Gateway Load Balancer (GWLB) は、ファイアウォール、侵入検知システム (IDS)、トラフィックミラーリングシステム、ディープパケットインスペクション (DPI) システムなどのネットワーク仮想アプライアンスのグループにトラフィックを分散します。これにより、高可用性を備えたセキュリティ検査と保護を提供します。サービスプロバイダーはエンドポイントサービスを作成し、GWLB インスタンスをサービスリソースとして指定します。その後、サービスコンシューマーが GWLB エンドポイント (GWLBe) を作成して、エンドポイントサービスとの接続を確立します。
サービスとセキュリティの分離：サービスネットワークとセキュリティインフラストラクチャを独立してデプロイおよび管理し、PrivateLink を使用してプライベートに接続します。
透過的なセキュリティ検査：GWLB はレイヤー 3 ゲートウェイとして動作します。セキュリティ検査中も、トラフィックの送信元 IP アドレスと宛先 IP アドレスは変更されません。これにより、クライアントやバックエンドサービスの設定を変更する必要がなくなります。
単一障害点の排除：GWLB を使用すると、セキュリティアプライアンスを高可用性構成でデプロイできます。アプライアンスに障害が発生した場合、トラフィックは自動的に正常なアプライアンスにルーティングされ、アプライアンスの障害によるサービスの中断を防ぎます。
伸縮自在なスケーリング：サービス VPC のネットワークアーキテクチャを変更することなく、トラフィック量に応じて GWLB インスタンスの背後にあるネットワーク仮想アプライアンスをいつでも追加または削除できます。
仕組み
サービスプロバイダーは、セキュリティ VPC に GWLB インスタンスとバックエンドのネットワーク仮想アプライアンスをデプロイします。その後、サービスプロバイダーはエンドポイントサービスを作成し、GWLB インスタンスをサービスリソースとして指定して、セキュリティ検査を提供します。
サービスコンシューマーは、サービス VPC に GWLBe を作成します。GWLBe がエンドポイントサービスに接続された後、サービスコンシューマーはルートを設定して、VPC からのインバウンドトラフィックとアウトバウンドトラフィックをネットワーク仮想アプライアンスに誘導し、セキュリティ検査を行います。
システムは、GWLBe が配置されている vSwitch にエンドポイント ENI を作成します。
IPv4 ゲートウェイを介してサービス VPC に入るすべてのトラフィックは、まずゲートウェイルートテーブルのルートに基づいて GWLBe に誘導されます。その後、トラフィックは PrivateLink 経由で GWLB インスタンスに転送され、GWLB インスタンスはトラフィックをバックエンドのネットワーク仮想アプライアンスに分散して検査を行います。検査後、トラフィックは GWLB インスタンスに戻され、GWLBe を経由してサービス VPC 内のアプリケーションサーバーにルーティングされます。
IPv4 インバウンドトラフィック | IPv4 アウトバウンドトラフィック |
1. IPv4 トラフィックは、IPv4 ゲートウェイを介してサービス VPC に入ります。 2. ゲートウェイルートテーブルが、トラフィックを GWLBe に誘導します。 3. GWLBe は、トラフィックを GWLB インスタンスに転送し、GWLB インスタンスはトラフィックをセキュリティアプライアンスに転送します。 4. 検査後、セキュリティアプライアンスはトラフィックを GWLB インスタンスに返し、GWLB インスタンスは PrivateLink を介して GWLBe に転送します。 5. GWLBe の vSwitch ルートテーブルが、トラフィックをサービスサーバーに送信します。 | 1. サービスサーバーの vSwitch ルートテーブルが、トラフィックを GWLBe に送信します。 2. GWLBe は、トラフィックを GWLB インスタンスに送信し、GWLB インスタンスはトラフィックをセキュリティアプライアンスに転送します。 3. 検査後、セキュリティアプライアンスはトラフィックを GWLB インスタンスに返し、GWLB インスタンスは PrivateLink を介して GWLBe に転送します。 4. GWLBe の vSwitch ルートテーブルが、トラフィックを IPv4 ゲートウェイに送信します。 5. IPv4 ゲートウェイは、トラフィックをインターネットにルーティングします。 |
前提条件
VPC と GWLB インスタンスが作成されていること。
