Virtual Private Cloud:VPC よくある質問

異なる VPC のリソースが相互にアクセスできるようにするには、どのように VPC を接続しますか？

VPC ピアリング接続または Cloud Enterprise Network (CEN) を使用して、同一アカウント内またはアカウント間、同一リージョン内またはリージョン間で VPC を接続できます。両者の違いについては、「VPC を接続する」をご参照ください。

正常に機能しない VPC ピアリング接続のトラブルシューティングはどのように行いますか？

以下のトラブルシューティング手順に従ってください。Network Intelligence Service - パス解析 ツールが診断に役立ちます。

1. ルートの確認：

   • ピアリング接続のステータスが「有効」であることを確認してください。

   • 両端の vSwitch のルートテーブルに、ピアリング接続インスタンスをネクストホップとして対向 VPC の CIDR ブロックを指すルートがあるかどうかを確認してください。

2. セキュリティグループとネットワーク ACL の確認：

   • 送信元 ECS と宛先 ECS (または RDS) インスタンスのセキュリティグループとネットワーク ACL ルールを確認してください。

   • 宛先のセキュリティグループとネットワーク ACL のインバウンドルールが、送信元 VPC の CIDR ブロック (または特定の送信元 IP) からの、必要なサービスポートへのトラフィックを許可していることを確認してください。

   • 送信元のセキュリティグループとネットワーク ACL のアウトバウンドルールが、アウトバウンドトラフィックをブロックしていないことを確認してください。

3. CIDR 競合の確認：

   • 2 つの VPC の CIDR ブロックが重複しているかどうかを確認してください。VPC ピアリングを使用する場合、2 つの VPC の CIDR ブロックが重複しないようにすることを推奨します。

   • ECS インスタンス上の Docker/K8s コンテナの CIDR ブロックが、対向 VPC の CIDR ブロックと競合する可能性があることに特に注意してください。これは、非常によくある見落としがちな原因です。競合が存在する場合、ルート、セキュリティグループ、ネットワーク ACL がすべて正しくても、ネットワークは到達不能になります。

ピアリング接続を設定する際に CIDR ブロックの競合を解決するにはどうすればよいですか？

通信が必要な 2 つの VPC の CIDR ブロックが競合する場合、次のオプションがあります：

1. ネットワークの再計画 (推奨)：リソースを一方の VPC から、CIDR ブロックが競合しない新しい VPC に移行します。これが最も根本的な解決策です。

2. CEN と VPC NAT ゲートウェイの使用：より複雑な CIDR 競合シナリオでは、CEN を VPC NAT ゲートウェイのプライベート NAT 機能と組み合わせて使用し、通信前に一方の VPC からアドレスを別の CIDR ブロックにマッピングします。このソリューションではアーキテクチャがより複雑になり、コストも高くなります。詳細については、「VPC NAT ゲートウェイを使用してアドレスの競合を解決する」をご参照ください。

ピアリング接続を追加した後、一部の IP に到達できなくなる問題のトラブルシューティングはどのように行いますか？

この問題は通常、より具体的なルートまたはセキュリティグループルールが原因で発生します。

• ルーティングの問題：両端のルートテーブルを確認してください。優先度の高い、より詳細なルート (最長プレフィックス一致ルール) が、NAT ゲートウェイを指すデフォルトルートなど、トラフィックを別の場所に誘導している可能性があります。

• セキュリティグループの問題：宛先のセキュリティグループのインバウンドルールが、一部の送信元 IP からのアクセスのみを許可していないか確認してください。

• ネットワーク ACL の問題：ネットワーク ACL が、一部のサブネットからのトラフィックのみを許可していないか確認してください。

ピアリング接続で、リクエスタからアクセプタへの PING は成功するのに、逆方向の PING が失敗するのはなぜですか？

片方向の通信は、通常、非対称な設定が原因で発生します。両方の ECS インスタンスのセキュリティグループとネットワーク ACL ルールが、アウトバウンドおよびインバウンドのトラフィックを許可しているかどうかを重点的に確認してください。

A から B、B から C への VPC ピアリング接続を作成しました。A と C が通信できないのはなぜですか？

VPC ピアリング接続は推移的ではありません。

これは、VPC-A が VPC-B とピアリング接続しており、VPC-B が VPC-C とピアリング接続している場合、VPC-A と VPC-C は VPC-B を介して通信できないことを意味します。

複数の VPC 間で完全な接続が必要な場合 (たとえば、スター型またはメッシュ型のネットワークトポロジーを構築する場合)、Cloud Enterprise Network (CEN) 製品を使用します。

VPC ピアリング接続を確立した後、対向の RDS、Redis、およびその他のクラウドサービスにアクセスできないのはなぜですか？

この問題は ECS の接続問題と似ていますが、クラウドサービス自体のアクセス制御にも注意する必要があります。

1. 基本的な接続のトラブルシューティング：「VPC ピアリング接続のトラブルシューティング」のチェックリストを使用して、ルート、CIDR ブロック、セキュリティグループ、ネットワーク ACL を確認し、ネットワークパスが到達可能であることを確認してください。

