はじめに

Oracle Cloud Infrastructure（以下、OCI）を利用してオンプレミス環境とクラウド環境を接続する場合、代表的な接続方式として以下があります。

FastConnect
Site-to-Site VPN

どちらもオンプレミス環境とOCIを接続するための重要なサービスですが、設計時には機能面だけでなく、Service Limit（サービス制限） も考慮する必要があります。

Service Limitを意識せずに設計を進めると、以下のような問題が発生する可能性があります。

接続数が上限に達して追加できない
拠点追加時に想定どおりの構成を組めない
冗長化構成に必要なリソース数を確保できない
DR構成や複数リージョン構成で制限に当たる
構築直前に上限緩和申請が必要になる

本記事では、OCIのService Limitの考え方を整理したうえで、特に FastConnect と Site-to-Site VPN を対象に、接続方法の選択時に事前に考慮した方がよいポイントをまとめます。

1. OCIにおけるService Limitとは

Service Limit とは、OCIの各サービスに設定されている利用上限のことです。

たとえば、ネットワーク関連では以下のようなリソースに上限が設定されています。

Dynamic Routing Gateway（DRG）
FastConnect Virtual Circuit
Site-to-Site VPN IPSec接続
IPSecトンネル
Customer-Premises Equipment（CPE）
ルート表
DRGアタッチメント
VCN
LPG
NSG
セキュリティ・リスト

Service Limitは、テナンシ全体、リージョン単位、可用性ドメイン単位など、リソースによって適用範囲が異なります。

また、Service Limitには以下のような性質があります。

項目	内容
初期上限がある	テナンシ作成時点で、各サービスに初期上限が設定されている
リージョンごとに異なる場合がある	同じサービスでも、リージョンごとに利用可能数が異なる場合がある
上限緩和申請が可能な場合がある	必要に応じてService Limit Increaseを申請できる
即時反映ではない場合がある	上限緩和には確認・承認の時間がかかる場合がある
設計時点で確認が必要	構築直前ではなく、提案・設計段階で確認するのが望ましい

特にネットワーク接続は、開通リードタイムやキャリア・回線事業者との調整も関係するため、Service Limitの確認は早めに行うべきです。

2. FastConnectとSite-to-Site VPNの位置づけ

FastConnectとSite-to-Site VPNは、どちらもオンプレミス環境とOCIを接続するための方式です。

ただし、特徴は異なります。

項目	FastConnect	Site-to-Site VPN
接続方式	専用線・閉域網・パートナー回線などを利用	インターネット経由のIPSec VPN
主な用途	本番環境、大容量通信、安定した帯域が必要な接続	小規模接続、短期利用、バックアップ回線、初期接続
帯域	高帯域を選択しやすい	インターネット回線やCPE性能に依存
品質	安定しやすい	インターネット品質に依存
暗号化	通常は専用・閉域接続。必要に応じてIPSec over FastConnectなどを検討	IPSecにより暗号化
開通リードタイム	回線・パートナー・キャリア調整が必要	比較的短期間で構築しやすい
コスト	回線・ポート・パートナー費用などを考慮	インターネット回線とVPN機器中心
冗長化	複数Virtual Circuitや複数回線で設計	複数トンネル、複数接続、複数CPEで設計

OCI FastConnectは、オンプレミス環境とOCI間に専用のプライベート接続を提供し、インターネット経由の接続と比較して高帯域で安定したネットワーク体験を提供するサービスです。

一方、Site-to-Site VPNは、CPEとOCIのDRG間でIPSecトンネルを構成し、オンプレミス環境とOCI間を暗号化通信で接続する方式です。

3. Service Limit確認が重要になる理由

ネットワーク接続設計では、単に「接続できるか」だけではなく、以下の観点が重要です。

拠点数
リージョン数
DR構成
冗長化方式
接続先VCN数
FastConnectとVPNの併用有無
本番・検証・DR環境の分離
将来の拠点追加
将来のVCN追加
ルーティング方式

