VPCとは何ですか？

仮想プライベートクラウド（VPC）とは、AWSなどのパブリッククラウドプロバイダー内に構築された、論理的に隔離された仮想ネットワークのことです。顧客は、独自のIPアドレス範囲、サブネット、およびルーティング設定を管理しながらリソースを起動することができ、プロバイダーの共有インフラストラクチャのみで構成されたプライベートネットワークとなります。

主なポイント

• VPCとは、パブリッククラウド内に構築され、顧客が管理する、論理的に分離されたネットワークのことです。
• IPアドレスの範囲、サブネット、ルーティングテーブル、およびセキュリティグループを定義します。
• インターネットゲートウェイとVPNゲートウェイは、VPCをインターネットやオンプレミス環境と外部に接続します。
• トランジットゲートウェイとVPCピアリングにより、複数のVPCが1つのルーティングファブリックに統合されます。
• Versa IPsecを介してゲートウェイを経由するか、またはその内部に展開されたVOSを介して、VPCのワークロードにアクセスします。

このページの内容： その重要性 ・ 仕組み ・ 種類 · VPC およびVersa · よくある質問

VPCはなぜ重要なのでしょうか？

パブリッククラウドインフラストラクチャは、その設計上、共有されています。つまり、何千もの顧客が同じ物理サーバー上でワークロードを実行しています。VPCは、その安全性を確保するための境界です。VPCは、アドレス空間とルーティングのプライベートな領域であり、明示的に許可されない限り、VPCの外からはその領域を閲覧したりアクセスしたりすることはできません。

こうした分離性により、VPCは単なるサーバーのリストではなく、真のネットワーク設計の基盤となります。 各チームは、オンプレミスネットワークを設計するのと同じように、サブネット、ルーティングテーブル、セキュリティグループを構成し、外部に公開される層とプライベートな層を分離します。アドレス空間は顧客が定義するため、ネットワークがオンプレミスサイトやSD-WANファブリックに拡張された際にもアドレス衝突を回避するよう番号付けが可能であり、NATによる回避策に頼ることなく、ハイブリッドアーキテクチャ を現実的なものとしています。

VPCとは何ですか？

VPCとは、顧客がプロバイダーのインフラストラクチャ内の論理的に分離された領域内で、仮想マシン、ロードバランサー、ストレージといったクラウドリソースを起動できるようにする仮想ネットワーク環境です。顧客はVPCのIPアドレス範囲をCIDRブロックとして定義し、それをサブネットに分割します。各サブネットはアベイラビリティゾーンに紐付けられています。ルートテーブルは、サブネット間および外部へのトラフィックを制御します。

ほとんどのVPCの境界には、2つのコンポーネントが配置されています。1つは、パブリックサブネットのリソースがインターネットへのアクセスやインターネットからのアクセスを受けられるようにする「インターネットゲートウェイ」であり、もう1つは、各リソースへの送受信トラフィックを制御するステートフルファイアウォールである「セキュリティグループ」です。VPN、トランジットゲートウェイ、ピアリング、ロードバランサーなど、その他のすべてのコンポーネントは、この基盤に接続されます。

VPC接続の種類

VPCが単独で運用されることはほとんどありません。他のネットワークとの接続方法には、いくつかの大まかなパターンがあります。VPCピアリングは2つのVPCを直接接続し、インターネットを経由せずにそれぞれのプライベートアドレス空間間でトラフィックをルーティングします。これはシンプルな仕組みですが、多数のVPCが相互に接続する必要が生じた場合、スケーラビリティに欠けます。トランジットゲートウェイによる接続は、マネージドルーティングハブを用いてこの問題を解決します。多数のVPCやオンプレミスネットワークが1つのゲートウェイに接続され、そのゲートウェイがBGPを介して動的にルートを交換し、ポリシーを一元管理します。サイト間VPNや専用回線は、仮想プライベートゲートウェイをエンドポイントとして使用し、暗号化されたトンネルを介してVPCをオンプレミスネットワークやSD-WANオーバーレイに拡張します。 マルチVPC環境では一般的にトランジットゲートウェイ方式が採用されますが、シングルVPCの導入では、多くの場合、ダイレクトVPNから開始されます。

VPC &Versa

Versa 3つのモデルを用いて、SD-WAN支社およびリモートのSASE ユーザーをVPC内のワークロードに接続します。最もシンプルなモデルは、SASE ゲートウェイとVPCの仮想プライベートゲートウェイ間のサイト間IPsecトンネルであり、eBGPによるルート交換が行われます。これは単一のVPCに適しています。複数のVPCやリージョンを扱う場合は、代わりにSASE ゲートウェイがトランジットゲートウェイとピアリングを行い、ルーティングを一元化します。 3つ目のモデルでは、VOS自体をVPC内のEC2インスタンスとして展開し、完全なSD-WANブランチとして機能させます。3つのモデルの比較については「Versa 」Networks 、「AWS CloudとのSASE ゲートウェイ統合」を参照してください。また、複数のVPCにまたがるトランジットゲートウェイによる展開については「Transit Gatewayを使用したAWSでのVOSブランチの展開」、VPCトラフィックを検査する冗長化されたVOSインスタンスについては「Gateway Load Balancerを使用したAWSでのVOSの高可用性」を参照してください。

よくある質問

VPCと従来のネットワークの違いは何ですか？

VPCは、物理ネットワークと同じ構成要素（アドレス指定、サブネット、ルーティング、ファイアウォールなど）を提供しますが、そのすべてがクラウドプロバイダーの仮想化インフラストラクチャ上で構築されています。ハードウェアをラックに設置したり、ケーブルを接続したりする必要はなく、すべてコンソールやAPIを通じて定義されます。

VPCはオンプレミスネットワークに接続できますか？

はい。VPCは、サイト間VPN、Direct Connectなどの専用回線、またはSD-WANオーバーレイを通じて、オンプレミスネットワークに接続できます。VersaのSecure SD-WAN ファブリックは、これらのいずれかの経路を通じてVPC内に拡張され、そのワークロードをネットワーク上の単なる別のサイトとして扱います。

VPCとサブネットの違いは何ですか？

VPCは全体として隔離されたネットワークであり、サブネットはそのアドレス空間から切り出されたより小さなIP範囲で、1つのアベイラビリティゾーンに紐付けられています。VPCには通常、複数のサブネットが含まれます。たとえば、管理用、WAN用、LAN用のトラフィックごとに別々のサブネットが設定される場合があります。

VPCはAWS固有のものですか？

VPC は AWS がこの構成要素に付けた名称ですが、主要なパブリッククラウドにはすべて同等の機能があります。Azure では「仮想ネットワーク」と呼び、Google Cloud でも同じ用語が使用されています。その根底にある考え方、つまり「顧客が管理する、隔離されたネットワーク」という概念は、各プロバイダーに共通しています。

Versa は、VPCとの間で送受信されるトラフィックをどのように保護しているのでしょうか？

Versa IPsec経由で接続されたオンプレミスのSASE ゲートウェイ、またはVPC内にEC2アプライアンスとして展開されたVOSインスタンスを通じて、VPCのトラフィックを監視します。いずれの場合も、トラフィックはVPCへの流入、流出、またはVPC間の移動時に、ファイアウォール、NAT、およびSD-WANポリシーの適用対象となります。

VPCに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

VPCについてお読みの方は、次にこれらもぜひご覧ください。