OCI技術資料 : 仮想クラウド・ネットワーク (VCN) 概要

Oracle Cloud Infrastructure (OCI) の技術説明資料、仮想クラウド・ネットワーク (VCN) 概要です。

クラウド内に構成する仮想クラウド・ネットワークと、その構成コンポーネント (サブネット、仮想NIC、ゲートウェイ、ルート表、セキュリティ・リスト) に関して解説しています。

Transcript

1. 仮想クラウド・ネットワーク(VCN) 概要 Virtual Cloud Network Overview Oracle Cloud Infrastructure 技術資料 2026年8月
2. Agenda 1 VCN / サブネット / CIDR 2 IPアドレスとVNIC 3 ルート表とゲートウェイ 4 セキュリティ・リスト / NSG 5 VCN内における名前解決 / DNS 2 Copyright © 2026, Oracle and/or its affiliates
3. VCN/サブネット/CIDR 3 Copyright © 2026, Oracle and/or its affiliates
4. 仮想クラウド・ネットワーク (VCN) Oracle Cloud Infrastructure内に作成するプライベート・ネットワーク リージョン 可用性ドメイン1 可用性ドメイン2 • 各顧客のトラフィックは Layer 3 Overlay Networkで完全に分離 • CIDR(Classless Inter-Domain Routing) ◼ 最大16個のCIDRが設定可能 ◼ 各CIDRは、 /30(4 IP) 〜 /16(65,536 IP) ◼ CIDRの変更可 • リソース有効範囲はリージョン • 補足 VCN 10.0.0.0/16 ◼ RFC1918のアドレス範囲を推奨、ただし以下の アドレス範囲はOCIサービスと重複しないように 設計する必要がある - 全般 : 169.254.0.0/16 - Base DB : 192.168.16.16/28 (出典) - Exadata CS (X8以下) : 192.168.128.0/20 (出典) 4 Copyright © 2026, Oracle and/or its affiliates
5. サブネット VCNを分割する小さなネットワーク、他と重複しない連続したCIDRで構成 リージョン 可用性ドメイン1 可用性ドメイン2 パブリック・サブネット • 2種類の有効範囲 プライベート・サブネット VCN 10.0.0.0/16 5 Copyright © 2026, Oracle and/or its affiliates ◼ パブリック・サブネット – 所属するインスタンスのVNICがパブリックIPを持ち、 インターネットと直接通信できる ◼ プライベート・サブネット – 所属するインスタンスのVNICはプライベートIPしか持てず、 インターネットと直接通信不可 サブネットA 10.0.0.0/24 サブネットB 10.0.1.0/24 • 2種類のインターネットアクセス制御 サブネットC 10.0.3.0/24 ◼ リージョナル・サブネット – 全ての可用性ドメインを跨るサブネット ◼ 可用性ドメイン固有サブネット – 特定の可用性ドメイン(AD)に所属するサブネット
6. CIDR と IPアドレスの数 CIDR（Classless Inter-Domain Routing）は、IPアドレスの範囲（ネットワーク）を表すための記法 「10.0.0.0/24」のように表し、「/24」は先頭24ビットがネットワーク部であることを示す 「/」の数値が小さいほど含まれるIPアドレスの数は多く、「/」の数値が大きいほど含まれるIPアドレスの数は少なくなる リージョン 例） VCN： 10.0.0.0/16 → 10.0.0.0 〜 10.0.255.255（65,536 IPアドレス） サブネット： 10.0.0.0/24 → 10.0.0.0 〜 10.0.0.255（256 IPアドレス） VCN 10.0.0.0/16 6 サブネットA 10.0.0.0/24 Copyright © 2026, Oracle and/or its affiliates ※サブネット内のIPアドレスのうち、最初の2つと最後の1つはOCI側で予約 済みなので、リソースには割り当て不可
7. VNICとIPアドレス 7 Copyright © 2026, Oracle and/or its affiliates
