お客様のワークロードが Alibaba Cloud とオンプレミスデータセンター、リモートオフィスネットワーク、または他のクラウドプロバイダーにまたがる場合、それらの間に信頼性の高いネットワークパスが必要です。Alibaba Cloud Virtual Private Cloud (VPC) は、オンプレミスデータセンターへの接続、個別アクセス用のリモートクライアントの接続、他のクラウドプロバイダーへの接続 (マルチクラウド) という 3 つのハイブリッド接続シナリオをサポートしています。各シナリオでは、レイテンシー、コスト、可用性の要件に応じて異なる製品の組み合わせを使用します。
基本概念
用語 | 説明 |
Alibaba Cloud の専用線サービス製品です。通信事業者の物理回線を介して、オンプレミスネットワークを Alibaba Cloud に接続します。 | |
VPN Gateway | Alibaba Cloud の VPN 製品です。IPsec-VPN または SSL-VPN を使用して、公衆インターネット経由で暗号化されたトンネルを確立します。 |
データセンターまたは他のクラウドを Alibaba Cloud VPC に接続するサイト間 VPN です。 | |
個別のデバイス (ノート PC、携帯電話) を VPC に接続するクライアント VPN です。 | |
仮想ボーダールーター (VBR) | Express Connect 回線を終端し、VPC に接続する Alibaba Cloud 側の論理ルーターです。 |
Express Connect Router (ECR) | 複数の VBR を集約し、それらを Cloud Enterprise Network (CEN) に接続するゲートウェイです。 |
トランジットルーター (TR) | Cloud Enterprise Network (CEN) 内のハブであり、1 つのリージョン内の複数の VPC、ECR インスタンス、VPN 接続を相互接続します。 |
等コストマルチパスルーティング (ECMP) | 複数のネットワークパスに同時にトラフィックを分散し、負荷分散とフェールオーバーの両方を提供します。 |
VPC とデータセンターの接続
接続方法の選択
2 つの方法が利用可能です：Express Connect (専用線) と IPsec-VPN です。適切な選択は、レイテンシーの感度、予算、および接続が必要になるまでの時間によって異なります。
Express Connect | VPN | |
ネットワークレイテンシー | 低 | 中 |
導入期間 | 長 (数か月) | 短 |
総コスト | 高 | 低 |
セキュリティ | 高 | 中 |
スケーラビリティ | 低 | 高 |
意思決定のガイダンス：
ワークロードがレイテンシーに敏感である場合、高帯域幅を必要とする場合 (例：大規模なデータ転送やリアルタイム金融取引)、またはコンプライアンス上の理由で公衆インターネットを回避する必要がある場合は、[Express Connect] を選択してください。
迅速で柔軟な接続が必要で、インターネットベースの可変レイテンシーを許容できる場合は、[IPsec-VPN] を選択してください。VPN は、Express Connect の費用対効果の高いバックアップでもあります。
Express Connect の使用
Express Connect は、内部ネットワークレベルの通信品質を提供します：低レイテンシー、低パケット損失率、高帯域幅です。
仕組み
専用接続ポートを申請し、データセンター機器から Alibaba Cloud アクセスポイントへの物理配線を完了します。これには、通信事業者の調査、回線の展開、配線が含まれます。
仮想ボーダールーター (VBR) と Express Connect Router (ECR) インスタンスを作成し、VPC への論理接続を完了します。
Express Connect 回線のタイプ
2 つの回線タイプが利用可能です。開始する前にタイムラインと予算を計画してください。完全なプロセスには数か月かかります。
専用 Express Connect 回線 | 共有 Express Connect 回線 | |
仕組み | 通信事業者がデータセンターから Alibaba Cloud アクセスポイントまで直接新しい回線を構築します | 通信事業者が自社のアクセスポイントからデータセンターまで新しい回線を構築します。通信事業者のアクセスポイントから Alibaba Cloud までのセグメントは、他のテナントと共有されます |
推定構築時間 | 1～3 か月 | 1 か月以内 |
ポートの所有権 | 専有 | 共有 |
高可用性
本番環境では、偶発的なケーブル切断などのイベントから保護するために、デュアル回線とデュアルアクセスポイントを使用してください。重要度の低いワークロードの場合は、Express Connect と IPsec-VPN バックアップ (アクティブ/スタンバイ) を組み合わせて、全体的なコストを削減できます。
Express Connect トラフィックはデフォルトで暗号化されていないため、転送中の暗号化に関するコンプライアンス要件がある業界では、Express Connect 回線の上にプライベート VPN Gateway をレイヤー化できます。詳細については、「プライベート VPN Gateway を使用した Express Connect 回線経由の暗号化通信の実装」をご参照ください。
マルチ VPC 環境
