネット A はプライベート接続 A をプライマリパス、B をスタンバイとして使用し、一方、サブネット B は B をプライマリ、A をスタンバイとして使用する必要があります。

• 設定: 2 つのルートテーブル vtb-a-primary と vtb-b-primary を作成し、各ルートテーブルでルートマップを使用して対向の VBR を指すルートの優先度を下げます。次に、PBR を使用して、各サブネットからのトラフィックをそれぞれのプライマリルートテーブルに誘導します。

• 応用：プライマリリンクに障害が発生した場合、BGP は自動的にスタンバイパスに収束します。対称的な戻りトラフィックは、双方向の RouteMap に依存します。

シナリオC：VPC 間トラフィックのサービス挿入

• 前提条件: Cloud Firewall はアタッチメントとして TR に接続され、専用のルートテーブル vtb-firewall を持ちます。

• 設定: ソース VPC のアタッチメントで、ポリシールートテーブルをバインドします。一致条件 SourceCidr=10.0.1.0/24, DestinationCidr=10.0.0.0/8 を持つルールを作成し、ターゲットを vtb-firewall に設定します。このルールに一致しないトラフィックは、デフォルトルートテーブルに従います。

• 注意：ファイアウォールはステートフルであるため、戻りトラフィックもファイアウォールを通過する必要があります。これは、ピアアタッチメントに同様のポリシールートテーブルをバインドするか、ピアアタッチメントをファイアウォール経由でトラフィックを転送するルートテーブルに関連付けることで実現できます。

シナリオD：複数テナントのパス分離

• 前提条件：複数のテナントが同じ VPC と vSwitch を共有しています。各テナントは、専用の IPsec トンネルを介して独自の IDC にアクセスする必要があります。

• 設定：各テナントの IPsec アタッチメントを個別のルートテーブルに関連付けます。PBR を使用して、各テナントの送信元ネットワークセグメントからのトラフィックを対応するルートテーブルにマッピングします。

シナリオE：アクティブ/アクティブアーキテクチャのゾーン別エグレス

• 前提条件: 異なるアベイラビリティーゾーン (AZ) のサブネットと、それに対応するローカルプライベート接続の送信ポイントは、たとえば 10.1.1.0/24 → att-vbr-az1 や 10.1.2.0/24 → att-vbr-az2 のように、個別のアタッチメントとして設定されている必要があります。

• 設定：各 AZ のエグレスポイントに個別のルートテーブルを割り当てます。PBR を使用して、各 AZ のサブネットからのトラフィックを対応するエグレスルートテーブルにマッピングします。これにより、ECMP が異なる AZ 間でトラフィックを負荷分散することを防ぎます。

• 応用：フェイルオーバーの場合、スタンバイルートテーブルに AZ 間のフォールバックルートを事前に構成できます。これにより、障害時でもサービスの可用性が維持されますが、パフォーマンスが低下する可能性があります。

シナリオF：コンプライアンス監査専用チャネル

• 前提条件: DMZ サブネット 10.2.0.0/24 からのアウトバウンドトラフィックは、監査チャネルを経由してルーティングされる必要があります。監査アプライアンスはアタッチメントとして接続され、ルートテーブル vtb-audit に関連付けられています。

• 設定: DMZ の送信元ネットワークセグメントに一致する PBR ルールを作成し、そのトラフィックを vtb-audit ルートテーブルに転送します。ポリシーがバインドされていない、または一致するルールがない他のサブネットからのトラフィックは、デフォルトのルートテーブルに従って転送されます。

• 注意：インライン監査はステートフルなファイアウォールに似ており、対称的なルーティングが必要です。ミラーリング (帯域外) 監査は、戻りトラフィックへの影響が最小限です。

シナリオG：カナリアリリースのためのトラフィック分類

• 前提条件: カナリアサブネット (10.3.100.0/24) と本番サブネットは同じ VPC を共有します。 カナリア環境のバックエンドクラスターは、ルートテーブル vtb-gray に関連付けられている個別のアタッチメントを介して接続します。

• 設定: PBR ルールとして SourceCidr=10.3.100.0/24 → vtb-gray を作成します。 その優先度を、セキュリティルールまたはコンプライアンスルールより低く設定します。