2. クラウドサービスの IP ホワイトリストの確認：ほとんどのデータベースおよびキャッシュサービス (RDS、Redis、MongoDB など) は、IP ホワイトリスト機能を提供しています。アクセス元となる ECS インスタンスのプライベート IP アドレスまたは CIDR ブロックを、ターゲットのクラウドサービスのホワイトリストに追加する必要があります。

VPC ピアリング接続は、クロスアカウント接続とクロスリージョン接続をサポートしていますか？

はい。リージョンをまたいで使用する場合、アウトバウンドトラフィック量に基づき、Cloud Data Transfer (CDT) のトラフィック転送料金が発生しますのでご注意ください。

サイト間の接続はサポートされていないことにご注意ください。たとえば、中国サイトと国際サイトの VPC は相互に接続できません。

IPv4 ゲートウェイを削除した後、パブリックネットワークにアクセスできなくなるのはなぜですか？

最も一般的な理由は、IPv4 ゲートウェイを削除する際に、パブリックモードではなくプライベートモードを選択したためです。プライベートモードで削除すると、VPC 内のすべてのリソースはパブリックネットワークと通信できなくなります。

VPC を IPv4 ゲートウェイがなくパブリックネットワークアクセスがある状態に戻すには、再度 IPv4 ゲートウェイを作成し、パブリックモードで削除してください。詳細については、「IPv4 ゲートウェイ」をご参照ください。

同一 VPC 内のプライマリ CIDR ブロックにある ECS インスタンスは、追加 CIDR ブロックにある ECS インスタンスと通信できますか？

プライマリ CIDR ブロックと追加 CIDR ブロック内の ECS インスタンスは、すべて同じ VPC 内のインスタンスです。セキュリティグループとネットワーク ACL のルールがトラフィックを許可していれば、相互に通信できます。

VPC で ClassicLink を有効にした後、クラシックネットワークの ECS インスタンスは、VPC の追加 CIDR ブロック内のクラウドリソースと通信できますか？

いいえ。追加 CIDR ブロックは ClassicLink 機能と互換性がありません。

HaVip をバインドした後、VIP がフェイルオーバーしないのはなぜですか？

プライマリノードに障害が発生したときに、VIP がスタンバイノードに自動的にフェイルオーバーできないことがあります。これは HaVip 設定で最も一般的な問題です。原因は通常、次のとおりです：

• Keepalived が実行されていない：CentOS 7.9 を例にとると、systemctl status keepalived を実行してサービスステータスを確認します。実行されていない場合は、systemctl start keepalived を実行して Keepalived を起動します。

• Keepalived 設定エラー：keepalived.conf 設定ファイルにエラーがないか確認します。例：

  • プライマリノードとスタンバイノードの virtual_router_id が異なります。

  • プライマリノードとスタンバイノードの authentication が異なります。

  • unicast_peer で指定された対向 IP アドレスが正しくありません。

  • virtual_ipaddress で指定された仮想 IP アドレスが HaVip アドレスではありません。

• セキュリティグループまたはネットワーク ACL によるブロック：セキュリティグループまたはネットワーク ACL のルールが、送信元 IP からの関連トラフィックをブロックしていないか確認してください。

• インスタンス内ファイアウォール：ECS インスタンス内のファイアウォール (firewalld や iptables など) が、送信元 IP からの関連トラフィックをブロックしていないか確認してください。

ルートを追加した後もネットワークが到達不能なのはなぜですか？

正しいルートの追加は、ネットワーク接続のための前提条件の 1 つにすぎません。ネットワークが到達不能な場合は、次の手順に従ってトラブルシューティングを行ってください：

1. 双方向のルート確認：リクエスト方向とレスポンス方向の両方でルートが正しく設定されていることを確認してください。例えば、VPC ピアリング接続では、両端でルートを設定する必要があります。

2. セキュリティグループルール：送信元と宛先の ECS インスタンスのセキュリティグループが、必要なプロトコルとポート (たとえば、ping には ICMP が必要) のトラフィックを許可しているかどうかを確認してください。

3. ネットワーク ACL ルール：ネットワーク ACL を設定している場合は、そのアウトバウンドおよびインバウンドルールが関連トラフィックを許可しているかどうかを確認してください。

4. ECS 内ファイアウォール：ECS オペレーティングシステム内のファイアウォール (Linux の iptables/firewalld や Windows ファイアウォールなど) がトラフィックをブロックしていないか確認してください。

5. CIDR 競合：ECS インスタンス上の Docker CIDR ブロックが対向 VPC の CIDR ブロックと競合するなど、ネットワークアドレスの競合がないか確認してください。

6. パス解析ツールの使用：コンソールの Network Intelligence Service - パス解析 ツールを使用して、2 点間のネットワーク接続を視覚的に診断してください。

EIP をバインドした ECS インスタンスがパブリックネットワークにアクセスできない場合はどうすればよいですか？

以下を確認してください：

1. IPv4 ゲートウェイと VPC ルートテーブル：VPC で IPv4 ゲートウェイが有効になっている場合、ECS インスタンスが存在する vSwitch のルートテーブルに、IPv4 ゲートウェイを指すデフォルトルート (0.0.0.0/0) があるかどうかを確認します。

