1
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

OCIにおけるDRG利用:Legacy DRGとUpgraded DRGの違いとアップグレード時の注意事項

1
Posted at

はじめに

Oracle Cloud Infrastructure(以下、OCI)でオンプレミス接続やVCN間接続を設計する際に重要になるコンポーネントが DRG(Dynamic Routing Gateway) です。

DRGは、OCI上の仮想ルーターのような役割を持ち、以下のようなネットワーク接続で利用されます。

  • VCNとオンプレミス環境の接続
  • Site-to-Site VPN接続
  • FastConnect接続
  • VCN間接続
  • リージョン間接続
  • クロステナンシ接続

OCIのDRGには、以前から存在する Legacy DRG と、機能拡張された Upgraded DRG があります。

一般的に、古いDRGを DRG v1、新しいDRGを DRG v2 のように表現することがありますが、OCIの公式ドキュメント上では主に以下のように表現されています。

一般的な呼び方 OCIドキュメント上の表現
DRG v1 Legacy DRG
DRG v2 Upgraded DRG / Enhanced DRG

本記事では、OCIにおけるDRG利用について、Legacy DRG(v1)Upgraded DRG(v2) の違い、およびアップグレード時の注意事項を整理します。


1. DRGとは

DRG(Dynamic Routing Gateway) は、OCIのネットワーク間接続を担う仮想ルーターです。

DRGを利用することで、VCNとオンプレミス環境、またはVCN同士を接続できます。

オンプレミス環境
      |
Site-to-Site VPN / FastConnect
      |
     DRG
      |
     VCN

また、Upgraded DRGでは、複数のVCNやリモート・ピアリング接続をDRGに集約し、より柔軟なネットワーク構成を作ることができます。

              DRG
       /      |       \
   VCN-A    VCN-B    VCN-C
       \      |       /
      VPN / FastConnect
              |
        オンプレミス環境

DRGは、単にオンプレミス接続のためだけに使うものではなく、OCI上の複数ネットワークを接続・制御するための中核コンポーネントとして利用できます。


2. Legacy DRGとUpgraded DRGの概要

Legacy DRGとは

Legacy DRG は、OCIで以前から提供されていたDRGです。

主に、1つのVCNとオンプレミス環境を接続する用途で利用されていました。

オンプレミス環境
      |
VPN / FastConnect
      |
 Legacy DRG
      |
    VCN

Legacy DRGでは、DRG内部のルーティングを柔軟に制御するためのDRGルート表はありません。

基本的には、オンプレミス環境とアタッチされた単一VCNの間で通信するシンプルな構成を想定しています。

Upgraded DRGとは

Upgraded DRG は、機能拡張された新しいDRGです。

複数のVCNを1つのDRGにアタッチしたり、DRGルート表を使って通信経路を細かく制御したりできます。

              Upgraded DRG
          /       |        \
       VCN-A     VCN-B     VCN-C
          |
   Site-to-Site VPN / FastConnect
          |
    オンプレミス環境

Upgraded DRGでは、以下のような構成が可能になります。

  • 複数VCNの接続
  • DRGを経由したVCN間通信
  • オンプレミスから複数VCNへの接続
  • リージョン間接続
  • クロステナンシ接続
  • DRGルート表による経路制御
  • ルート・ディストリビューションによる動的ルート制御
  • ECMPによる複数回線の活用

3. Legacy DRGとUpgraded DRGの違い

Legacy DRGとUpgraded DRGの主な違いは、以下のとおりです。

観点 Legacy DRG(v1) Upgraded DRG(v2)
DRGルート表 編集可能なDRGルート表なし DRGルート表を利用可能
VCNアタッチ 単一VCNをアタッチ 複数VCNをアタッチ可能
VCN間通信 DRG経由のローカルVCN間通信は不可 DRG経由でVCN間通信が可能
オンプレミス接続 VPN / FastConnectに対応 VPN / FastConnectに対応
オンプレミスから到達できる範囲 基本的にローカルリージョンの接続VCN ローカルおよびリモートリージョンのリソースへ拡張可能
リモート・ピアリング 同一テナンシ内のDRG-VCNペアとの接続 同一テナンシまたは別テナンシとの接続に対応
ルーティング制御 限定的 DRGルート表、ルート・ディストリビューションで柔軟に制御可能
ECMP 非対応 対応
向いている構成 シンプルなオンプレミス接続 複数VCN、ハブ&スポーク、DR、リージョン間接続