• 注意：ネットワーク層はトラフィックパスのみを決定します。アプリケーションレベルのロジックは、引き続きバージョンの切り替えとロールバックを管理する必要があります。

トラフィックの照合プロセス

トラフィックがアタッチメントに入ると、システムは転送用のルートテーブルを検索する前に、ポリシールートテーブルに照らしてトラフィックを評価します。

1. パケットがアタッチメントに入ります。

2. システムは、ポリシールートテーブルがアタッチメントにバインドされているかどうかを確認します。

   • はいの場合、ステップ 3 に進みます。

   • いいえの場合、ステップ 6 にスキップします。

3. システムは、ポリシールートテーブル内のルールを優先度順に評価します。

4. システムは、パケットがルールに一致するかどうかを確認します。

   • はいの場合、ステップ 5 に進みます。

   • いいえの場合、ステップ 6 にスキップします。

5. システムは、ルールで指定されたターゲット TR ルートテーブルで宛先を検索し、ステップ 7 にスキップします。

6. システムは、関連付け転送によってバインドされた TR ルートテーブルで宛先を検索します。

7. パケットはネクストホップに転送されます。

主な原則：

• 優先度ベースの評価：ルールは優先度順に評価されます (値が小さいほど優先度が高い)。最初に一致したルールが適用され、評価は停止します。

• 照合と転送の分離：ポリシールートテーブルは、使用するルートテーブルのみを決定します。選択されたルートテーブルがネクストホップを決定します。

• イングレス制御：ポリシールートテーブルはアタッチメントにバインドされ、その特定のアタッチメントを介して TR に入るトラフィックにのみ影響します。

ルール照合フィールド

各ルールには、次のフィールドが含まれています。

次の 3 つのステップに従います。

1. ポリシーベースルーティングテーブル を作成します。

   TR の ID をクリックして、その詳細ページに移動します。ポリシーベースルーティングテーブル タブに切り替え、ポリシーベースルーティングテーブルの作成 をクリックします。

2. ポリシールーティングルールを追加します。

   1. 先ほど作成したポリシールーティングテーブルのアクション列で、ルールを表示をクリックします。

   2. ポリシーベースルーティングテーブルの詳細 パネルのポリシールーティングルール タブで、ポリシールーティングルールの追加 をクリックします。

   3. ポリシールーティングルールの追加 ダイアログボックスで、以下の設定を行います。

      • [一致条件]: ルールの一致フィールドに記載されているとおりに設定します。

      • [優先度]: 1～100。 値が小さいほど優先度が高くなります。

      • [転送先ルートテーブル]: トラフィックがルールに一致する場合に使用するルートテーブルです。

   1 つのテーブルに複数のルールを追加できます。

3. ポリシーベースルーティングテーブル を ネットワークインスタンス： に関連付けます。

   1. ポリシールートテーブルの アクション 列で、関連付け管理 をクリックします。

   2. ポリシーベースルーティングテーブルの詳細 パネルの ネットワークインスタンス接続の関連付け タブで、バインドを完了します。

テーブルをバインドすると、システムはまずアタッチメントに入るトラフィックをポリシールーティングルールに照らして評価します:

• トラフィックがルールに一致する場合、システムは指定されたターゲットルートテーブルに基づいて転送します。

• トラフィックがどのルールにも一致しない場合、システムは関連付け転送用に構成されたルートテーブルに基づいて転送します。

クォータと制限

クォータ：

監視メトリクス

以下の CloudMonitor メトリクスは、ディメンション PolicyBasedRouteId を使用します:

よくある質問

ルールが有効にならないのはなぜですか？

次の項目を順番に確認してください。

① ポリシールーティングテーブルがイングレスアタッチメントにバインドされていることを、TR 詳細ページの リージョン内接続数 タブにある、対象のアタッチメントの Associate with Route Table 列で確認します。

② ルールが正しく構成されており、アクティブなトラフィックがその条件に一致することを確認します。

③ より優先度の高いルール (優先度の値が小さいルール) が、先にトラフィックと一致していないか確認します。

④ トラフィックの方向を確認します。ポリシーベースルーティングは、TR に 流入する トラフィックにのみ適用されます。CloudMonitor の PolicyBasedRouteHitCount 監視メトリックを使用して、パケットがルールに一致しているかどうかを確認できます。