みずほリサーチ&テクノロジーズ株式会社の舘山です。本日は Amazon Web Services (AWS) 経験者の視点から、オンプレミスとの接続関連で注意が必要な、Google Cloud と AWS の差異について共有します。

はじめに

当記事の観点

当記事では主にオンプレミスとクラウド環境のネットワーク接続という観点で、Google Cloud と AWS の相違点を紹介します。AWS 経験者が Google Cloud を扱う際に困った部分をピックアップしたため、取り上げる差異の選定にある程度バイアスがかかっている点はご了承ください。

Google Cloud とオンプレミスとの接続の全体像については、以下のブログ記事を参照してください。

また、両クラウドのネットワークの全般的な比較については、以下のブログ記事を参照してください。

AWS	Google Cloud
・Direct Connect接続あたりのVIF：50 ・Direct Connect Gateway毎のVGW：10 50 * 10 = 500 ・Trangit Gatewayを併用する構成パターンもあり	・VLAN アタッチメント数のハードリミット：16 AWSのDirect Connect Gatewayに相当する機能なし

AWS	Google Cloud
接続元IPアドレスとしてサブネットの任意のプライベートIPアドレスを指定可能 (Route53 Resolver Outbound Endpoint利用)	接続元IPアドレスはGoogleが管理するパブリックIPアドレス範囲の 35.199.192.0/19 固定となる（Cloud DNS転送ゾーン利用）

Google Cloudの場合、オンプレミスNW側がプライベートIPアドレスとして35.199.192.0/19を受入れ可能か確認が必要
- 受入れができない場合、VPC内にDNSフォワーダを建てるなどの手当が必要
複数VPCから個別にクエリ転送すると送信元IPアドレスが重複してしまう
- 対応策として各VPCにDNSフォワーダを建てるか、DNSピアリングを利用して代表VPCからのみクエリを転送する構成が必要

AWS	Google Cloud
利用者のVPC	利用者のVPCとピアリングされたGoogle管理のVPC

AWS	Google Cloud
・ルートテーブルのピアリング先VPCへのルートは手動で設定する・ピアリング先VPC内の一部のIPアドレス範囲に限定したルート設定が可能	原則、ルートテーブルにピアリング先VPCの全サブネットへのルートが強制的に自動登録される。例外はプライベートで使用されるパブリック IPv4 アドレス（PUPI）を利用するサブネット

AWS	Google Cloud
サービスあり	サービスなし（GKEのユースケースでは、IPマスカレードエージェントが利用可能）

AWS	Google Cloud
比較的少ない	比較的多い

AWS	Google Cloud
・要。VPCのIPアドレス範囲からサブネットのIPアドレス範囲を切り出す・異なるIPアドレス範囲を利用する場合、VPCにセカンダリCIDRを割り当てる・セカンダリCIDRとして追加できるIPアドレスには制限事項あり	不要。サブネットへ直接IPアドレス範囲を割り当てる

AWS	Google Cloud
サブネットはAZを跨がない	サブネットはゾーンを跨ぐ

AWS	Google Cloud
DNSラウンドロビンロードバランサの名前解決の都度、複数のIPアドレスが異なる順番で回答される	IPエニーキャストロードバランサへは単一のIPアドレスを利用してアクセスする

AWS	Google Cloud
フェイルオーバー時IPアドレスが変化する。クライアントの接続先切り替えには、再度の名前解決が必要	フェイルオーバー時、IPアドレスは変化しない

AWS	Google Cloud
ロードバランサへのアクセスをセキュリティグループで制限することが可能	・ロードバランサにファイアウォールルールを適用することは不可能・2023年1月現在、Cloud Armorで内部HTTPロードバランサを保護することは不可能

Google Cloudでプライベートなアプリへの接続にプライベートIPアドレス制限が必要な場合、アプリ側でX-Forwarded-Forヘッダをチェックする等の実装が必要

AWS	Google Cloud
任意のサブネットに関数を紐づけることが可能Google Cloudのコネクタインスタンスに相当するリソースは不要	サーバレスVPCアクセス専用サブネット上のコネクタインスタンスを経由してVPCへアクセスする