はじめに
こんにちは株式会社TIELECのタカシユウトです。 この記事ではOCIを使ってのネットワーク構築について紹介します。
この記事ではOCIネットワークの基本セットを簡単に構築する方法を紹介します。
基本セット
VCN : 仮想ネットワーク ┣サブネット : VCNの帯域を分割したもの ┣ルート表 : 外部へのアクセス経路 ┣インターネット・ゲートウェイ : インターネットへの出口 ┗セキュリティリスト : 外部へのアクセス許可または外部からのアクセス許可
OCI のネットワーク構築
キーワード
- VCN クラウド上の仮想ネットワーク環境のこと。AWSではVPCがこれに該当する。
- サブネット VCNのネットワーク領域を分割したうちの一つを指す。
- ルート表 どのような経路で外部にアクセスするかを示すもの。 インターネットに出るときはインターネットゲートウェイを設定する。
- インターネットゲートウェイ VCNからインターネットに出るための出口
- 動的ルーティング・ゲートウェイ(DRG) 別のネットワークとVCNをつなぐ場合に使う。 例)
- オフィスからつなぐ
- 別リージョンのほかのVCNからつなぐ
- ローカル・ピアリング・ゲートウェイ 同じリージョンのVCNとVCNを接続する。
- Nat ゲートウェイ private サブネットにある環境から外部にアクセスするための出口。
- サービスゲートウェイ OCI の各種サービスに接続するための特別な出口。
- セキュリティリスト 外部からのアクセス制御、外部へのアクセス制御を設定するもの。AWSのセキュリティグループに該当する。OCIではセキュリティリストはサブネットにたいして紐づく。
- ネットワーク・セキュリティ・グループ（NSG） VNIC（仮想ネットワーク・インターフェース・カード）レベルでのセキュリティルールを設定するもの。セキュリティリストよりも柔軟な制御が可能。
- エグレス・ルール 外部に対してアクセスするためのルールを設定する。
この場合は外部へのアクセスはすべて許可している。 ただし、ルートテーブルでアクセス経路が確保されているもの以外は当然つながらない。 - イングレス・ルール 外部からのアクセス許可を設定する。
写真の場合すべてのネットワークからssh接続可能。
ネットワーク・セキュリティ・グループ（NSG）
ネットワーク・セキュリティ・グループ（NSG）は、VNIC（仮想ネットワーク・インターフェース・カード）レベルでセキュリティルールを適用する仕組みです。セキュリティリストと似た役割を持ちますが、より柔軟で細かい制御が可能です。
セキュリティリストとNSGの違い
| 項目 | セキュリティリスト | ネットワーク・セキュリティ・グループ（NSG） |
|---|---|---|
| 適用範囲 | サブネット全体 | 個別のVNIC（インスタンス） |
| 粒度 | サブネット内の全リソースに適用 | 特定のリソースに個別に適用可能 |
| ルール参照 | CIDR ブロックのみ | CIDR ブロック + 他のNSGを参照可能 |
| 管理のしやすさ | サブネット単位で管理 | リソース単位で柔軟に管理 |
| 推奨用途 | 基本的なネットワーク分離 | アプリケーション層やロール別の制御 |
NSGを使うべきケース
Oracleは以下の理由から、多くの場合でNSGの使用を推奨しています：
- 柔軟な制御：同じサブネット内でも、Webサーバー、アプリケーションサーバー、データベースサーバーなど、役割ごとに異なるセキュリティルールを適用できます。
- NSG間参照：「WebサーバーのNSG」から「アプリケーションサーバーのNSG」への通信を許可するなど、IPアドレスではなくNSGを参照したルールを作成できます。これにより、IPアドレスが変わってもルールの変更が不要になります。
- 再利用性：一度作成したNSGを複数のVNICに適用できるため、管理がシンプルになります。
使い分けのガイドライン
- セキュリティリスト：サブネット全体に共通する基本的なルール（例：全サーバーからのアウトバウンド通信を許可）
- NSG：個別のリソースやアプリケーション層ごとの細かいルール（例：Webサーバーは80/443ポートのみ許可、DBサーバーは特定のNSGからのみアクセス許可）
実際の運用では、セキュリティリストで最低限のベースラインを設定し、NSGで詳細な制御を行うのが一般的です。
参考資料：
ネットワーク簡単構築
- 仮想クラウド・ネットワークの作成 を選択して VCNを構築する。
仮想クラウド・ネットワークおよび関連リソースの作成を選ぶ
- VCNが作成される。
以下のネットワークが一式作成される。
VCN
┣サブネット
┣ルート表
┣インターネット・ゲートウェイ
┗セキュリティリスト
これだけで 10.0.0.0/16 のネットワーク帯域を持ったVCNが作成され、VCN からのインターネットへのアクセスおよびVCN内への接続などができるようになる。 ただし、このままではセキュリティ上問題があるので、IP制御の設定をセキュリティリストに対して行っていく必要がある。
まとめ
ネットワーク構築時に仮想クラウド・ネットワークおよび関連リソースの作成を選ぶと基本的なパーツがセットで構築されます。構築されるものは以下の通り。 VCN : 仮想ネットワーク ┣サブネット : VCNの帯域を分割したもの ┣ルート表 : 外部へのアクセス経路 ┣インターネット・ゲートウェイ : インターネットへの出口 ┗セキュリティリスト : 外部へのアクセス許可または外部からのアクセス許可
参考ドキュメント
参考
関連書籍
[📦 商品リンク: moshimo-book-oci-nyumon]
[📦 商品リンク: moshimo-card-HCBa0]
もっと深く学びたい方へ
この記事で、OCIのネットワーク構築の手順は理解できたと思います。
でも、実際のクラウド運用では「どういうネットワーク構成が適切か」「セキュリティをどう担保するか」「コストとパフォーマンスをどうバランスさせるか」という判断が求められます。
より深い理解のために、こちらの記事もおすすめです：
/ja/tech/cloudformation-cross-account-iam-role-order
/ja/tech/sre/decsar-method/