2. セキュリティグループルール：ECS インスタンスのセキュリティグループのアウトバウンドルールを確認します。デフォルトでは、すべてのアウトバウンドトラフィックが許可されています (0.0.0.0/0)。アウトバウンドアクセスが誤って制限されていないことを確認してください。

3. ネットワーク ACL ルール：vSwitch にネットワーク ACL を設定している場合は、アウトバウンドルールがトラフィックの送信を許可しているかどうかを確認します。

4. 料金滞納：Alibaba Cloud アカウントに料金滞納がないか確認してください。料金滞納があると EIP が利用停止になる場合があります。

5. ECS 内のネットワーク設定：ECS オペレーティングシステム内のネットワーク設定 (ゲートウェイや DNS など) が正しいことを確認します。これらの設定は通常、DHCP を介して自動的に取得されます。

VPC 内の ECS インスタンスにパブリック IP アドレスがないのはなぜですか？

VPC は、ネットワークの分離とセキュリティを目的として設計されています。デフォルトでは、VPC 内に作成された ECS インスタンスには、VPC 内部通信用のプライベート IP アドレスのみが割り当てられ、インターネットにアクセスすることはできません。これは VPC の主要なセキュリティ機能の 1 つです。

インスタンスがパブリックネットワークにアクセスするようにするには、「インターネットアクセス」で説明されているように、EIP のバインドや NAT ゲートウェイの設定など、パブリックネットワークアクセスを明示的に設定する必要があります。

クロスリージョンまたは越境ピアリング接続の作成または承諾時に、「IncorrectBusinessStatus.VpcPeer」というエラーや、料金滞納または異常ステータスに関するプロンプトが表示された場合はどうすればよいですか？

ピアリング接続の作成または承諾時にこのエラーが発生した場合は、次の手順に従ってトラブルシューティングを行ってください：

• 料金滞納の確認：リクエスタアカウントとアクセプタアカウントの両方に料金滞納がないことを確認してください。アカウントに料金滞納があり、インスタンスがロックされている (FinancialLocked) 場合は、アカウントに料金を支払い、アカウントが正常な状態に戻った後で再試行してください。

• CDT サービスの有効化：リージョン間のピアリング接続のトラフィック課金は、Cloud Data Transfer (CDT) サービスに依存します。リクエスタアカウントとアクセプタアカウントの両方で CDT サービスが有効になっていることを確認してください。有効になっていない場合、クロスリージョンピアリング接続は作成または使用できません。

VPC はマルチキャストをサポートしていますか?

VPC はマルチキャストをサポートしていません。ただし、VPC は Cloud Enterprise Network (CEN) と連携してマルチキャストを実装できます。

VPC でパブリック IP アドレスをプライベート利用するには、どうすればよいですか?

一部の企業では、オンプレミスデータセンターや VPC で、30.0.0.0/16 など、RFC 1918 以外のプライベート CIDR ブロックを使用しています。他の VPC やオンプレミスデータセンターとのネットワーク接続を確立する際、VPC はRFC 1918 外の IP アドレスをパブリック IP アドレスとして扱います。VPC 内のクラウドリソースでパブリックネットワークアクセス機能が有効になった後、30.0.0.0/16 を指すルートがオンプレミスデータセンターまたは別の VPC を指すように設定されていても、トラフィックはパブリックネットワークに転送され、宛先の VPC やオンプレミスデータセンターに到達できません。

以下の方法でパブリック IP アドレスのプライベート利用を実装できます。

• 方法 1：IPv4 ゲートウェイ。

  IPv4 ゲートウェイを使用して、VPC のパブリックネットワークへのアクセスを一元的に制御できます。30.0.0.0/16 にアクセスする際、トラフィックは優先的に別の VPC またはオンプレミスデータセンターにルーティングされます。詳細については、「IPv4 ゲートウェイを使用してインターネットからプライベートネットワークへトラフィックをルーティングする」をご参照ください。

• 方法 2：ユーザー CIDR ブロック。

  30.0.0.0/16 へのリクエストをパブリックネットワークに直接転送するのではなく、ルートテーブルに基づいて転送したい場合は、VPC の作成時に CreateVpc API を呼び出し、UserCidr パラメーターを渡すことで、VPC にユーザー CIDR ブロックを指定できます。ユーザー CIDR ブロックを設定すると、VPC からユーザー CIDR ブロック内のアドレスへのリクエストは、ルートテーブルに基づいて転送されます。

  1. ユーザー CIDR ブロックは API 操作でのみ設定でき、コンソールでは設定できません。ユーザー CIDR ブロックを作成した後は、変更できません。

  2. VPC の IPv4 CIDR ブロックのみを指定し、3 つの標準 RFC プライベート CIDR ブロック (192.168.0.0/16、172.16.0.0/12、または 10.0.0.0/8) またはそのサブネット以外のカスタム CIDR ブロックを選択した場合、システムは自動的にプライマリ CIDR ブロックをユーザー CIDR ブロックとして設定します。

VPC とクラシックネットワークの違いは何ですか?

