仮想プライベートクラウド（VPC）を使用してサービスをデプロイする場合は、現在のニーズと潜在的な拡張に基づいて VPC のネットワークを計画する必要があります。これにより、サービスが期待どおりに実行され、ビジネスの成長が可能になります。
安定性とスケーラビリティを確保するために、安全な隔離、ディザスタリカバリ、および O&M コストを考慮してください。不適切に設計されたネットワークは、ビジネスに予期しないリスクをもたらす可能性があります。ネットワークアーキテクチャがビジネスの拡張とスケーリングの要件に追いつかない場合、それを再構築するにはコストがかかり、混乱を招きます。そのため、複数のレベルと次元からネットワークを設計することが不可欠です。次の手順を実行して VPC を計画します。
リージョンとゾーンの計画
リージョン内の異なるゾーンにあるインスタンスは、相互に通信できます。1 つのゾーンがダウンした場合でも、他のゾーンは期待どおりに動作します。同じゾーン内のインスタンスはレイテンシが低いため、アクセス速度が速くなります。次の情報に基づいてリージョンとゾーンを計画します。
項目 | 説明 |
レイテンシ | ユーザーとリソースの場所間の距離が短いほど、レイテンシが低くなり、パフォーマンスが向上します。 |
サポートされているリージョンとゾーン | Alibaba Cloud のさまざまなサービスは、さまざまなリージョンとゾーンで利用でき、インベントリはさまざまです。サービスに基づいてゾーンとリージョンを選択します。 |
コスト | クラウドサービスの価格は、リージョンによって異なる場合があります。予算に基づいてリージョンを選択することをお勧めします。 |
高可用性とディザスタリカバリ | 高いディザスタリカバリ機能を必要とするサービスの場合は、同じリージョン内の複数のゾーンにサービスをデプロイします。リージョン間のディザスタリカバリを実現するために、複数のリージョンにサービスをデプロイすることもできます。 |
コンプライアンス | 自国または地域のデータコンプライアンス要件とビジネスファイリングポリシーを満たすリージョンを選択します。 |
VPC はリージョンをまたいでデプロイできません。リージョンをまたいでサービスをデプロイするには、各リージョンに VPC を作成し、VPC ピアリング接続またはクラウドエンタープライズネットワーク (CEN) を使用して VPC 間の通信を有効にする必要があります。 vSwitch はゾーンレベルのリソースです。 vSwitch はゾーンレベルのリソースです。次の点に注意してください。
Elastic Compute Service (ECS) のインベントリ制限のために複数のゾーンを選択する場合は、十分な CIDR ブロックを予約し、トラフィックがゾーン間を迂回するとレイテンシが増加することに注意してください。
中国 (南京 - ローカルリージョン) など、ゾーンが 1 つしかないリージョンもあります。リージョン内ディザスタリカバリのニーズがある場合は、これらのリージョンを選択する前に慎重に検討することをお勧めします。
アカウントと VPC の計画
リージョンとゾーンを計画した後、VPC の作成を開始できます。リソースの使用率を高め、コストを削減するために、アカウント、VPC、および vSwitch を計画する際には、ビジネス規模とセキュリティの隔離を考慮してください。
アカウント計画
小規模ビジネスの場合は、1 つの Alibaba Cloud アカウントまたは RAM アカウントを使用してリソースを管理します。この場合は、このセクションをスキップできます。規模が拡大したら、権限とセキュリティの隔離要件に基づいてアカウントを計画する必要があります。
項目 | 説明 |
権限の隔離 | 部門ごとに個別のアカウントを作成して、リソース、コスト、および権限を隔離します。特別な要件を持つ大規模なプロジェクトまたはアプリケーションの場合は、個別のアカウントを使用して制御を強化します。 |
システムの分離 | 本番環境やテスト環境など、厳密な隔離が必要なシステムの場合は、専用のアカウントを使用して環境間のリスクを軽減します。 |
セキュリティコンプライアンス | セキュリティコンプライアンスを強化するために、機密データとワークロードを隔離された個別のアカウントに保持します。 |
請求管理 | 複数のアカウントを使用してリソースを隔離します。これにより、コストの追跡と請求管理が容易になります。 |
ログ管理と運用 | 独立したアカウントを使用してすべてのアカウントのログデータを保存し、セキュリティ監査を容易にします。 |
ネットワークの複雑さは、VPC とアカウントの数が増えるにつれて増加します。 VPC 共有 機能を使用して、ネットワークのセキュリティと安定性を維持しながら複雑さを軽減します。
VPC 計画
