Cloud Network Well-architected Design Guidelines:Express Connect 回線によるハイブリッドクラウドまたはマルチクラウドネットワークの構築

はじめに

Express Connect 回線と Alibaba Cloud のネットワークサービスを使用して、オンプレミス環境をクラウドに接続したり、複数のクラウドを相互接続したりするための、安全で安定し、かつ弾力性のあるハイブリッドクラウドまたはマルチクラウドネットワークの構築方法について説明します。

対象読者は CTO、アーキテクト、開発者、運用チームです。このガイドを使用して、Express Connect 回線を用いたハイブリッドクラウドまたはマルチクラウドネットワークの計画と設計を行ってください。

主要な用語

• Express Connect 回線：Express Connect 回線とは、ケーブルまたは光ファイバーを使用してデータセンターを接続する物理接続です。通常、通信事業者がこれらの接続を提供し、保守します。Alibaba Cloud のアクセスポイントに接続する Express Connect 回線は、専用接続またはホスト型接続として利用できます。

  • 専用 Express Connect 回線：専用回線を使用して、オンプレミスデータセンターを Alibaba Cloud のアクセスポイントに接続できます。この方法では、物理ポートを排他的に使用できます。Express Connect コンソールで専用 Express Connect 回線を申し込むことができます。このソリューションは、高い帯域幅、セキュリティ、信頼性を必要とする中規模から大規模の企業に適しています。

  • ホスト型 Express Connect 回線：Alibaba Cloud パートナーは、すでに自身のアクセスポイントを Alibaba Cloud のアクセスポイントに接続しています。お客様はパートナーに連絡するだけで済みます。パートナーは、オンプレミスデータセンターからパートナーのアクセスポイントまでの物理回線の敷設を担当します。このソリューションでは、パートナーと Alibaba Cloud の間の接続にマルチテナント共有モデルを使用します。帯域幅の要件が低く、標準的なセキュリティ要件と信頼性要件を満たせばよい中小企業 (SME) に適しています。

• Express Connect：Express Connect とは、高速で安定した安全なプライベート通信チャネルを確立することで、データセンターを Alibaba Cloud に接続するネットワークサービスです。Express Connect を介したデータ転送は信頼性が高く、制御可能であるため、ネットワーク通信の品質とセキュリティが向上します。

• VBR：Alibaba Cloud は、レイヤー 3 のオーバーレイとスイッチ仮想化技術を備えたソフトウェア定義ネットワーク (SDN) アーキテクチャを使用し、物理接続ポートを分離します。これらのポートは、仮想ボーダールーター (VBR) として抽象化されます。VBR は、顧客構内設備 (CPE) と仮想プライベートクラウド (VPC) の間に配置されるルーターです。 VPC からオンプレミスデータセンターへデータを転送するブリッジとして機能します。

• Express Connect Router (ECR)：Express Connect Router (ECR)は、Express Connect 回線を介したグローバルなハイブリッドクラウドネットワークの主要な転送コンポーネントです。グローバルなネットワーク接続、完全な動的ルーティング、および統合ルート管理を提供します。たとえば、VBR を ECR に追加し、ECR をトランジットルーター (TR) インスタンスにアタッチすることで、オンプレミスデータセンターとクラウドリソース間の通信が可能になります。

• Cloud Enterprise Network (CEN)：Cloud Enterprise Network (CEN)は、Alibaba Cloud のプライベートなグローバルネットワーク上に構築された高可用性ネットワークです。CEN はトランジットルーター (TR) を使用して、リージョンをまたぐ VPC 間、および VPC とオンプレミスデータセンター間にプライベート通信チャネルを構築します。これにより、柔軟で信頼性が高く、大規模なエンタープライズクラウドネットワークを実現します。

• 仮想プライベートクラウド (VPC)：仮想プライベートクラウド (VPC)とは、Alibaba Cloud 上に作成するカスタムのプライベートネットワークです。異なる VPC はレイヤー 2 で相互に分離されます。 VPC 内では、ECS、Server Load Balancer (SLB)、ApsaraDB RDS (RDS) などのクラウド製品インスタンスを作成および管理できます。

このアーキテクチャは、次の設計原則に基づいています：

• 安定性： Express Connect 回線は内部の業務トラフィックを伝送します。リンクが中断すると、オンプレミスとクラウド間、またはクラウド間の通信が途絶え、コアサービスの停止を引き起こす可能性があります。ネットワークアーキテクチャ設計では、安定性を最優先します。

• 伸縮性： 帯域幅の要件は、ビジネス規模やクラウド導入の段階によって異なります。アーキテクチャは変化する要件に合わせてスケールできる必要があります。これにより、スムーズなクラウド移行を実現し、オンデマンドのリソース利用によるコスト最適化も可能になります。

