はじめに
Oracle Cloud Infrastructure(以下、OCI)でオンプレミス接続やVCN間接続を設計する際に重要になるコンポーネントが DRG(Dynamic Routing Gateway) です。
DRGは、OCI上の仮想ルーターのような役割を持ち、以下のようなネットワーク接続で利用されます。
- VCNとオンプレミス環境の接続
- Site-to-Site VPN接続
- FastConnect接続
- VCN間接続
- リージョン間接続
- クロステナンシ接続
OCIのDRGには、以前から存在する Legacy DRG と、機能拡張された Upgraded DRG があります。
一般的に、古いDRGを DRG v1、新しいDRGを DRG v2 のように表現することがありますが、OCIの公式ドキュメント上では主に以下のように表現されています。
| 一般的な呼び方 | OCIドキュメント上の表現 |
|---|---|
| DRG v1 | Legacy DRG |
| DRG v2 | Upgraded DRG / Enhanced DRG |
本記事では、OCIにおけるDRG利用について、Legacy DRG(v1) と Upgraded DRG(v2) の違い、およびアップグレード時の注意事項を整理します。
1. DRGとは
DRG(Dynamic Routing Gateway) は、OCIのネットワーク間接続を担う仮想ルーターです。
DRGを利用することで、VCNとオンプレミス環境、またはVCN同士を接続できます。
オンプレミス環境
|
Site-to-Site VPN / FastConnect
|
DRG
|
VCN
また、Upgraded DRGでは、複数のVCNやリモート・ピアリング接続をDRGに集約し、より柔軟なネットワーク構成を作ることができます。
DRG
/ | \
VCN-A VCN-B VCN-C
\ | /
VPN / FastConnect
|
オンプレミス環境
DRGは、単にオンプレミス接続のためだけに使うものではなく、OCI上の複数ネットワークを接続・制御するための中核コンポーネントとして利用できます。
2. Legacy DRGとUpgraded DRGの概要
Legacy DRGとは
Legacy DRG は、OCIで以前から提供されていたDRGです。
主に、1つのVCNとオンプレミス環境を接続する用途で利用されていました。
オンプレミス環境
|
VPN / FastConnect
|
Legacy DRG
|
VCN
Legacy DRGでは、DRG内部のルーティングを柔軟に制御するためのDRGルート表はありません。
基本的には、オンプレミス環境とアタッチされた単一VCNの間で通信するシンプルな構成を想定しています。
Upgraded DRGとは
Upgraded DRG は、機能拡張された新しいDRGです。
複数のVCNを1つのDRGにアタッチしたり、DRGルート表を使って通信経路を細かく制御したりできます。
Upgraded DRG
/ | \
VCN-A VCN-B VCN-C
|
Site-to-Site VPN / FastConnect
|
オンプレミス環境
Upgraded DRGでは、以下のような構成が可能になります。
- 複数VCNの接続
- DRGを経由したVCN間通信
- オンプレミスから複数VCNへの接続
- リージョン間接続
- クロステナンシ接続
- DRGルート表による経路制御
- ルート・ディストリビューションによる動的ルート制御
- ECMPによる複数回線の活用
3. Legacy DRGとUpgraded DRGの違い
Legacy DRGとUpgraded DRGの主な違いは、以下のとおりです。
| 観点 | Legacy DRG(v1) | Upgraded DRG(v2) |
|---|---|---|
| DRGルート表 | 編集可能なDRGルート表なし | DRGルート表を利用可能 |
| VCNアタッチ | 単一VCNをアタッチ | 複数VCNをアタッチ可能 |
| VCN間通信 | DRG経由のローカルVCN間通信は不可 | DRG経由でVCN間通信が可能 |
| オンプレミス接続 | VPN / FastConnectに対応 | VPN / FastConnectに対応 |
| オンプレミスから到達できる範囲 | 基本的にローカルリージョンの接続VCN | ローカルおよびリモートリージョンのリソースへ拡張可能 |
| リモート・ピアリング | 同一テナンシ内のDRG-VCNペアとの接続 | 同一テナンシまたは別テナンシとの接続に対応 |
| ルーティング制御 | 限定的 | DRGルート表、ルート・ディストリビューションで柔軟に制御可能 |
| ECMP | 非対応 | 対応 |
| 向いている構成 | シンプルなオンプレミス接続 | 複数VCN、ハブ&スポーク、DR、リージョン間接続 |