VPC はクラウド内に安全で柔軟なネットワーク環境を提供し、VPC は相互に隔離され、VPC 内のインスタンスは相互に通信できます。ニーズに応じて VPC の数を計画します。
シナリオ | |
1 つの VPC |
|
複数の VPC |
|
vSwitch 計画
vSwitch は、VPC 内のすべてのクラウドサービスをホストするゾーンレベルのリソースです。 vSwitch を作成すると、IP アドレスを適切に計画できます。 VPC 内のすべての vSwitch は、デフォルトで相互に通信できます。
項目 | 説明 |
レイテンシ | 同じリージョン内のゾーン間のレイテンシは低くなります。ただし、複雑なシステムコールやクロスゾーンコールはレイテンシを増加させる可能性があります。 |
高可用性とディザスタリカバリ | VPC に少なくとも 2 つの vSwitch を作成し、クロスゾーンディザスタリカバリのために vSwitch を複数のゾーンにデプロイすることをお勧めします。複数のゾーンにサービスをデプロイし、セキュリティルールを一元的に構成できます。これにより、システムの可用性とディザスタリカバリが向上します。 |
ビジネス規模と分割 | ビジネスモジュールごとに vSwitch を作成します。たとえば、Web 層、ロジック層、およびデータ層を異なる vSwitch にデプロイして、標準の Web アーキテクチャを作成できます。 |
次の情報に基づいて vSwitch を計画します。
少なくとも 2 つの vSwitch を作成し、フェールオーバー機能のために複数のゾーンにデプロイします。1 つの vSwitch がダウンすると、もう 1 つの vSwitch が引き継ぎ、クロスゾーンディザスタリカバリを実現します。
同じリージョン内のゾーン間のレイテンシは理論的には低いです。ただし、実際のレイテンシを確認する必要があります。複雑なネットワークトポロジとクロスゾーンコールにより、ネットワークレイテンシが増加する可能性があります。高可用性と低レイテンシの両方のバランスをとるために、アーキテクチャを強化および検証することをお勧めします。
必要な vSwitch の数は、システムの規模とアーキテクチャの設計によって異なります。通常、ビジネスモジュールに基づいて vSwitch を作成します。たとえば、パブリック vSwitch にパブリック向けサービスをデプロイします。複数のゾーンにサービスをデプロイすると、セキュリティポリシーの一元的な構成とガバナンスが容易になります。
CIDR ブロック計画
VPC と vSwitch を作成するときは、VPC と vSwitch の CIDR ブロックを指定する必要があります。 CIDR ブロックのサイズは、デプロイできるリソースの量を決定します。適切な CIDR ブロック計画はアドレスの競合を回避し、スケーラビリティを確保しますが、不適切な計画はネットワークの再構築に高コストをもたらす可能性があります。
vSwitch CIDR ブロックを指定した後、変更することはできません。
不適切な計画のためにアドレス空間が不足している場合は、セカンダリ CIDR ブロックを追加してアドレス空間を拡張します。セカンダリ CIDR ブロックは変更できません。
CIDR ブロックを計画する際には、次の点に注意してください。
マスク長が 16 の RFC 1918 で定義されているプライベート IPv4 CIDR ブロックを使用します。VPC のアドレス空間を拡張するには、セカンダリ CIDR ブロック を追加します。
サービスを 1 つの VPC にデプロイする場合は、大きなネットワークマスクを使用して十分なアドレスを予約します。
ビジネス用に複数の VPC を作成する場合は、CIDR ブロックの重複を避けてください。
ディザスタリカバリのために複数のゾーンを作成する場合は、CIDR ブロックの重複を避けてください。
ネットワーク規模が大きくなるにつれて、CIDR ブロックの計画はより複雑で困難になります。 IP アドレスマネージャー (IPAM) を使用して IP アドレスを自動的に割り当て、潜在的な IP アドレスの競合を検出し、CIDR ブロック計画の効率を向上させることができます。詳細については、「IP アドレスマネージャー (IPAM)」をご参照ください。
IPAM を使用する際には、次の点に注意してください。
開発環境や本番環境など、環境ごとに異なる IPAM プールを設計します。
IPAM プールを使用してプライベート CIDR ブロックを VPC に割り当てる場合は、VPC CIDR ブロックが相互に重複しないようにしてください。
IPAM コンソールで VPC CIDR ブロックとアドレスの使用状況に関する情報を表示します。
VPC CIDR ブロック計画
セカンダリ IPv4 CIDR ブロックには、RFC 1918 標準で指定されているプライベート IPv4 アドレスを使用し、16 ～ 28 ビットのサブネットマスク（10.0.0.0/16、172.16.0.0/16、192.168.0.0/16 など）を使用することをお勧めします。カスタム VPC CIDR ブロックを指定することもできます。