GWLB インスタンスにリスナーとバックエンドサーバーグループが設定されていること。
GWLB インスタンスのバックエンドサーバー (ネットワーク仮想アプライアンス) のセキュリティグループで、UDP ポート 6081 (Geneve プロトコルポート) およびヘルスチェックに必要なポートとプロトコルでのトラフィックが許可されていること。
ネットワーク仮想アプライアンスに使用される ECS インスタンスのインスタンスタイプがジャンボフレームをサポートしていること。Geneve カプセル化により、元のデータパケットに 68 バイトが追加され、パケットサイズが 1,500 バイトを超える可能性があります。
サービスリソースが GWLB の場合は、PrivateLink をサポートするリージョンとアベイラビリティーゾーンを参照してください。
PrivateLink を使用したネットワーク仮想アプライアンスへのアクセス
サービスプロバイダーはエンドポイントサービスを作成します。サービスコンシューマーは GWLBe を作成し、ルートを設定してサービス VPC からネットワーク仮想アプライアンスにトラフィックを誘導し、セキュリティ検査を行います。
コンソール
プロバイダー：エンドポイントサービスの作成
PrivateLink コンソールで、エンドポイントサービスの作成 ページに移動します。
[リージョン]：ネットワーク仮想アプライアンスがデプロイされているリージョンを選択します。
[サービスリソースタイプ]：GWLB を選択します。高可用性を確保するため、複数のアベイラビリティーゾーンに[サービスリソース]を追加します。
[エンドポイント接続を自動で許可]：サービスコンシューマーがネットワーク仮想アプライアンスにアクセスするために GWLBe を作成する際、接続リクエストを自動的に承認するかどうかを指定します。エンドポイントサービスの作成後にこの設定を変更しても、既存の接続には影響しません。
はい：サービスコンシューマーがサービスに接続するために GWLBe を作成すると、接続が自動的に確立されます。
いいえ：サービスプロバイダーが接続リクエストを手動で承認する必要があります。
[IP バージョン]：IPv4 のみがサポートされています。
[サービスの支払人]：PrivateLink 接続の料金を支払う側を選択します。デフォルトでは、サービスコンシューマーが支払者になります。この設定は、確定後は変更できません。
エンドポイントサービスを作成した後、クロスアカウントユーザーがエンドポイントサービスへの接続リクエストを開始できるように、サービスホワイトリストを設定する必要があります。
エンドポイントサービスの詳細ページで、サービスホワイトリスト タブをクリックします。次に、ホワイトリストに追加 をクリックして、サービスにアクセスできるユーザーを指定します。
*を入力：すべてのユーザーがエンドポイントサービスに接続リクエストを送信できます。アカウント UID を入力：指定されたユーザーのみがエンドポイントサービスに接続リクエストを送信できます。
コンシューマー：GWLBe の作成
エンドポイント - エンドポイントの作成 ページに移動します。
GWLBe を設定します。
[リージョン]：GWLBe を作成するリージョンを選択します。これは、エンドポイントサービスが配置されているリージョンと同じである必要があります。
[タイプ]：その他のエンドポイントサービス を選択し、エンドポイントサービスを名前で検証します。検証に成功すると、サービスにアクセスできます。
[ネットワーク設定]：
アベイラビリティーゾーンは、エンドポイントサービスが利用可能なアベイラビリティーゾーン (サービスリソースのアベイラビリティーゾーンと同じである必要があります) から選択する必要があります。
エンドポイントのアベイラビリティーゾーンにある Elastic Network Interface (ENI) に対して、vSwitch から IP アドレスを指定できます。IP アドレスを指定しない場合、システムがデフォルトで割り当てます。Elastic Network Interface (ENI) に対して、vSwitch のシステム予約アドレスを指定することはできません。
[IP バージョン]：IPv4 のみがサポートされています。
ルートの設定
GWLBe がデプロイされているサービス VPC のルートを設定して、インバウンドトラフィックとアウトバウンドトラフィックを GWLBe に誘導します。その後、トラフィックは PrivateLink を介してネットワーク仮想アプライアンスに転送され、セキュリティ検査が行われます。
ゲートウェイルートテーブルの設定
