[Cloud OnAir] 役に立つ Google Cloud ネットワーク機能のご紹介 2020年3月26日放送

Cloud Onr
Cloud OnAir
Cloud OnAir
役に立つ Google Cloud ネットワーク機
能のご紹介
2020 年 3 月 26 日放送

Agenda
Cloud OnAir
1
3
2
4
5
Cloud VPN の使い方
VPC ピアリングとカスタムルート
Private Google Access for オンプレミスホスト
DNS 転送と DNS ピアリング
Google Cloud ネットワーク

Cloud OnAir
Cloud OnAir
Google Cloud ネットワーク

Google Cloud
Platform ネットワーク
Equiano
(PT, NG, ZA)
2021
Dunant
(US, FR)
2020
SJC
(JP, HK, SG)
2013
JGA-S
(GU, AU)
2019
Indigo
(SG, ID, AU)
2019
Havfrue
(US, IE, DK)
2019
Monet
(US, BR)
2017
Junior
(Rio, Santos)
2018
Tannat
(BR, UY, AR)
2018
Curie
(CL, US)
2019
Faster
(US, JP, TW)
2016
PLCN
(HK, US)
2019
Unity
(US, JP)
2010
HK-G
(HK, GU)
2020
São Paulo
Oregon
Las Vegas
Salt Lake City
Los Angeles
Iowa*
Montréal
N. Virginia
S. Carolina
London
Netherlands
Belgium
Frankfurt
Warsaw
Finland
Zurich
Mumbai
Singapore
Jakarta
Taiwan
Hong Kong
Tokyo
Osaka
Seoul
Sydney
*Exception: region has 4 zones.
Doha
Melbourne
Delhi
Toronto
現行リージョン
(3 zone)
今後のリージョン
(3 zone)

Cloud OnAir
海底ケーブル
バージニア北部リージョンロンドンリージョン
光伝送装置
送電装置
欧州のお客さま米国のお客さま
海底ケーブル
深海用外装(シース)
浅海用外装(シース)
陸揚局
(Landing Station)
陸揚局
(Landing Station)
通信拠点
(Point of presence)

Cloud OnAir
Network Service Tiers
プレミアム
スタンダード

Cloud OnAir
グローバルな VPC
リージョンをまたがる一
つのプライベートネット
ワーク

Cloud OnAir
BYOIP (Bring Your Own IP)
レガシーなインフラの
コストを削減
● マイグレーション時の
ダウンタイムを最小化
● 顧客・パートナーへの
負担を軽減
オンプレミス環境の IP をクラウドに持ち込み、グローバルに利用

Cloud OnAir
仮想ネットワークスタック (“Andromeda”)
VM と物理ハードウェアの分離により、
お客さまへのダウンタイム無しに
パフォーマンスの向上、新機能の追加、
バグフィックス等が可能に
通常の VM で 32 Gbps を実現。
HPC、ゲーミング、ML 用の特別な
設定をおこなった VM では 100 Gbps を達
成。
すべてのネットワークトラフィックは
デフォルトで暗号化
GCP VM の TCP スループット

Cloud OnAir
ネットワークサービスの一覧
Cloud
VPN
Cloud
Router
モダナイズ接続
VPC
Cloud
DNS
スケール
Cloud Load
Balancer
Cloud
CDN
最適化
プレミアム
Tier
安全
Cloud
Armor
Cloud
IAP
Cloud
NAT
GKE
ネットワーク
(+ オンプレミス)
(in Anthos)
Network
Intelligence Center
スタンダード
Tier
Dedicated
Interconnect
Partner
Interconnect
ファイアウォー
ル
ルール
パケット
ミラーリング
Traffic
Director
(in Anthos)

Cloud OnAir
Cloud OnAir
Cloud VPN の使い方

Cloud OnAir
● 二種類の Cloud VPN
○ HA VPN (high-availability VPN)
○ クラシック VPN
Cloud VPN
HA VPN Classic VPN
SLA 99.99% 99.9%
ルーティング動的 (BGP) 静的 (ポリシー、ルート)、動的 (BGP)
1 つのゲートウェイから 2 本の
トンネルで同じゲートウェイへ接続
可能不可
API でのリソース表現 vpn-gateway target-vpn-gateway

Cloud OnAir
HA VPN とクラシック VPN の SLA の違い
53 分
年間のダウンタイム
8 時間 46 分
年間のダウンタイム
44 分
月間のダウンタイム
4.5 分
月間のダウンタイム
クラシック VPN = 99.9% SLA HA VPN = 99.99% SLA