たとえば、1拠点から1リージョンへ接続するだけであればシンプルです。

オンプレミス拠点A
      |
Site-to-Site VPN
      |
OCI 東京リージョン

しかし、拠点数やリージョン数が増えると、必要な接続リソースは増加します。

オンプレミス拠点A
オンプレミス拠点B
オンプレミス拠点C
      |
FastConnect / Site-to-Site VPN
      |
OCI 東京リージョン
OCI 大阪リージョン

さらに冗長化を考えると、必要な接続数は単純に増えていきます。

そのため、接続方式を選ぶ段階で、Service Limitに当たらないかを確認しておく必要があります。

4. ネットワーク接続で特に確認すべきService Limit

FastConnectとSite-to-Site VPNを検討する場合、特に以下のリソースのService Limitを確認します。

リソース	確認理由
DRG	VCN、FastConnect、VPNを接続する中心リソースになるため
DRGアタッチメント	VCN、VPN、FastConnect、RPCなどをDRGに接続する数に影響するため
FastConnect Virtual Circuit	FastConnect接続数に影響するため
Cross-Connect / Cross-Connect Group	ColocationやThird-Party Provider構成で影響するため
IPSec接続	Site-to-Site VPN接続数に影響するため
IPSecトンネル	VPN冗長化や複数拠点接続に影響するため
CPE	オンプレミス側VPN装置の登録数に影響するため
ルート表	VCN側・DRG側のルーティング制御に影響するため
VCN	環境分離や拠点別構成に影響するため

特に、DRGを中心にFastConnectやSite-to-Site VPNを集約する場合は、DRG関連のService Limitを確認することが重要です。

5. FastConnect利用時に考慮すべきService Limit

FastConnectでは、主に以下のリソースが関係します。

FastConnect Virtual Circuit
Cross-Connect
Cross-Connect Group
DRG
DRG Attachment
BGPセッション
ルート数

FastConnectの構成要素

FastConnectは、利用形態によって構成が異なります。

代表的な接続モデルは以下です。

接続モデル	概要
Oracle Partner経由	FastConnectパートナーのネットワークを利用してOCIへ接続
Third-Party Provider経由	通信事業者などを利用してFastConnectロケーションへ接続
Colocation	FastConnectロケーションに自社機器を配置し、Oracleへ直接接続

FastConnectでは、Private PeeringとPublic Peeringを選択できます。

ピアリング種別	用途
Private Peering	VCN内のプライベートIPリソースへ接続
Public Peering	Object StorageなどOCIのパブリックサービスへインターネットを経由せず接続

ネットワーク接続設計では、通常はPrivate Peeringを中心に検討します。

6. FastConnectで事前に確認すべきこと

1. Virtual Circuit数

FastConnectでは、OCIとオンプレミス側を接続するためにVirtual Circuitを作成します。

冗長化する場合は、複数のVirtual Circuitを構成することが一般的です。

オンプレミス
  |        |
VC-1     VC-2
  |        |
OCI FastConnect

そのため、以下を事前に確認します。

必要なVirtual Circuit数
本番用とDR用を分けるか
Private PeeringとPublic Peeringを分けるか
複数拠点で個別にVirtual Circuitを作るか
冗長化のために何本必要か

