Virtual Private Cloud:ゲートウェイルートテーブルを使用した VPC へのインバウンドトラフィックの制御

ステップ 1：IPv4 ゲートウェイの作成とルートテーブルの関連付け

1. IPv4 ゲートウェイを作成して有効化します。

   1. IPv4 ゲートウェイコンソールにログインします。上部メニューで、VPC があるリージョンを選択します。この例では、中国 (上海) リージョンを使用します。

   2. IPv4 ゲートウェイの作成 をクリックします。「IPv4 ゲートウェイの作成」ページで、リソースグループを選択し、必要に応じて タグ を設定します。次に、VPC ドロップダウンリストからターゲット VPC を選択し、作成 をクリックします。

   3. ECS-A を含む vSwitch のルートテーブルを選択し、アクティブ化 をクリックします。

      • ゲートウェイを有効化すると、送信先 CIDR ブロックが 0.0.0.0/0 で、IPv4 ゲートウェイを指すデフォルトルートエントリがシステムによって追加されます。このルートエントリにより、vSwitch のインターネットアクセスが有効になります。送信先 CIDR ブロックが 0.0.0.0/0 のデフォルトルートエントリがすでに存在する場合、システムは IPv4 ゲートウェイ用の別のデフォルトルートエントリを追加できません。

      • IPv4 ゲートウェイを有効化する前は、VPC 内のネットワークトラフィックは影響を受けません。ただし、有効化中のトラフィックパス切り替えにより、短時間のネットワーク中断が発生する可能性があります。

      [ルートテーブルの選択] セクションで、関連付けるカスタムルートテーブルを選択します。メインルートテーブルではなく、カスタムルートテーブルを選択することを推奨します。次に、[有効化] をクリックします。

   4. IPv4 ゲートウェイが有効化され、vSwitch ルートテーブルが設定されます。

      IPv4 ゲートウェイの作成後、その [ステータス] が [利用可能] であることを確認します。このステータスは、ゲートウェイがアクティブで、ルートテーブルが設定されていることを示します。

2. ゲートウェイルートテーブルを作成します。

   1. ルートテーブルコンソールにログインします。上部メニューで、IPv4 ゲートウェイがあるリージョンを選択します。この例では、中国 (上海) リージョンを使用します。

   2. 作成 をクリックし、VPC を選択し、リソータイプ を ボーダーゲートウェイ に設定し、ルートテーブルの名前を指定してから、OK をクリックします。

3. ゲートウェイルートテーブルをボーダーゲートウェイに関連付けます。

   1. ゲートウェイルートテーブルの詳細ページで、ボーダーゲートウェイを関連付けます。

      表示されるダイアログボックスで、ステータスが [バインド可能] の対象 IPv4 ゲートウェイを選択し、[OK] をクリックします。

   2. バインディングが完了したら、ボーダーゲートウェイのステータスが 使用可能 であることを確認します。 [バインディング済みボーダーゲートウェイ] タブでは、[利用可能] のステータスはバインディングが成功したことを示します。

ステップ 2：セキュリティアプライアンスの設定

この例では、Alibaba Cloud Linux 3.2104 64 ビットを実行する ECS インスタンスを使用します。

ECS-A インスタンスにログインし、以下のコマンドを実行して IP フォワーディングを設定します。

# 設定ファイルに書き込むことで、IP フォワーディングを永続的に有効化します。
echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
# 変更を即座に適用します。
sysctl -p

# IP フォワーディングを一時的に有効化します。この設定は再起動後に保持されません。
sysctl -w net.ipv4.ip_forward=1

ステップ 3：ルートの設定

1. アウトバウンドトラフィック用のカスタムルートテーブルを設定します。

   1. ルートテーブル ページで、ECS-B インスタンスを含む vSwitch のカスタムルートテーブルを見つけ、ルートテーブル ID をクリックします。

   2. ルートエントリ > カスタムルート タブに移動し、[ルートエントリーの追加] をクリックします。[宛先 CIDR ブロック] を 0.0.0.0/0 に設定し、[ネクストホップタイプ] を [ECS インスタンス] に設定し、[ECS インスタンス] ドロップダウンリストから ECS-A を選択します。

2. インバウンドトラフィック用のゲートウェイルートテーブルを設定します。

   1. ルートテーブル ページで、作成したゲートウェイルートテーブルを見つけ、その ID をクリックします。

   2. ルートエントリ > システムルート タブに移動して、システムルートエントリを表示します。デフォルトでは、システムは各 vSwitch の宛先 CIDR ブロックを持つシステムルートエントリを追加します。

   3. CIDR が vSwitch 2 に対応するルートエントリを編集し、ネクストホップをセキュリティアプライアンスとして機能する ECS-A インスタンスに設定します。 システムルートエントリの場合、[編集] をクリックします。 [ルートエントリの編集] ダイアログボックスで、[ネクストホップタイプ] を [ECS インスタンス] に設定し、[ECS インスタンス] ドロップダウンリストから ECS-A を選択します。

   4. 設定を完了すると、システムによってシステムルートエントリがカスタムルートエントリに変換されます。ルートエントリのステータスが使用可能であることを確認してください。

      ルートエントリリストページで、[カスタムルート] タブをクリックして、送信先 CIDR ブロック (例: 10.0.1.0/24) やネクストホップ (ECS インスタンス) などのルートエントリの詳細を確認します。

