クラウド仮想ネットワークの内部機構：VPC・セキュリティグループ・PrivateLink・VPCピアリングを解説

どんな取り組みか

本記事は、クラウドの仮想ネットワークがどのように構成されているのか、その内部メカニズムをAWS、GCP、Azureの一次資料を基に解説するものです。VPC、セキュリティグループ、PrivateLink、VPCピアリングなどの、クラウド利用者が目にする機能の背後にある、SDN（Software Defined Network）とオーバーレイ技術の進化と実装に焦点を当てます。

クラウドの仮想ネットワークは、物理的な配線や専用機器なしに、各物理サーバー内部で動作するソフトウェア、つまりホストSDNによって実現されています。この仕組みは、VLANの限界を超え、ハイパースケールのクラウドを支えるために進化してきました。

使われた技術スタック

本記事で取り上げられている主な技術要素は以下の通りです。

• VPC (Virtual Private Cloud): クラウド上に構築されるプライベートな仮想ネットワーク空間。
• セキュリティグループ: インスタンスレベルでのステートフルなファイアウォール機能。
• PrivateLink: クラウドサービスへのセキュアでプライベートな接続を提供するサービス。
• VPCピアリング: VPC間でプライベートな通信を可能にする接続方法。
• SDN (Software Defined Network): ネットワークの制御プレーンとデータプレーンを分離し、ソフトウェアでネットワークを管理する技術。
• ホストSDN: 各物理サーバーの内部（仮想スイッチやSmartNIC）で動作するSDN実装。
• オーバーレイネットワーク: 物理ネットワークの上に構築される論理的な仮想ネットワーク。
• VLAN (Virtual LAN): 物理的なL2ネットワークを論理的に分割する技術。
• VXLAN (Virtual eXtensible LAN): L2フレームをL3パケットにカプセル化し、大規模なセグメントを扱えるようにするオーバーレイ技術。
• Geneve (Generic Network Virtualization Encapsulation): VXLANの拡張版で、より多くのメタデータを運べるオーバーレイ技術。
• SmartNIC (Smart Network Interface Card): ネットワーク処理をオフロードする機能を持つNIC。

各クラウドプロバイダーの実装例として、AWSのNitro Card for VPC、GCPのAndromeda、AzureのVFP + AccelNetが挙げられています。

実装のポイント

クラウド仮想ネットワークの根幹をなすのは、以下の3つの設計原理です。

1. コントロールプレーンとデータプレーンの分離: ネットワークの制御（頭脳）を中央集約し、実際のパケット転送（手足）を各ホストに分散させます。
2. オーバーレイと物理基盤の分離: 利用者に見える仮想ネットワーク（オーバーレイ）と、それを支える物理ネットワーク（アンダーレイ）を分離します。パケットはカプセル化されて物理網を渡ります。
3. マッピング（住所変換）: 論理的なIPアドレスと物理的なサーバーを紐づけるサービスです。この解決時に、送信元と宛先の正当性を検証することがセキュリティの要となります。

VLANは、最大4,094セグメントという制限やL2技術であることから、ハイパースケールのクラウドには適しません。この限界を克服するために、VXLANやGeneveといったオーバーレイ技術が登場し、大規模なネットワークセグメントを実現しています。

各クラウドプロバイダーは、これらの原理に基づきつつも、データプレーンの実行場所（専用HW、SW主軸、FPGA）や制御プレーンのスケーリング方法において異なる実装哲学を採用しています。これが、性能、拡張性、可用性、セキュリティといった実務的なパフォーマンスの差に繋がっています。

クラウドネットワークのセキュリティは、「フローごとの個別認可（per-flow authorization）」を土台としています。「デフォルト拒否」「なりすまし不可」「テナント分離」といった性質は、この仕組みから導かれます。セキュリティグループ、ピアリング、PrivateLinkの挙動も、この一点から説明可能です。

得られた成果や学び

クラウドネットワークの内部機構を理解することで、以下の点が明らかになります。

• セキュリティ設計の根拠の明確化: セキュリティグループのステートフル性やPrivateLinkの安全性について、内部機構に基づいた説明が可能になります。
• 制約の理解: VPCピアリングが推移的でない理由や、重複CIDRの扱いの違いなど、ネットワークの制約が生じる根拠を理解できます。
• 一次資料へのアクセス: 各クラウド事業者が公開している査読論文や技術文書といった一次資料に基づいた知識習得が可能になります。
• 設計判断への応用: SGを基本に据える理由、PrivateLinkで公開する理由、Peeringを乱立させない理由といった具体的な設計判断に繋がります。
• マルチクラウド設計への示唆: AWS、GCP、Azureの設計思想の違いを理解することで、マルチクラウドや移行に関する設計判断に役立ちます。

ネットワークの知能が、従来の専用機器から各サーバーへと移ったという歴史的転換を理解することは、クラウドネイティブなネットワーク設計において不可欠です。

まとめ

クラウドの仮想ネットワークは、物理的なインフラに依存せず、ホストSDN、オーバーレイ技術、そしてコントロールプレーンとデータプレーンの分離といった原理に基づき、ソフトウェアによって高度に抽象化・仮想化されています。VLANの限界を乗り越え、VXLANやGeneveといった技術が大規模なネットワークセグメントを実現しています。各クラウドプロバイダーは独自の哲学でこれを実装しており、その違いがパフォーマンスに影響を与えます。内部機構の理解は、セキュリティ設計、制約の把握、そしてより良いクラウドネットワークの設計・運用に不可欠です。

出典: https://qiita.com/etale_cohomology/items/a5db27c311650b6b9c6b