Google Cloud Networking 101

Takao Setaka @twtko

#GoogleCloud Networking 101-24 シンプルながらもクラウドを使い始めて最初に？になるのがDNSかもしれません。VPCを構成すると勝手に内部DNSが構成され、 "VM_NAME.ZONE.c.PROJECT_ID.internal" 形式でGCEインスタンス同士は名前解決できるようになります。標準機能です。 cloud.google.com/compute/docs/i… pic.twitter.com/MZkvyHVMJj

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-25 VPC内の名前解決は昨日紹介した内部DNSでも可能ですが、意図したDNS名を構成しオンプレミス側と連携するなどのためにはCloud DNSの利用が必要となります。Cloud DNSはInternet公開ゾーンと内部向けの限定公開ゾーンの両方に対応しています。 cloud.google.com/dns/docs/overv… pic.twitter.com/fgvs7Qq19a

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-26 Cloud DNS を有効にしてもDNSサーバを指し示すIPアドレスはVPC内に新たには登場しません。VPC内に存在するインスタンスは全てDHCPを通じて既定ではDNS参照先が 169.254.169.254 のメタサーバに向けられており、そこで内部DNSもCloud DNSも名前解決されるからです。 pic.twitter.com/SZO6XlmgMR

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-27 VPC内の GCE / GKE はメタサーバを利用するので問題ないですが、VPC外のDNSサーバとの間では"表側"にDNSサーバを指し示すIPアドレスが必要となるため、受信サーバーポリシーを構成することでオンプレミスなどのDNSサーバからの転送先となるIPアドレスを設定できます。 pic.twitter.com/PhRDuS8WT8

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-28 当然Cloud DNSを利用していて特定ドメインについては外部のDNSにForwardingさせたい場合に送信ポリシーを設定できます。内部DNS転送の場合、送信元アドレスは35.199.192.0/19になる為、オンプレと接続しているVPCのCloud Routerからこの経路を広告する必要があります。 pic.twitter.com/BU95yu0ho4

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-29 他の多くのネットワークサービス同様にCloud NATもまたNATサーバが存在するわけではありません（つまり可用性や冗長性の制約はありません）。NAT用に確保された外部アドレスとVM毎に割り当てたポート範囲に基づいて通信が制御されていますが意識する必要はありません。 pic.twitter.com/mB0Y4uFAtq

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-30 Cloud NAT は Google Cloud におけるDC内SDNであるAndromedaで実装されているため、VPCをまたいだ利用やオンプレからの利用はできません(Proxy利用することは可能)が、逆にSubnet毎に適用を制御したり、特定の宛先範囲に対するNAT IPを制御したりすることが可能です。 pic.twitter.com/6LxwvvupBi

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-31 右下に小さく書いてありますが、Google CloudのVPCでARP応答するのはGatewayだけであり、これもメタサーバの仕組みを使って制御されています。この辺りはネットワークだけの提供でもサーバだけの提供でも実現できない仕組みなわけで、クラウドならではといえますね。 pic.twitter.com/S3Vmq7lHJf

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-32 APIインターフェイスだけで利用するサービスのみを使う場合を除き、クラウドであってもこれまで培ってきたネットワークの知識や経験は引き続き活して頂くことができます。しかし同時に、オンプレの常識が通じない部分もありますので、柔軟な理解と対応もまた必要です。 pic.twitter.com/UR2lcccudh

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-33 VPCを構成しSubnetを紐付ければ自動的に疎通可能となります。つまりVPC内のRoutingは自動的に構成されます。Internetについても既定でDefault Internet GWにdefault routeが向いています。しかし、VPC範囲外とのBGPによる経路情報の交換には、Cloud Routerが必要です。 pic.twitter.com/yEkoyKU2V9

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-34 VPCはグローバルリソースですが、Cloud Routerはリージョンに紐付いています。VPCの動的ルーティングモードには"リージョン"と"グローバル"があり、リージョンの場合Cloud Routerはリージョン範囲のSubnetのみを、グローバルの場合VPC範囲のSubnetを外部に広告します。 pic.twitter.com/oYFEQeXPvF