• セキュリティ： ハイブリッド/マルチクラウドアーキテクチャは、セキュリティレベルが異なる複数のネットワークドメインにまたがります。重要なサービスには最小権限のアクセス制御を適用してデータ侵害を防止し、社内のセキュリティ要件を満たしてください。

安定性

信頼性の高い帯域幅設計

Express Connect は、インスタンスあたり 50 Mbps から 100 Gbps の帯域幅を提供します。より高い帯域幅が必要な場合は、リンクアグリゲーションを使用してスケールアウトできます。フェイルオーバートラフィックに十分な帯域幅を確保してください。Cloud Monitor のアラートを使用してクォータを追跡し、上限を超えたトラフィックによるパケット損失を防止します。詳細については、「監視とアラートを構成してください」をご参照ください。

信頼性の高いリンク設計

保守のために接続を停止する前に、物理リンクレイヤーでビジネス要件を満たす高可用性モードを選択する必要があります。

二重回線と二重アクセスポイントを使用します。VBR とデータセンター間では、静的ルーティングではなく BGP 動的ルーティングを使用して、自動フェイルオーバーを実現します。利用可能な冗長化ソリューションは次のとおりです：

• BGP と BFD を使用したアクティブ/スタンバイ冗長。ECR を使用して、アクティブ/スタンバイの Express Connect 回線経由でオンプレミスデータセンターをクラウドに接続します。

• BGP と BFD を使用した負荷分散冗余。ECR を使用して、負荷分散の Express Connect 回線経由でオンプレミスデータセンターをクラウドに接続します。

高可用性を実現するために、Express Connect 回線と VPN 接続を組み合わせることもできます。Express Connect 回線と VPN 接続を使用してアクティブ/スタンバイリンクを作成します。予算が限られている場合は、重要なサービスを優先し、VPN (IPsec トンネル) をバックアップとして使用します。IPsec トンネルで BGP 動的ルーティングを有効にして、可用性監視と自動ルート収束を実現します。

フェイルオーバー訓練

フェイルオーバー訓練機能は、冗長化された Express Connect 構成におけるリンク障害をシミュレートし、トラフィックが自動的に別のリンクへ切り替わることを検証します。

パフォーマンスと伸縮性

接続仕様

• 専用 Express Connect 回線：1 Gbps 以下、10 Gbps、40 Gbps、100 Gbps。

• Express Connect 回線上のホスト型接続：50 Mbps、100 Mbps、200 Mbps、300 Mbps、400 Mbps、500 Mbps、1 Gbps、2 Gbps、5 Gbps、8 Gbps、10 Gbps、20 Gbps、40 Gbps、50 Gbps、60 Gbps、80 Gbps、100 Gbps。

  説明

  • Express Connect コンソールで直接申し込める専用 Express Connect 回線の最大仕様は 10 Gbps です。10 Gbps を超える帯域幅の専用接続を申し込むには、チケットを送信してください。

  • Express Connect コンソールで直接申し込めるホスト型接続の最大仕様は 1 Gbps です。1 Gbps を超える帯域幅のホスト型接続を申し込むには、チケットを送信してください。

接続仕様のスケーリング

• 専用 Express Connect 回線のアップグレードまたはダウングレード：必要な帯域幅が単一ポートの仕様を超える場合は、複数の物理回線を同一のアクセスポイントデバイスに接続し、同じ VBR にアタッチすることで、複数のポートにまたがってレイヤー 3 の等コストマルチパス (ECMP) 集約を使用します。ECMP リンクアグリゲーションを使用してクラウドに接続します。

• ホスト型接続のアップグレードまたはダウングレード：必要に応じてホスト型接続の仕様を調整できます。ホスト型接続インスタンスをアップグレードまたはダウングレードします。

ECR を TR に接続する場合の仕様

ECR を TR に接続する各ネットワークインスタンスでサポートされる最大帯域幅は、中国 (杭州)、中国 (上海)、中国 (北京)、中国 (深セン)、シンガポールリージョンでは 50 Gbps です。その他のリージョンでは、最大帯域幅は 10 Gbps です。より高い帯域幅が必要な場合は、個別の帯域幅評価についてアカウントマネージャーにお問い合わせください。

レイテンシー

単一リージョンには、物理的な場所が異なる複数のアクセスポイントが提供されています。各アクセスポイントと同一リージョン内の異なるゾーン間のネットワークレイテンシーは 5 ms 未満です。オンプレミス環境とクラウド間の低レイテンシーに厳格な要件がある場合は、チケットを送信することで、ECS インスタンスが配置されているゾーンに最も近いアクセスポイントについてお問い合わせください。