4. Legacy DRGの特徴
Legacy DRGは、構成がシンプルである一方、現在のネットワーク要件に対しては制約があります。
Legacy DRGの主な特徴
| 項目 | 内容 |
|---|---|
| 構成 | 1つのDRGに1つのVCNをアタッチ |
| ルーティング | DRG内部の詳細なルーティング制御はできない |
| 用途 | オンプレミスと単一VCNの接続 |
| VCN間接続 | DRG経由ではなく、LPGやRPCを利用する構成が中心 |
| 拡張性 | 複数VCN構成には不向き |
Legacy DRGでは、DRG内部のルーティングポリシーをカスタマイズできません。
そのため、以下のような要件が出てくると、Legacy DRGでは対応が難しくなります。
- オンプレミスから複数VCNへ接続したい
- 複数VCNをDRG経由で相互接続したい
- 共有サービスVCNを中心にハブ&スポーク構成を作りたい
- リージョン間で複数VCNを接続したい
- クロステナンシでピアリングしたい
- ルーティングを細かく分離・制御したい
5. Upgraded DRGの特徴
Upgraded DRGでは、DRGが単なるオンプレミス接続用ゲートウェイではなく、OCIネットワーク全体のルーティングハブとして利用できます。
Upgraded DRGの主な特徴
| 項目 | 内容 |
|---|---|
| 複数VCNアタッチ | 1つのDRGに複数のVCNをアタッチ可能 |
| DRGルート表 | アタッチメントごとにDRGルート表を関連付け可能 |
| ルート・ディストリビューション | 動的ルートのインポート/エクスポート制御が可能 |
| VCN間通信 | DRGを経由してVCN間通信が可能 |
| オンプレミス接続統合 | VPN / FastConnectと複数VCNを統合しやすい |
| リモート・ピアリング | リージョン間、クロステナンシ接続に対応 |
| ECMP | 複数VPNトンネルやFastConnectでの経路分散が可能 |
Upgraded DRGでは、各DRGアタッチメントにDRGルート表を関連付けます。
DRGに入ってきたパケットは、そのアタッチメントに関連付けられたDRGルート表を参照して、次の転送先を決定します。
VCN-A
|
VCN Attachment
|
DRG Route Table
|
VCN-B Attachment
|
VCN-B
この仕組みにより、単に接続するだけでなく、どのネットワークからどのネットワークへ到達させるか をDRG側で制御できます。
6. DRGアタッチメントとは
Upgraded DRGでは、DRGに接続される各ネットワーク要素を DRGアタッチメント として扱います。
代表的なアタッチメントには以下があります。
| アタッチメント種別 | 内容 |
|---|---|
| VCN Attachment | VCNをDRGに接続 |
| IPSec Tunnel Attachment | Site-to-Site VPNをDRGに接続 |
| Virtual Circuit Attachment | FastConnect仮想回線をDRGに接続 |
| Remote Peering Connection Attachment | リージョン間・テナンシ間のDRG接続 |
| Loopback Attachment | FastConnectトラフィックをSite-to-Site VPNで暗号化する構成などで利用 |
DRGでは、これらのアタッチメント単位でルート表を関連付け、通信経路を制御します。
DRG
/ | \
VCN Attachment
VPN Attachment
FastConnect Attachment
RPC Attachment
7. DRGルート表とは
Upgraded DRGの重要な機能が DRGルート表 です。
DRGルート表は、DRGに入ってきた通信をどのアタッチメントへ転送するかを決定します。
通信がDRGに入る
↓
入口アタッチメントに紐づくDRGルート表を参照
↓
宛先CIDRに応じて次のアタッチメントへ転送
たとえば、オンプレミスからVCN-Aへ通信させたい場合、VPNアタッチメントに紐づくDRGルート表に、VCN-AのCIDR宛ルートを持たせます。
VPN Attachmentに紐づくDRG Route Table
宛先:VCN-A CIDR
ターゲット:VCN-A Attachment
VCN-Aからオンプレミスへ戻る通信については、VCN-A側のルート表とDRG側のルート表の両方を確認する必要があります。
VCN-A Route Table
宛先:オンプレミスCIDR
ターゲット:DRG
このように、Upgraded DRGでは、VCN側のルート表とDRG側のルート表を組み合わせて経路を制御します。