Cloud OnAir
HA VPN
オンプレミス環境

Cloud OnAir
HA VPN の概要
● 単一リージョンでの高可用性
● 次の接続をサポート
○ GCP と GCP (VPC 同士)
○ GCP とオンプレミス環境
○ GCP とクラウド
● 動的ルーティング必須
● 「メインバックアップ」構成での
ご利用をオススメします

Cloud OnAir
● Cloud VPN は VPN クライアントとして外部へ接続可
○ 他のクラウドの VPN サービスとも接続できる
○ マネージドサービスだけでマルチクラウド環境を作成可
クライアントとしての Cloud VPN (1)
Cloud
VPC
VPC
Cloud VPN
Compute
Engine
VPN サービス

Cloud OnAir
● VPC 同士を Cloud VPN で接続
● VPC ピアリングとの使い分け
○ 通常は VPC ピアリングを
オススメ
○ VPC をまたいだ通信を
実現したい場合に利用
● VPC をたくさん作る必要性は
要確認
クライアントとしての Cloud VPN (2)
vpc1
Cloud VPN
vpc2
Cloud VPN
Kubernetes
Engine
vpc3
Cloud VPN
Kubernetes
Engine
vpc4
Cloud VPN
Kubernetes
Engine
VPC をまたいだ通信

Cloud OnAir
共有 VPC
● 一つの VPC を多くの
プロジェクトで共有
● 集中的なネットワークの管理
● 開発者の独立性を担保
● 多くのサービスプロジェクトをサ
ポート
ファイア
ウォール
ルート
VPN
ウェブアプリ
プロジェクト
ビリング
プロジェクト
サブネットサブネット
10.128.0.0/24 10.148.0.0/24
グローバル
ネットワーク
共有 VPC ホストプロジェクト
オンプレミス
データセンター

Cloud OnAir
Cloud OnAir
VPC ピアリングとカスタムルート

Cloud OnAir
VPC ピアリング
ネットワーク (VPC)
サブネット
192.168.0.0/25
サブネット
10.128.0.0/9
● VPC 同士を接続
● VPC 間の遅延は VPC 内の遅延と同等
● VPC をまたぐ通信は不可 VPC VPC VPC
+
サブネット
192.168.0.128/25
サブネット
10.0.0.0/9

Cloud OnAir
● GCP のサービスではプライベート IP での接続に暗黙的に
VPC ピアリングを利用している例がある
暗黙的な VPC ピアリングの例
プライベートクラスタ
(GKE) のマスター
Cloud SQL
(プライベートIP 接続)
Cloud Memorystore
ネットワーク(VPC)
カスタム経路の
インポート・エクスポートを有効
にする
VPC ピアリング
直接アクセス
Cloud
Router
BGP
各サービスの経路(ピアリング経路)を
カスタムルートアドバタイズで広告

Cloud OnAir
VPC ルート
ルートタイプ生成元
ネクスト
ホップ
制限
VPC ピアリング
による交換
サブネット経路システムシステム VPC ネットワーク削除不可自動
静的経路カスタムユーザー
インスタンス
Cloud VPN
サブネットの範囲より
広い必要あり
設定
動的経路カスタム
Cloud router
(BGP セッション)
BGP ピア
サブネットの範囲より
広い必要あり
設定
● VPC レベルでの管理
○ VPC 内のすべてのエンドポイントに適用
○ ネットワークタグで一部の VM にだけ適用
● インターネットアクセスもルートによって可能に (自動的に生成される )

Cloud OnAir
VPC のカスタムルート
リージョン
Router
Gateway
サブネット
192.168.32.0/24
サブネット
192.168.8.0/24
Cloud
Router
カスタムルート
192.168.8.0/24
192.168.32.0/24
Dedicated
Interconnect
BGP
セッション
サブネット
10.128.32.0/19
サブネット
10.128.0.0/19
サブネット
10.128.64.0/19

Cloud OnAir
● ネットワーク X とオンプレミス環境が通信できるための条件
○ ネットワーク Y がオンプレミス環境の経路をネットワークX へ広告
■ VPC ピアリングにおけるカスタムルートのインポート・エクスポート
○ ネットワーク Y がネットワーク X の経路をオンプレミス環境へ広告
■ Cloud Router のカスタムルートアドバタイズ
VPC ピアリングにおける
カスタムルートのインポート・エクスポート
ネットワーク X (VPC) オンプレミス環境
サブネット
172.20.0.0/16
サブネット
172.16.0.0/16
サブネット
192.168.32.0/24
サブネット
192.168.8.0/24
Cloud Interconnect
Cloud VPN
VPC ピアリング
エクス
ポート
イン
ポート
イン
ポート
エクス
ポート
BGP
ネットワーク Y (VPC)
サブネット
10.128.32.0/19
サブネット
10.128.0.0/19
192.168.32.0/24
192.168.8.0/24