クラシックネットワークは Alibaba Cloud の初期のネットワークモデルであり、デフォルトでは VPC と相互接続されていません。段階的に廃止されており、推奨されません。購入するすべてのリソースは VPC にデプロイする必要があります。

VPC とクラシックネットワーク間の通信を有効にするには、どうすればよいですか?

詳細については、「ClassicLink を使用してクラシックネットワークと VPC を接続する」をご参照ください。

Alibaba Cloud の VPC をオンプレミスデータセンターネットワークに接続するには、どうすればよいですか? Alibaba Cloud の VPC を AWS または Tencent Cloud に接続するには、どうすればよいですか?

詳細については、「VPC をデータセンターまたは他のクラウドに接続する」をご参照ください。

CIDR ブロックが他の VPC やオンプレミスネットワークの CIDR ブロックと競合する場合、VPC は通信できますか?

詳細については、以下をご参照ください。

• VPC NAT ゲートウェイを使用したアドレス競合の解決。

• VPC NAT ゲートウェイと Express Connect を使用したデータセンターと VPC の接続。

• NAT および VPN ゲートウェイ経由のプライベートネットワークアクセス。

ECS インスタンスがパブリックネットワークにアクセスできるようにするには、どうすればよいですか? ECS インスタンスが IPv6 アドレスを介してパブリックネットワークにアクセスできるようにするには、どうすればよいですか?

詳細については、「パブリック IP アドレスタイプの選択」をご参照ください。

複数の ECS インスタンスで統一されたパブリック送信元 IP を使用するには、どうすればよいですか?

詳細については、以下をご参照ください。

• NAT ゲートウェイを統一インターネット送信元として使用する。

• VPC ピアリング接続を作成して複数の VPC が同じインターネット NAT ゲートウェイを使用できるようにする。

• トランジットルーターを使用して複数の VPC でインターネット NAT ゲートウェイを共有する。

IPv4 ゲートウェイと NAT ゲートウェイの違いは何ですか?

IPv4 ゲートウェイと NAT ゲートウェイの機能は重複していません。両者は併用できます。ネットワークコンポーネント間の関係の詳細については、インターネットアクセスをご参照ください。

パブリック IP とプライベート IP を切り替えるには、どうすればよいですか?

EIP がバインドされた ECS インスタンスは、パブリック IP とプライベート IP の両方を持っています。手動で切り替える必要はありません。

• VPC 内通信：同じ VPC 内の他の ECS インスタンスがこの ECS インスタンスにアクセスする場合、常にプライベート IP が使用されます。トラフィックは VPC 内で完結するため、高速かつ無料です。

• パブリックネットワークからのアクセス、またはパブリックネットワークへのアクセス：インターネット上のユーザーまたはデバイスがこの ECS インスタンスにアクセスする場合、またはこの ECS インスタンスがインターネットにアクセスする場合、パブリック IP (EIP) を使用する必要があります。

ECS インスタンスが VPC の内部ネットワーク経由で OSS にアクセスできるようにするには、どうすればよいですか?

詳細については、「Alibaba Cloud サービスへの VPC プライベートアクセス」をご参照ください。

特定の IP のみが ECS インスタンスにアクセスできるようにするには、どうすればよいですか? ネットワーク ACL とセキュリティグループの違いは何ですか?

詳細については、「アクセス制御」をご参照ください。

異なるセキュリティグループ間の通信を有効にするには、どうすればよいですか?

ベーシックセキュリティグループでは、セキュリティグループを認可オブジェクトとして使用できます。エンタープライズセキュリティグループでは使用できません。詳細については、「ECS ドキュメント - 認可オブジェクトとしてのセキュリティグループ」をご参照ください。

ベーシックセキュリティグループのインバウンドまたはアウトバウンドルールを設定する際、送信元を別のベーシックセキュリティグループに設定できます。このアプローチは、CIDR ブロックでアクセス許可を行うよりも柔軟です。新しい ECS インスタンスがセキュリティグループに追加されたり、インスタンスの IP が変更されたりしても、セキュリティグループルールを変更する必要はありません。自動的にアクセス権が付与されます。

有効にならないセキュリティグループルールのトラブルシューティングを行うには、どうすればよいですか?

1. ルールの優先度：ルールがより高い優先度のルールと競合していないかを確認します。

2. 方向の誤り：ルールがインバウンドまたはアウトバウンドとして設定されているかを確認します。ECS インスタンスへのアクセスはインバウンドです。ECS が外部ネットワークにアクセスする場合はアウトバウンドです。

3. 対象オブジェクトの誤り：セキュリティグループが対象の ECS インスタンスの Elastic Network Interface に正しく適用されていることを確認します。

4. ネットワーク ACL によるブロック：ECS インスタンスが存在する vSwitch がネットワーク ACL に関連付けられているか、ACL ルールがトラフィックを拒否していないかを確認します。

5. ECS 内ファイアウォール：オペレーティングシステム内のファイアウォール設定を確認します。

6. ルーティング：トラフィックが ECS インスタンスに正しくルーティングされることを確認します。

ECS インスタンスを別の VPC に移行するには、どうすればよいですか?