8. 仮想ネットワークインターフェースカード（VNIC） インスタンスをVCNのサブネットに接続し、ネットワーク通信を行うための仮想的なネットワークインターフェース • 各インスタンスは、必ず1つのプライマリVNICを持ち、そのVNICには1つのプライマリ・プライベートIPアドレスが割り 当てられる • インスタンスには、少なくとも1つ以上のセカンダリVNICを追加できる (最大数はコンピュート・シェイプによる) • 各VNICには、最大64個のセカンダリ・プライベートIPオブジェクトを追加可能 単一IPアドレス（/32）だけでなく、IP CIDRアドレスとして複数の連続IPアドレスをまとめて割り当てることもできる • パブリック・サブネットに存在するプライベートIPアドレスには、それぞれに対してパブリックIPアドレスを1つずつ割り当て することができる ネットワーク部 10 . 0 . 0 . VNIC インスタンス サブネット 10.0.0.0/24 8 VNIC Copyright © 2026, Oracle and/or its affiliates プライマリ VNIC • プライマリ・プライベートIP アドレス • セカンダリ・プライベートIPオブジェクト#1 • セカンダリ・プライベートIPオブジェクト#2 • セカンダリ・プライベートIPオブジェクト… #64 セカンダリ VNIC • プライマリ・プライベートIP アドレス • セカンダリ・プライベートIP、#1、#2… #64 ホスト部 0, 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16 ... 253, 254, 255 割り当て例 ：10.0.0.2 ：10.0.0.3/32 ：10.0.0.8/29 ←10.0.0.2に対してパブリックIP アドレスを割り当てする
9. IPアドレスの種類 パブリックIPアドレス と プライベートIPアドレス 点線範囲：IPv4アドレス空間 全体 0.0.0.0/0 → 0.0.0.0 〜 255.255.255.255（約43億個） パブリックIPアドレス、プライベートIPアドレス、その他用途のIPアドレスを 含む 0.0.0.0 〜 255.255.255.255 （約43億個） IPv4アドレスの全体図 9 Copyright © 2026, Oracle and/or its affiliates 青範囲：パブリックIPアドレス 主にインターネット上で通信するために使用されるIPアドレス インターネット上で重複しないように、全世界で管理されている 赤範囲：プライベートIPアドレス 組織内のネットワークやVCNなど、限定されたネットワーク内で使用す るIPアドレス インターネット上から直接通信することはできない IANA（IPアドレスを管理する機関）は、 RFC1918で以下の3つの IPv4アドレス範囲をプライベート用途として定義 • 10.0.0.0/8 → 10.0.0.0 〜10.255.255.255 • 172.16.0.0/12 → 172.16.0.0 〜 172.31.255.255 • 192.168.0.0/16 → 192.168.0.0 〜 192.168.255.255
10. パブリックIPアドレス OCIには二種類のパブリックIPアドレスが存在 OCIで提供されるパブリックIPアドレスは、Oracleが管理するIPアドレスの中から割り当てられる • エフェメラル・パブリックIPアドレス • インスタンスにアタッチされている間のみ使用できる、一時的なパブリックIPアドレス • インスタンスからデタッチすると削除され、同じIPアドレスを再利用することはできない • プライマリ・プライベートIPアドレスにのみ割り当て可能 • 予約済パブリックIPアドレス • インスタンスの存続期間に関係なく保持できる、永続的なパブリックIPアドレス • インスタンスからデタッチした後、別のインスタンスに再アタッチして利用することが可能 • VNICあたり最大65個まで割り当て可能 いずれのタイプも、全てのパブリックIPアドレスは無料 10 Copyright © 2026, Oracle and/or its affiliates 青範囲：パブリックIPアドレス全体 点線枠：Oracleが管理するIPアドレス
11. プライベートIPアドレス リソース同士がプライベート通信に使用するIPアドレス プライベートIPアドレス • 組織内ネットワークやVCNなど、閉じたネットワーク内でリソースを識別 し通信するためのIPアドレス 65,536個のIPアドレス空間 • 例）10.0.0.0/16 には 65,536個のIPアドレスを含む • 各サブネットでは、最初の2つと最後の1つのIPアドレスをOCIが予約 インスタンス FLB 10.0.0.10 VCN 10.0.0.0/16 10.0.0.80 • プライベートIPアドレスは事前に確保し、後からインスタンスや FLB / NLBに割り当て可能 割り当て 予約済みIPアドレス：10.0.0.90 プライベートIPアドレス 11 NLB Copyright © 2026, Oracle and/or its affiliates 将来の接続を考慮し、他VCNやオンプレミスと重複しないアドレス設計 を推奨
12. ルート表とゲートウェイ 12 Copyright © 2026, Oracle and/or its affiliates