Cloud OnAir
Cloud Router のカスタムルートアドバタイズ
ネットワーク X
192.168.128.0/24
オンプレミス環境 X
サブネット
192.168.128.0/24
ネットワーク Y オンプレミス環境 Y
サブネット
192.168.64.0/24
192.168.128.0/24
サブネット(ピアリング)
172.16.0.0/16
オンプレミス環境の
ルータが BGP で広告
サブネット
172.16.0.0/16
VPC ピアリングの
デフォルト広告
カスタムルートの
インポート・エクスポート
Cloud
Router
ルート (クラウド)
10.2.0.0/16
172.16.0.0/16
192.168.128.0/24
サブネット
10.2.0.0/16
Cloud Router の
アドバタイズ
Cloud Router の
デフォルト広告
経路広告(ルートアドバタイズ)の流れ
注：図の右から左(←)への経路広告の流れは省略

Cloud OnAir
● GCP のサービスではプライベート IP での接続に暗黙的に
VPC ピアリングを利用している例がある
暗黙的な VPC ピアリングの例
プライベートクラスタ
(GKE) のマスター
Cloud SQL
Cloud Memorystore
ネットワーク(VPC)
カスタム経路の
インポート・エクスポート
を有効にする
VPC ピアリング
直接アクセス
Cloud
Router
BGP
各サービスの経路(ピアリング経路)を
カスタムルートアドバタイズで広告

Cloud OnAir
Cloud OnAir
Private Google Access for
オンプレミスホスト

Cloud OnAir
オンプレミス環境から Cloud VPN 等を経由し API サービスへ直接接続
Private Google Access for オンプレミスホスト
Cloud
Spanner
BigQuery
Cloud
Pub/Sub
VPC
Cloud VPN
.googleapis.com で終わる
API エンドポイントへアクセス

Cloud OnAir
Private Google Access
サブネット
課題:
外部 IP アドレスの無いインスタンスは、
Google Cloud のパブリック API エンドポイントにアク
セスできない
解決策:
インスタンスのあるサブネットで
Private Google Access を有効化
Cloud VPN や Cloud Interconnect 経由で
オンプレミス環境からも利用可
外部 IP 無し
Compute Engine
API
Cloud Storage
X
Private Google Access 有効
インターネット
✔

Cloud OnAir
普通にアクセスするとインターネット経由となる
オンプレミスホストからのアクセス
Cloud
Spanner
BigQuery
Cloud
Pub/Sub
VPC
Cloud VPN
$ host bigquery.googleapis.com
bigquery.googleapis.com has address 172.217.161.42
$ curl -s -v https://bigquery.googleapis.com/bigquery/v2/projects
* Trying 172.217.161.42...
VPC のサブネット
ルートを広告

Cloud OnAir
オンプレミス環境の DNS サーバーに設定を追加
名前解決 (DNS) を変更
Cloud
Spanner
BigQuery
Cloud
Pub/Sub
VPC
Cloud VPN
private.googleapis.com has address 199.36.153.11
ルートを広告
DNS サーバー
= 199.36.153.8/30
DNS サーバーの具体的な設定例は
ブログ記事もご参照ください

Cloud OnAir
bigquery.googleapis.com has address 199.36.153.11
$ curl -s -v https://bigquery.googleapis.com/bigquery/v2/projects
* Trying 199.36.153.11…
* Connected to bigquery.googleapis.com (199.36.153.11) port 443 (#0)
Cloud Router のカスタムルートアドバタイズで経路広告
ルーティング(経路広告)を変更
Cloud
Spanner
BigQuery
Cloud
Pub/Sub
VPC
Cloud VPN
ルートを広告
+
199.36.153.8/30 を広告 (カスタムルートアドバタイズ)
DNS サーバー

Cloud OnAir
Cloud OnAir
DNS 転送とピアリング

Cloud OnAir
Cloud DNS : ハブ-スポーク
プロジェクト A
ハブプロジェクト
プロジェクト B
ピアリング
ピアリング
プライベートゾーン
ピアリングゾーン
転送ゾーン
サーバーポリシー
転送
オンプレミス