VPC CIDR ブロック | IP アドレス範囲 |
|
|
|
|
|
|
VPC の CIDR ブロックを指定する場合は、次のルールに注意してください。
VPC が 1 つだけで、VPC がデータセンターと通信する必要がない場合は、RFC CIDR ブロックのいずれかまたはそのサブセットを VPC CIDR ブロックとして指定できます。
複数の VPC がある場合、または VPC とデータセンターの間にハイブリッドクラウド環境をセットアップする場合は、作成前にネットワークを適切に計画することをお勧めします。異なる VPC の CIDR ブロック、または VPC とデータセンターの CIDR ブロックが重複していないことを確認してください。
100.64.0.0/10、224.0.0.0/4、127.0.0.0/8、169.254.0.0/16、またはそれらのサブセットをカスタム CIDR ブロックとして指定することはできません。VPC の CIDR ブロックを指定する前に、クラシックネットワークが使用されているかどうかを確認する必要があります。クラシックネットワークが使用されていて、クラシックネットワークの ECS インスタンスを VPC に接続する場合は、クラシックネットワークの CIDR ブロックが
10.0.0.0/8であるため、10.0.0.0/8を VPC CIDR ブロックとして指定しないでください。IPAM を使用してプールを計画し、割り当てのデフォルトのネットワークマスクを指定できます。また、IPAM を使用して VPC のアドレス使用量を表示することもできます。
vSwitch CIDR ブロック計画
vSwitch の CIDR ブロックは、vSwitch が属する VPC の CIDR ブロックのサブセットである必要があります。たとえば、VPC の CIDR ブロックが 192.168.0.0/24 の場合、VPC 内の vSwitch のネットワークマスクは /25 から /29 である必要があります。
vSwitch の CIDR ブロックを指定する場合は、次の制限に注意してください。
vSwitch の IPv4 CIDR ブロックのネットワークマスクは /16 ～ /29 である必要があり、8 ～ 65,536 個の IP アドレスを提供できます。
vSwitch CIDR ブロックが VPC CIDR ブロックと異なることを確認してください。
vSwitch の CIDR ブロックを計画する場合は、vSwitch に割り当てることができる ECS インスタンスおよびその他のリソースの数を考慮する必要があります。後で使用するために十分な IP アドレスを確保するために、大きな CIDR ブロックを指定することをお勧めします。ただし、CIDR ブロックが大きすぎると、拡張できません。VPC CIDR ブロックが
10.0.0.0/16の場合、VPC は 65,536 個の IP アドレスをサポートします。ECS インスタンスと ApsaraDB RDS インスタンスは vSwitch にデプロイする必要があるため、vSwitch ネットワークマスクとして/24を指定することをお勧めします。これは 256 個の IP アドレスをサポートします。CIDR ブロックが10.0.0.0/16の VPC は、最大 256 個の /24 マスクを持つ vSwitch に分割できます。上記の提案に基づいて適切な調整を行うことができます。vSwitch に IPv4 CIDR ブロックが割り当てられている場合、最初の IPv4 アドレスと最後の 3 つの IPv4 アドレスはシステムによって予約されます。vSwitch に IPv6 CIDR ブロックが割り当てられている場合、最初の IPv6 アドレスと最後の 3 つの IPv6 アドレスはシステムによって予約されます。次の表に例を示します。
vSwitch CIDR ブロック
予約済み IP アドレス
IPv4 CIDR ブロック
192.168.1.0/24192.168.1.0192.168.1.253192.168.1.254192.168.1.255IPv6 CIDR ブロック