2. 拠点数

拠点数が多い場合、拠点ごとにFastConnectを引くのか、WAN側で集約してOCIへ接続するのかを検討します。

方式A：拠点ごとにOCIへ接続

拠点A ─ FastConnect ┐
拠点B ─ FastConnect ├─ OCI
拠点C ─ FastConnect ┘

方式B：WANで集約してOCIへ接続

拠点A ┐
拠点B ├─ 社内WAN ─ FastConnect ─ OCI
拠点C ┘

拠点ごとにOCIへ直接接続すると、OCI側のVirtual CircuitやDRGアタッチメントの数が増えます。

一方、社内WANやキャリア網で集約すると、OCI側の接続数は抑えられますが、社内WAN側の設計や障害影響範囲を考慮する必要があります。

3. リージョン数

東京リージョンと大阪リージョンのように、複数リージョンへ接続する場合は、リージョンごとの接続数を考慮します。

オンプレミス
   |
FastConnect
   |
東京リージョン

オンプレミス
   |
FastConnect
   |
大阪リージョン

DR構成を考える場合、通常時は東京リージョンのみ接続し、有事に大阪リージョンへ切り替えるのか、平常時から両リージョンへ接続しておくのかを決める必要があります。

4. 冗長化方式

FastConnectは、本番利用では冗長化を前提に検討することが多いです。

Oracleドキュメントでも、可用性と耐障害性のために、複数の物理接続を構成することが推奨されています。

冗長化では以下を検討します。

複数Virtual Circuit
複数物理回線
複数ルーター
複数FastConnectロケーション
複数キャリア
複数DRG
複数リージョン

Service Limitの観点では、冗長化した分だけ必要な接続リソース数が増える点に注意します。

7. Site-to-Site VPN利用時に考慮すべきService Limit

Site-to-Site VPNでは、主に以下のリソースが関係します。

CPE
IPSec接続
IPSecトンネル
DRG
DRG Attachment
静的ルート
BGPセッション
暗号化ドメイン

Site-to-Site VPNでは、通常、IPSec接続を作成すると冗長化されたトンネルが構成されます。

オンプレミスCPE
   |        |
Tunnel-1  Tunnel-2
   |        |
OCI DRG

このため、1つの接続でも複数のトンネルを考慮した設計が必要です。

8. Site-to-Site VPNで事前に確認すべきこと

1. IPSec接続数

拠点ごとにSite-to-Site VPNを構成する場合、拠点数に応じてIPSec接続数が増えます。

拠点A ─ IPSec VPN ┐
拠点B ─ IPSec VPN ├─ OCI DRG
拠点C ─ IPSec VPN ┘

拠点が少ない場合は問題になりにくいですが、数十拠点規模になる場合は、IPSec接続数のService Limitを事前に確認する必要があります。

2. CPE数

OCIでは、オンプレミス側VPN装置をCPEとして登録します。

拠点ごとにCPEが異なる場合、CPEリソース数も増えます。

拠点A：CPE-A
拠点B：CPE-B
拠点C：CPE-C

また、同じ拠点でも冗長化のために複数のVPN装置を利用する場合があります。

拠点A：
  CPE-A1
  CPE-A2

この場合、CPE数も増えるため、Service Limitを確認しておく必要があります。

3. IPSecトンネル数

Site-to-Site VPNでは、冗長化のために複数トンネルを利用します。

複数拠点、複数リージョン、複数CPEを組み合わせると、トンネル数は増加します。

拠点数 × 接続数 × トンネル数

設計時には、単に「VPN接続数」だけでなく、実際に構成されるトンネル数も考慮します。

4. 静的ルート数

Site-to-Site VPNでStaticルーティングを利用する場合、静的ルート数にも注意が必要です。

OCIのSite-to-Site VPNでは、IPSec接続に対して最大10個の静的ルートを指定できます。

たとえば、オンプレミス側のネットワークが多数ある場合、静的ルート数の制限に当たる可能性があります。

オンプレミス側ネットワーク
192.168.1.0/24
192.168.2.0/24
192.168.3.0/24
...