詳細については、「インスタンスの VPC を変更する」をご参照ください。

VPC でカスタム DNS サーバーを設定できますか?

はい。DHCP オプションセット機能を使用して、VPC のデフォルト DNS サーバーを、ECS インスタンス上に構築した DNS サーバー、オンプレミスデータセンター内の DNS サーバー、またはサードパーティのパブリック DNS サービス (ネットワーク接続が必要) に変更できます。詳細については、「自己管理 DNS サービスの使用」をご参照ください。

VPC ピアリング接続は、中国サイトと国際サイトのアカウントの VPC を接続できますか?

いいえ。

クロスアカウントコンプライアンス要件に基づき、ピアリング接続は、中国サイトアカウントの VPC と国際サイトアカウントの VPC 間のプライベートネットワーク接続に対応していません。

VPC ピアリングはクロスボーダーのプライベートネットワーク接続に対応していますか?

はい。

クロスボーダーピアリング接続では、Cloud Data Transfer (CDT) により、アウトバウンドトラフィックに基づいてトラフィック転送料金が課金されます。CDT のクロスボーダー機能を使用するには、現在のアカウントが企業の実名登録を完了していることを確認してください。

VPC ピアリング接続のネットワーク遅延はどの程度ですか?

• 同一リージョンピアリング接続：ネットワーク遅延は低く、通常はミリ秒レベルです。

• クロスリージョンピアリング接続：異なるリージョン間でのデータ転送のため、遅延は比較的高くなります。具体的な遅延は、2 つのリージョン間の物理的距離とネットワーク状況によって異なります。Cloud Network Performance Observer を使用してリージョン間の平均ネットワーク遅延を参照し、ビジネスにより適したリンクタイプを選択できます。

新しく作成した vSwitch が ECS、NLB、RDS などのクラウド製品の設定ページに表示されないのはなぜですか?

新しく作成した vSwitch が他のクラウド製品の設定ページに表示されない場合、以下の理由が考えられます。

• VPC の不一致：vSwitch が存在する VPC と、設定しているクラウド製品 (NLB や RDS など) の VPC が完全に同じである必要があります。そうでない場合、vSwitch は表示されません。

• ゾーンの不一致：vSwitch と対象のクラウド製品インスタンスは同じゾーンに存在する必要があります。ゾーンが異なる場合は、対象インスタンスが存在するゾーンに vSwitch を作成してください。

• コンソールキャッシュの遅延：vSwitch の作成後、表示に短い遅延が発生する場合があります。コンソールからログアウトして再ログインするか、ページを更新して再試行することを推奨します。

• NLB のマルチゾーン要件：バックエンド ECS インスタンスが単一のゾーンに集中している場合でも、NLB では少なくとも 2 つのゾーンとそれに対応する vSwitch を選択する必要があります。選択した各ゾーンに有効な vSwitch があることを確認してください。

VPC と vSwitch を迅速に設定するには、どうすればよいですか? ECS インスタンスの作成時に自動作成された vSwitch は、インスタンスを解約した後も保持されますか？

• 新規アカウントの設定推奨事項：特定のプライベート IP 計画要件がない場合は、デフォルト VPC とデフォルト vSwitch を直接使用できます。これはサーバーの動作に影響しません。デフォルト VPC とデフォルト vSwitch は、Alibaba Cloud が割り当てるクォータにカウントされません。

• デフォルト VPC と vSwitch の作成：VPC が作成されていないリージョンで ECS、CLB、または RDS インスタンスを作成する場合、システムは自動的にデフォルト VPC とデフォルト vSwitch を事前選択します。Alibaba Cloud は注文時にこれらを作成します。

• リソース保持ルール：vSwitch は独立したネットワークリソースです。一度作成されると永続的に保持され、ECS インスタンスが解約されても自動的に削除されません。手動で管理または削除する必要があります。

CIDRとは

クラスレスドメイン間ルーティング (CIDR) は、IP アドレスの割り当てとルート集約を行うための方法です。ネットワーク管理の効率を向上させ、ルートテーブルを簡素化します。

CIDR はスラッシュ表記を使用します (例: 192.168.1.0/24)。

• スラッシュの前の部分はネットワークアドレスで、IP アドレス範囲の開始 IP アドレスを示します。

• スラッシュの後の数字は、サブネットマスク内の連続する 1 のビット数、つまりネットワークプレフィックスの長さを表します。残りのビットはホストアドレスに使用されます。

CIDR ブロックは、同じネットワークプレフィックスと長さを共有する IP アドレスの集合です。大きな CIDR ブロックは、異なるネットワークプレフィックスと長さを持つ小さな CIDR ブロックに分割できます。このプロセスはサブネット化と呼ばれます。CIDR ブロックは、現代のネットワーク計画の基礎です。Virtual Private Cloud (VPC) と vSwitch のサブネット化は、この原則に基づいています。

