CEN ルーティングポリシーの概要 - ルートフィルタリングと制御 - Cloud Enterprise Network

ルーティングポリシーを使用する理由

ルーティングポリシーは、トランジットルーターに接続されたネットワークインスタンス間でルートがどのようにアドバタイズされるかを制御します。

ネットワークセグメントの分離：特定の Virtual Private Cloud (VPC) 間の通信を禁止します。
ルートアドバタイズ範囲の制御：特定のリージョンまたはネットワークインスタンスにアドバタイズされるルートを制限します。
パス選択への影響：AS パスの長さ、コミュニティ値、ルートの優先度などのルート属性を変更して、トラフィックを優先パスに誘導します。
不要なルートのブロック：特定のソースから、または特定のプレフィックスを持つルートを拒否して、ネットワークセグメンテーションを強化します。

ルーティングポリシーの仕組み

トランジットルーターには、ルートテーブルとルーティングポリシーが含まれています。ルーティングポリシーは、ルートテーブルに関連付けられることでルートをフィルタリングします。

トランジットルーターのエディション

トランジットルーターには 2 つのエディションがあり、ルーティングポリシーがルートテーブルにどのように関連付けられるかが異なります。

機能	Basic Edition	Enterprise Edition
ルートテーブル	システムルートテーブル 1 つのみ	システムルートテーブル 1 つ + カスタムルートテーブル
ルーティングポリシーの関連付け	システムルートテーブルに自動的に関連付けられます	関連付けるルートテーブル (システムまたはカスタム) を選択します
スコープ	リージョン内のすべての Basic Edition トランジットルーターに適用されます	関連付けられた Enterprise Edition トランジットルーターにのみ適用されます

詳細については、「トランジットルーターの仕組み」をご参照ください。

ポリシーディレクション

ルーティングポリシーは、次の 2 つのディレクションのいずれかに適用されます。

[Ingress リージョナルゲートウェイ]：現在のリージョンのトランジットルーターにアドバタイズされるルート (ローカルネットワークインスタンスまたはリモートトランジットルーターから) をフィルタリングします。
[Egress リージョナルゲートウェイ]：現在のリージョンのトランジットルーターからアドバタイズされるルート (ローカルネットワークインスタンスまたはリモートトランジットルーターへ) をフィルタリングします。

優先度

ユーザーが設定する各ルーティングポリシーには 1～100 の優先度値があり、数値が小さいほど優先度が高くなります。同じリージョンとディレクションに適用される 2 つのルーティングポリシーに同じ優先度を割り当てることはできません。

一致プロセス

ルートは、ルーティングポリシーに対して優先度の高い順 (数値の低い順) に評価されます。

システムは、最も優先度の高いルーティングポリシーに対してルートを評価します。
ルートがすべての一致条件を満たす場合、ポリシーアクションが適用されます。
- [許可]：ルートは許可されます。関連付けられたポリシーの優先度が設定されている場合、評価はそのポリシーで続行されます。それ以外の場合、評価は終了します。
- [拒否]：ルートは拒否されます。評価は直ちに終了します。
ルートがすべての一致条件を満たさない場合、評価は優先度の高い順で次のルーティングポリシーに移ります。
ルートがどのルーティングポリシーにも一致しない場合、そのルートはデフォルトで許可されます。

説明

ポリシー値と関連付けられたポリシーの優先度は、ポリシーアクションが[許可]に設定されている場合にのみ設定できます。

ルーティングポリシーのコンポーネント

ルーティングポリシーは、基本情報、一致条件、ポリシー値の 3 つの部分で構成されています。

基本情報

パラメーター	説明
[ルーティングポリシーの優先度]	設定可能な値の範囲は 1～100 です。値が小さいほど優先度が高くなります。優先度は、リージョンごと、およびディレクションごとに一意である必要があります。
[説明]	ルーティングポリシーの説明。
[リージョン]	ポリシーが適用されるリージョン。Basic Edition のみ。リージョン内のすべての Basic Edition トランジットルーターに適用されます。
[関連付けられたルートテーブル]	ポリシーに関連付けるルートテーブル。Enterprise Edition のみ。
[ポリシーディレクション]	ポリシーが適用されるディレクション：[Ingress リージョナルゲートウェイ] または [Egress リージョナルゲートウェイ]。詳細については、「ポリシーディレクション」をご参照ください。
[アクションポリシー]	すべての一致条件を満たすルートに対して実行するアクション：[許可] (ルートを許可) または [拒否] (ルートを拒否)。
[関連付けられたルートポリシーの優先度]	このポリシーの後に連鎖させるポリシーの優先度。[アクションポリシー] が [許可] の場合にのみ使用できます。連鎖させるポリシーは、同じリージョンと同じディレクションにあり、より低い優先度 (より大きい数値) を持つ必要があります。