このような場合は、以下を検討します。

経路を集約する
BGP動的ルーティングを利用する
接続設計を見直す

特に拠点数やオンプレミス側CIDRが多い場合は、BGPの利用を優先して検討した方がよいです。

5. ポリシーベースVPNの暗号化ドメイン数

Site-to-Site VPNでポリシーベースVPNを利用する場合は、暗号化ドメイン数にも注意が必要です。

OCIのSite-to-Site VPN v2では、ポリシーベースIPSec VPNでトンネル当たり最大50の暗号化ドメインをサポートしています。

ただし、暗号化ドメインが多くなる構成は運用が複雑になりやすいため、可能であればルートベースVPNやBGP構成を検討した方が扱いやすい場合があります。

9. 拠点数が多い場合の設計観点

拠点数が多い場合、接続方式の選択が重要になります。

パターン1：拠点ごとにSite-to-Site VPN

拠点A ─ VPN ┐
拠点B ─ VPN ├─ OCI
拠点C ─ VPN ┘

観点	内容
メリット	拠点ごとに独立して接続できる
デメリット	IPSec接続数、CPE数、トンネル数が増える
Service Limit観点	VPN関連リソースの上限に注意
向いているケース	拠点数が少ない、または拠点ごとに独立性が必要な場合

パターン2：社内WANで集約してFastConnect

拠点A ┐
拠点B ├─ 社内WAN ─ FastConnect ─ OCI
拠点C ┘

観点	内容
メリット	OCI側の接続数を抑えやすい
デメリット	社内WAN側の設計・冗長化が重要
Service Limit観点	FastConnect関連リソース中心に確認
向いているケース	拠点数が多く、社内WANが整備されている場合

パターン3：主要拠点はFastConnect、その他拠点はVPN

主要拠点 ─ FastConnect ─ OCI

小規模拠点 ─ VPN ─ OCI

観点	内容
メリット	重要拠点は高品質接続、小規模拠点は柔軟に接続
デメリット	経路制御が複雑になりやすい
Service Limit観点	FastConnectとVPNの両方を確認
向いているケース	拠点ごとに重要度や通信量が異なる場合

パターン4：FastConnectを主系、VPNをバックアップ

通常時：
オンプレミス ─ FastConnect ─ OCI

障害時：
オンプレミス ─ Site-to-Site VPN ─ OCI

観点	内容
メリット	FastConnect障害時のバックアップ経路を確保できる
デメリット	経路優先制御、帯域差、非対称ルートに注意
Service Limit観点	FastConnectとVPNの両方のリソースが必要
向いているケース	本番環境で可用性を高めたい場合

10. 接続方式選択時の比較

観点	FastConnect	Site-to-Site VPN
初期構築の速さ	回線調整が必要で時間がかかる場合がある	比較的短期間で構築しやすい
帯域	高帯域を選択しやすい	インターネット回線とCPE性能に依存
品質	安定しやすい	インターネット品質に依存
暗号化	必要に応じてIPSec over FastConnectなどを検討	IPSecで暗号化
拠点数が多い場合	WAN集約と相性がよい	拠点ごとに接続するとリソース数が増える
小規模拠点	コスト面で過剰になる場合がある	向いている
本番基幹接続	向いている	バックアップまたは小規模用途に向く
DR構成	リージョンごとの接続設計が必要	DR用のVPNを比較的柔軟に構成しやすい
Service Limit観点	Virtual Circuit、Cross-Connect、DRG Attachmentを確認	IPSec接続、トンネル、CPE、静的ルートを確認

11. Service Limit観点での設計チェックリスト

FastConnectまたはSite-to-Site VPNを設計する際は、以下を確認しておくとよいです。

共通チェック項目

確認項目	内容
接続する拠点数	現在の拠点数と将来追加予定の拠点数
接続するリージョン数	東京のみか、大阪などDRリージョンも対象か
接続先VCN数	1つのVCNか、複数VCNか
DRG構成	1つのDRGに集約するか、リージョンごとに分けるか
冗長化要件	回線、CPE、トンネル、DRG、リージョンの冗長化
ルーティング方式	StaticかBGPか
経路数	オンプレミス側CIDR、VCN CIDR、広告ルート数
将来拡張	拠点追加、VCN追加、リージョン追加の可能性
Service Limit増加申請	必要な場合、いつ申請するか

