OCI技術資料 : 仮想クラウド・ネットワーク (VCN) 詳細

Oracle Cloud Infrastructure (OCI) の技術説明資料、仮想クラウド・ネットワーク (VCN) の詳細編 (Level 200) です。

VCNピアリングの詳細、トランジット・ルーティング、Oracle Services Networkへの接続、アプライアンス型仮想ファイアウォールの利用など、VCNを利用するにあたり少し複雑なケースについて解説しています。

Transcript

1. 仮想クラウド・ネットワーク(VCN) 詳細 Virtual Cloud Network Details Oracle Cloud Infrastructure 技術資料 2026年9月
2. ピアリング / ルーティング 2 Copyright © 2026, Oracle and/or its affiliates
3. DRG （Dynamic Routing Gateway）と LPG（Local Peering Gateway） ネットワークとネットワークを繋ぐためのリソース（=ピアリング） DRGを使ったピアリング例 DRGとLPGを使ったピアリング例 OCI Region OCI Region VCN VCN FastConnect VCN FastConnect On-premise Data Center LPG On-premise Data Center VPN Dynamic Routing Gateway Remote Peering Connection VCN LPG VPN Remote Peering Connection Dynamic Routing Gateway VCN LPG LPG 従来、DRGにアタッチできるVCNは1つのみだったが、2021年の機能強化により1つのDRGに対して複数VCNのアタッチ が可能になった 従来のDRGとLPGを使ったハブ&スポーク構成も可能だが、複数VCNへの拡張性や柔軟な経路制御、今後のDRGの機 能強化を考慮するとDRGをハブとする左側の構成を推奨 3 Copyright © 2026, Oracle and/or its affiliates
4. 動的ルーティング・ゲートウェイ(DRG) VPNやFastConnectによって、オンプレミス・ネットワークなどと接続するゲートウェイ Oracle Cloud Infrastructure (Tokyo) VCN On-premise Data Center Dynamic Routing Gateway VCN Remote Peering Connection VCN 4 Copyright © 2026, Oracle and/or its affiliates ◼ IPsec VPN または FastConnect 経由での他クラウド やオンプレミス・ネットワークに接続 • DRGルート表により関係するネットワーク間の ルーティングを一括制御 ◼ アタッチメント毎に異なるルート表を紐付けた経路制御 Oracle Cloud Infrastructure (Osaka) Remote Peering Connection ◼ VCN(複数) ◼ 別リージョンのVCN(接続先リージョンのDRG経由) FastConnect VPN • 以下のネットワークの接続に対応 Dynamic Routing Gateway ◼ 動的および静的ルーティングによる制御が可能 ◼ インポートした動的な経路情報を基に優先経路を 選択させるためのポリシーの作成 ※ DRGの詳細な構成や機能については、DRG詳細 資料を参照
5. ローカル VCN ピアリング（DRGを利用する方法） 同じリージョンの2つの VCN を接続 宛先CIDR ルート ターゲット 宛先CIDR ルート ターゲット 192.168.0.0/16 DRG 10.0.0.0/16 DRG 172.16.0.0/16 DRG 172.16.0.0/16 DRG リージョン Route Table Route Table VCN 10.0.0.0/16 VCN 192.168.0.0/16 DRG VCN 172.16.0.0/16 5 Route Table 宛先CIDR ルートターゲット 10.0.0.0/16 DRG 172.16.0.0/16 DRG Copyright © 2026, Oracle and/or its affiliates • 1つのDRGを介して多数のVCNを同時に接続可能 • CIDRブロックが重複するVCN同士は ルーティングができない • DRG側でVCNのCIDRなどの経路情報を 動的にインポートし、ルート表に反映 (静的ルーティング設定も可能)
6. リモート VCN ピアリング 異なるリージョンの2つの VCN を接続 • 特徴 宛先 ターゲット 宛先 ターゲット 192.168.0.0/16 DRG1 10.0.0.0/16 DRG2 宛先 ターゲット 宛先 ターゲット 10.0.0.0/16 VCN1 10.0.0.0/16 RPC2 192.168.0.0/16 RPC1 192.168.0.0/16 VCN2 リージョン1 Route Table リージョン2 RPC1 VCN 10.0.0.0/16 6 DRG Copyright © 2026, Oracle and/or its affiliates ◼ リージョン間の通信は OCI が持つ バックボーン回線を経由 • 用途 オラクルの バックボーン Route Table ◼ ピアリング先の VCN には、 動的ルーティング・ゲートウェイ (DRG) を 通してトラフィックがルーティングされる Route Table Route Table ◼ 広域災害対策 ◼ 遠隔地のバックアップ保存 RPC2 DRG VCN 192.168.0.0/16
