はじめに

オンプレミス環境とOracle Cloud Infrastructure（以下、OCI）をプライベートに接続する代表的な方法のひとつに、Site-to-Site VPN があります。

Site-to-Site VPNは、オンプレミス側のネットワーク機器である CPE（Customer-Premises Equipment） と、OCI側の DRG（Dynamic Routing Gateway） をIPSec VPNで接続する構成です。

OCIのSite-to-Site VPNでは、ルーティング制御方式として主に以下の方式を選択できます。

Staticルーティング
BGP動的ルーティング

本記事では、この2つの方式について整理し、特に Staticルーティング利用時に発生し得る非対称ルートの注意点 と、BGP動的ルーティングを推奨したい理由 についてまとめます。

1. OCI Site-to-Site VPNにおけるルーティング制御方式

OCI Site-to-Site VPNでは、オンプレミス環境とOCI上の VCN（Virtual Cloud Network） 間で通信するために、どの宛先ネットワークをどのVPNトンネルに流すかを制御する必要があります。

ルーティング制御方式として、代表的には以下の2つがあります。

方式	概要
Staticルーティング	オンプレミス側ネットワークへのルートを手動で設定する方式
BGP動的ルーティング	OCI側DRGとオンプレミス側CPE間でBGPセッションを確立し、経路情報を動的に交換する方式

2. Staticルーティングとは

Staticルーティング は、OCI側とオンプレミス側で、到達させたいネットワークCIDRを手動で設定する方式です。

たとえば、以下のようなネットワーク構成があるとします。

オンプレミス側ネットワーク：192.168.10.0/24
OCI側VCN：10.0.0.0/16

この場合、OCI側には「192.168.10.0/24 宛の通信はSite-to-Site VPNへ流す」というルートを設定します。

オンプレミス側にも、「10.0.0.0/16 宛の通信はOCI向けVPNトンネルへ流す」というルートを設定します。

Staticルーティングの特徴

項目	内容
設定	比較的シンプル
経路制御	手動設定
経路変更への追従	手動変更が必要
向いている構成	小規模、固定的なネットワーク構成
注意点	冗長構成や経路変更がある場合、設計・運用に注意が必要

Staticルーティングは、構成が分かりやすく、最初に理解しやすい方式です。

一方で、経路情報は自動的に学習されません。

そのため、オンプレミス側のネットワークが追加されたり、OCI側のVCN構成が変わったりした場合は、OCI側・オンプレミス側の双方で設定変更が必要になります。

3. BGP動的ルーティングとは

BGP動的ルーティング は、OCI側のDRGとオンプレミス側のCPE間でBGPセッションを確立し、経路情報を動的に交換する方式です。

オンプレミス CPE
    ⇔ BGP
OCI DRG

BGPを使用すると、オンプレミス側のネットワーク情報をOCI側へ動的に広告したり、OCI側のネットワーク情報をオンプレミス側へ広告したりできます。

BGP動的ルーティングの特徴

項目	内容
設定	Staticより設計項目が多い
経路制御	BGPにより動的に制御
経路変更への追従	経路広告により柔軟に対応可能
向いている構成	本番環境、冗長構成、経路変更が発生する環境
注意点	BGP ASN、BGPセッション用IP、経路広告設計が必要

BGPは初期設計こそStaticより複雑ですが、冗長構成や経路制御を考えると、本番環境では扱いやすい方式です。

4. StaticルーティングとBGP動的ルーティングの比較

観点	Staticルーティング	BGP動的ルーティング
設定のしやすさ	比較的簡単	BGP設計が必要
経路の登録方法	手動	動的
経路変更への対応	手動変更が必要	BGP広告により対応可能
冗長トンネルとの相性	注意が必要	相性がよい
経路優先制御	限定的	BGP属性などで制御しやすい
運用負荷	ネットワーク変更時に高くなりやすい	初期設計後は運用しやすい
障害時の切替	CPE側の設定に依存しやすい	BGPにより制御しやすい
向いているケース	小規模、固定的な構成	本番環境、冗長構成、変更がある環境

5. Staticルーティング利用時の注意点

Staticルーティングを利用する場合、特に注意したいのが 非対称ルート です。

非対称ルートとは

非対称ルート とは、通信の往路と復路で異なる経路を通る状態です。

たとえば、以下のようなケースです。

往路：
オンプレミス → VPNトンネル1 → OCI

復路：
OCI → VPNトンネル2 → オンプレミス

IPルーティングの観点では、往路と復路が異なる経路を通ること自体は必ずしも誤りではありません。

しかし、オンプレミス側にファイアウォールやUTMなどのステートフルな通信制御機器が存在する場合、問題になることがあります。

6. 非対称ルートが問題になるケース

ステートフルファイアウォールは、通信の開始から終了までをセッションとして管理します。

そのため、往路と復路が異なるインタフェースや異なるVPNトンネルを通ると、戻り通信が既存セッションの応答として認識されず、破棄される場合があります。

オンプレミス端末
    ↓
ファイアウォール
    ↓
VPNトンネル1
    ↓
OCIサーバ

OCIサーバ
    ↓
VPNトンネル2
    ↓
ファイアウォール
    ↓
オンプレミス端末

このような場合、以下のような事象が発生する可能性があります。

事象	内容
片方向だけ通信できる	リクエストは届くが応答が戻らない
特定の通信だけ失敗する	TCPセッションが確立しない、または途中で切れる
障害時の切替が不安定	トンネル切替時に想定外の経路を通る
原因調査が難しい	OCI側、CPE側、Firewall側のどこで落ちているか切り分けが必要