13. ゲートウェイとルート表 VCNとは別のネットワークやサービスと通信するには ゲートウェイとルート表の設定が必要 リージョン Oracle Services Network • ゲートウェイ VCNと外部を接続するための「出入り口」 通信先に応じた複数種類のゲートウェイを提供 サービス ゲートウェイ インターネット ゲートウェイ 動的 ルーティング ゲートウェイ ルート表 VCN 13 サブネット Copyright © 2026, Oracle and/or its affiliates NAT ゲートウェイ インターネット • ルート表 通信先に応じて、どのゲートウェイへ転送するかを決め る「経路ルール」 ゲートウェイとルート表を組み合わせることで、目的のネッ トワークやサービスへの通信経路を構成
14. インターネット・ゲートウェイ VCNとインターネットとを接続するゲートウェイ リージョン 可用性ドメイン インターネット パブリックIP を使 用したインスタンス サブネットB 10.0.2.0/24 インターネット ゲートウェイ • インターネット・ゲートウェイはVCN毎に1つだけ設定可 能 (物理回線は冗長化されているため、 インターネット・ゲートウェイを複数設定する必要はない) • インターネット・ゲートウェイ作成後、VCN のルート表に ゲートウェイへのルートを追加して、通信フローを有効に する必要がある パブリックサブネット VCN 10.0.0.0/16 14 Copyright © 2026, Oracle and/or its affiliates
15. ルート表 VCN内の仮想ルーターにルーティング情報を設定するためのリソース リージョン 可用性ドメイン インターネット 宛先CIDR 0.0.0.0/0 ルート ターゲット インターネット・ ゲートウェイ ルート表 インターネット ゲートウェイ サブネットB 10.0.2.0/24 パブリックサブネット VCN 10.0.0.0/16 15 ルール例 : (VCN以外の)全ての トラフィックはインターネット・ゲートウェイに 転送 Copyright © 2026, Oracle and/or its affiliates • ルート表は複数のルールで構成 ▪ ルールには以下を設定 ✓宛先ネットワークの CIDR ブロック ✓その CIDR に一致するルート・ターゲット • 各ゲートウェイを作成した場合は、 必ずセットでルート表の設定が必要
16. NATゲートウェイ パブリックIPを持たないインスタンスにインターネットへのアクセスを提供するゲートウェイ リージョン 可用性ドメイン インターネット 宛先CIDR ルート ターゲット 0.0.0.0/0 NAT ゲートウェイ プライベートIP を使用 したインスタンス VCN 10.0.0.0/16 16 Copyright © 2026, Oracle and/or its affiliates ルート表 サブネットB 10.0.2.0/24 プライベートサブネット NAT ゲートウェイ • インターネットへのアウトバウンド通信とその応答 の受信はできるが、インターネットからの インバウンド通信の受信は不可 • VCNに複数のNATゲートウェイを紐づけることが できるが、特定のサブネットは 1つのNATゲートウェイにのみルーティングできる
17. サービス・ゲートウェイ VCNからOCIのリージョン内のサービスにアクセスできるゲートウェイ リージョン Oracle Services Network オブジェクト・ ストレージ Autonomous Database 可用性ドメイン ルート表 ルート ターゲット オブジェクトストレージ サービス サービス・ ゲートウェイ サブネットB 10.0.2.0/24 プライベートサブネット VCN 10.0.0.0/16 17 Copyright © 2026, Oracle and/or its affiliates ◼同一のOCIリージョン内にのみ到達できる ◼インターネットを経由しない サービス・ ゲートウェイ 宛先サービス • 特徴 • メリット ◼インターネット・ゲートウェイや NAT ゲートウェイ不要 ◼外部との予期せぬ通信を防止できる • ユースケース ◼DBシステムのバックアップをオブジェクトストレージに取得 ◼VCN内のアプリからAutonomous Databaseに接続
18. Oracle Services Network とは リージョン内のOCIサービスとの通信 • OCIの各種サービスのエンドポイントが存在するOCI の概念的なネットワーク リージョン • OCIリージョンの中に存在し、VCNの外側に存在する • この中のサービスは、インターネット経由でアクセスする ためのNATされたパブリックIPアドレスを持つものも多 い • Oracle Services Network内のサービスの例 ※ - OCI APIのエンドポイント - Object Storage - Oracle Autonomous Database - Analytics Cloud Service などのPaaSやSaaS ※ OCIのコンソール画面 (https://console.<region>.oraclecloud.com) はOracle Services Network内には存在しません 18 Copyright © 2026, Oracle and/or its affiliates VCN Oracle Services Network VCN オブジェクト・ ストレージ VCN Autonomous Database