8. ルート・ディストリビューションとは
Upgraded DRGでは、ルート・ディストリビューションを利用して、動的ルートのインポートやエクスポートを制御できます。
インポート・ルート・ディストリビューション
インポート・ルート・ディストリビューションは、各アタッチメントから学習したルートをDRGルート表に取り込むための仕組みです。
VCN Attachment / VPN Attachment / FastConnect Attachment
↓
Import Route Distribution
↓
DRG Route Tableにルートを取り込み
たとえば、VCNアタッチメントからVCN CIDRやサブネットCIDRをDRGルート表に取り込む、といった使い方をします。
エクスポート・ルート・ディストリビューション
エクスポート・ルート・ディストリビューションは、DRGルート表の内容をアタッチメントへ通知するための仕組みです。
ただし、VCNアタッチメントへの動的ルート・エクスポートはサポートされていません。
そのため、VCN側からDRGへ向ける通信については、VCNのルート表に明示的なルートを設定する必要があります。
VCN Route Table
宛先:オンプレミスCIDR
ターゲット:DRG
9. Legacy DRGからUpgraded DRGへアップグレードする理由
Legacy DRGを利用している環境では、以下のような要件が出てきたタイミングでアップグレードが必要になります。
| 要件 | Legacy DRG | Upgraded DRG |
|---|---|---|
| 複数VCNを1つのDRGに接続したい | 不可 | 可能 |
| DRG経由でVCN間通信したい | 不可 | 可能 |
| オンプレミスから複数VCNへ接続したい | 不向き | 向いている |
| クロステナンシ・ピアリングを使いたい | 制限あり | 対応 |
| DRG内部のルーティングポリシーを変更したい | 不可 | 可能 |
| ハブ&スポーク構成にしたい | 不向き | 向いている |
| ECMPを利用したい | 不可 | 可能 |
特に、以下のような構成を検討している場合は、Upgraded DRGが前提になります。
オンプレミス環境
|
VPN / FastConnect
|
DRG
/ | \
VCN-A VCN-B VCN-C
10. アップグレード対象となるDRG
OCIでは、2021年5月17日より前に作成されたDRGはLegacy DRGである可能性があります。
また、公式ドキュメントでは、2021年6月より前、またはリージョンによっては2021年4月より前に作成されたDRGがレガシー・ソフトウェアを使用している場合があると説明されています。
それ以降に作成されたDRGは、基本的にUpgraded DRGの機能を持っています。
確認方法
DRGがLegacy DRGかどうかは、OCIコンソールのDRG詳細画面で確認できます。
Legacy DRGの場合、アップグレード・ステータスが表示されます。
アップグレード可能なDRGでは、コンソール上に 「DRGのアップグレード」 が表示されます。
DRG詳細画面
↓
アップグレード・ステータスを確認
↓
必要に応じてDRGをアップグレード
11. アップグレード時の重要な注意事項
Legacy DRGからUpgraded DRGへのアップグレードでは、いくつか重要な注意点があります。
注意事項1:アップグレードはロールバックできない
DRGのアップグレードは一方向の操作です。
一度アップグレードを開始すると、Legacy DRGへ戻すことはできません。
Legacy DRG
↓ アップグレード
Upgraded DRG
※元に戻すことはできない
そのため、本番環境でアップグレードする場合は、事前に影響範囲を確認し、メンテナンスウィンドウを確保して実施することが重要です。
注意事項2:BGPセッションがリセットされる
DRGをアップグレードすると、Site-to-Site VPNおよびFastConnectの既存BGPセッションがリセットされます。
そのため、一時的にオンプレミス環境との通信に影響が出る可能性があります。
DRGアップグレード
↓
VPN / FastConnectのBGPセッションがリセット
↓
BGP再確立
↓
通信再開
本番環境では、必ずメンテナンス時間帯で実施することを推奨します。
注意事項3:DRGのOCIDは変わらない
アップグレードしても、DRGのOCIDは変更されません。
そのため、DRG自体を作り直す必要はありません。
アップグレード前DRG OCID
=
アップグレード後DRG OCID
ただし、アップグレード後は新しいDRGルート表やルート・ディストリビューションなどの概念が追加されるため、運用上の見え方や設定項目は変わります。
注意事項4:アップグレード後にデフォルトDRGルート表が作成される