例：

• 192.168.0.0/16: 最初の 16 ビットがネットワーク部、最後の 16 ビットがホスト部です (理論上 2¹⁶ 個の IP アドレスを含みます)。この CIDR ブロックには 192.168.1.0/24 と 192.168.2.0/26 が含まれます。

• 10.0.0.0/8: 最初の 8 ビットがネットワーク部、最後の 24 ビットがホスト部です (理論上 2²⁴ 個の IP アドレスを含みます)。この CIDR ブロックには 10.1.0.0/16 と 10.2.0.0/24 が含まれます。

• 172.16.0.0/12: 最初の 12 ビットがネットワーク部、最後の 20 ビットがホスト部です (理論上 2²⁰ 個の IP アドレスを含みます)。この CIDR ブロックには 172.17.0.0/16 と 172.18.0.0/24 が含まれます。

VPC と vSwitch を作成する際は、CIDR ブロック形式でその CIDR ブロックを指定する必要があります。vSwitch には システム予約 IP アドレス があるため、実際に使用可能な IP アドレスの数は理論値より少なくなる点にご注意ください。

VPCの CIDR ブロックを変更する方法

• プライマリ CIDR ブロックの調整

  VPC の作成時に指定する IPv4 CIDR ブロックが、VPC のプライマリ CIDR ブロックになります。コンソールでは VPC のプライマリ CIDR ブロックを変更できません。ただし、ModifyVpcAttribute API の CidrBlock パラメーターを調整することで、プライマリ CIDR ブロック内で CIDR ブロックを拡大または縮小できます。縮小後の CIDR ブロックには、既に使用されている IP アドレスが含まれている必要があります。

  VPC で IPv6 を有効にした後に割り当てられた IPv6 CIDR ブロックは変更できません。

• セカンダリ CIDR ブロックの使用。セカンダリ CIDR ブロックを使用して、プライマリ CIDR ブロック以外に追加の CIDR ブロックを VPC に追加できます。セカンダリ CIDR ブロックとプライマリ CIDR ブロックは同時に有効になります。セカンダリ CIDR ブロックを使用して vSwitch を作成し、ECS インスタンスなどのクラウドリソースをデプロイできます。

vSwitchの CIDR ブロックを変更する方法

vSwitch の IPv4 および IPv6 CIDR ブロックは、作成後に変更できません。

vSwitch の CIDR ブロックを変更する必要がある場合は、vSwitch を削除して、目的の CIDR ブロックで新しい vSwitch を作成するしかありません。vSwitch を削除する前に、ECS インスタンス、Server Load Balancer (SLB) インスタンス、RDS インスタンスなど、vSwitch 内のすべてのクラウドリソースを解放または移行する必要があります。これはリスクの高い操作です。データバックアップと移行計画を事前に用意しておいてください。

VPC作成時に選択すべき CIDR ブロック

VPC の CIDR ブロックの選択は、ネットワーク計画における重要なステップです。以下の原則に従うことを推奨します。

• 標準プライベート CIDR ブロックを使用します。RFC 1918 で定義されている標準プライベート CIDR ブロック (10.0.0.0/16、172.16.0.0/16、192.168.0.0/16 など) を使用することを推奨します。100.64.0.0/10、224.0.0.0/4、127.0.0.0/8、または 169.254.0.0/16 を VPC の CIDR ブロックとして使用することはできません。

• オンプレミスデータセンター (IDC) や他のネットワーク環境との競合を回避します。VPC をオンプレミスネットワーク、他の VPC、または他のクラウドに接続する予定がある場合は、VPC の CIDR ブロックがこれらのネットワークの CIDR ブロックと競合しないようにしてください。

• 十分なアドレス空間を確保します。将来のビジネス規模に基づいて必要な IP アドレスの数を見積もり、十分に大きな CIDR ブロックを選択してください。これにより、後からアドレス不足による複雑なネットワーク構成の変更を回避できます。

• 一般的なコンテナネットワークの CIDR ブロックとの競合を回避します。VPC で Docker または Kubernetes (K8s) を使用する予定がある場合は、172.17.0.0/16 などの一般的なデフォルトコンテナ CIDR ブロックを意図的に避けて、通信障害を防ぐことを推奨します。

VPCへのIPv6 CIDR ブロックの割り当てとIPv6でのパブリックアクセス方法

VPC と vSwitch で IPv6 を有効にすると、システムは自動的に IPv6 ゲートウェイ を作成し、IPv6 CIDR ブロックを割り当てます。デフォルトではプライベート通信のみ可能です。パブリックネットワークと通信するには、IPv6パブリック帯域幅を有効化できます。詳細な操作については、IPv6の有効化または無効化をご参照ください。

VPCにIPv6 CIDR ブロックのみを割り当て可能か (IPv6 のみ)

いいえ。VPC は現在、IPv4 のみとデュアルスタック (IPv4 + IPv6) に対応していますが、IPv6 のみには対応していません。

既存のECS インスタンスに特定のプライベート IP アドレスを割り当てる方法

詳細については、「既存インスタンスのプライマリプライベート IPv4 アドレスの変更」をご参照ください。

DockerネットワークとVPC CIDR ブロックが競合すると通信できない理由

これは、クラウドネットワークの計画における典型的な問題です。ECS にデプロイされた Docker (または K8s Pod) のネットワークが、VPC 内の他の vSwitch の CIDR ブロックや、ピアリング接続先の VPC の CIDR ブロックと重複すると、ルーティングの競合が発生し、正常な通信ができなくなります。