7. クロステナンシピアリング 異なるテナンシの2つの VCN を接続 1) テナンシAのDRGにテナンシBのVCNをアタッチす る方法 2) テナンシAのDRGとテナンシBのDRGの間でクロス テナンシ リモートピアリングで接続する方法 OCI Region OCI Region Tenancy A Tenancy A VCN On-premise Data Center FastConnect DRG VCN クロステナンシVCN 接続 Tenancy B On-premise Data Center FastConnect DRG Tenancy B クロステナンシ リモートピアリング （同じ・異なるリージョンでも可能） VCN VCN FastConnect シンプルな構成 7 Copyright © 2026, Oracle and/or its affiliates DRG VCN テナンシBのDRGを中心とした、 FastConnect／VCNの柔軟な接続・拡張構成
8. DRGを使ったピアリング 構成上の注意 VCN • 1つのDRGに対して複数のVCNのアタッチ：可能 • 1つのVCNに対して複数のDRGをアタッチ：不可能 VCN × DRG VCN • 重複するCIDRをDRGにアタッチすることは可能だが、 ルーティングが基本的にできない 8 Copyright © 2026, Oracle and/or its affiliates DRG VCN 不可能 VCN 10.0.0.0/16 VCN 10.0.0.0/16 DRG DRG
9. ローカル VCN ピアリング（LPGを利用する方法） 同じリージョンの2つの VCN を接続 宛先CIDR ルート ターゲット 宛先CIDR ルート ターゲット 192.168.0.0/16 LPG-1 10.0.0.0/16 LPG-2 リージョン Route Table Route Table LPG-1 VCN 10.0.0.0/16 10 Copyright © 2026, Oracle and/or its affiliates LPG-2 VCN 192.168.0.0/16 • ローカル・ピアリング・ゲートウェイ (LPG) を利用 • LPGを介してVCN間を1対1で接続 • CIDRブロックが重複するVCN同士はピアリングを設 定できない • 経路制御は静的ルーティングで行う • 1つのVCNあたり最大10個のLPGをアタッチできるが、 VCNの数が多い場合はDRGを使うことを推奨
10. ローカルVCNピアリング 構成上の注意 あるVCNからピアリング先のVCNを経 由した別VCN、OCI他サービス (Oracle Servicesネットワーク)、イン ターネットとの直接通信 (トランジット) 不可 アドレス範囲が重複するVCNはピアリ ング不可 複数(例えば3つ)のVCNとピアリング している場合、その3つのVCNではア ドレス範囲の重複可能 (VCN1内の サブネット毎に別のルート表の紐付け を推奨) VCN2 192.168.0.0/16 VCN VCN LPG VCN LPG LPG LPG インターネット ゲートウェイ VCN1 10.0.0.0/16 LPG オブジェクト ストレージ ※ VCNをトランジットしたVCNとオンプレミス の通信は可能 Copyright © 2026, Oracle and/or its affiliates LPG VCN 10.0.0.0/16 インターネット サービス ゲートウェイ 11 VCN 10.0.0.0/16 VCN3 192.168.0.0/16 LPG VCN4 192.168.0.0/16
11. クロス・テナンシー・ピアリング（LPGを使う方法） 異なるテナンシー(異なる契約) のVCN間をローカル・ピアリング 片方をリクエスター、もう片方をアクセプターとして作成したIAMポリシーの権限で作成 ※ 別リージョンのVCNとは構成不可 OCI Region Tenancy ABC Tenancy XYZ Requestor コンパートメント Accepter コンパートメント VCN1 10.0.0.0/16 LPG 10.0.0.2 Define tenancy Acceptor as ocid1.tenancy.oc1…. Allow group Requestor to manage local-peering-from in compartment Requestor Endorse group RequestorGrp to manage local-peering-to in tenancy Acceptor Endorse group RequestorGrp to associate local-peering-gateways in compartment RequestorComp with local-peering-gateways in tenancy Acceptor 12 Copyright © 