アップグレード後のDRGには、デフォルトのDRGルート表やインポート・ルート・ディストリビューションが作成されます。
これらは、既存の通信をできるだけ維持するための後方互換性を考慮した構成になっています。
ただし、複数VCN接続や細かい経路制御を行う場合は、デフォルト設定のままではなく、設計に応じてDRGルート表やルート・ディストリビューションを見直す必要があります。
注意事項5:VCN側のルート表も確認する
DRG側の機能が拡張されても、VCNからDRGへ通信を送るためにはVCN側のルート表設定が必要です。
たとえば、VCNからオンプレミスへ通信する場合は、VCNのサブネットに関連付くルート表に以下のようなルートが必要です。
宛先:オンプレミスCIDR
ターゲット:DRG
また、VCN間通信をDRG経由で行う場合も、相手VCNのCIDR宛通信をDRGへ向けるルートが必要です。
宛先:相手VCN CIDR
ターゲット:DRG
注意事項6:Security List / NSGも確認する
ルート表を設定しても、Security ListやNSGで通信が許可されていなければ通信は成立しません。
DRGアップグレード後に新たにVCN間通信やオンプレミス接続を拡張する場合は、以下も確認する必要があります。
- VCNのルート表
- DRGルート表
- DRGルート・ディストリビューション
- Security List
- NSG
- OSファイアウォール
- オンプレミス側ファイアウォール
12. アップグレード前に確認すべき項目
DRGアップグレード前には、少なくとも以下を確認しておくことを推奨します。
| 確認項目 | 内容 |
|---|---|
| DRGの種別 | Legacy DRGか、すでにUpgraded DRGか |
| 接続中のVCN | どのVCNが接続されているか |
| VPN接続 | Site-to-Site VPNが接続されているか |
| FastConnect接続 | FastConnect仮想回線が接続されているか |
| BGP利用有無 | BGPセッションがあるか |
| オンプレミス通信影響 | BGPリセット時の影響範囲 |
| 既存ルート設定 | VCNルート表、オンプレミス側ルート |
| セキュリティ設定 | Security List、NSG、Firewall |
| メンテナンス時間 | 通信影響を許容できる時間帯 |
| ロールバック不可の理解 | アップグレード後はLegacy DRGへ戻せない |
| 変更後の設計 | DRGルート表やルート・ディストリビューションをどう使うか |
特に重要なのは、BGPセッションのリセット と ロールバック不可 です。
本番通信がある場合は、事前に関係者と調整してから作業する必要があります。
13. アップグレード後に確認すべき項目
DRGアップグレード後は、以下を確認します。
| 確認項目 | 内容 |
|---|---|
| アップグレード完了状態 | DRGがUpgraded DRGとして利用可能になっているか |
| VPN状態 | Site-to-Site VPNトンネルが正常か |
| FastConnect状態 | FastConnect仮想回線が正常か |
| BGPセッション | BGPが再確立しているか |
| DRGルート表 | 期待するルートが存在するか |
| ルート・ディストリビューション | 必要なルートがインポートされているか |
| VCNルート表 | DRG向けルートが正しく設定されているか |
| 疎通確認 | オンプレミス⇔VCN、VCN⇔VCNの通信確認 |
| 非対称ルート | 想定外の経路になっていないか |
| 監視・ログ | 通信断やBGP flapが発生していないか |
アップグレード直後は、既存通信が戻っていることだけでなく、DRGルート表にどのルートが入っているかを確認することが重要です。
14. Upgraded DRG利用時の設計ポイント
Upgraded DRGを利用する場合、以下のポイントを意識すると設計しやすくなります。
1. アタッチメントごとに通信要件を整理する
まず、DRGに接続するネットワークを整理します。
VCN-A
VCN-B
VCN-Shared
VPN
FastConnect
RPC
そのうえで、どのネットワークからどのネットワークへ通信させるかを整理します。
オンプレミス → VCN-A:許可
オンプレミス → VCN-B:許可
VCN-A → VCN-Shared:許可
VCN-B → VCN-Shared:許可
VCN-A → VCN-B:禁止
2. DRGルート表を分ける
すべてのアタッチメントに同じDRGルート表を使うと、意図しない通信経路ができる可能性があります。
通信要件に応じて、DRGルート表を分けることを検討します。