19. 動的ルーティング・ゲートウェイ(DRG) VPNやFastConnectによって、オンプレミス・ネットワークなどと接続するゲートウェイ Oracle Cloud Infrastructure (Tokyo) VCN ◼ VCN(複数) ◼ 別リージョンのVCN(接続先リージョンのDRG経由) FastConnect On-premise Data Center Dynamic Routing Gateway VPN • 以下のネットワークの接続に対応 VCN ◼ IPsec VPN または FastConnect 経由での他クラウド やオンプレミス・ネットワーク ◼ Azure/GCP InterConnect • DRGルート表により関係するネットワーク間の ルーティングを一括制御 Remote Peering Connection Oracle Cloud Infrastructure (Osaka) ◼ アタッチメント毎に異なるルート表を紐付けた経路制御 ◼ 動的および静的ルーティングによる制御が可能 VCN Remote Peering Connection 19 Copyright © 2026, Oracle and/or its affiliates Dynamic Routing Gateway ◼ インポートした動的な経路情報を基に優先経路を 選択させるためのポリシーの作成
20. VCNから外部へのネットワーク接続 通信先に応じたゲートウェイ／接続方式の選択 接続先 使用するゲートウェイ / 接続方式 主なユースケース インターネット インターネット・ゲートウェイ Webサーバーなどをインターネットに公開 インターネット NATゲートウェイ インバウンドは許可せず、アウトバウンド通信のみ実 施 リージョン内の OCIサービス サービス・ゲートウェイ / プライベート・エ ンドポイント / PSA エンドポイント オブジェクト・ストレージなどへプライベートに接続 オンプレミス DRG オンプレミス・ネットワークとVCNをIPsec VPN / FastConnectで接続 他のVCN DRG / ローカル・ピアリング・ゲートウェイ VCN間をプライベートに接続 20 Copyright © 2026, Oracle and/or its affiliates
21. セキュリティリスト / NSG 21 Copyright © 2026, Oracle and/or its affiliates
22. セキュリティ・リスト サブネットに所属するVNICに適用されるファイアウォールのルール Direction CIDR Protocol Source Port Dest Port Stateful Ingress 0.0.0.0/0 TCP All 80 Stateful Egress 10.0.2.0/24 TCP All 1521 • OCI の VCN は初期状態ではファイアウォール により全トラフィックが禁止 • ルールには通信の許可リストのみが定義可能 • ステートフル・ルールとステートレス・ルール を両方サポート Security List サブネット 10.0.0.0/24 Security List サブネット 10.0.1.0/24 VCN 10.0.0.0/16 22 Copyright © 2026, Oracle and/or its affiliates Security List サブネット 10.0.2.0/24 • 各セキュリティ・リストには、 インバウンド方向(イングレス)と アウトバウンド方向(エグレス) のルールを定義 • 作成したセキュリティ・リストはサブネットに対して のみ紐づけ可能で、サブネット内のすべてのインス タンスのVNICにルールが一括適用される
23. ネットワーク・セキュリティ・グループ (NSG) セキュリティ・リストもより細かな設定が可能 Direction CIDR Protocol Source Port Dest Port NSG-A Stateful Ingress 0.0.0.0/0 TCP All 80 NSG-B Stateful Ingress 0.0.0.0/0 TCP All 22 NSG-A NSG-B サブネット 10.0.0.0/24 VCN 10.0.0.0/16 23 Copyright © 2026, Oracle and/or its affiliates NSG-A サブネット 10.0.1.0/24 • 任意のVNICの集まりに適用される セキュリティ・ルールの設定 • NSGを使うと、セキュリティ・ルールの設定を サブネットと分離できる (セキュリティ・リストの場合はサブネット単位 でのみ適用可能) • NSG自身をソースまたは宛先としてルール に指定できる (セキュリティ・リストではCIDRのみが指定可能)