Cloud OnAir
DNS サービスの選択肢
内部 DNS
VM の内部 IP 用に FQDN の DNS レコードが自動的に
作成される:
● [インスタンス名].[ゾーン].c.[プロジェクトID].internal
同じプロジェクト、VPC 内での名前解決に利用
Cloud DNS
スケーラブルで信頼性が高い (100% SLA) マネージドの権威
DNS サーバー (パブリックレコード、プライベートレコード)
プライベート: VPC 内だけで利用可能な名前空間を提供
パブリック: インターネット上のクライアントが使う権威 DNS
サービス
DHCP で自動的に設定される内部のメタデータサーバーが DNS リゾルバとして動作

Cloud OnAir
Cloud DNS : プライベート DNS ゾーン
● 内部向け DNS レコード (e.g. VMs, LBs)
● リクエストはメタデータサーバー経由で
● 同じプロジェクト内の許可された VPC
(もしくは DNS ピアリング)からのみ
名前解決可能
EU West リージョン
ERP バックエンド
Compute Engine
グローバルVPC ネットワーク
eu.local プライベートゾーンレコード:
Erp-ilb.eu.local = 10.10.0.50
Erp-back-end1.eu.local = 10.10.0.100
Erp-back-end2.eu.local = 10.10.0.101
サブネット
10.10.0/24
Cloud
DNS
EU east リージョン
ERP アプリ
フロントエンド
Compute Engine
サブネット
192.168.0/24
内部 LB
DNS
クエリアプリトラフィック

Cloud OnAir
Cloud DNS : DNS 転送
転送ゾーン
GCP からオンプレミス
転送ゾーンに一致するすべての
クエリを宛先ネームサーバーに
転送
クエリは (35.199.192.0/19) から
送られる
GCP プロジェクト間では設定不可
受信ポリシー
オンプレミスから GCP へ
受信フォワーダー経由で VPC
ネットワーク内の名前解決を許可
Cloud VPN や Cloud Interconnect で接
続されたシステムから利用可
送信ポリシー
代替ネームサーバーを利用しすべての
DNS トラフィックを送信
(e.g. DNS トラフィックの監視)
すべての DNS クエリに利用する
代替ネームサーバーのリストを指定

Cloud OnAir
DNS 転送 : 受信ポリシー
VPC
Cloud VPN
Cloud DNS
example.com
192.168.0.3
クエリ
● オンプレミス環境からのクエリ受信用に 192.168.0.3 が割り当てられる

Cloud OnAir
● 設定されたゾーンへの DNS クエリだけが転送先へ
○ 例: example.jp は 10.0.0.2 へ転送
DNS 転送 : 転送ゾーン
VPC
Cloud VPN
Compute
Engine
example.jp
10.0.0.2
src: 35.199.196.132
dst: 10.0.0.2
クエリの送信元はVPC のアドレスではなく
35.199.192.0/19 のブロックとなる点に注意
オンプレミス環境から35.199.192.0/19 への通信
が直接となるよう要設定

Cloud OnAir
● 複数の VPC から同じオンプレミス環境へ DNS 転送をした場合
○ ソースアドレスが同じため、戻し先が分からなくなる
DNS 転送の問題点
vpc1
Cloud VPN
Compute
Engine
vpc2
Cloud VPN
Compute
Engine
example.jp
DNS
転送
?
?

Cloud OnAir
Cloud DNS : DNS ピアリング
private.example.com
提供側
ピアリング
role/dns.peer
を割り当て
プロジェクト X
プライベート
ゾーン
private.example.com
利用側
プロジェクト Y
ピアリングゾー
ン
内容
● DNS ピアリングで設定されたゾーンの
名前空間宛ての DNS クエリを他の VPC へ
● VPC 間の接続性は不要
● 一方向のみの関係
● 再帰解決は 2 まで
ユースケース
● DNS ピアリングと DNS 転送を組み合わせることで
ハブ-スポーク接続を構成可能。オンプレミス環境への複
数転送ゾーンの問題を解決。
● SaaS プロバイダ向け

Cloud OnAir
Cloud OnAir
まとめ

Cloud OnAir
● 色々な機能を組み合わせて便利に
○ Cloud VPN
○ VPC ピアリングのカスタムルートインポート・エクスポート
○ Cloud Router のカスタムルートアドバタイズ
● オンプレミス環境とのハイブリッドクラウド
○ Private Google Access for オンプレミスホスト
○ DNS 転送とピアリング
役に立つ Google Cloud ネットワーク機能

[Cloud OnAir] 役に立つ Google Cloud ネットワーク機能のご紹介 2020年3月26日放送

Recommandé

Recommandé

Contenu connexe

Plus de Google Cloud Platform - Japan

Plus de Google Cloud Platform - Japan (20)

Dernier

Dernier (9)