7. Staticルーティングで特に確認すべきポイント

Staticルーティングを利用する場合は、少なくとも以下を確認しておくべきです。

確認ポイント	内容
往路・復路の経路	オンプレミス→OCI、OCI→オンプレミスが意図した経路を通るか
CPE側のルート設定	同一宛先に対するStatic Routeの優先度、メトリック、トラッキング設定
VPNトンネルの使い方	Active/Standbyにするのか、両方使うのか
Firewallの挙動	非対称ルートを許容するか、セッションを破棄しないか
障害時の切替	片方のトンネル障害時に自動で切り替わるか
復旧時の戻り動作	障害復旧後に意図した経路へ戻るか

Staticルーティングの場合、経路の切替や優先制御はCPE側のルーティング設定に依存しやすくなります。

そのため、OCI側だけでなく、オンプレミス側ネットワーク機器の仕様や設定も含めて確認する必要があります。

8. BGP動的ルーティングを推奨したい理由

本番環境や冗長構成では、可能であれば BGP動的ルーティング を利用することを推奨します。

理由は、以下のとおりです。

理由	内容
経路を動的に学習できる	オンプレミス側ネットワークの変更に追従しやすい
冗長トンネルを活用しやすい	トンネル障害時の切替を設計しやすい
経路優先制御がしやすい	BGP属性を使って経路制御しやすい
運用ミスを減らしやすい	Static Routeの設定漏れや不整合を減らしやすい
本番運用に向いている	可用性、運用性、拡張性の観点で扱いやすい

BGPを利用することで、単に「つながる」だけでなく、以下のような設計がしやすくなります。

どちらのVPNトンネルを優先するか
障害時にどの経路へ切り替えるか
復旧時に元の経路へ戻すか
オンプレミス側とOCI側で経路制御をどう合わせるか

9. Staticルーティングが適しているケース

Staticルーティングが常に悪いわけではありません。

以下のようなケースでは、Staticルーティングでも十分な場合があります。

ケース	理由
検証環境	構成がシンプルで短期間利用の場合
小規模環境	接続先CIDRが少なく、変更頻度が低い場合
単純な接続要件	冗長性や高度な経路制御が不要な場合
BGP非対応のCPEを利用する場合	機器側の制約によりStaticが必要な場合

ただし、Staticルーティングを利用する場合でも、冗長トンネル構成における経路の向きや、ファイアウォールの挙動は必ず確認する必要があります。

10. BGP動的ルーティングが適しているケース

一方で、以下のようなケースではBGP動的ルーティングを優先して検討した方がよいです。

ケース	理由
本番環境	可用性と運用性を確保しやすい
VPNトンネルを冗長化する	障害時の経路切替を制御しやすい
オンプレミス側ネットワークが複数ある	経路広告で管理しやすい
将来的にネットワーク追加がある	Static Route追加の運用負荷を抑えやすい
FastConnectや複数経路と組み合わせる	経路優先制御が必要になるため
非対称ルートを避けたい	経路制御の設計がしやすい

11. 設計時の考え方

OCI Site-to-Site VPNのルーティング方式を選ぶ際は、以下のように考えると整理しやすいです。

小規模・検証・固定的な構成
  → Staticルーティングも選択肢

本番・冗長化・経路変更あり
  → BGP動的ルーティングを推奨

特に、以下に該当する場合はBGPを優先して検討した方がよいです。

VPNトンネルを2本とも利用したい
障害時の経路切替を制御したい
オンプレミス側に複数ネットワークがある
将来的にネットワーク追加が見込まれる
ファイアウォールが非対称ルートに厳しい
本番環境として安定運用したい

12. まとめ

OCI Site-to-Site VPNでは、ルーティング制御方式として Staticルーティング と BGP動的ルーティング を選択できます。

Staticルーティングは設定が比較的シンプルで、小規模環境や検証環境では扱いやすい方式です。

一方で、冗長トンネル構成や経路変更がある環境では、経路の不整合や非対称ルートに注意が必要です。

特に、オンプレミス側にステートフルファイアウォールがある場合、往路と復路が異なる経路を通ることで通信が破棄される可能性があります。

BGP動的ルーティングは初期設計こそ必要ですが、経路の動的学習、冗長トンネルの活用、経路優先制御の観点で優れています。

そのため、OCI Site-to-Site VPNを本番環境で利用する場合は、可能であれば BGP動的ルーティングを選択することを推奨 します。

参考情報