フェイルオーバーのパフォーマンス

Express Connect は、BGP、BFD、フェイルオーバーグループを組み合わせた複数の高速フェイルオーバー方法を提供します。

• BGP の自動ルート収束により、数秒でフェイルオーバーできます。

• BFD を併用した BGP により、ミリ秒単位で障害を検出し、数秒でフェイルオーバーできます。

• フェイルオーバーグループと BFD を併用した BGP により、ミリ秒単位でフェイルオーバーできます。

BGP ルーティングプロトコルでは、ルート収束を高速化し、フェイルオーバー時間を短縮するために、BFD とフェイルオーバーグループを有効にすることを推奨します。

セキュリティ

階層型ネットワークセキュリティ

ハイブリッドクラウドネットワークの境界で多層防御を実現するために、セキュリティグループ、ネットワーク ACL、および複数の TR ルートテーブルを使用します。

• セキュリティグループ：ECS インスタンスのインバウンドおよびアウトバウンドトラフィックを制御する仮想ファイアウォールです。詳細については、「セキュリティグループの適用ガイドと例」をご参照ください。

• ネットワーク ACL：ネットワーク ACLは vSwitch レベルでアクセスを制御します。カスタムルールを定義し、それらを vSwitch に関連付けることで、配下の ECS インスタンスへのアクセスを制御します。オンプレミスから VPC へのアクセスを制限するには、オンプレミスデータセンターとクラウド間の通信を制限してください。

• TR の複数ルートテーブル：複数のルートテーブルにより、VPC とオンプレミスデータセンター間で、柔軟な通信、分離、セキュアなトラフィック誘導を実現できます。詳細については、「Enterprise Edition のトランジットルーターを使用してセキュアなトラフィックアクセスを実装します」をご参照ください。

• TR の複数ルートテーブルと Cloud Firewall：信頼済みトラフィックと未信頼トラフィックに対して個別のルートテーブルを作成し、その後 Cloud Firewall を使用して異常検知とトラフィック保護を行います。

データ暗号化

Express Connect 回線のトラフィックはプライベートですが、暗号化されません。セキュリティ要件が高いシナリオでは、IPsec-VPN 接続と組み合わせてトラフィックを暗号化してください。詳細については、「BGP ルーティングを使用してプライベートネットワークトラフィックを暗号化します」をご参照ください。

可観測性

Express Connect 回線の可観測性は、次の領域を対象とします：

• 接続ステータスの観測：Cloud Monitor のアラートを使用して、Express Connect 回線のアクティブ/非アクティブ状態を監視します。詳細については、「物理ポートを監視し、アラートを作成します」をご参照ください。

• トラフィック使用量の観測：Express Connect コンソールで物理ポートのアウトバウンドトラフィック使用量を確認します。詳細については、「アウトバウンド トラフィック料金」をご参照ください。

• 帯域幅使用率の観測：Express Connect の VBR の監視を Cloud Monitor と組み合わせることで、VBR のリアルタイム状態とインバウンド/アウトバウンドレートを検出します。同一回線上の VBR レートを合算して、全体の帯域幅使用率を評価します。詳細については、「仮想ボーダールーターを監視し、アラートを作成します」をご参照ください。

• Top N トラフィックの観測：CEN ベースのアーキテクチャでは、Network Intelligence Service (NIS) のハイブリッドクラウドトラフィック分析機能により、TR を介した ECS インスタンスとオンプレミスデータセンター間のインバウンドおよびアウトバウンドトラフィックが、IP、ポート、プロトコル別に表示されます。詳細については、「ハイブリッドクラウド トラフィック分析を使用します」をご参照ください。

セルフサービス

異常の迅速な検知

• 物理ポートと VBR に対してカスタムしきい値を設定して Cloud Monitor のアラートを有効にします。詳細については、「Express Connect の監視とアラートを構成します」をご参照ください。

• NIS Event Center のプロアクティブなアラートをサブスクライブして、 脅威と影響を受けるリソースに関する最新情報を入手してください。Express Connect セクションについては、NIS Event Centerをご参照ください。

• NIS は、安定性、セキュリティ、パフォーマンス、コスト、運用上の優秀性を対象とするデフォルトの診断を提供します。「ネットワークインスペクション」を使用して、ハイブリッドまたはマルチクラウドネットワークの脅威を確認してください。

ハイブリッドまたはマルチクラウドネットワークに到達できない場合

ハイブリッドまたはマルチクラウドリンクに到達できない場合は、次のいずれかの方法を使用して原因を特定してください。

• 方法 1：NIS のパス解析機能を使用して、ネットワーク異常をセルフ診断できます。システムは、VPC とデータセンター間のホップごとの仮想ネットワークパス情報を生成します。宛先に到達できない場合は、遮断箇所と原因を特定します。パス解析で解決しない場合は、Alibaba Cloud にチケットを送信してください。

