Virtual Private Cloud:VPCピアリング接続

概要

VPCピアリング接続は、2つのVPCを相互接続できるようにするネットワーキングソリューションであり、IPv4トラフィックとIPv6トラフィックの両方をサポートします。 この接続により、同じアカウント内または異なるアカウント間、同じリージョン内、または異なるリージョン間のVPC間のプライベートネットワーク通信が可能になります。

シナリオ

• 安全なアクセス: VPCピアリング接続は、異なるVPC内のリソースがプライベートネットワークを介して通信できるようにすることでセキュリティを強化します。 これにより、インターネットの公開が回避され、DDoS攻撃などの一般的なネットワーク攻撃から保護されます。

• マルチアカウント接続: VPC間で安全な通信を実現できます。 これにより、チーム間のコラボレーションが促進され、リソース共有の効率が向上します。

• ディザスタリカバリ: データ同期とバックアップのために、クロスリージョンVPCピアリング接続を活用します。 これにより、データの冗長性、ディザスタリカバリ、およびビジネスの安定性が確保されます。

Requesterおよびaccepter

• ピアリング接続の2つのVPCは、リクエスタとアクセプタです。 リクエスタはピアリング要求を開始し、一方、アクセプタは入ってくる要求を待つ。 これらの役割は、接続を確立するためだけのものです。 VPCピアリング接続が確立されると、リクエスタとアクセプタの両方が同じネットワークにあるかのようにデータを送受信できます。

• 同じアカウントのVPCピアリング接続の場合、システムは要求者からの要求を自動的に受け入れ、接続を確立します。 アクセプターは要求を受け入れる必要はありません。

• クロスアカウントVPCピアリング接続の場合、受領者はリクエストを受け入れるか拒否することができます。 VPCピアリング接続は、リクエストが受け入れられた場合にのみ有効になります。

• リクエスターおよびアクセプターVPCは、同じリージョンまたは異なるリージョンに配置できます。

VPCピアリング接続のステータス

VPCピアリング接続のステータスは、接続プロセス全体で変更されます。

ステータス	説明
作成中	リクエスタが接続要求を送信した後のステータス。
ピア受け入れ	接続が受信者によって受け入れられるのを待っているときのステータス。
更新中	受信者が接続要求を受け入れた後のステータス。
有効化	VPCピアリング接続が有効化された後のステータス。
Rejected	アクセプタが接続要求を拒否した後のステータス。
期限切れ	接続リクエスト後のステータスは、7日以上保留中のままです。
削除中	VPCピアリング接続が削除されているときのステータス。
削除済み	VPCピアリング接続が削除された後のステータス。

VPCピアリング接続の操作

VPCピアリング接続の作成

シンプルで安全なプライベートネットワークのために2つのVPC間にピアリング接続を作成するには、以下の手順に従います。 詳細については、「プライベート通信にVPCピアリング接続を使用する」をご参照ください。

VPCを接続する前に、ネットワークを適切に計画し、CIDRブロックが重複しないようにします。

1. リクエスタは、ピアリング接続要求をアクセプタに送信する。

2. アクセプタは、要求を受け入れ、ピアリング接続をアクティブにする。

   説明

   アクセプターアカウントが [同じアカウント] の場合、アクセプターアカウントからのアクションなしで、リクエストが開始された後にシステムが自動的に接続を作成します。

3. VPCがプライベートネットワーク経由で通信するように、ピアリング接続の両端にルートを設定します。

ルーティング設定をします。

VPCピアリング接続のルートを設定するときは、必要に応じて次のいずれかの方法を選択します。

• ピアVPCのCIDRブロックを宛先として使用して、リソースへのフルアクセスを許可します。 Elastic Compute Service (ECS) インスタンスは、ピアVPCのvSwitch内のすべてのリソースと通信できるため、管理が簡素化されます。

• セキュリティを強化するには、ピアVPCのvSwitchのCIDRブロックを宛先として使用し、ピアリング接続トラフィックの帯域幅を制限します。

例

設定例

VPCピアリング接続が作成され、ステータスが [有効化] に変更された後、トラフィックを転送し、プライベートネットワークの相互接続を有効にするために、接続の両端にルートを追加する必要があります。

このシナリオでは、ピアVPCのCIDRブロックを指すように両端のルートを設定します。 詳細な例については、「VPCピアリング接続の例」をご参照ください。

ルートテーブル	宛先アドレス	次のホップ
VPC1	192.168.0.0/16	pcc-aaabbb
	2408:XXXX:XXXX:4000::/56	pcc-aaabbb
VPC2	172.16.0.0/12	pcc-aaabbb
	2408:XXXX:XXXX:3f00::/56	pcc-aaabbb

トラブルシューティング

• CloudMonitorを使用して、リージョン間VPCピアリング接続のトラフィック帯域幅やパケット損失などのメトリックを収集します。 アラートルールを作成してインスタンスのステータスをリアルタイムで監視し、ビジネスの安定性を確保できます。

• VPCピアリング接続インスタンスのアクセスの問題については、Network Intelligence Service (NIS) を使用して双方向パス分析を行い、構成エラーを診断します。

  説明

  NISは現在、同時双方向パス分析をサポートしていません。 Reverse Path Analysisを使用して接続を確認できます。

  • 到達不可能: ルート設定を確認し、ルートテーブルに、宛先がピアVPCのCIDRブロックで、ネクストホップがVPCピアリング接続であるエントリがあることを確認します。

  • リクエストがセキュリティグループルールと一致するか、デフォルトで拒否されます: VPC内のECSインスタンスのセキュリティグループがピアVPCからのトラフィックを許可していることを確認します。 必要に応じて、インバウンドルールまたはアウトバウンドルールを変更します。

  • リクエストがネットワークACL拒否ルールに一致するか、デフォルトで拒否されます: vSwitchのネットワークACLがピアVPCからのトラフィックを許可しているかどうかを確認します。 必要に応じて、インバウンドルールまたはアウトバウンドルールを変更します。

課金

VPCピアリング接続は、同じリージョンの同じアカウント、同じリージョンのクロスアカウント、リージョン間の同じアカウント、リージョン間のクロスアカウントの4つのシナリオで作成できます。 同じリージョンでの接続には料金は発生しませんが、リージョン間の接続にはデータ転送料金が発生します。これは、アウトバウンドトラフィックに基づいて計算され、クラウドデータ転送 (CDT) によって請求されます。 詳細については、「クロスリージョンデータ転送」をご参照ください。

リージョン間接続の課金例

イメージに示すように、顧客1は中国 (フフホト) でVPC1を作成し、顧客2は中国 (広州) でVPC2を設定しました。 その結果、2つのVPC間のリージョン間、クロスアカウントピアリング接続が確立される。 アウトバウンドトラフィック課金ルールに従って、顧客1はVPC2に送信されたトラフィックに対して課金され、顧客2はVPC1に送信されたトラフィックに対して課金されます。

ピアリング接続を介してVPC1から200 GB、VPC2から100 GBのデータが転送され、中国 (フフホト) と中国 (広州) 間のデータ転送にかかるリージョン間トラフィック料金が0.6 RMB/GBの場合、2人の顧客には次の方法で課金されます。

顧客1: CNY 0.6/GB × 200 GB = CNY 120

顧客2: CNY 0.6/GB × 100 GB = CNY 60

制限事項