2026, Oracle and/or its affiliates VCN2 192.168.0.0/16 ピアリング LPG 192.168.0.2 Define tenancy Requestor as ocid1.tenancy.oc1..aaaaaaarequestorComp Define group Requestor as ocid1.group.oc1..aaaarequestorgrp Admit group Requestor of tenancy Requestor to manage local-peering-to in compartment Acceptor Admit group Requestor of tenancy Requestor to associate local-peering-gateways in tenancy Requestor with local-peering-gateways in compartment AcceptorComp
12. VCNトランジット・ルーティングの詳細 13 Copyright © 2026, Oracle and/or its affiliates
13. VCNトランジット・ルーティング VCNの1つを中継ネットワークとして機能させることで、直接繋がっていない2つのネットワークの間の直接通信を可能にす る機能 間に入るVCNが、自分に関係のないトラフィックを経由(トランジット)するため、VCNトランジット・ルーティングと呼ばれる 重要 : トランジット・ルーティングは通常は許可されない。ただし次ページで述べる3つのユースケースに限って例外的に トランジット・ルーティングが許可される OCI Region On-Premises 中継VCNを経由して直接通信 ピアリング 中継VCN IPsec VPN オンプレミス DRG FastConnect LPG VCN LPG Oracle Services Network Service Gateway オブジェクトストレージ 中継VCNを経由して直接通信 14 Copyright © 2026, Oracle and/or its affiliates
14. VCNトランジット・ルーティング 3つのユースケース OCI Region Oracle Services Network VCN オンプレミス DRG Service Gateway オブジェクトストレージ 1.外部ネットワークからOracleサービ スへのプライベート接続 2.FastConnect/VPN接続の複数 VCNでの共有 3.リージョン間のリモート・ピアリング接 続を複数VCNで共有 オンプレミスからVCN外のOracleサー ビス (Object Storage/SaaSサービ ス)のパブリックエンドポイント に、 FastConnectやVPN経由でアクセス する 1つのFastConnectのプライベート仮 想回線またはVPN接続を共有して、 オンプレミスネットワークと同リージョン の複数のVCN間の直接通信する 2つのハブVCNの間を結ぶリージョン 間のリモート・ピアリング接続を、それ ぞれのハブVCNとローカル・ピアリング 接続されているスポークVCNから利 用する ※2と3についてはDRGをハブとして複数のVCNをアタッチする構成が一般的 15 Copyright © 2026, Oracle and/or its affiliates
15. ユースケース1 - 外部ネットワークからOracleサービスへのプライベート接続 ・オンプレミス環境から、Oracle Services Network 上の Oracle サービス（Object Storage、Autonomous Database など）へFastConnect または Site-to-Site VPN 経由で接続するために構成します OCI Region Oracle Services Network VCN オブジェクトストレージ オンプレミス DRG Service Gateway Autonomous AI Database 16 ・この構成では、VCN がオンプレミス環境と Oracle Services Network（OCI リージョン内にある、VCN の外部ネットワー ク）との間のトランジット経路となります。 Copyright © 2026, Oracle and/or its affiliates ・VCN から Oracle Services Network へは、サービス・ゲート ウェイを経由して到達します
16. ユースケース1の設定例 - VCN内にインスタンスを置かず、DRGとサービス・ゲートウェイ を直接ルーティングするパターン OCI NRT Region （東京リージョンの場合） VCNルート表（DRG -> SGWトランジットルーティング用） 宛先 Next Hop Oracle Services Network Service Gateway ルート表に記載する宛先サービスは以下二つが選択可能 • OCI <リージョン> Object Storage そのリージョンのオブジェクトストレージのみ • All <リージョン> Services in Oracle Services Network そのリージョンの全てのサービス Oracle Services Network VCN On-Premises DRG オブジェクトストレージ 仮想回線 or IPsecVPN アタッチメント 172.16.0.0/12 VPN 17 FastConnect Copyright © 2026, Oracle and/or its affiliates VCN アタッチメント Service Gateway Autonomous AI Database SGWにアタッチしたルート表（SGW -> DRGのトランジットルーティング用） 宛先 Next Hop オンプレミスCIDR 172.16.0.0/12 DRG