• 方法 2：オンプレミスのゲートウェイデバイスから、Express Connect 回線の Alibaba Cloud 側の IP アドレスへ ping を実行してください。ping が失敗した場合は、その障害を通信事業者に報告してください。Alibaba Cloud にチケットを送信することで、接続状態を確認することもできます。責任分界点は、Alibaba Cloud スイッチ上のポートです。アクセスデバイスが正常であるにもかかわらずポートがダウンしている場合は、通信事業者の回線断を示します。

シナリオ：コアサービス向けハイブリッド/マルチクラウド接続

このベストプラクティスのコアアーキテクチャは、次のとおりです。

• デュアル回線とデュアルアクセスポイント： 2 つのアクセスポイントでリソースをリクエストし、2 つの専用接続を確立します。接続は負荷分散 (ECMP) が可能で、アクティブ/スタンバイフェイルオーバーを構成することで、高可用性と高いパフォーマンスを確保できます。

• 完全な動的ルーティングと分散型の基盤設計を備えたECR ゲートウェイ これにより、ルート設定と管理の効率が向上し、Express Connect 回線からゾーンまでのレイテンシーが削減され、リージョン内の TR 接続の全体的な帯域幅容量が増加します。

• TR は、ECR と VPC 間の効果的な隔離とオンデマンド通信を可能にします。

• オンプレミスデータセンター、サードパーティクラウド、Alibaba Cloud は、BGP と BFD を使用して相互接続されています。

  

シナリオ：非コアサービス向けハイブリッド/マルチクラウド接続

このベストプラクティスのコアアーキテクチャは、次のとおりです。

• アクティブ/スタンバイフェイルオーバー用のExpress Connect 回線とVPN： Express Connect 回線をプライマリリンクとして使用します。回線に障害が発生した場合、トラフィックは自動的にバックアップ VPN 接続に切り替わります。この方法により、ハイブリッド/マルチクラウド接続のコストを効果的に削減できます。

• 完全な動的ルーティングと分散型の基盤設計を備えたECR ゲートウェイ これにより、ルーティング管理の効率が向上し、Express Connect 回線からゾーンまでのレイテンシーが削減され、リージョン内の TR 接続の合計帯域幅容量が増加します。

• TR は、ECR と VPC 間の効果的な隔離とオンデマンド通信を可能にします。

• データセンター/サードパーティクラウドと Alibaba Cloud は、BGP と BFD を使用して相互接続されています。

  

シナリオ：コアサービス向けのハイブリッドまたはマルチクラウド接続

コードフロー：

1. デュアル Express Connect 回線とデュアルアクセスポイント：2 つのアクセスポイントでリソースを申請し、2 つの物理接続を確立します。接続は、ECMP ロードバランシングとアクティブ/スタンバイフェイルオーバー用に設定することで、高可用性とパフォーマンスを確保できます。

2. 完全な動的ルーティングと分散型の基礎となる設計を備えた ECR ゲートウェイ：これにより、ルート設定と管理の効率を向上させ、Express Connect の回線からゾーンへのレイテンシーを短縮し、リージョン内の TR 接続の合計帯域幅容量を増加させます。

3. TR は、ECR と VPC 間の効果的な分離とオンデマンド通信を提供します。

4. データセンター/サードパーティクラウドと Alibaba Cloud は、BGP と BFD を使用して相互接続されています。

以下のインスタンスが作成されます：

• 2 つの VPC

• 4 つの vSwitch

• 1 つの CEN

• 1 つの TR

• 1 つの ECR

• 2 つの VBR

シナリオ：非コアサービス向けのハイブリッドまたはマルチクラウド接続

コードフロー：

1. アクティブ/スタンバイフェイルオーバー用の Express Connect 回線と VPN：Express Connect 回線がプライマリリンクです。回線に障害が発生した場合、トラフィックはバックアップ VPN 接続に切り替わります。これにより、ハイブリッドおよびマルチクラウド接続のコストを節約できます。

2. ECR ゲートウェイ：完全な動的ルーティングと分散型の基礎となる設計に基づき、ルート管理の効率を向上させ、Express Connect 回線からゾーンへのレイテンシーを短縮し、リージョン内の TR 接続の合計帯域幅容量を増加させます。

3. TR は、ECR/VPN と VPC 間の効果的な分離とオンデマンド通信を提供します。

4. データセンター/サードパーティクラウドと Alibaba Cloud は、BGP と BFD を使用して相互接続されています。

以下のインスタンスが作成されます：

• 2 つの VPC

• 4 つの vSwitch

• 1 つの CEN

• 1 つの TR

• 1 つの ECR

• 1 つの VBR

シナリオ：コアサービス向けハイブリッドまたはマルチクラウド接続

ビジュアルデプロイメントアーキテクチャ図：

利用フロー

シナリオ：非コアサービス向けハイブリッドまたはマルチクラウド接続