FastConnectチェック項目

確認項目	内容
Virtual Circuit数	Private / Public Peering、冗長化、本番・DR用で何本必要か
Cross-Connect数	ColocationやThird-Party Provider利用時に必要数を確認
Cross-Connect Group数	冗長物理接続を束ねる構成を確認
ポート速度	必要帯域に応じたポート速度を選択
接続ロケーション	FastConnectロケーションやパートナー拠点を確認
パートナー利用有無	パートナー側の制限や納期も確認
BGP設計	ASN、広告経路、経路優先制御を確認
冗長経路	複数回線、複数ルーター、複数ロケーションを検討

Site-to-Site VPNチェック項目

確認項目	内容
IPSec接続数	拠点数、リージョン数、冗長化を考慮
IPSecトンネル数	接続ごとのトンネル数を考慮
CPE数	拠点ごと、冗長CPEごとに必要数を確認
ルーティング方式	Static / BGP / Policy-basedを選択
静的ルート数	Static利用時は最大数に注意
暗号化ドメイン数	Policy-based VPN利用時に注意
CPE性能	スループット、暗号化性能、BGP対応を確認
インターネット回線品質	遅延、帯域、パケットロスを確認
非対称ルート	複数経路利用時に注意

12. Service Limit確認のタイミング

Service Limitは、構築直前ではなく、以下のタイミングで確認することを推奨します。

タイミング	確認内容
提案前	構成案がService Limitに収まるか
基本設計時	拠点数、リージョン数、冗長化を含めた必要リソース数
詳細設計時	実際のリソース数と現在のテナンシ上限
構築前	上限緩和申請が反映済みか
拡張前	拠点追加やVCN追加に必要な余力があるか

特に、FastConnectは回線事業者やパートナーの調整も関係するため、Service Limitだけでなく、回線開通リードタイムも合わせて考慮する必要があります。

13. Service Limit増加申請について

OCIでは、必要に応じてService Limitの増加申請を行うことができます。

ただし、すべての上限が必ず希望どおりに増加できるとは限らず、確認や承認に時間がかかる場合があります。

そのため、以下を整理したうえで申請するのがよいです。

利用するリージョン
対象サービス
対象リソース
現在の上限
必要な上限
必要な理由
利用予定時期
構成概要
冗長化要件
将来拡張予定

ネットワーク接続関連では、拠点数や冗長化方針を説明できるようにしておくと整理しやすいです。

14. よくある設計上の注意点

拠点数だけでなく冗長化数も見る

「拠点数が5拠点」でも、各拠点で冗長CPE、冗長VPN、複数リージョン接続を行うと、必要なリソース数は大きく増えます。

5拠点 × 2 CPE × 2リージョン

このように、単純な拠点数だけでなく、冗長化単位でリソース数を見積もる必要があります。

Staticルーティングは経路数に注意する

Site-to-Site VPNでStaticルーティングを利用する場合、静的ルート数の制限に注意します。

オンプレミス側に多数のネットワークがある場合は、経路集約またはBGP利用を検討します。

FastConnectとVPN併用時は経路優先に注意する

FastConnectを主系、VPNをバックアップとして利用する場合、BGPの経路制御を適切に設計する必要があります。

通常時：FastConnect優先
障害時：VPNへ切替

このとき、往路と復路で異なる経路を通る非対称ルートにも注意します。

DRGに接続するリソース数を見る

FastConnectやVPNだけでなく、DRGにアタッチされるVCNやRPCも増える場合があります。

DRG
 ├─ VCN Attachment
 ├─ FastConnect Attachment
 ├─ VPN Attachment
 └─ RPC Attachment

DRGをハブとして使う場合は、DRGアタッチメント数も設計対象に含めます。

将来の拠点追加を見込む

現時点では少数拠点でも、将来的に拠点追加が予定されている場合は、最初から拡張しやすい構成を選ぶべきです。

現在：2拠点
将来：10拠点

このような場合、拠点ごとに個別VPNを張る構成が長期的に適切か、WAN集約やFastConnectを使うべきかを検討します。

15. 設計例：小規模構成

小規模構成では、Site-to-Site VPNを利用するケースが多いです。

オンプレミス拠点
      |
Site-to-Site VPN
      |
OCI DRG
      |
VCN

特徴

項目	内容
拠点数	1〜数拠点
接続方式	Site-to-Site VPN
ルーティング	StaticまたはBGP
Service Limit観点	IPSec接続数、CPE数、静的ルート数を確認
注意点	将来拠点が増える場合は拡張性を確認