4. Legacy DRGの特徴

Legacy DRGは、構成がシンプルである一方、現在のネットワーク要件に対しては制約があります。

Legacy DRGの主な特徴

項目 内容
構成 1つのDRGに1つのVCNをアタッチ
ルーティング DRG内部の詳細なルーティング制御はできない
用途 オンプレミスと単一VCNの接続
VCN間接続 DRG経由ではなく、LPGやRPCを利用する構成が中心
拡張性 複数VCN構成には不向き

Legacy DRGでは、DRG内部のルーティングポリシーをカスタマイズできません。

そのため、以下のような要件が出てくると、Legacy DRGでは対応が難しくなります。

  • オンプレミスから複数VCNへ接続したい
  • 複数VCNをDRG経由で相互接続したい
  • 共有サービスVCNを中心にハブ&スポーク構成を作りたい
  • リージョン間で複数VCNを接続したい
  • クロステナンシでピアリングしたい
  • ルーティングを細かく分離・制御したい

5. Upgraded DRGの特徴

Upgraded DRGでは、DRGが単なるオンプレミス接続用ゲートウェイではなく、OCIネットワーク全体のルーティングハブとして利用できます。

Upgraded DRGの主な特徴

項目 内容
複数VCNアタッチ 1つのDRGに複数のVCNをアタッチ可能
DRGルート表 アタッチメントごとにDRGルート表を関連付け可能
ルート・ディストリビューション 動的ルートのインポート/エクスポート制御が可能
VCN間通信 DRGを経由してVCN間通信が可能
オンプレミス接続統合 VPN / FastConnectと複数VCNを統合しやすい
リモート・ピアリング リージョン間、クロステナンシ接続に対応
ECMP 複数VPNトンネルやFastConnectでの経路分散が可能

Upgraded DRGでは、各DRGアタッチメントにDRGルート表を関連付けます。

DRGに入ってきたパケットは、そのアタッチメントに関連付けられたDRGルート表を参照して、次の転送先を決定します。

VCN-A
  |
VCN Attachment
  |
DRG Route Table
  |
VCN-B Attachment
  |
VCN-B

この仕組みにより、単に接続するだけでなく、どのネットワークからどのネットワークへ到達させるか をDRG側で制御できます。


6. DRGアタッチメントとは

Upgraded DRGでは、DRGに接続される各ネットワーク要素を DRGアタッチメント として扱います。

代表的なアタッチメントには以下があります。

アタッチメント種別 内容
VCN Attachment VCNをDRGに接続
IPSec Tunnel Attachment Site-to-Site VPNをDRGに接続
Virtual Circuit Attachment FastConnect仮想回線をDRGに接続
Remote Peering Connection Attachment リージョン間・テナンシ間のDRG接続
Loopback Attachment FastConnectトラフィックをSite-to-Site VPNで暗号化する構成などで利用

DRGでは、これらのアタッチメント単位でルート表を関連付け、通信経路を制御します。

              DRG
       /      |       \
  VCN Attachment
  VPN Attachment
  FastConnect Attachment
  RPC Attachment