ルートテーブル ページに移動し、対象のゲートウェイルートテーブルの ID をクリックして、詳細ページに移動します。
タブをクリックします。ターゲット vSwitch CIDR ブロックのシステムルートを見つけ、編集 列の 操作 をクリックします。ネクストホップを GWLBe に変更します。変更後、ルートエントリは カスタムルート タブに表示されます。
vSwitch ルートテーブルの設定
手順：
ルートテーブル ページに移動し、対象の vSwitch ルートテーブルの ID をクリックして、詳細ページに移動します。
タブをクリックします。ルートエントリの追加 をクリックして、宛先 CIDR ブロックとネクストホップを設定します。
ルート設定：
ルートテーブル
宛先 CIDR
ネクストホップ
サービス ECS インスタンスの vSwitch のルートテーブル
0.0.0.0/0GWLBe
GWLBe の vSwitch のルートテーブル
0.0.0.0/0IPv4 ゲートウェイ
API
サービスプロバイダーは CreateVpcEndpointService API を呼び出して、エンドポイントサービスを作成します。
ServiceResourceTypeをgwlbに設定します。サービスコンシューマーは CreateVpcEndpoint API を呼び出して、GWLBe を作成します。
EndpointTypeをGatewayLoadBalancerに設定します。UpdateGatewayRouteTableEntryAttribute API を呼び出して、ゲートウェイルートテーブルのネクストホップタイプと ID を変更します。
NextHopTypeをGatewayLoadBalancerEndpointに、NextHopIdを GWLBe の ID に設定します。CreateRouteEntry API を呼び出して、vSwitch ルートテーブルのカスタムルートエントリを作成します。
サービス ECS インスタンスの vSwitch ルートテーブルの場合：
NextHopTypeをGatewayLoadBalancerEndpointに、NextHopIdを GWLBe の ID に設定します。GWLBe の vSwitch のルートテーブルの場合：
NextHopTypeをIpv4Gatewayに、NextHopIdを IPv4 ゲートウェイの ID に設定します。
高可用性の確保
エンドポイントサービス：GWLB インスタンスとそのバックエンドのネットワーク仮想アプライアンスは、複数のアベイラビリティーゾーンにデプロイできます。1 つのアベイラビリティーゾーンのネットワーク仮想アプライアンスに障害が発生した場合、トラフィックは自動的に他のアベイラビリティーゾーンの正常なアプライアンスに分散されます。これにより、セキュリティ検査サービスの高可用性が確保されます。
エンドポイント：GWLBe は、ルートテーブルのネクストホップに基づいてトラフィックを誘導します。複数のアベイラビリティーゾーンにデプロイする場合は、各アベイラビリティーゾーンのサービスサブネットが、同じアベイラビリティーゾーンの GWLBe をネクストホップとして使用するように設定します。IPv4 ゲートウェイルートテーブルでも、各サービスサブネットが対応するアベイラビリティーゾーンの GWLBe を指すように設定します。これにより、正確なゾーン対応のトラフィックルーティングが確保されます。
コンソール
プロバイダー：複数の AZ のサービスリソース
エンドポイントサービスを作成する際、複数のアベイラビリティーゾーンの GWLB インスタンスをサービスリソースとして選択します。
エンドポイントサービスの作成後、その ID をクリックします。基本情報 タブで、サービスリソースの追加 をクリックし、アベイラビリティーゾーンと対応する GWLB インスタンスを選択します。
コンシューマー：AZ ごとに GWLBe を作成
各アベイラビリティーゾーンに個別の GWLBe を作成し、そのアベイラビリティーゾーン内の vSwitch を選択します。
各アベイラビリティーゾーンのサービス vSwitch に個別のルートテーブルを作成し、
0.0.0.0/0ルートを同じアベイラビリティーゾーンの GWLBe に向けます。IPv4 ゲートウェイルートテーブルでは、各サービスサブネットを対応するアベイラビリティーゾーンの GWLBe に向けます。
GWLBe は、ルートテーブルのネクストホップに基づいてトラフィックを誘導します。各アベイラビリティーゾーンには個別の GWLBe インスタンスが必要です。既存の GWLBe にアベイラビリティーゾーンを追加することはできません。