本番環境では、通常、複数の VPC が同じデータセンターへのアクセスを必要とします。多数の VPC にわたる手動ルート設定はエラーが発生しやすくなります。VPC と ECR をトランジットルーター (TR) にアタッチし、ボーダーゲートウェイプロトコル (BGP) 動的ルーティングを使用してください。ネットワークトポロジが変更されると、ルートテーブルが自動的に更新されます。
IPsec-VPN の使用
IPsec-VPN は、公衆インターネット経由で暗号化されたトンネルを作成します。IPsec 接続を VPN Gateway インスタンスにアタッチするか、トランジットルーター (TR) にアタッチするかに応じて、2 つの導入モードが利用可能です。
VPN Gateway へのアタッチ | トランジットルーター (TR) へのアタッチ | |
到達可能な宛先 | VPN Gateway が配置されている VPC のみ | Cloud Enterprise Network (CEN) 内の任意の VPC とデータセンター (TR 経由) |
高可用性 | アクティブ/スタンバイトンネル | ECMP — 両方のトンネルが同時にトラフィックを伝送します |
帯域幅の拡張 | サポートされていません | サポートされています — より多くの IPsec 接続を追加して、集約スループットを増やすことができます |
VPN Gateway へのアタッチ
VPN Gateway 上の各 IPsec-VPN 接続には、アクティブ/スタンバイモードで 2 つのトンネルが含まれます。アクティブトンネルに障害が発生すると、トラフィックは自動的にスタンバイトンネルに切り替わります。
DMZ VPC を介してインターネットトラフィックを集中管理する企業の場合は、「VPN Gateway を介した DMZ VPC への接続 (アクティブ/スタンバイトンネル)」をご参照ください。
トランジットルーター (TR) へのアタッチ
IPsec 接続がトランジットルーター (TR) にアタッチされると、2 つのトンネルは自動的に等コストマルチパスルーティング (ECMP) リンクを形成します。両方のトンネルが同時にトラフィックを伝送します。1 つのトンネルに障害が発生すると、トラフィックは他のトンネルに移行します。
両方のトンネルを完全に活用するには、オンプレミスゲートウェイデバイスで ECMP を有効にしてください。
トランジットルーターにアタッチされた IPsec-VPN 接続の設定手順については、「オンプレミスデータセンターとマルチリージョン VPC 間の IPsec-VPN 接続の確立」をご参照ください。
オフィス端末と VPC の接続
ノート PC やモバイルデバイスからのリモートアクセスには、SSL-VPN を使用してください。SSL-VPN は、主流のデスクトップクライアント (Windows、Linux、macOS) とモバイルクライアント (Android、iOS) をサポートしています。
企業アプリケーションがクラウド VPC とオンプレミスデータセンターの両方にまたがる場合は、同じ VPN Gateway インスタンスで IPsec-VPN と SSL-VPN の両方を有効にしてください。接続が確立されると、リモートクライアントとデータセンターの両方が VPC に到達し、相互に通信できるようになります。
VPC と他のクラウドの接続 (マルチクラウド)
他のクラウドへの接続は、データセンターへの接続と同じオプションを使用します。他のクラウドをリモートネットワークとして扱い、Express Connect または IPsec-VPN を介して接続します。
以下の例では、Alibaba Cloud VPC と AWS VPC の相互接続を例として説明します。
Express Connect の使用
冗長性を確保するために、デュアル回線とデュアルアクセスポイントを使用してください。
双方に複数の VPC があるマルチクラウド環境では、VPC と ECR をトランジットルーター (TR) にアタッチし、BGP 動的ルーティングを使用してください。ネットワークトポロジが変更されると、ルートテーブルが自動的に更新され、手動設定が不要になります。
IPsec-VPN の使用
Alibaba Cloud と AWS の両方が、IPsec-VPN 接続のデュアルトンネルモードをサポートしています。ただし、重要な互換性の考慮事項があります。AWS 側の 2 つのトンネルはデフォルトで同じカスタマーゲートウェイに関連付けられますが、Alibaba Cloud 側の 2 つのトンネルは異なる IP アドレスを使用します。これにより、1 対 1 のトンネルペアリングができません。
両方の Alibaba Cloud トンネルを同時に有効にするには、AWS で 2 つのサイト間 VPN 接続を作成します。それぞれ異なるカスタマーゲートウェイに関連付けます。
マルチ VPC 環境の場合は、IPsec 接続をトランジットルーター (TR) にアタッチし、BGP 動的ルーティングを使用してルート管理を簡素化してください。
Alibaba Cloud IPsec-VPN がトランジットルーター (TR) にアタッチされている場合、ECMP はデフォルトで有効になります。AWS 側でも ECMP を有効にしてください。AWS 側で ECMP が有効になっていない場合、AWS から Alibaba Cloud へのトラフィックは接続を指定する必要がありますが、Alibaba Cloud から AWS へのトラフィックは ECMP に基づいて自動的にトンネルを選択します。