7. DRGルート表とは

Upgraded DRGの重要な機能が DRGルート表 です。

DRGルート表は、DRGに入ってきた通信をどのアタッチメントへ転送するかを決定します。

通信がDRGに入る
      ↓
入口アタッチメントに紐づくDRGルート表を参照
      ↓
宛先CIDRに応じて次のアタッチメントへ転送

たとえば、オンプレミスからVCN-Aへ通信させたい場合、VPNアタッチメントに紐づくDRGルート表に、VCN-AのCIDR宛ルートを持たせます。

VPN Attachmentに紐づくDRG Route Table

宛先:VCN-A CIDR
ターゲット:VCN-A Attachment

VCN-Aからオンプレミスへ戻る通信については、VCN-A側のルート表とDRG側のルート表の両方を確認する必要があります。

VCN-A Route Table

宛先:オンプレミスCIDR
ターゲット:DRG

このように、Upgraded DRGでは、VCN側のルート表とDRG側のルート表を組み合わせて経路を制御します。


8. ルート・ディストリビューションとは

Upgraded DRGでは、ルート・ディストリビューションを利用して、動的ルートのインポートやエクスポートを制御できます。

インポート・ルート・ディストリビューション

インポート・ルート・ディストリビューションは、各アタッチメントから学習したルートをDRGルート表に取り込むための仕組みです。

VCN Attachment / VPN Attachment / FastConnect Attachment
      ↓
Import Route Distribution
      ↓
DRG Route Tableにルートを取り込み

たとえば、VCNアタッチメントからVCN CIDRやサブネットCIDRをDRGルート表に取り込む、といった使い方をします。

エクスポート・ルート・ディストリビューション

エクスポート・ルート・ディストリビューションは、DRGルート表の内容をアタッチメントへ通知するための仕組みです。

ただし、VCNアタッチメントへの動的ルート・エクスポートはサポートされていません。

そのため、VCN側からDRGへ向ける通信については、VCNのルート表に明示的なルートを設定する必要があります。

VCN Route Table

宛先:オンプレミスCIDR
ターゲット:DRG

9. Legacy DRGからUpgraded DRGへアップグレードする理由

Legacy DRGを利用している環境では、以下のような要件が出てきたタイミングでアップグレードが必要になります。

要件 Legacy DRG Upgraded DRG
複数VCNを1つのDRGに接続したい 不可 可能
DRG経由でVCN間通信したい 不可 可能
オンプレミスから複数VCNへ接続したい 不向き 向いている
クロステナンシ・ピアリングを使いたい 制限あり 対応
DRG内部のルーティングポリシーを変更したい 不可 可能
ハブ&スポーク構成にしたい 不向き 向いている
ECMPを利用したい 不可 可能

特に、以下のような構成を検討している場合は、Upgraded DRGが前提になります。

オンプレミス環境
      |
VPN / FastConnect
      |
     DRG
  /  |  \
VCN-A VCN-B VCN-C

10. アップグレード対象となるDRG

OCIでは、2021年5月17日より前に作成されたDRGはLegacy DRGである可能性があります。

また、公式ドキュメントでは、2021年6月より前、またはリージョンによっては2021年4月より前に作成されたDRGがレガシー・ソフトウェアを使用している場合があると説明されています。