DRG Route Table for On-Premises
DRG Route Table for App VCN
DRG Route Table for Shared VCN
DRG Route Table for Management VCN
3. ルート・ディストリビューションを理解する
Upgraded DRGでは、ルートが自動で取り込まれるように見える場合があります。
これは、インポート・ルート・ディストリビューションによって、各アタッチメントのルートがDRGルート表へ取り込まれているためです。
想定外のルートが入らないように、どのルートをどのDRGルート表に取り込むかを確認する必要があります。
4. VCN側ルート表との組み合わせで考える
DRGルート表だけでは通信は成立しません。
VCN側のサブネット・ルート表も必ず確認します。
VCNからDRGへ出すルート
DRG内で次のアタッチメントへ転送するルート
相手側VCNまたはオンプレミスで戻すルート
この3つがそろって初めて双方向通信が成立します。
5. セキュリティ制御は多層で行う
DRGルート表は通信経路を決める機能です。
通信の許可・拒否は、Security List、NSG、Firewallなどと組み合わせて制御します。
ルーティング制御:DRG Route Table / VCN Route Table
通信許可制御:Security List / NSG / Firewall
15. Legacy DRGを使い続けてもよいケース
Legacy DRGを必ずすぐにアップグレードしなければならないわけではありません。
以下のようなシンプルな構成で、追加要件がない場合は、Legacy DRGのままでも運用できる場合があります。
| ケース | 理由 |
|---|---|
| 単一VCNのみ接続 | Legacy DRGの想定に近い |
| オンプレミス接続のみ | 複雑なDRG内部ルーティングが不要 |
| VCN間通信が不要 | LPGや既存構成で足りている |
| クロステナンシ接続が不要 | Legacy DRGの制約に当たらない |
| 変更予定がない安定稼働環境 | アップグレードによる作業リスクを避けられる |
ただし、将来的に複数VCN接続やルーティング制御が必要になる場合は、Upgraded DRGへの移行を検討しておいた方がよいです。
16. Upgraded DRGを利用すべきケース
以下のような要件がある場合は、Upgraded DRGの利用を検討します。
| ケース | 理由 |
|---|---|
| 複数VCNを接続したい | 1つのDRGに複数VCNをアタッチ可能 |
| ハブ&スポーク構成にしたい | DRGをネットワークハブとして利用できる |
| オンプレミスから複数VCNへ接続したい | VPN / FastConnectと複数VCNを集約できる |
| VCN間通信をDRG経由にしたい | LPGを使わずにDRGで集約可能 |
| リージョン間接続を拡張したい | RPCを使ったDRG間接続に対応 |
| クロステナンシ接続したい | テナンシをまたいだ接続設計が可能 |
| ECMPを利用したい | 複数回線の活用が可能 |
| 経路制御を細かく分けたい | DRGルート表で制御可能 |
特に、エンタープライズ環境では、オンプレミス、複数VCN、複数リージョンを接続する構成が多いため、Upgraded DRGを前提に設計することが多くなります。
17. アップグレード作業の流れ
実際のアップグレード作業は、以下のような流れで整理できます。
1. 対象DRGがLegacy DRGか確認
2. 既存構成を確認
- VCN
- VPN
- FastConnect
- RPC
- ルート表
- セキュリティ設定
3. 影響範囲を確認
- BGPセッションリセット
- 通信断の可能性
4. メンテナンス時間を確保
5. DRGアップグレードを実行
6. アップグレード完了を確認
7. BGPセッション再確立を確認
8. DRGルート表を確認
9. 疎通確認
10. 必要に応じてDRGルート表やルート・ディストリビューションを調整
アップグレード自体はOCIコンソールやCLI/APIから実行できます。
ただし、本番環境ではアップグレードボタンを押すだけで終わりではなく、事前確認と事後確認が重要です。
18. 代表的なアップグレード後の構成例
構成例1:オンプレミスから複数VCNへ接続
オンプレミス環境
|
VPN / FastConnect
|
DRG
/ | \
VCN-A VCN-B VCN-C
この構成では、オンプレミス環境から複数のVCNへ到達させることができます。
DRGルート表を分けることで、オンプレミスから到達可能なVCNを制御できます。
構成例2:共有サービスVCNを利用する
DRG
/ | \
VCN-A VCN-B VCN-Shared