• 原因：Docker のデフォルト CIDR ブロックが 172.17.0.0/16 で、VPC 内の vSwitch B の CIDR ブロックが 172.17.0.0/24 であると仮定します。Docker コンテナ内のアプリケーションが vSwitch B 内の IP にアクセスしようとすると、ECS のオペレーティングシステムは自身のルートテーブルに基づき、VPC ルーティングを経由せずに、ローカルの docker0 ブリッジにトラフィックをルーティングするため、通信障害が発生します。

• 解決策：

  1. Docker/K8s ネットワーク設定の変更：Docker デーモン設定ファイル (例: /etc/docker/daemon.json) を変更し、クラウドネットワーク環境全体 (相互接続されたすべての VPC とオンプレミス IDC を含む) と競合しないプライベート CIDR ブロックを指定します。これが最も根本的な解決策です。

  2. VPC 計画時の競合回避：VPC と vSwitch の CIDR ブロックを計画する際に、172.17.0.0/16 や 10.0.0.0/8、その他 K8s で一般的に使用される CIDR ブロックを意図的に避けます。

IPAM プールを設定して、新規VPCと既存ネットワークとの CIDR ブロック競合を防ぐ方法

1. IPAM を有効にする前に、オンプレミスデータセンター、オフィスネットワーク、他のクラウドを含む、相互接続が必要なすべてのネットワーク環境を確認します。既に使用されているすべての CIDR ブロックを記録します。

2. IPAM プールで CIDR ブロックを事前定義する際、これらの既に使用されている CIDR ブロックも含めます。

3. IPAM プールで カスタム割り当て を作成して、これらの CIDR ブロックを予約します。

4. 以降、すべての新しい VPC の CIDR ブロックは IPAM を通じて割り当てます。IPAM には使用中のすべての CIDR ブロックが記録されているため、割り当てられる新しい CIDR ブロックが既存のブロックと競合することはありません。

HaVipはIPv6をサポートしているか

いいえ。現在は IPv4 のみをサポートしています。

VPC または vSwitch を削除する際に、依存リソースに関するプロンプトが表示された場合はどうすればよいですか？

コンソールの指示に従って依存リソースを削除してから、VPC または vSwitch を削除してください。

VPC の詳細ページの [リソース管理] タブ、または vSwitch の詳細ページの [クラウドリソース] タブで既存のリソースを表示できます。

VPC を削除する際に Elastic Network Interface (ENI) の削除に関する問題が発生した場合はどうすればよいですか？

Elastic Network Interface (ENI) は、VPC または vSwitch を削除する際に最も一般的な残存リソースの 1 つです。

• プライマリ ENI： プライマリ ENI は ECS インスタンスと共に作成され、そのライフサイクルは ECS インスタンスにバインドされています。個別にアンバインドまたは削除することはできません。まず ECS インスタンスをリリースする必要があり、プライマリ ENI はそれに伴って削除されます。

• セカンダリ ENI： セカンダリ ENI の場合は、削除する前に ECS インスタンスからアンバインドする必要があります。

• 他のクラウドサービスによる管理： ALB、NLB、ACK、Function Compute などのサービスは、Elastic Network Interface (ENI) を自動的に作成および管理します。対応するクラウドサービスのコンソールに移動してサービスインスタンス (たとえば、ACK クラスターの削除など) を削除する必要があり、これらのサービスは、自らが作成した Elastic Network Interface (ENI) を自動的にクリーンアップします。

ECS インスタンスをリリースした直後に vSwitch の削除が失敗した場合はどうすればよいですか？

ECS インスタンスをリリースした後、システムがインスタンスに関連付けられた Elastic Network Interface (ENI) などの残存リソースを非同期でクリーンアップするのに約 1〜2 分かかります。1〜2 分待ってから vSwitch の削除をリトライしてください。

CEN/トランジットルーター (TR) は追加 CIDR ブロックのルートを自動的に追加しますか?

TR の VPC 接続でルート学習が有効になっており、VPC が追加 CIDR ブロックを使用して vSwitch を作成した場合、TR は vSwitch の追加 CIDR ブロックのシステムルートを自動的に学習します。詳細については、「ルート伝播」をご参照ください。

TR は VPC のシステムルートのみを自動学習します。カスタムルートの場合は、VPC ルートテーブルから CEN に手動で公開するか、CEN に直接ルートエントリを追加できます。

VPC にルーターはありますか?

各 VPC には、ルーターが 1 つだけあります。各ルーターは複数のルートテーブルを保持できます。

VPC コンソール - ルートテーブル ページまたはDescribeRouteTables API を使用して、ルートテーブルが属するルーター ID を照会できます。

VPC ピアリング接続のルートを設定するには、どうすればよいですか?

