クラウドネットワークとは何か

オンプレミスでは、物理ルーター、スイッチ、ファイアウォール、 LANケーブルなどを組み合わせてネットワークを作ります。

クラウドでは、利用者が物理スイッチへLANケーブルを接続したり、 データセンターのルーターを直接設定したりするわけではありません。

代わりにクラウドの管理画面やAPIなどから、 仮想ネットワーク、サブネット、ルーティング、 通信許可ルール、ゲートウェイなどを定義します。

主要クラウドで名称が異なる

クラウド事業者によってサービス名称は異なりますが、 最初は共通する考え方を理解することが重要です。

このシリーズでは特定クラウドの操作方法だけを暗記するのではなく、 どのクラウドでも応用できる ネットワーク設計の共通原則 を中心に学びます。

オンプレミスとクラウドネットワークの違い

クラウドを理解するには、 まずオンプレミスと何が同じで、何が違うのかを整理すると分かりやすくなります。

なくなるのはネットワークではなく「物理作業」

クラウドでは物理スイッチを触らないため、 「クラウドではネットワークの知識はあまり必要ない」 と誤解されることがあります。

実際にはその逆で、 物理構成が見えにくいからこそ、 IPアドレス、経路、名前解決、アクセス制御、 NATなどの論理的な動作を理解していることが重要です。

クラウドネットワークを構成する基本要素

クラウドによって名称や実装方法は異なりますが、 ネットワークを理解するうえでは、まず次の要素に分けて考えます。

オンプレミスの知識へ置き換えて考える

クラウド内の通信を1枚の図で理解する

典型的なWebシステムを例に、 クラウドネットワーク内でどのように通信するかを考えます。

重要なのは、これらのサーバーを単純に同じネットワークへ置けばよいわけではないことです。

たとえばDBサーバーをインターネットから直接アクセス可能にする必要がなければ、 Web系とは異なるサブネットへ配置し、 必要なアプリケーション通信だけを許可する設計を検討します。

通信できるかは複数の条件で決まる

1. IPアドレスが正しいか 送信元・宛先が正しいネットワークへ配置されているか確認します。
2. ルートが存在するか 宛先ネットワークまで到達する経路があるか確認します。
3. 通信が許可されているか セキュリティ制御で対象通信が拒否されていないか確認します。
4. 名前解決が正常か DNS名を利用する場合、正しいIPアドレスへ名前解決できるか確認します。
5. アプリケーションが待ち受けているか 最後にサーバーやサービス側が対象ポートで通信を受け付けているか確認します。

パブリックとプライベートの考え方

クラウドネットワークでは、 「インターネットからアクセスさせる領域」と 「内部からだけ利用する領域」を分ける設計がよく使われます。

クラウドからインターネットへ接続する基本

クラウド上のサーバーがインターネットと通信するときも、 オンプレミスと同じように 「経路」と「アドレス」と「通信制御」を考える必要があります。

外部からアクセスさせる場合

内部サーバーから外部へアクセスさせる場合

アプリケーションサーバーなどについて、 インターネットから直接接続させる必要はないものの、 OS更新や外部API利用などで 外向き通信が必要になる場合があります。

このような場合には、 NAT機能などを利用して外向き通信だけを実現する構成を検討します。

NATについては、この章の 「35. NAT Gatewayの役割」で詳しく扱います。

オンプレミスとクラウドを接続する

実務では、すべてのシステムを一度にクラウドへ移行するとは限りません。

会社の拠点やデータセンターに既存システムを残しながら、 一部のシステムだけクラウドへ配置する ハイブリッド構成 も考える必要があります。

代表的な接続方法

VPN接続については第36記事、 専用線接続については第37記事で詳しく扱います。

IPアドレス重複に注意する

クラウドネットワークを新しく作る際に、 オンプレミスと同じIPアドレス範囲を無計画に使用すると、 後から接続するときに経路を正しく判断できない問題が発生する可能性があります。

クラウドは簡単に作成できるからこそ、 将来のオンプレミス接続、別クラウド接続、 他アカウント接続まで考えて IPアドレスを設計することが重要です。

クラウドネットワーク設計で確認するポイント

クラウドだからといって、 とりあえずVPCやVNetを作成してから考えるのではありません。

オンプレミスと同様に、 要件から設計条件へ落とし込んでいきます。

要件から設計へ変換する

クラウドネットワークでよくある設計ミス

1．とりあえず大きなIPアドレス範囲を使う

「クラウドだけで使うから」と適当にIPアドレスを設定すると、 後からオンプレミスや別環境と接続するときに アドレス重複が問題になることがあります。

2．すべてのサーバーを同じサブネットへ置く

Web、アプリケーション、データベース、管理系など、 役割やセキュリティ要件が異なるシステムを 無条件に同じ領域へ配置しないようにします。

3．「ルートがある＝通信できる」と考える

経路が存在していても、 セキュリティ制御、NAT、DNS、サーバー側設定などによって 通信できないことがあります。

4．行きの経路だけを見る

障害調査では送信側から宛先への経路だけでなく、 応答がどの経路で戻るのかも確認します。

5．インターネットへ公開しすぎる

「接続できないから公開する」という対応を繰り返すと、 本来外部公開する必要がないサーバーまで インターネットから到達可能になる可能性があります。

6．クラウド側だけを見て設計する

実際の企業ネットワークでは、 拠点、データセンター、VPN、DNS、 認証基盤、監視システムなど既存環境との接続が必要です。

顧客・上司へクラウドネットワークをどう説明するか

技術に詳しくない相手へ 「VPC」「サブネット」「ルートテーブル」といった用語だけを使って説明しても、 クラウドネットワークの目的は伝わりにくい場合があります。

説明例

技術を業務上の意味へ変換する

クラウド設計でも、 技術を 可用性・セキュリティ・運用・コスト・業務影響 へ翻訳して説明することが重要です。

クラウドネットワークで使われる英語表現

クラウドの公式ドキュメントを読むために、 次の単語は覚えておくと便利です。

公式ドキュメントで見かける表現

自分の言葉で説明する課題