API
エンドポイントサービス：AttachResourceToVpcEndpointService API を呼び出して、サービスリソースを追加します。
GWLBe：
各アベイラビリティーゾーンに対して CreateVpcEndpoint API を呼び出し、個別の GWLBe を作成する必要があります。
UpdateGatewayRouteTableEntryAttribute API を呼び出して、ゲートウェイルートテーブルのネクストホップタイプと ID を変更します。
CreateRouteEntry API を呼び出して、vSwitch ルートテーブルのカスタムルートエントリを作成します。
サービスリソースの管理
エンドポイントサービスの作成後、必要に応じてサービスリソース (GWLB インスタンス) を追加または削除して、アベイラビリティーゾーン全体でセキュリティ検査サービスの可用性を拡張できます。
コンソール
サービスリソースの追加
エンドポイントサービス リストページに移動し、対象のエンドポイントサービスの ID をクリックして、詳細ページに移動します。
基本情報 タブの サービスリソース セクションで、サービスリソースの追加 をクリックします。アベイラビリティーゾーンと対応する GWLB インスタンスを選択します。
サービスリソースの削除
対象のエンドポイントサービスの 基本情報 タブの サービスリソース セクションで、対象のサービスリソースを見つけて、操作 列の 削除 をクリックします。これにより、リソースはエンドポイントサービスから削除されますが、リソースインスタンス自体は削除されません。
サービスリソースがエンドポイントのアベイラビリティーゾーンに関連付けられている場合、直接削除することはできません。まず、エンドポイント接続を切断する必要があります。
API
AttachResourceToVpcEndpointService API を呼び出して、エンドポイントサービスにサービスリソースを追加します。
DetachResourceFromVpcEndpointService API を呼び出して、エンドポイントサービスからサービスリソースを削除します。
ネットワーク仮想アプライアンスへのアクセスの停止
GWLBe を介してネットワーク仮想アプライアンスにトラフィックを誘導する必要がなくなった場合は、サービスの中断を引き起こす可能性のあるルーティングブラックホールを防ぐため、次の順序でリソースを解放する必要があります。
コンソール
ルート設定の復元：ルートテーブル ページに移動し、GWLBe または IPv4 ゲートウェイを指すゲートウェイおよび vSwitch ルートテーブルのカスタムルートエントリを削除します。
GWLBe の削除：エンドポイント リストページに移動し、対象の GWLBe を見つけて、操作 列の 削除 をクリックします。
エンドポイントサービスの削除：エンドポイントサービス リストページに移動し、対象のエンドポイントサービスを見つけて、操作 列の 削除 をクリックします。
API
DeleteRouteEntry API を呼び出して、カスタムルートエントリを削除します。
DeleteVpcEndpoint API を呼び出して、GWLBe を削除します。
DeleteVpcEndpointService API を呼び出して、エンドポイントサービスを削除します。
詳細情報
ネットワーク仮想アプライアンスの設定
GWLB は OSI モデルのレイヤー 3 で透過的に動作します。バックエンドのネットワーク仮想アプライアンスは、Geneve プロトコルでカプセル化されたサービストラフィックを処理できる必要があります。
Alibaba Cloud GWLB は、Fortinet などのさまざまなサードパーティのネットワーク仮想アプライアンスとの統合をサポートしています。具体的な設定手順については、アプライアンスベンダーが提供するドキュメントを参照してください。
デプロイメントの推奨事項
GWLB インスタンスをデプロイする際は、以下の機能を有効にすることを推奨します。
GWLB ヘルスチェック：バックエンドのネットワーク仮想アプライアンスの可用性を自動的に検出します。アプライアンスが正常でなくなった場合、リクエストは自動的に正常なアプライアンスにルーティングされます。
コネクションドレイニング：バックエンドのネットワーク仮想アプライアンスが削除される際に、既存の接続をスムーズに処理します。
フローリバランス：バックエンドのネットワーク仮想アプライアンスに障害が発生した場合や削除された場合に、既存のトラフィックフローを正常なバックエンドアプライアンスに再ルーティングします。