一致条件

ポリシーアクションをトリガーするには、ルートが指定されたすべての条件を満たす必要があります。

条件	説明	ディレクションの制限
[ソースリージョン]	指定されたリージョンからアドバタイズされるルートに一致します。	なし
[宛先リージョン]	指定されたリージョンにアドバタイズされるルートに一致します。	[ポリシーディレクション] が [Egress リージョナルゲートウェイ] で、宛先リージョンが現在のリージョンではない場合にのみ有効です。
[ソースインスタンスIDリスト]	指定されたネットワークインスタンス (VPC、ECR、IPsec-VPN、VBR、CCN、または SAG) からのルートに一致します。[指定したIDを除外] を選択して、一致を反転させます。	なし
[宛先インスタンスIDリスト]	指定されたネットワークインスタンスへのルートに一致します。ソースインスタンスIDリストと同じタイプです。[指定したIDを除外] をサポートします。	[ポリシーディレクション] が [Egress リージョナルゲートウェイ] で、宛先インスタンスが現在のリージョンにある場合にのみ有効です。
[宛先ルートテーブル]	指定されたルートテーブルにアドバタイズされるルートに一致します。	[ポリシーディレクション] が [Egress リージョナルゲートウェイ] で、ルートテーブルが現在のリージョン内のネットワークインスタンスに属する場合にのみ有効です。
[ソースインスタンスタイプ]	指定されたインスタンスタイプからのルートに一致します：[VPC]、[ECR]、[VPN]、[VBR]、または [CCN]。詳細については、「ソースインスタンスタイプの詳細」をご参照ください。	なし
[宛先インスタンスタイプ]	指定されたインスタンスタイプへのルートに一致します：[VPC]、[ECR]、[VPN]、[VBR]、または [CCN]。詳細については、「宛先インスタンスタイプの詳細」をご参照ください。	[ポリシーディレクション] が [Egress リージョナルゲートウェイ] で、インスタンスタイプが現在のリージョンでサポートされている場合にのみ有効です。
[IPタイプ]	IPバージョンでルートを照合します：[IPv4] または [IPv6]。指定しない場合、両方が一致します。	なし
[ルートタイプ]	タイプ別にルートを照合します：[システム] (自動作成)、[カスタム] (VPCまたはVBRルートテーブルからユーザーが追加)、または [BGP] (BGP経由でアドバタイズ)。[カスタム] は、Enterprise Edition トランジットルーターのルートテーブル内の静的ルートとは一致しません。	なし
[ルートプレフィックス]	プレフィックスでルートを照合します。[あいまい一致]：ルートプレフィックスが指定されたプレフィックス内に含まれます (例：10.10.0.0/16は10.10.10.0/24に一致します)。[完全一致]：ルートプレフィックスが指定されたプレフィックスと同一です。	なし
[AS パス]	AS パスでルートを照合します。[あいまい一致]：ルートのAS パスに、指定されたAS番号のいずれかが含まれます (例：`65001, 65002` は、両方に `65001` が含まれているため `65501, 65001` に一致します)。[完全一致]：AS パスが指定された値と同一です。AS パスは、ルートが通過するAS番号を記録する必須のBGP属性です。	なし
[コミュニティ]	BGPコミュニティでルートを照合します。[あいまい一致]：コミュニティに、指定されたコミュニティ値のいずれかが含まれます。[完全一致]：コミュニティが指定された値と同一です。コミュニティは、オプションの推移的なBGP属性です。	なし

ソースインスタンスタイプの詳細

[ソースインスタンスタイプ] が [VPN] に設定されている場合：

IPsec接続またはSSLサーバーがVPNゲートウェイに関連付けられている場合、[VPN] はVPNゲートウェイを示します。VPNゲートウェイに関連付けられているVPCがトランジットルーターにアタッチされ、VPNゲートウェイでBGPが有効になっている場合にのみ有効になります。
IPsec接続がトランジットルーターに直接接続されている場合、[VPN] はIPsec接続を示します。

宛先インスタンスタイプの詳細

[宛先インスタンスタイプ] が [VPN] に設定されている場合：

IPsec接続またはSSLサーバーがVPNゲートウェイを介して接続する場合、このパラメーターは有効になりません。IPsec接続がトランジットルーターに直接接続されている場合にのみ有効になります。

ポリシー値

ポリシー値は、許可されたルートの属性を変更します。[アクションポリシー] が [許可] の場合にのみ使用できます。

パラメーター	説明
[ルートの優先度]	許可されたルートの優先度を設定します。設定可能な値の範囲は 1～100 で、値が小さいほど優先度が高くなります。デフォルト値は 50 です。
[コミュニティ]	一致したルートのコミュニティ値を変更します。[追加]：指定された値を追加します。[置換]：既存の値を上書きします。
[追加されたAS パス]	AS パスにAS番号を追加します。[Ingress リージョナルゲートウェイ] ポリシーの場合、一致条件でソースインスタンスIDとソースリージョン (ポリシーリージョンと同じ) を指定します。[Egress リージョナルゲートウェイ] ポリシーの場合、一致条件で宛先インスタンスIDを指定します。

デフォルトのルーティングポリシー

各トランジットルーターには、デフォルトのルーティングポリシーが含まれています：[Egress リージョナルゲートウェイ] ディレクション、優先度 5000、アクション [拒否]。このポリシーは、同じトランジットルーター上のVPC以外のネットワークインスタンス間の直接通信をブロックします。

デフォルトの通信動作：

インスタンスタイプ	VPCと通信可能	ECR、VBR、CCNインスタンス、およびIPsec接続と通信可能
VPC	はい	はい
ECR	はい	いいえ (デフォルトポリシーによってブロックされます)
IPsec接続	はい	いいえ (デフォルトポリシーによってブロックされます)
VBR	はい	いいえ (デフォルトポリシーによってブロックされます)
CCNインスタンス	はい	いいえ (デフォルトポリシーによってブロックされます)

VPCは、デフォルトですべてのインスタンスタイプと自由に通信します。ECR、VBR、CCNインスタンス、およびIPsec接続は、許可するルーティングポリシーを作成しない限り、相互に通信できません。

クォータ

項目	デフォルト値	調整可能
トランジットルーターあたりの、Ingress リージョナルゲートウェイ方向におけるルーティングポリシーの最大数	100	いいえ
トランジットルーターあたりの、Egress リージョナルゲートウェイ方向におけるルーティングポリシーの最大数	100	いいえ

Cloud Enterprise Network:ルーティングポリシー