それ以降に作成されたDRGは、基本的にUpgraded DRGの機能を持っています。

確認方法

DRGがLegacy DRGかどうかは、OCIコンソールのDRG詳細画面で確認できます。

Legacy DRGの場合、アップグレード・ステータスが表示されます。

アップグレード可能なDRGでは、コンソール上に 「DRGのアップグレード」 が表示されます。

DRG詳細画面
  ↓
アップグレード・ステータスを確認
  ↓
必要に応じてDRGをアップグレード

11. アップグレード時の重要な注意事項

Legacy DRGからUpgraded DRGへのアップグレードでは、いくつか重要な注意点があります。

注意事項1:アップグレードはロールバックできない

DRGのアップグレードは一方向の操作です。

一度アップグレードを開始すると、Legacy DRGへ戻すことはできません。

Legacy DRG
   ↓ アップグレード
Upgraded DRG

※元に戻すことはできない

そのため、本番環境でアップグレードする場合は、事前に影響範囲を確認し、メンテナンスウィンドウを確保して実施することが重要です。

注意事項2:BGPセッションがリセットされる

DRGをアップグレードすると、Site-to-Site VPNおよびFastConnectの既存BGPセッションがリセットされます。

そのため、一時的にオンプレミス環境との通信に影響が出る可能性があります。

DRGアップグレード
      ↓
VPN / FastConnectのBGPセッションがリセット
      ↓
BGP再確立
      ↓
通信再開

本番環境では、必ずメンテナンス時間帯で実施することを推奨します。

注意事項3:DRGのOCIDは変わらない

アップグレードしても、DRGのOCIDは変更されません。

そのため、DRG自体を作り直す必要はありません。

アップグレード前DRG OCID
      =
アップグレード後DRG OCID

ただし、アップグレード後は新しいDRGルート表やルート・ディストリビューションなどの概念が追加されるため、運用上の見え方や設定項目は変わります。

注意事項4:アップグレード後にデフォルトDRGルート表が作成される

アップグレード後のDRGには、デフォルトのDRGルート表やインポート・ルート・ディストリビューションが作成されます。

これらは、既存の通信をできるだけ維持するための後方互換性を考慮した構成になっています。

ただし、複数VCN接続や細かい経路制御を行う場合は、デフォルト設定のままではなく、設計に応じてDRGルート表やルート・ディストリビューションを見直す必要があります。

注意事項5:VCN側のルート表も確認する

DRG側の機能が拡張されても、VCNからDRGへ通信を送るためにはVCN側のルート表設定が必要です。

たとえば、VCNからオンプレミスへ通信する場合は、VCNのサブネットに関連付くルート表に以下のようなルートが必要です。

宛先:オンプレミスCIDR
ターゲット:DRG

また、VCN間通信をDRG経由で行う場合も、相手VCNのCIDR宛通信をDRGへ向けるルートが必要です。

宛先:相手VCN CIDR
ターゲット:DRG

注意事項6:Security List / NSGも確認する

ルート表を設定しても、Security ListやNSGで通信が許可されていなければ通信は成立しません。

DRGアップグレード後に新たにVCN間通信やオンプレミス接続を拡張する場合は、以下も確認する必要があります。

  • VCNのルート表
  • DRGルート表
  • DRGルート・ディストリビューション
  • Security List
  • NSG
  • OSファイアウォール
  • オンプレミス側ファイアウォール

12. アップグレード前に確認すべき項目

DRGアップグレード前には、少なくとも以下を確認しておくことを推奨します。

確認項目 内容
DRGの種別 Legacy DRGか、すでにUpgraded DRGか
接続中のVCN どのVCNが接続されているか
VPN接続 Site-to-Site VPNが接続されているか
FastConnect接続 FastConnect仮想回線が接続されているか
BGP利用有無 BGPセッションがあるか
オンプレミス通信影響 BGPリセット時の影響範囲
既存ルート設定 VCNルート表、オンプレミス側ルート
セキュリティ設定 Security List、NSG、Firewall
メンテナンス時間 通信影響を許容できる時間帯
ロールバック不可の理解 アップグレード後はLegacy DRGへ戻せない
変更後の設計 DRGルート表やルート・ディストリビューションをどう使うか

特に重要なのは、BGPセッションのリセットロールバック不可 です。

本番通信がある場合は、事前に関係者と調整してから作業する必要があります。


13. アップグレード後に確認すべき項目

DRGアップグレード後は、以下を確認します。

確認項目 内容
アップグレード完了状態 DRGがUpgraded DRGとして利用可能になっているか
VPN状態 Site-to-Site VPNトンネルが正常か
FastConnect状態 FastConnect仮想回線が正常か
BGPセッション BGPが再確立しているか
DRGルート表 期待するルートが存在するか
ルート・ディストリビューション 必要なルートがインポートされているか
VCNルート表 DRG向けルートが正しく設定されているか
疎通確認 オンプレミス⇔VCN、VCN⇔VCNの通信確認
非対称ルート 想定外の経路になっていないか
監視・ログ 通信断やBGP flapが発生していないか

アップグレード直後は、既存通信が戻っていることだけでなく、DRGルート表にどのルートが入っているかを確認することが重要です。


14. Upgraded DRG利用時の設計ポイント

Upgraded DRGを利用する場合、以下のポイントを意識すると設計しやすくなります。

1. アタッチメントごとに通信要件を整理する

まず、DRGに接続するネットワークを整理します。

VCN-A
VCN-B
VCN-Shared
VPN
FastConnect
RPC

そのうえで、どのネットワークからどのネットワークへ通信させるかを整理します。

オンプレミス → VCN-A:許可
オンプレミス → VCN-B:許可
VCN-A → VCN-Shared:許可
VCN-B → VCN-Shared:許可
VCN-A → VCN-B:禁止

