当記事はみずほリサーチ&テクノロジーズ × G-gen エンジニアコラボレーション企画で執筆されたものです。

みずほリサーチ&テクノロジーズ株式会社の舘山です。当記事では Google Cloud をハイブリッドクラウドとして利用する際の、プライベート IP アドレスの枯渇問題について考えます。また Amazon Web Services (AWS) の仕様と比較することで、さらに理解を深めます。

はじめに
VPC で利用可能な IP アドレス範囲
サブネットに PUPI を利用する場合の注意点
- 一般的な注意点
- GKE の場合の注意点
専用サブネット・VPC が必要なユースケース
- 他クラウドの例
- Google Cloud の場合
Google 管理 VPC とプライベートサービスアクセス
関連記事

はじめに

当記事では、組織のプライベート IP アドレス在庫枯渇問題への対応を考えます。なおあくまでプライベート IP アドレスの枯渇問題であって、IPv4 の "パブリック IP アドレス" 在庫枯渇問題とは関係ありません。

VPC をオンプレミスに専用線接続する場合、オンプレミス側と重複しないプライベート IP アドレスを利用する必要があります。

大規模で、歴史が古く、統廃合を繰り返してきた組織においては、組織のネットワーク内でユニークとなることが担保されたプライベート IP アドレス在庫が枯渇しているケースがあります。そのような組織においては、新規システムの VPC にとりあえず /16 (65,536個) のプライベート IP アドレスを払い出すような贅沢は許されません。

また、プライベート IP アドレスとして RFC 1918 範囲だけでなく RFC 6598 範囲 (100.64.0.0/10) やパブリック IP アドレス範囲を利用しているケースがあります。

VPC で利用可能な IP アドレス範囲

制約事項

Google Cloud では RFC6598 範囲と一部を除くパブリック IP アドレス範囲は VPC のプライベート IP アドレスとして利用することが出来ます。ただし後述するように、サービスによっては固有の制約事項がありますので注意が必要です。

参考 : 有効なIPv4範囲

他クラウドの例

Google Cloud の仕様を明確に理解するために他のクラウドの仕様の例を挙げます。Amazon Web Services (AWS) では、大量の IP アドレスが必要なワークロードでは、以下の様な構成が考えられます。

外部との直接通信要否に応じてサブネットを分ける
大量のIPアドレスが必要なリソースは内部利用専用サブネットに配置する
内部利用専用サブネットには、当該システムの通信要件にない範囲からIPアドレスを割り当てる
- VPC に後から IP アドレス範囲を追加する場合は最初に利用する IP アドレス範囲による制限事項あり
内部利用専用サブネットの IP アドレス範囲は、共通 VPC およびオンプレミスと経路交換しない
VPC 外から内部利用専用サブネットへのインバウンド通信はロードバランサを経由する
内部利用専用サブネットから VPC 外へのアウトバウンド通信は Private NAT Gateway を利用する。

なお AWS ブログでは内部利用専用サブネットを利用する、別の構成例が紹介されています。

How to solve Private IP exhaustion with Private NAT Solution

Google Cloud の場合

Google Cloud で同様の構成を採用する場合、以下の仕様差異に留意が必要です。

後から追加するサブネットのIPアドレス範囲は、AWSより制限が緩い
- AWS では RFC 6598 の IP アドレス範囲を利用する VPC に、後から RFC 1918 の IP アドレス範囲を追加できない
AWS の Private NAT Gateway に相当するサービスが存在しないため、独自の NAT 構築が必要
- ただし Google Kubernetes Engine のユースケースでは IP マスカレードエージェントが利用可能
VPC ピアリングで選択的にルートを設定するにはサブネットにプライベートで使用されるパブリック IPv4 アドレス（PUPI）の利用が必要
専用サブネット・VPC が必要なユースケースの存在