Express Connect と VPN Gateway を使用して、Alibaba Cloud VPC とデータセンター、オフィス端末、または他のクラウドプロバイダーのネットワーク間のネットワーク接続を確立できます。
VPC をデータセンターに接続する
接続ソリューションを選択する
2 つの一般的な接続ソリューションがあります。
Express Connect：データセンターネットワークをキャリアの Express Connect 回線を通じて Alibaba Cloud アクセスポイントに接続します。 Express Connect 回線の 2 つのエンドポイントが離れていても、低レイテンシ、低パケット損失率、高帯域幅で内部ネットワークレベルの通信品質を提供できます。
VPN：インターネット経由で暗号化トンネルを作成することにより、データセンターと Alibaba Cloud VPC の間に安全で信頼性の高いネットワーク接続を確立します。 VPN 接続の品質はインターネットの品質によって異なります。
接続方法 | Express Connect | VPN |
ネットワークレイテンシ | 低 | 中 |
実装時間 | 長 | 短 |
総費用 | 高 | 低 |
セキュリティ | 高 | 中 |
スケーラビリティ | 低 | 高 |
Express Connect を使用する
Express Connect を使用してデータセンターを Alibaba Cloud に接続するには、Express Connect プロダクトを使用する必要があります。
接続プロセス中に、次の操作を実行する必要があります。
専用接続ポートを申請し、データセンター機器から Alibaba Cloud アクセスポイント機器への Express Connect 回線経由の接続 を完了します。 Express Connect 回線は専用または共有に分類され、キャリア調査、回線展開、ケーブル配線作業が含まれます。構築サイクル全体は数か月と見積もられているため、時間と予算を事前に計画することをお勧めします。
専用 Express Connect 回線：キャリアは、データセンターから Alibaba Cloud アクセスポイントへの新しい回線を追加します。構築サイクルの見積もりは 1 ～ 3 か月です。この回線と対応するポートは専用です。
共有 Express Connect 回線：一部のキャリアは、Alibaba Cloud アクセスポイントへの接続を事前に確立しています。共有回線を使用するには、キャリアがキャリアのアクセスポイントからデータセンターへの新しい回線を追加する必要があります。構築サイクル全体は通常 1 か月以内です。この接続モードでは、キャリアのアクセスポイントと Alibaba Cloud アクセスポイント間の接続は複数のテナントで共有されます。
仮想ボーダールータ (VBR)、Express Connect Router (ECR) インスタンスを構成し、VPC への接続を完了します。
その他の推奨事項：
不可抗力（回線の偶発的な切断など）により発生する可能性のあるネットワークの中断を回避するために、デュアル回線とデュアルアクセスポイントを使用して Express Connect 回線の信頼性を向上させることができます。重要でないワークロードの場合は、Express Connect + VPN をアクティブ/スタンバイとして使用する ことを検討して、全体的なコストを削減できます。
Express Connect トラフィックにはデフォルトで暗号化メカニズムがないため、一部の業界では、セキュリティコンプライアンスポリシーにより、Express Connect 回線経由で送信する場合でも機密データを暗号化する必要があります。詳細については、「プライベート VPN ゲートウェイを使用して Express Connect 回線経由で暗号化通信を実装する」をご参照ください。
本番環境では、通常、複数の VPC がデータセンターと通信する必要があり、VPC も相互に通信する必要があります。手動ルート構成は面倒な場合があるため、より便利なネットワーキングアプローチを検討することをお勧めします。 VPC と ECR を 転送ルータ (TR) に接続し、BGP 動的ルーティングを使用して効率的なネットワーク相互接続を実現できます。動的ルーティングは、ネットワークトポロジーの変更に基づいてルーティングテーブルを自動的に調整するため、手動構成のワークロードを削減し、ネットワーク構成の複雑さを軽減します。
VPN 接続を使用する
VPN を使用してデータセンターを Alibaba Cloud に接続するには、IPsec-VPN プロダクトを使用することをお勧めします。
IPsec-VPN には 2 つの使用方法があり、主な違いは次のとおりです。
使用方法 | VPN Gateway にアタッチする | 転送ルータ (TR) にアタッチする |
シナリオ | データセンターは、VPN ゲートウェイインスタンスが配置されている VPC とのみ通信できます。 | データセンターは、転送ルータ (TR) インスタンスを介して、Cloud Enterprise Network (CEN) 内の任意の VPC および他のデータセンターと通信できます。 |