結果の検証

VPC 内の ECS インスタンスをテストするために接続が許可されるよう、ネットワーク ACL と セキュリティグループ の設定を確認してください。

[root@ECS-A ~]# tcpdump dst host 10.0.1.221
dropped privs to tcpdump
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
17:33:36.662426  IP 140.2xxx.xxx.19404 > 10.0.1.221.http: Flags [S], seq 884222365, w
17:33:36.662445  IP 140.2xxx.xxx.19404 > 10.0.1.221.http: Flags [S], seq 884222365, w
17:33:36.662818  IP 140.2xxx.xxx.37526 > 10.0.1.221.http: Flags [S], seq 3020843667,
17:33:36.662823  IP 140.2xxx.xxx.37526 > 10.0.1.221.http: Flags [S], seq 3020843667,
17:33:36.676731  IP 140.2xxx.xxx.19404 > 10.0.1.221.http: Flags [.], ack 1519927262,
17:33:36.676737  IP 140.2xxx.xxx.19404 > 10.0.1.221.http: Flags [.], ack 1, win 2058

IPv6 トラフィックの管理

IPv4 ゲートウェイは、VPC の境界でパブリック IPv4 トラフィックを制御します。VPC への IPv6 トラフィックを制御するには、IPv6 ゲートウェイ を使用し、それをゲートウェイルートテーブルに関連付ける必要があります。

IPv6 CIDR ブロックを持つ VPC には、システムによって自動的に IPv6 ゲートウェイが作成されます。ECS インスタンスの IPv6 アドレスに対して IPv6 パブリック帯域幅を有効にし、VPC 内の ECS インスタンスと IPv6 インターネット間の通信を有効化 できるようにしてください。

1. ゲートウェイルートテーブルを作成し、IPv6 ゲートウェイに関連付けます。

   1. ルートテーブルコンソールにログインします。上部メニューで、IPv6 ゲートウェイがあるリージョンを選択します。

   2. 作成 をクリックし、VPC を選択し、リソータイプ を ボーダーゲートウェイ に設定し、ルートテーブルの名前を指定してから、OK をクリックします。

   3. ゲートウェイルートテーブルの詳細ページで、関連付けられたボーダーゲートウェイ > ボーダーゲートウェイの関連付けをクリックし、関連付ける IPv6 ゲートウェイを選択します。

2. インバウンドトラフィックをルーティングするようにゲートウェイルートテーブルを設定します。

   1. ルートエントリ > システムルート タブに移動して、システムルートエントリを表示します。デフォルトでは、システムによって、各 vSwitch の宛先 CIDR ブロックが設定されたシステムルートエントリが追加されます。

   2. CIDR が vSwitch 2 に対応する IPv6 ルートエントリを編集し、ネクストホップをセキュリティアプライアンスとして機能する ECS-A インスタンスに設定します。

インバウンドインターネットルートの調整

ゲートウェイルートテーブルのシステムルートエントリを変更することで、インバウンドインターネットルートを調整できます。

IPv4 または IPv6 ルートのネクストホップは、ECS インスタンス、ENI、GWLB エンドポイント、または ルートターゲットグループ のいずれかです。

• ゲートウェイルートテーブルでは、システムルートエントリのみを変更できます。カスタムルートエントリを作成することはできません。

• システムルートエントリを編集して保存すると、システムはそれをカスタムルートエントリに変換します。カスタムルートエントリを削除すると、システムルートエントリに戻ります。

• ゲートウェイルートテーブルのシステムルートエントリを編集する際は、ネクストホップタイプについて以下の点に注意してください。

  • ECS インスタンス / Elastic Network Interface (ENI) ： vSwitch 内の指定されたインスタンスまたは ENI へのアクセスを許可します。これは、パブリックトラフィックを特定の ECS インスタンスまたは ENI に安全にリダイレクトするためによく使用されます。ECS インスタンスまたは ENI を変更する必要がある場合は、ルートエントリを削除してから、システムルートエントリを再度編集する必要があります。インスタンスまたは ENI を直接置き換えることはできません。

  • GWLB エンドポイント ： vSwitch 内の指定されたエンドポイントへのアクセスを許可します。これは、Gateway Load Balancer (GWLB) シナリオで、パブリックトラフィックをサードパーティのセキュリティアプライアンスにリダイレクトするために使用されます。

    ネクストホップを GWLB エンドポイント に変更できるリージョンについては、「GWLB をサポートするリージョン」をご参照ください。

  • ルートターゲットグループ ： アクティブ / スタンバイモードで 2 つのネクストホップインスタンスを設定できます。システムは、インスタンスに対して自動的にヘルスチェックを実行します。インスタンスが異常になった場合、システムは自動的にトラフィックを切り替えて、ゾーンレベルのディザスタリカバリを実現し、目標復旧時間 (RTO) を短縮します。

ゲートウェイルートテーブルの関連付け解除

ゲートウェイルートテーブルを IPv4 または IPv6 ゲートウェイから関連付け解除できます。関連付けを解除すると、ボーダーゲートウェイはゲートウェイルーティング機能を提供しなくなります。

1. ルートテーブル ページで、目的のゲートウェイルートテーブルを見つけ、その ID をクリックします。

2. 関連付けられたボーダーゲートウェイ タブをクリックし、目的のボーダーゲートウェイを見つけ、操作 列の バインド解除 をクリックします。

3. 表示されたダイアログボックスで、OK をクリックします。

ゲートウェイルートテーブルの削除

ゲートウェイルートテーブルを削除する前に、ボーダーゲートウェイから関連付けを解除する必要があります。

1. ルートテーブル ページで、対象のゲートウェイルートテーブルを見つけ、操作 列の 削除 をクリックします。

2. ルーティングテーブルの削除 ダイアログボックスで、OK をクリックします。