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-35 動的ルーティングモードが"グローバル"の場合、他のRegionに紐づくSubnetもBGPで広告しますが、Region間の距離に基づいてMED値が調整されるため、対向Routerからの通信は通常適切に制御されます。意図的に調整することも可能です。 cloud.google.com/network-connec… pic.twitter.com/PWQH7rkGbv

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-36 Cloud Rotuer はVPCに紐づくSubnetを広告することも、手動で定義したPrefix範囲を広報することも、組み合わせることも可能です。Google CloudのVPCはグローバルリソースですので、動的ルーティングモードをグローバルに構成すれば、リージョン間の経路冗長も可能です。 pic.twitter.com/MqwDsPZ2pY

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-37 VPC内で仮想アプライアンスとの間でBGPピアを構成する場合を除き、Cloud InterconnectやCloud VPNを通じたCloud Rotuerと対向ルータとの間ではリンクローカルアドレスを用いたBGP接続を構成します。Dedicated InterconnectやCloud VPNの場合はASも自由に指定可能です。 pic.twitter.com/tZJYOME6Fu

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-38 クラウドをプライベートに使いたければ、VPNか専用線での接続が必要です。Google Cloudの専用線サービスには、Googleと直接接続するDedicated Interconnect (10 or 100Gbps)と、パートナーの専用線接続を利用するPartner Interconnect (50 Mbps 〜 50Gbps)があります。 pic.twitter.com/rcHhj14c3i

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-39 Cloud VPNは最も簡単にオンプレミス環境とGoogle CloudのVPCとの間をプライベート接続する方法であり、同時にVPC間の接続に利用することも可能です。VPC間のVPN接続はVPC Peeringでは不可能な推移的な接続や、Google Cloudだけで外部接続を模倣したい場合に便利です。 pic.twitter.com/O2FoXlGCwz

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-40 Direct PeeringとCarrier Peeringは、Google CloudとのPeeringであり、Google WorkspaceやGoogle CloudがAPIを通じて提供しているサービスに対する接続が提供されます。つまりこれらのPeering接続はGoogle Cloudとのプライベートな接続を提供するものではありません。 pic.twitter.com/OasUdYelH3

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-41 BGP経路的に「お隣」になるPeeringが主にGoogle Workspace等のAPI利用の最適化であることに対して、Cloud InterconnectやCloud VPNを用いたGoogle Cloudとの接続の目的は、プライベートなネットワークをGoogle Cloudの中にまで広げて利用することにあります。 pic.twitter.com/SfaUwhQWkP

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-42 Cloud Interconnectは専用線によって、Cloud VPNはIPsecを用いたInternet VPNによってオンプレミス環境とGoogle CloudのVPC環境をプライベート接続します。いずれの場合においても論理的な接続はCloud Routerを用いたBGPによるL3接続となります(Legacy VPNを除く)。 pic.twitter.com/TtgoN6vZMu

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-43 Cloud VPNの場合、各VPNトンネルがサポートする最大帯域は3Gbpsです。現在はBGPのみをサポートするHA VPNの利用が推奨されており、構成要件を満たす事で99.99%のSLAが提供されます。対向はオンプレはもちろんCloud VPN同士の接続も可能です。 cloud.google.com/network-connec… pic.twitter.com/6XjhZMhY3p

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-44 専用線接続のCloud Interconnectには、Google Cloudとお客様ルータが直接接続するDedicated Interconnectと、パートナーの接続を経由するPartner Interconnectがありますが、それぞれ特徴があります。接続帯域はDedicatedが10/100Gbps、Partnerが50Mbps〜50Gbpsです。 pic.twitter.com/5ECzjSESNf

拡大

Takao Setaka @twtko

#GoogleCloud Networking 101-45 Dedicated Interconnectの場合、ユーザは自由にVLANアタッチメントを作成し複数のVPCとの間での接続を1つの専用線接続の中に構成頂けます。またデータ転送料金も低いので、プライベート接続で大量にデータをGoogle Cloud側から送信する使い方をする場合には最適です。 pic.twitter.com/dSz1n9u5BK

拡大