デュアルトンネルで高可用性を実現する方法 | アクティブ/スタンバイリンク | ECMP リンク ECMP（Equal-Cost Multipath Routing）は、複数のパスにトラフィックを同時に分散させ、負荷分散とリンクバックアップを実現し、ネットワークの効率と信頼性を向上させます。 |
IPsec 接続帯域幅を拡張できるかどうか | いいえ | はい。複数の IPsec 接続を作成し、ECMP リンクを介してトラフィックを同時に送信することにより、間接的に帯域幅を拡張できます。 |
VPN Gateway にアタッチする
IPsec 接続が VPN ゲートウェイにアタッチされているシナリオでは、2 つのトンネルはアクティブとスタンバイとして機能します。 1 つのトンネルに障害が発生すると、トラフィックを他のトンネルに切り替えることができます。
本番環境では、一部の企業は、インターネットトラフィックの統一制御とセキュリティ分離のために個別の DMZ VPC を設計しています。 VPN クラウドアクセスについては、次の設計を参照できます。 VPN ゲートウェイを介して DMZ VPC に接続する（アクティブ/スタンバイトンネル）。
転送ルータ (TR) にアタッチする
IPsec 接続が転送ルータ (TR) にアタッチされているシナリオでは、2 つのトンネルは自動的に ECMP リンクを形成します。オンプレミスゲートウェイデバイスも ECMP を有効にすると、両方のトンネルがトラフィックを送信します。 1 つのトンネルに障害が発生すると、トラフィックを他のトンネルに切り替えることができます。
VPC を別のクラウド (マルチクラウド) に接続する
VPC を他のクラウドに接続することは、VPC をデータセンターに接続する ことと似ています。他のクラウドを「特別なデータセンター」として扱い、Express Connect または IPsec-VPN を使用して接続し、マルチクラウド環境を構築できます。
Alibaba Cloud VPC と AWS VPC 間の相互接続を例にとります。
Express Connect を使用して複数のクラウドに接続する
デュアル回線とデュアルアクセスポイントを使用して Express Connect 回線の信頼性を向上させることをお勧めします。
マルチクラウド環境では、複数の VPC が相互に通信する必要があり、手動ルート構成は面倒な場合があります。 VPC と ECR を 転送ルータ (TR) に接続し、BGP 動的ルーティングを使用して効率的なネットワーク相互接続を実現できます。動的ルーティングは、ネットワークトポロジーの変更に基づいてルーティングテーブルを自動的に調整するため、手動構成のワークロードを削減し、ネットワーク構成の複雑さを軽減します。
IPsec-VPN を使用して複数のクラウドに接続する
Alibaba Cloud と AWS プラットフォームの両方が、IPsec-VPN 接続のデュアルトンネルモードをサポートしています。ただし、AWS プラットフォームの 2 つのトンネルはデフォルトで同じカスタマーゲートウェイに関連付けられていますが、Alibaba Cloud 側の 2 つのトンネルの IP アドレスは異なるため、AWS プラットフォームと Alibaba Cloud 間のトンネルは 1 対 1 の接続を確立できません。
Alibaba Cloud 側の IPsec-VPN 接続の両方のトンネルが同時に有効になるようにするには、AWS プラットフォームで 2 つのサイト間 VPN 接続を作成し、各サイト間 VPN 接続を異なるカスタマーゲートウェイに関連付ける必要があります。
マルチクラウド環境では、複数の VPC が相互に通信する必要があり、手動ルート構成は面倒な場合があります。 IPsec 接続を 転送ルータ (TR) にアタッチし、BGP 動的ルーティングを使用して効率的なネットワーク相互接続を実現できます。動的ルーティングは、ネットワークトポロジーの変更に基づいてルーティングテーブルを自動的に調整するため、手動構成のワークロードを削減し、ネットワーク構成の複雑さを軽減します。
Alibaba Cloud IPsec-VPN が転送ルータ (TR) にアタッチされている場合、ECMP はデフォルトで有効になっています。 AWS 側でも ECMP を有効にすることをお勧めします。 AWS 側で ECMP が有効になっていない場合、AWS から Alibaba Cloud へのトラフィックは接続を指定する必要があり、Alibaba Cloud から AWS へのトラフィックは ECMP に基づいてトンネルを自動的に選択します。
オフィスターミナルを VPC に接続する
VPN 接続を使用してオフィスターミナルを Alibaba Cloud VPC に接続するには、SSL-VPN プロダクトを使用します。
SSL-VPN は、主流のデスクトップクライアント (Windows、Linux、macOS) とモバイルクライアント (Android、iOS) をサポートしています。
一部のエンタープライズアプリケーションもデータセンターにデプロイされている場合は、VPN ゲートウェイインスタンスの IPsec-VPN と SSL-VPN 機能の両方を有効にして、データセンターとクライアントの両方に同時に接続できます。
接続が確立されると、クライアントとデータセンターの両方が VPC にアクセスでき、クライアントとデータセンターは相互に通信できます。