17. ユースケース1の応用 -リモート・ピアリングしたVCNを介してトランジット・ルーティングを 利用して別リージョンのサービスネットワークにプライベートにアクセス サービス・ゲートウェイは同一リージョン内のサービス・ネットワークのみにアクセス可能。別リージョンのサービス・ネットワークに対して プライベートにアクセスする場合はVCNをトランジットさせる必要がある。 DRGのVCNルート表 宛先 プライベートサブネットのルート表 宛先 ターゲット 接続先リージョンの OSN CIDR (*1) DRG All KIX Services In Oracle Services Network Tokyo Region ターゲット サービス・ ゲートウェイ Osaka Region VCN 10.0.0.0/16 VCN 10.1.0.0/16 Private Subnet 10.0.0.0/24 サービス・ゲートウェイのルート表 リモートピアリング 接続 Virtual Machine DRG DRGのDRGルート表 リモートピアリング接続作成 時に自動で作成される。 DRG DRGのDRGルート表 リモートピアリング接続作成 時に自動で作成される。 宛先 ターゲット 10.0.0.0/16 DRG Service Gateway Object Storage (*1) ドキュメントからパブリックIPのJSONファイルをダウンロードし、対象リージョンのOSNのCIDR範囲を取得し、ルート・ルールの宛先に追加。 https://docs.oracle.com/ja-jp/iaas/Content/General/Concepts/addressranges.htm#osn-ranges 18 Copyright © 2026, Oracle and/or its affiliates
18. ユースケース1の設定例 - VCN内に置いたインスタンスを経由させるパターン (仮想ファイアウォールなどを経由させる場合などに利用) Route Table associated with DRG Route Table associated with Service gateway Destination CIDR Destination CIDR All Services in Region Route Target 10.0.4.3 Route Table associated with subnet-frontend 19 Route Target 172.16.0.0/12 10.0.8.3 Route Table associated with subnet-Backend Destination CIDR Route Target Destination CIDR Route Target 172.16.0.0/12 DRG All Services in Region Service Gateway Copyright © 2026, Oracle and/or its affiliates
19. ユースケース2 - FastConnect/VPN接続の複数VCNでの共有 • 1つのVCNがハブとなり、複数のスポークVCNと接続 するハブ&スポークの形状となる • 外部ネットワークとは、ハブVCNのみがFastConnect / VPN で直接接続されており、各スポークVCNと外 部ネットワークの間の通信は、ハブVCNがゲートウェイ となって中継(トランジット)する • ハブVCNとスポークVCNの間はローカルVCNピアリング で接続するため、ローカルVCNピアリングの構成上の 制約を受ける - ハブとスポークは同一リージョン - ハブとスポークは別テナンシーにあっても可 - ピアリング数最大10個/VCN ※DRGをハブとして複数のVCNをアタッチする構成が一般 的 20 Copyright © 2026, Oracle and/or its affiliates
20. ユースケース2の設定例 - ハブVCN内にインスタンスを置かず、ハブVCNのDRGとLPG を直接ルーティングするパターン 宛先 ターゲット 宛先 ターゲット 192.168.0.0/16 LPG-H-1 172.16.0.0/12 DRG • (前提)ハブVCNと外部ネットワークの間のプ ライベート接続、ハブVCNとスポークVCNの 間のローカル・ピアリング接続は構成済み • 動的ルーティング・ゲートウェイ(DRG)のルー ト表に、スポークVCN(192.168.0.0/16)を 宛先とするトラフィックのターゲットをLPG-H1とするルールを追加 • LPG-H-1のルート表に、外部ネットワーク (172.16.0.0/16)を宛先とするトラフィックを DRGとするルールを追加 • スポークVCNのルート表に、LPG-2をター ゲットとするルールを作成 21 宛先 ターゲット 宛先 ターゲット 192.168.0.0/16 LPG-H-1 10.0.0.0/16 LPG-1 172.16.0.0/12 DRG 172.16.0.0/12 LPG-1 Copyright © 2026, Oracle and/or its affiliates