この構成では、VPN接続数やCPE数が大きく増えにくいため、比較的シンプルに設計できます。

ただし、オンプレミス側ネットワークが多い場合は、StaticルーティングではなくBGPを検討した方がよいです。

16. 設計例：中〜大規模構成

中〜大規模構成では、FastConnectを中心に検討するケースが多くなります。

拠点A ┐
拠点B ├─ 社内WAN ─ FastConnect ─ OCI DRG ─ VCN
拠点C ┘

特徴

項目	内容
拠点数	複数拠点
接続方式	FastConnect
ルーティング	BGP
Service Limit観点	Virtual Circuit数、DRG Attachment数、BGP経路数を確認
注意点	社内WAN側の冗長化、FastConnect冗長化を検討

この構成では、OCI側の接続数を抑えながら、複数拠点をまとめて接続できます。

ただし、社内WANやキャリア網側の障害がOCI接続全体に影響する可能性があるため、冗長化設計が重要です。

17. 設計例：DR構成

DR構成では、本番リージョンとDRリージョンの両方に接続するかを検討します。

オンプレミス
   |
FastConnect / VPN
   |
東京リージョン

オンプレミス
   |
FastConnect / VPN
   |
大阪リージョン

特徴

項目	内容
接続先	本番リージョン、DRリージョン
接続方式	FastConnect、VPN、または併用
Service Limit観点	リージョンごとの接続数、DRG数、Virtual Circuit数、IPSec接続数
注意点	有事だけでなく、復旧訓練時の接続要件も確認

DR構成では、有事だけでなく、年次の復旧訓練や定期テストでも接続が必要になる場合があります。

そのため、DRリージョン側の接続を常時確保するのか、必要時に構成するのかを事前に決めておく必要があります。

18. FastConnectとSite-to-Site VPNの選択目安

接続方式を選ぶ際は、以下のように考えると整理しやすいです。

小規模・短期・早く接続したい
  → Site-to-Site VPN

本番・大容量・安定した接続が必要
  → FastConnect

FastConnectのバックアップ経路が必要
  → Site-to-Site VPNを併用

拠点数が多い
  → 社内WANやキャリア網で集約してFastConnectを検討

拠点ごとに独立した接続が必要
  → 拠点ごとにSite-to-Site VPNを検討

19. まとめ

OCIでオンプレミス環境と接続する場合、FastConnectとSite-to-Site VPNはどちらも重要な選択肢です。

ただし、接続方式を選ぶ際には、機能やコストだけでなく、Service Limit を事前に確認することが重要です。

特に以下の観点は、提案・設計段階で確認しておくべきです。

拠点数
リージョン数
VCN数
冗長化方式
DR要件
接続方式
ルーティング方式
将来拡張
Service Limitの現在値
Service Limit増加申請の要否

FastConnectでは、Virtual Circuit、Cross-Connect、DRG Attachmentなどを確認します。

Site-to-Site VPNでは、IPSec接続、IPSecトンネル、CPE、静的ルート、暗号化ドメインなどを確認します。

拠点数が少なく、早期に接続したい場合はSite-to-Site VPNが有力です。

一方で、拠点数が多い場合や、本番環境で安定した帯域が必要な場合は、FastConnectを中心に検討するのが自然です。

また、FastConnectを主系、Site-to-Site VPNをバックアップとして利用する構成も有効です。

ネットワーク接続は、後から構成変更すると影響範囲が大きくなりやすいため、初期設計の段階でService Limit、拠点数、冗長化、DR、将来拡張を含めて整理しておくことを推奨します。

参考情報