2001:XXXX:XXXX:1a00/642001:XXXX:XXXX:1a00::2001:XXXX:XXXX:1a00:ffff:ffff:ffff:fff72001:XXXX:XXXX:1a00:ffff:ffff:ffff:fff82001:XXXX:XXXX:1a00:ffff:ffff:ffff:fff92001:XXXX:XXXX:1a00:ffff:ffff:ffff:fffa2001:XXXX:XXXX:1a00:ffff:ffff:ffff:fffb2001:XXXX:XXXX:1a00:ffff:ffff:ffff:fffc2001:XXXX:XXXX:1a00:ffff:ffff:ffff:fffd2001:XXXX:XXXX:1a00:ffff:ffff:ffff:fffe2001:XXXX:XXXX:1a00:ffff:ffff:ffff:ffff複数の VPC がデプロイされ、vSwitch が別の VPC またはデータセンターの別の vSwitch と通信する必要がある場合は、vSwitch CIDR ブロックがピア CIDR ブロックと重複していないことを確認してください。重複している場合、通信は失敗します。
ClassicLink 機能を使用すると、クラシックネットワークの ECS インスタンスは、CIDR ブロックが
10.0.0.0/8、172.16.0.0/12、または192.168.0.0/16の VPC 内の ECS インスタンスと通信できます。クラシックネットワークと通信する VPC の CIDR ブロックが10.0.0.0/8の場合、VPC に属する vSwitch の CIDR ブロックは10.111.0.0/16である必要があります。詳細については、「ClassicLink の概要」をご参照ください。
ルートテーブル計画
ルートテーブルはルートで構成されます。ルートは、宛先 CIDR ブロック、ネクストホップタイプ、およびネクストホップで構成されます。ルートは、トラフィックを特定の宛先に転送するために使用されます。 各 VPC には、システムルートテーブルを含め、最大 10 個のルートテーブルを含めることができます。次の推奨事項を参照して、ルートテーブルの数を計画できます。
1 つのルートテーブルを使用する
vSwitch のトラフィックパスが大きく異ならない場合は、1 つのルートテーブルを使用できます。VPC を作成すると、システムは自動的にシステムルートテーブルを作成し、システムルートをテーブルに追加します。システムルートテーブルを作成または削除することはできません。ただし、システムルートテーブルにカスタムルートを作成して、トラフィックを特定の宛先にルーティングすることはできます。
複数のルートテーブルを使用する
vSwitch のトラフィックパスが大きく異なる場合（たとえば、一部のインスタンスのインターネットアクセスを制御する必要がある場合）は、複数のルートテーブルを使用できます。パブリック vSwitch とプライベート vSwitch をデプロイできます。プライベート vSwitch 内のインスタンスは、インターネット NAT ゲートウェイを使用してインターネットにアクセスできます。これにより、インターネットアクセスの一元管理が可能になり、分離要件が満たされます。
各 VPC は最大 9 つのカスタムルートテーブルをサポートしています。クォータを増やすには、[クォータ管理] ページまたは [クォータセンター] ページにアクセスしてください。
ネットワーク接続計画
Alibaba Cloud は、安全に分離され、柔軟に拡張可能なクラウドネットワークを提供し、クラウドとデータセンター間の高速接続をサポートしています。 VPC を使用して、インターネット、別の VPC、およびデータセンターにアクセスできます。 VPC を他のサービスと組み合わせて、ビジネスに合わせたネットワーク接続を実現できます。
インターネットアクセス
インターネットとの通信に関する以下の提案に注意してください。
ECS インスタンスにデプロイされたサービスがインターネットにアクセスする必要がある場合は、ECS インスタンスにパブリック IP アドレスを設定します。パブリック IP アドレスは、静的パブリック IP アドレスまたはEIP（Elastic IP Address）です。 ECS インスタンスに EIP を関連付けることをお勧めします。
インターネット経由でサービスを提供するために 1 つの ECS インスタンスのみが使用されている場合、単一障害点（SPOF）が発生し、システムの可用性に影響を与える可能性があります。Server Load Balancer（SLB）インスタンスを統合インターネットトラフィックイングレスとして使用し、複数の ECS インスタンスを SLB インスタンスに関連付けます。 これにより、SPOF が防止され、サービスの可用性が向上します。
複数の ECS インスタンスがインターネットにアクセスする必要がある場合は、インターネット NAT ゲートウェイの SNAT 機能を使用して、ECS インスタンスが EIP を共有してインターネットにアクセスできるようにします。 これにより、パブリック IP アドレスが節約されます。
ECS インスタンスがインターネット経由でサービスを提供する場合は、IPv4 ゲートウェイまたはIPv6 ゲートウェイを使用して、ECS インスタンスへのインターネットアクセスを一元管理します。
クロス VPC 接続