24. セキュリティ・リストとネットワーク・セキュリティ・グループの組み合わせ どちらか一方で疎通が許可されているトラフィックはすべて有効 Security List 1 Security List 2 NSG-A • セキュリティ・リストとNSGの両方を使用した場合は、 全てのルールがOR条件で通信が許可される • 基本的には、どちらか一方のみを利用して運用することを 推奨 NSG-B サブネット 10.0.0.0/24 VCN 10.0.0.0/16 24 Copyright © 2026, Oracle and/or its affiliates
25. ステートフル・ルールとステートレス・ルール Webサーバに紐づくセキュリティリスト Stateful Webサーバに紐づくセキュリティリスト Direction CIDR Protocol Source Port Dest Port Ingress 0.0.0.0/0 TCP All 80 Stateless Direction CIDR Protocol Source Port Dest Port Ingress 0.0.0.0/0 TCP All 80 Webサーバに対する往きのトラフィック（http通信） Webサーバ Webサーバに対する往きのトラフィック（http通信） Webサーバ クライアント 戻りトラフィックに対するエグレスルールを追加する必要がある 戻りのトラフィックはエグレスルールがなくてもステートフルルールによって自動で許可される - Direction CIDR Protocol Source Port Dest Port - - - - - ステートフル・ルール Stateless Direction CIDR Protocol Source Port Dest Port Egress 0.0.0.0/0 TCP 80 All ステートレス・ルール • ルールに基づいて許可され、確立したTCP接続の中のトラ フィックは、全て通過が許可される • トラフィックの通過の可否は、設定されたルールに基づいてパ ケット毎に判断される • 往きのトラフィックに対応する許可ルールのみを設定すれば OK、対応する戻りトラフィックは暗黙的に許可されるため ルール設定は不要 • 往き/戻り双方のトラフィックに対して、それぞれ明示的な許 可ルールの設定が必要 • 確立したTCP接続に関する情報が、仮想NICが持つ接続ト ラッキング表に格納され、通過の可否判定に使用される 25 クライアント Copyright © 2026, Oracle and/or its affiliates • UDPなどそもそも接続ソケットを持たないプロトコルや、接続 数が多く負荷のかかるWebサイトでよく利用される
26. VCN内における名前解決 / DNS 26 Copyright © 2026, Oracle and/or its affiliates
27. VCNのDNS VCN内外の名前解決を提供するDNSリゾルバ リージョン DNSリゾルバ 169.254.169.254 VCNで使われるDNS • 各VCNには、名前解決を行うDNSリゾルバが1つ用意される • DNSリゾルバは 169.254.169.254 で利用可能 10.0.0.80 web.sub2.oraclevcn.com? 10.0.0.80 と通信 10.0.0.80 web.sub1.oraclevcn.com 10.0.1.10 app.sub2.oraclevcn.com サブネット:WEB 10.0.0.0/24 サブネット:アプリ 10.0.1.0/24 • VCN内の oraclevcn.com ドメイン名や、インターネット上の DNS名を名前解決 • プライベート・ゾーン / プライベート・ビュー / DNSエンドポイ ント / フォワーディングルールなどの拡張機能も利用可能 VCN 10.0.0.0/16 ※ DNSの詳細な構成や機能については、別資料を参照 デフォルトエンドポイント 27 Copyright © 2026, Oracle and/or its affiliates
28. 参考 28 Copyright © 2026, Oracle and/or its affiliates
29. OCIネットワーク参考資料リンク • OCI活用資料集 ネットワーク https://oracle-japan.github.io/ocidocs/services/networking/ • 仮想クラウド・ネットワーク(VCN)詳細 https://oracle-japan.github.io/ocidocs/services/networking/ virtual-cloud-network-200/ • DNS 概要 https://oracle-japan.github.io/ocidocs/services/networking/dns-100/ 29 Copyright © 2026, Oracle and/or its affiliates