2. DRGルート表を分ける

すべてのアタッチメントに同じDRGルート表を使うと、意図しない通信経路ができる可能性があります。

通信要件に応じて、DRGルート表を分けることを検討します。

DRG Route Table for On-Premises
DRG Route Table for App VCN
DRG Route Table for Shared VCN
DRG Route Table for Management VCN

3. ルート・ディストリビューションを理解する

Upgraded DRGでは、ルートが自動で取り込まれるように見える場合があります。

これは、インポート・ルート・ディストリビューションによって、各アタッチメントのルートがDRGルート表へ取り込まれているためです。

想定外のルートが入らないように、どのルートをどのDRGルート表に取り込むかを確認する必要があります。

4. VCN側ルート表との組み合わせで考える

DRGルート表だけでは通信は成立しません。

VCN側のサブネット・ルート表も必ず確認します。

VCNからDRGへ出すルート
DRG内で次のアタッチメントへ転送するルート
相手側VCNまたはオンプレミスで戻すルート

この3つがそろって初めて双方向通信が成立します。

5. セキュリティ制御は多層で行う

DRGルート表は通信経路を決める機能です。

通信の許可・拒否は、Security List、NSG、Firewallなどと組み合わせて制御します。

ルーティング制御:DRG Route Table / VCN Route Table
通信許可制御:Security List / NSG / Firewall

15. Legacy DRGを使い続けてもよいケース

Legacy DRGを必ずすぐにアップグレードしなければならないわけではありません。

以下のようなシンプルな構成で、追加要件がない場合は、Legacy DRGのままでも運用できる場合があります。

ケース 理由
単一VCNのみ接続 Legacy DRGの想定に近い
オンプレミス接続のみ 複雑なDRG内部ルーティングが不要
VCN間通信が不要 LPGや既存構成で足りている
クロステナンシ接続が不要 Legacy DRGの制約に当たらない
変更予定がない安定稼働環境 アップグレードによる作業リスクを避けられる

ただし、将来的に複数VCN接続やルーティング制御が必要になる場合は、Upgraded DRGへの移行を検討しておいた方がよいです。


16. Upgraded DRGを利用すべきケース

以下のような要件がある場合は、Upgraded DRGの利用を検討します。

ケース 理由
複数VCNを接続したい 1つのDRGに複数VCNをアタッチ可能
ハブ&スポーク構成にしたい DRGをネットワークハブとして利用できる
オンプレミスから複数VCNへ接続したい VPN / FastConnectと複数VCNを集約できる
VCN間通信をDRG経由にしたい LPGを使わずにDRGで集約可能
リージョン間接続を拡張したい RPCを使ったDRG間接続に対応
クロステナンシ接続したい テナンシをまたいだ接続設計が可能
ECMPを利用したい 複数回線の活用が可能
経路制御を細かく分けたい DRGルート表で制御可能

特に、エンタープライズ環境では、オンプレミス、複数VCN、複数リージョンを接続する構成が多いため、Upgraded DRGを前提に設計することが多くなります。


17. アップグレード作業の流れ

実際のアップグレード作業は、以下のような流れで整理できます。

1. 対象DRGがLegacy DRGか確認
2. 既存構成を確認
   - VCN
   - VPN
   - FastConnect
   - RPC
   - ルート表
   - セキュリティ設定
3. 影響範囲を確認
   - BGPセッションリセット
   - 通信断の可能性
4. メンテナンス時間を確保
5. DRGアップグレードを実行
6. アップグレード完了を確認
7. BGPセッション再確立を確認
8. DRGルート表を確認
9. 疎通確認
10. 必要に応じてDRGルート表やルート・ディストリビューションを調整