21. ユースケース2の設定例 - ハブVCN内に置いたインスタンスを経由させるパターン 22 Destination CIDR Route Target 192.168.0.0/16 10.0.4.3 Copyright © 2026, Oracle and/or its affiliates Destination CIDR Route Target 172.16.0.0/16 DRG Destination CIDR Route Target 192.168.0.0/16 LPG-H-1 Destination CIDR Route Target 172.16.0.0/16 10.0.8.3 Destination CIDR Route Target 10.0.0.0/16 LPG-1 172.16.0.0/12 LPG-1
22. ユースケース2の実装例 – ISVによる共有専用線の提供 https://www.ateam-oracle.com/isv-architecture-design-and-scaling-options-using-local-peering-gateways-and-dynamic-routing-gateways https://www.ateam-oracle.com/independent-software-vendor-network-architecture-design-and-scaling LPG + DRG 構成 DRG ネイティブ構成 ルーティング・スケーリング・セキュリティ・DRG/LPGなどの制限事項を考慮して選択 23 Copyright © 2026, Oracle and/or its affiliates
23. ユースケース3 - リージョン間のリモート・ピアリング接続を複数VCNで共有 • 2つのハブVCNの間を結ぶリージョン間のリモート・ピア リング接続を、それぞれのハブVCNとローカル・ピアリン グ接続されているスポークVCNから利用する • 左の図の例だと、VCN-1-AとVCN2-Aの間は、 VCN-H-1、リモートピアリング接続、VCN-H-2を経 由(トランジット)して直接通信ができる • 各スポークVCNの間を個別にリモート・ピアリングする 必要がなく、リージョン間接続は1つだけでOK • ハブVCNとスポークVCNの間はローカルVCNピアリング で接続するため、ローカルVCNピアリングの構成上の 制約を受ける - ハブとスポークは同一リージョン - ハブとスポークは別テナンシーにあっても可 - ピアリング数最大10個/VCN ※DRGをハブとして複数のVCNをアタッチする構成が一般 的 24 Copyright © 2026, Oracle and/or its affiliates
24. アプライアンス型仮想ファイアウォールの利用 25 Copyright © 2026, Oracle and/or its affiliates
25. ルート・ターゲットとしてのプライベート IP 宛先 Next Hop 0.0.0.0 IGW 宛先 Next Hop 0.0.0.0 10.1.0.99 (The private IP of the NVA) VCN外からVCN内へ、またその逆のトラフィックのターゲッ ト(ネクストホップ)として、ルート表にプライベートIPアドレス を直接指定する機能 ユースケース : アプライアンス型の仮想ファイアウォールや UTM(IDS/IPS)を設置し、すべてのトラフィックが必ずそこ を経由するように構成 10.1.0.99 26 宛先 Next Hop 10.1.1.0/24 (The destination subnet CIDR) Or 10.1.0.0/16 (The VCN CIDR) 10.1.0.99 (The private IP of the NVA) Copyright © 2026, Oracle and/or its affiliates
26. NLBを使用したPalo Altoファイアウォールのアクティブ/アクティブ・モードでのデプロイ NLBの対称ハッシュ機能を用いた ファイアウォールのアクティブ-アクティブ構成 ・インターネットからのSouth-North トラフィック ・オンプレミスとのEast-West トラフィック 参考ブログ： https://docs.oracle.com/ja/solutions/oci-nlbpalo-alto-active-active/index.html#GUID3F0D3D24-6DC7-4F25-BB39-C0E66E326182 27 Copyright © 2026, Oracle and/or its affiliates
