OCIネットワーキングの最適化: 同じサブネットでインターネット・トラフィックとサービス・ゲートウェイ・トラフィックをルーティングする方法 (2025/04/30)

https://www.ateam-oracle.com/post/optimizing-oci-networking-how-to-route-internet-and-service-gateway-traffic-in-the-same-subnet

投稿者： Achinthya Gopinath | Principal Cloud Architect

企業が拡大するにつれて、ネットワーキングのニーズはより複雑になり、よりインテリジェントなトラフィック管理ソリューションが必要になります。このブログでは、お客様がセキュリティおよびコンプライアンスの要件に合わせてOCIルートテーブルを最適化する必要があった現実のシナリオについて説明します。

設定の概要:

顧客シナリオでは、パブリック・サブネット内に5つのインスタンスが含まれています。

•    3つのインスタンスでインターネットへのアクセスが必要でした。

•    2つのインスタンスで、Oracle Services Network (OSN)のAutonomous Database (ADB)に接続するために、サービス・ゲートウェイへのアクセスが必要でした。

サブネットに単一のルート表を使用する最初のアプローチでは、特にOCIでは、非対称ルーティングの問題が発生することなく、インターネット・ゲートウェイ(IGW)とサービス・ゲートウェイ(SGW)の両方のルート・ルールを同じ表にまとめることがサポートされていないため、課題が発生しました。

ルーティングの競合について:

従来、サブネットのルート表に次の両方が含まれる場合:

1.    インターネット・ゲートウェイを指すデフォルト・ルート(0.0.0.0/0)

2.    サービス・ゲートウェイを指すOracle Services Networkのすべての<region>サービスへのルート。

ルーティングの競合につながる可能性があります。具体的には:

パブリック・インスタンスへの接続を開始しようとするOracleサービスで、非対称ルーティングが発生する場合があります。この場合、レスポンスは同じパスをたどりません。

その結果、OCIはAPIおよびコンソール・レベルでこの構成を無効にし、構成の誤りを防止します。

この保護により、トラフィック・フローは予測可能でセキュアなものになりますが、同じサブネット内で異なるトラフィック・パターンが必要な場合には、より洗練されたネットワーク設定が必要です。

ソリューション: リソースごとのルーティングの活用

OCIでは、この種の要件に対応する、リソースごとのルーティングと呼ばれる強力な機能が導入されました。

リソースごとのルーティングとは

• これにより、サブネット全体だけでなく、個々のVNIC (仮想ネットワーク・インタフェース・カード)または特定のVNIC IPアドレスにも異なるルート表を関連付けることができます。
• これにより、単一のサブネット内で詳細なルーティング制御が提供されます。

実装ステップ:

お客様のユース・ケースでは、ソリューションには次のものが含まれます。

1.2 つの個別のルート表の作成:

ルート表1: インターネット・アクセスが必要なインスタンスの場合

ルート: 0.0.0.0/0→ インターネットゲートウェイ

ルート表2: サービス・ゲートウェイ・アクセスが必要なインスタンスの場合

ルート: すべて<region>サービス → サービス・ゲートウェイ

2. インスタンスへのルート表の割当て:

• インターネット アクセスを必要とする3つのインスタンスは、ルート テーブル1に関連付けられました。
• Oracle Serviceネットワークにプライベートに接続する2つのインスタンスは、ルート表2に関連付けられました。

リソースごとのルーティングを使用することで、ネットワークはクリーンで安全かつコンプライアンスに準拠したままであり、インスタンスを別々のサブネットに移動する必要はありません。

関連リンク:

ルート表とVNICまたはVNICのIPアドレスの関連付け: https://docs.oracle.com/en-us/iaas/Content/Network/Tasks/managingroutetables.htm#Overview_of_Routing_for_Your_VCN__source_routing

顧客ルート表を使用したルーティング制御: https://www.ateam-oracle.com/post/granular-routing-control-with-custom-route-tables-in-oci

OCIネットワーキングの既知の問題: https://docs.public.content.oci.oraclecloud.com/en-us/iaas/Content/Network/Reference/known_issues_for_networking.htm#sgw-route-rule-conflict

まとめ:

ルート表を個々のVNICまたはVNIC IPアドレスに関連付けることは、OCIネットワーキングにおける重要な機能強化を表し、ネットワーク・インタフェース・レベルでソースベースのルーティングを可能にします。この機能により、厳密なトラフィック・エンジニアリングが可能になり、厳格なセキュリティおよびコンプライアンス・ポリシーへの準拠を維持しながら、高度なルーティングのユースケースがサポートされます。