VCN-SharedにAD、監視、ログ管理、踏み台サーバなどを配置し、各アプリケーションVCNから利用する構成です。
DRGルート表で、VCN-AとVCN-BはVCN-Sharedへ到達可能にしつつ、VCN-AとVCN-B同士は通信させない、といった制御も可能です。
構成例3:リージョン間接続
東京リージョン DRG
|
RPC
|
大阪リージョン DRG
Upgraded DRGでは、RPCを利用してリージョン間やテナンシ間の接続を構成できます。
オンプレミスから東京リージョンに接続し、DRG経由で大阪リージョン側のVCNへ到達させるような構成も検討できます。
19. よくある注意点
DRGルート表とVCNルート表を混同しない
DRGルート表は、DRGに入ってきた通信をどのアタッチメントへ送るかを決めるものです。
VCNルート表は、VCN内のサブネットから出る通信をどこへ送るかを決めるものです。
VCN内から出る通信
→ VCN Route Table
DRGに入った後の通信
→ DRG Route Table
この2つを分けて考えることが重要です。
デフォルトDRGルート表に頼りすぎない
アップグレード後は、互換性のためにデフォルトのDRGルート表が作成されます。
既存構成を維持するだけであれば、そのまま通信できる場合があります。
ただし、複数VCN接続や通信分離を行う場合は、デフォルト設定のままではなく、要件に合わせてDRGルート表を設計する必要があります。
ルートの取り込み範囲を確認する
Upgraded DRGでは、インポート・ルート・ディストリビューションにより、ルートがDRGルート表へ取り込まれます。
どのアタッチメントからどのルートが取り込まれているかを確認しないと、意図しない到達性が発生する可能性があります。
非対称ルートに注意する
複数のVPN、FastConnect、VCN間接続、リージョン間接続を組み合わせる場合、往路と復路が異なる経路になる可能性があります。
特にオンプレミス側にステートフルファイアウォールがある場合は、非対称ルートが通信障害の原因になることがあります。
20. まとめ
OCIのDRGには、以前から存在する Legacy DRG(v1) と、機能拡張された Upgraded DRG(v2) があります。
Legacy DRGは、オンプレミス環境と単一VCNを接続するようなシンプルな構成に向いています。
一方、Upgraded DRGは、複数VCN接続、VCN間通信、オンプレミス接続の集約、リージョン間接続、クロステナンシ接続、ECMPなどに対応しており、現在のOCIネットワーク設計では中心的な役割を持ちます。
特に、以下のような要件がある場合は、Upgraded DRGの利用を検討する必要があります。
複数VCNを接続したい
オンプレミスから複数VCNへ接続したい
VCN間通信をDRG経由で制御したい
リージョン間接続を利用したい
クロステナンシ接続を利用したい
ECMPを利用したい
DRGルート表で経路制御したい
ただし、Legacy DRGからUpgraded DRGへのアップグレードには注意が必要です。
アップグレードはロールバックできず、Site-to-Site VPNやFastConnectのBGPセッションがリセットされます。
そのため、本番環境で実施する場合は、必ずメンテナンス時間を確保し、事前に既存ルート、BGPセッション、セキュリティ設定、疎通確認手順を整理してから実施することが重要です。
設計の目安としては、以下のように考えると分かりやすいです。
単一VCN・シンプルなオンプレミス接続
→ Legacy DRGでも運用可能な場合あり
複数VCN・ハブ&スポーク・リージョン間接続・柔軟な経路制御
→ Upgraded DRGを利用
今後の拡張性や運用性を考えると、新規にDRGを利用する場合はUpgraded DRGを前提に設計するのが自然です。
既存環境でLegacy DRGを利用している場合は、アップグレードの必要性と影響を整理した上で、計画的に移行することを推奨します。
参考情報
- Oracle Cloud Infrastructure Documentation - Dynamic Routing Gateways
- Oracle Cloud Infrastructure Documentation - Upgrading a DRG
- Oracle Cloud Infrastructure Documentation - Getting a DRG Upgrade Status
- Oracle Cloud Infrastructure Documentation - Local VCN Peering Through an Upgraded DRG
- Oracle Cloud Infrastructure Documentation - Remote VCN Peering Through an Upgraded DRG