VPC ピアリング接続が確立され、有効化された後も、デフォルトでは 2 つの VPC は接続されていません。これは、ピアリング接続を介してピア VPC にトラフィックをルーティングするためのルート情報がないためです。したがって、両端のルートテーブルにピアリング接続を指すルートを追加する必要があります。

手順については、「ルートの設定」をご参照ください。

ルートエントリの送信先 CIDR ブロックには何を入力すればよいですか?

送信先 CIDR ブロックは、ルートの適用対象となる宛先 IP アドレスの範囲を定義します。

• 完全一致：トラフィックの宛先となる特定のネットワーク範囲を入力します。たとえば、ピア VPC (192.168.0.0/16) にアクセスする場合は、192.168.0.0/16 と入力します。

• デフォルトルート：0.0.0.0/0 はすべての IPv4 アドレスを表します。0.0.0.0/0 宛てのトラフィックを NAT ゲートウェイに向けることで、VPC 内のパブリック IP を持たない ECS インスタンスが NAT ゲートウェイを介してインターネットにアクセスできるようになります。

ピアリング接続で両端にルート設定が必要なのはなぜですか?

ネットワーク通信は双方向です。ルートを設定する際は、リクエストトラフィック (アウトバウンド) だけでなく、レスポンス トラフィック (インバウンド) も考慮する必要があります。片側のみにルートが設定されている場合、宛先に到達できなくなる可能性があります。

vSwitch CIDR ブロックをルートの送信先として使用できますか?

はい、ただし推奨されません。

ベストプラクティス：VPC ピアリング接続、VPN ゲートウェイなどのルートを設定する場合、送信先には特定の vSwitch CIDR ブロックではなく、ピア VPC 全体の CIDR ブロックを指定することを推奨します。これにより管理が簡素化されます。ただし、きめ細かなアクセス制御要件がある場合を除きます。

VPC のパブリックネットワークのトラフィックをモニタリングするには、どうすればよいですか？

VPC のフローログ機能またはNetwork Intelligence Service - Traffic Analyzer 機能を使用すると、パブリック NAT ゲートウェイや IPv4 ゲートウェイなどのパブリックネットワークコンポーネントからトラフィック情報を収集し、パブリックネットワークのトラフィックをモニタリングできます。詳細については、「フローログ」および「Traffic Analyzer」をご参照ください。

VPC のネットワークトポロジーを表示するには、どうすればよいですか？

Network Intelligence Service - VPC Topology 機能を使用して、VPC ネットワークトポロジー図を自動的に生成できます。

RAM ユーザーに AliyunVPCFullAccess が付与されているにもかかわらず、VPC 概要ページにアクセスできないのはなぜですか？

VPC コンソールの概要ページにあるイベント統計パネルは、Network Intelligence Service (NIS) の ListNisEvent API に依存しています。AliyunVPCFullAccess のみでは、VPC、vSwitch、ルートテーブルなどの基本的なネットワーク管理機能は正常に動作しますが、概要ページ上のイベント統計などの NIS 関連コンポーネントには権限エラーが表示されます。

VPC 概要ページのすべてのコンテンツにアクセスするには、RAM ユーザーに以下のいずれかのシステムポリシーを付与する必要があります：

• AliyunNISFullAccess：Network Intelligence Service (NIS) へのフルアクセス。

• AliyunNISReadOnlyAccess：Network Intelligence Service (NIS) への読み取り専用アクセス。

AliyunNISFullAccess (NIS) と AliyunNetanaFullAccess (Netana) は異なるシステムポリシーです。AliyunNetanaFullAccess は、VPC 概要ページの権限として AliyunNISFullAccess の代わりに使用することはできません。

Virtual Private Cloud (VPC) の課金方法

有料の VPC 機能：

• VPC ピアリング接続

• フローログ

• トラフィックミラーリング

パブリックベータ中の VPC 機能 (ベータ期間中は無料)：

• IP アドレス管理 (IPAM)

• 高可用性仮想 IP (HaVip)

無料の機能：

• VPC と vSwitch、追加 CIDR ブロック、予約済み CIDR ブロック

• DNS ホスト名、DHCP オプションセット

• ルートテーブル、プレフィックスリスト

• 共有 VPC

• ClassicLink、ゲートウェイエンドポイント

• IPv4 ゲートウェイ、ネットワーク ACL

VPC 内でクラウド製品リソースを作成する場合、使用するクラウド製品リソースに対して料金を支払う必要があります。詳細については、対応するリソースの課金ドキュメントをご参照ください。

VPC ピアリング接続の課金

• 同一リージョン：同一リージョン内では、同一アカウントかクロスアカウントかにかかわらず、VPC ピアリング接続の作成と使用は完全に無料です。

• クロスリージョン：クロスリージョンの VPC ピアリング接続は、Cloud Data Transfer (CDT) によってアウトバウンドトラフィックに基づいて課金されます。

コスト削減のための VPC ピアリング接続の課金停止方法

• 同一リージョンのピアリング接続は無料です。削除してもコストに影響はありません。

• クロスリージョンのピアリング接続の場合、関連するトラフィック料金の課金を停止するには、ピアリング接続インスタンスを削除する必要があります。