アップグレード自体はOCIコンソールやCLI/APIから実行できます。

ただし、本番環境ではアップグレードボタンを押すだけで終わりではなく、事前確認と事後確認が重要です。


18. 代表的なアップグレード後の構成例

構成例1:オンプレミスから複数VCNへ接続

オンプレミス環境
      |
VPN / FastConnect
      |
     DRG
  /  |  \
VCN-A VCN-B VCN-C

この構成では、オンプレミス環境から複数のVCNへ到達させることができます。

DRGルート表を分けることで、オンプレミスから到達可能なVCNを制御できます。

構成例2:共有サービスVCNを利用する

        DRG
   /    |     \
VCN-A VCN-B VCN-Shared

VCN-SharedにAD、監視、ログ管理、踏み台サーバなどを配置し、各アプリケーションVCNから利用する構成です。

DRGルート表で、VCN-AとVCN-BはVCN-Sharedへ到達可能にしつつ、VCN-AとVCN-B同士は通信させない、といった制御も可能です。

構成例3:リージョン間接続

東京リージョン DRG
      |
     RPC
      |
大阪リージョン DRG

Upgraded DRGでは、RPCを利用してリージョン間やテナンシ間の接続を構成できます。

オンプレミスから東京リージョンに接続し、DRG経由で大阪リージョン側のVCNへ到達させるような構成も検討できます。


19. よくある注意点

DRGルート表とVCNルート表を混同しない

DRGルート表は、DRGに入ってきた通信をどのアタッチメントへ送るかを決めるものです。

VCNルート表は、VCN内のサブネットから出る通信をどこへ送るかを決めるものです。

VCN内から出る通信
  → VCN Route Table

DRGに入った後の通信
  → DRG Route Table

この2つを分けて考えることが重要です。

デフォルトDRGルート表に頼りすぎない

アップグレード後は、互換性のためにデフォルトのDRGルート表が作成されます。

既存構成を維持するだけであれば、そのまま通信できる場合があります。

ただし、複数VCN接続や通信分離を行う場合は、デフォルト設定のままではなく、要件に合わせてDRGルート表を設計する必要があります。

ルートの取り込み範囲を確認する

Upgraded DRGでは、インポート・ルート・ディストリビューションにより、ルートがDRGルート表へ取り込まれます。

どのアタッチメントからどのルートが取り込まれているかを確認しないと、意図しない到達性が発生する可能性があります。

非対称ルートに注意する

複数のVPN、FastConnect、VCN間接続、リージョン間接続を組み合わせる場合、往路と復路が異なる経路になる可能性があります。

特にオンプレミス側にステートフルファイアウォールがある場合は、非対称ルートが通信障害の原因になることがあります。


20. まとめ

OCIのDRGには、以前から存在する Legacy DRG(v1) と、機能拡張された Upgraded DRG(v2) があります。

Legacy DRGは、オンプレミス環境と単一VCNを接続するようなシンプルな構成に向いています。

一方、Upgraded DRGは、複数VCN接続、VCN間通信、オンプレミス接続の集約、リージョン間接続、クロステナンシ接続、ECMPなどに対応しており、現在のOCIネットワーク設計では中心的な役割を持ちます。

特に、以下のような要件がある場合は、Upgraded DRGの利用を検討する必要があります。

複数VCNを接続したい
オンプレミスから複数VCNへ接続したい
VCN間通信をDRG経由で制御したい
リージョン間接続を利用したい
クロステナンシ接続を利用したい
ECMPを利用したい
DRGルート表で経路制御したい

ただし、Legacy DRGからUpgraded DRGへのアップグレードには注意が必要です。

アップグレードはロールバックできず、Site-to-Site VPNやFastConnectのBGPセッションがリセットされます。

そのため、本番環境で実施する場合は、必ずメンテナンス時間を確保し、事前に既存ルート、BGPセッション、セキュリティ設定、疎通確認手順を整理してから実施することが重要です。

設計の目安としては、以下のように考えると分かりやすいです。

単一VCN・シンプルなオンプレミス接続
  → Legacy DRGでも運用可能な場合あり

複数VCN・ハブ&スポーク・リージョン間接続・柔軟な経路制御
  → Upgraded DRGを利用

今後の拡張性や運用性を考えると、新規にDRGを利用する場合はUpgraded DRGを前提に設計するのが自然です。

既存環境でLegacy DRGを利用している場合は、アップグレードの必要性と影響を整理した上で、計画的に移行することを推奨します。


参考情報

1
0
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
1
0

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?