次のサービスを使用して、VPC 間の接続を有効にすることができます。
少数の VPC（通常は 5 つ以下）を使用する場合は、VPC ピアリング接続を使用して、VPC 間の接続を有効にします。
多くの VPC を持つ複雑なネットワークアーキテクチャの場合は、CENを使用して VPC を効率的に管理し、O&M を促進し、安全なデータ転送を確保します。
インターネット経由で Object Storage Service（OSS）などの Alibaba Cloud サービスにアクセスすると、機密データが漏洩する可能性があります。 PrivateLinkを使用して、エンドポイントが存在する VPC とエンドポイントサービスが存在する VPC を接続し、セキュリティリスクを軽減します。
VPNゲートウェイを使用して 2 つの VPC 間に安全な接続を確立できますが、ネットワークレイテンシが高くなります。
ハイブリッドクラウド
次のサービスを使用して、データセンターを VPC に接続し、ハイブリッドクラウドを構築できます。
高セキュリティと低レイテンシが必要な場合は、Express Connect 回線を使用して、データセンターを VPC に接続します。
コストを削減する場合は、VPN ゲートウェイを使用して、暗号化されたトンネルを介してデータセンターを VPC に接続します。
クロス VPC 接続とハイブリッドクラウドデプロイメントの要件は何ですか？
セキュリティ計画
セキュリティ分離には、サービスの分離、リソースの分離、およびネットワークの分離が含まれます。リージョン、ゾーン、アカウント、および CIDR ブロックを計画する場合は、セキュリティ分離の要件を考慮する必要があります。RAM ユーザーを作成するとリソースを分離でき、VPC の vSwitch を作成するとネットワークを分離できます。リソースの分離とネットワークの分離は、サービスの分離を実装する方法です。要件に基づいて分離を実装できます。
セキュリティレイヤー | 推奨事項 |
VPC 内 | 複数のサービスを VPC にデプロイする場合は、サービスごとに vSwitch を作成し、セキュリティグループとネットワーク ACLを使用してセキュリティ分離を実装することをお勧めします。 |
VPC 境界 |
|
フローログ機能とトラフィックミラーリング機能を使用して、VPC を監視し、問題のトラブルシューティングを行うことができます。これにより、システムの安定性と信頼性が向上します。
監視メトリック | 説明 |
フローログ | トラフィックデータを収集し、トラフィックログを分析して、帯域幅を最適化し、ネットワークのボトルネックを解消します。 |
トラフィックミラーリング | ENI を通過する特定のパケットをミラーリングして、コンテンツ検査、脅威の監視、およびトラブルシューティングを行います。 |
ディザスタリカバリ計画
サービスアーキテクチャに基づいてディザスタリカバリを計画し、データのセキュリティとサービスの可用性を確保できます。
ディザスタリカバリに対する要件が高い場合は、リージョンをまたいで VPC をデプロイし、ゾーンをまたいで vSwitch をデプロイしてディザスタリカバリを行います。
サービスで高速な応答、高い同時実行性、および強化されたデータセキュリティが必要な場合は、SLB を使用してクラスターの回復、セッションの永続性、およびゾーンをまたがるデプロイメントを実装します。
高速で安定した接続を介してデータセンターを VPC に接続する必要がある場合は、Express Connect 回線を使用します。これにより、データの同期が保証され、SPOF が防止され、サービスの可用性が向上します。
サービスの可用性に対する要件が高い場合は、高可用性仮想 IP アドレス（HaVip）機能を Keepalived または Heartbeat と共に使用して、高可用性アーキテクチャを作成します。これにより、スイッチオーバー中にサービス IP アドレスが変更されず、可用性が向上します。
クラウドサービスのディザスタリカバリ機能を実現できます。たとえば、RDS はアクティブ/スタンバイアーキテクチャを使用します。アクティブおよびスタンバイエンドポイントは、同じゾーンまたはリージョンの異なるゾーンにデプロイできます。可用性とディザスタリカバリを向上させるために、ゾーンをまたいでエンドポイントをデプロイできます。
次の図は、単一ゾーンアーキテクチャをアクティブ/スタンバイアーキテクチャにアップグレードする方法を示しています。これにより、セキュリティと可用性が向上します。
VPC を作成する前に、次の項目を考慮してください。現在のビジネス規模と将来の拡張、セキュリティ分離、サービスの可用性とディザスタリカバリ、コスト、VPC と vSwitch の数、および VPC と vSwitch に割り当てられた CIDR ブロック。詳細については、「VPC の作成と管理」をご参照ください。