27. Juniper vSRX を使用した仮想ファイアウォールの設置例 • Juniper vSRXは、ステートフルファイアウォール保護、 IPS、アンチウイルス、Webフィルタリング、スパム対策 などのアプリケーションおよびコンテンツセキュリティ機能 などの利点を提供します • 高レベルのワークフロー • 図に示すように、VCN と3つのサブネットを作成します。 • vSRXイメージをインポートして、VCN上にvSRXインス タンスを起動 • vNICを各サブネットに追加 • インスタンスコンソール接続手順を使用してvSRXをセッ トアップ • 参考ブログ - how to setup a vSRX on OCI https://blogs.oracle.com/cloud-infrastructure/howto-deploy-a-virtual-firewall-appliance-on-oraclecloud-infrastructure 28 Copyright © 2026, Oracle and/or its affiliates
28. VCN内ルーティング/リソースごとのルーティング 29 Copyright © 2026, Oracle and/or its affiliates
29. ゲートウェイに紐づくルート表1 リージョン ルート表1 インターネット ゲートウェイ ルート表2 サブネットA 10.0.1.0/24 パブリックサブネット ルート表3 サブネットB 10.0.2.0/24 プライベートサブネット VCN 10.0.0.0/16 NAT ゲートウェイ 宛先CIDR ルートターゲット 10.0.0.0/16 VCN内 外からVCN内への通信については暗黙的にルーティングされるため、ルー ト表にはVCN内のルーティングルールは表示されない そのため、FWなどを経由させずそのままVCN内にルーティングさせる場合 はゲートウェイにルート表に紐づけなくてもよい パブリックサブネットに紐づくルート表2 プライベートサブネットに紐づくルート表3 宛先CIDR ルートターゲット 宛先CIDR ルートターゲット 0.0.0.0/0 インターネット・ゲートウェイ 0.0.0.0/0 NAT・ゲートウェイ 10.0.0.0/1 6 VCN内 10.0.0.0/1 6 VCN内 VCN内のルーティングルールは不要 ルート表はサブネット単位、ゲートウェイ単位で紐づける場合が多い サブネットに紐づくルート表はサブネットから出ていく際に参照 ゲートウェイに紐づくルート表はVCNに入る際に参照 30 Copyright © 2026, Oracle and/or its affiliates ←このルーティングルールは不要 VCN内のルーティングルールは不要 基本的にはVCN外へのルーティングルールを静的に設定する VCN内については暗黙的にルーティングされるため、ルート表にはルーティン グルールは表示されない
30. VCN内ルーティング（intra-VCN routing）とリソースごとのルーティング ◼ VCN内ルーティング VCN内でFWなどを経由させて通信をさせる場合、VCN内だと暗黙的に ルーティングされるため、FWを経由するためのルーティングルールを追加する ルート表2 宛先CIDR ◼ リソースごとのルーティング サブネット全体にルート表を適用させる以外にも、サブネット内のリソースご と（VNICやIPアドレス）にルート表を設定できる リージョン リージョン ルートターゲット サブネットに紐づくルート表 0.0.0.0/0 ルート表1 インターネットゲートウェイ ルート表2 IPアドレスに紐づく ルート表 ルート表3 VNICに紐づく ルート表 インターネット Firewall インターネット ゲートウェイ VCN 10.0.0.0/16 ルート表1 宛先CIDR 10.0.1.0/2 4 31 .10 FWサブネット 10.0.0.0/24 サブネット ルートターゲット ルートターゲット 10.0.0.10 (FWのプライベートIP) 0.0.0.0/0 (インターネット向け) 10.0.0.10 (FWのプライベートIP) VNIC IPアドレス サブネット VCN 10.0.0.0/16 サブネット ルート表3 宛先CIDR Copyright © 2026, Oracle and/or its affiliates VNIC サブネットA 10.0.1.0/24 IPアドレス • • • 優先順位としてIPアドレス→VNIC→サブネットの順番でルート表が適 用され、それ以降のルート表は適用されない ただし、サブネット内ルーティングは不可 ユースケース：サブネットに紐づくルート表だけでデフォルトルートを複 数書くことができないため、サブネット内のリソースでルーティングを制御 したい場合など
31. その他ファイアウォールなどを含むルーティング例 https://docs.oracle.com/en-us/iaas/Content/Resources/Assets/whitepapers/learn-routing-in-oci-networking-with-examples.pdf 32 Copyright © 2026, Oracle and/or its affiliates
32. Oracle Services Network へのアクセス 33 Copyright © 2026, Oracle and/or its affiliates
33. Oracle Services Network とは リージョン内のOCIサービスとの通信 • OCIの各種サービスのエンドポイントが存在するOCI の概念的なネットワーク リージョン • OCIリージョンの中に存在し、VCNの外側に存在する • この中のサービスは、インターネット経由でアクセスする ためのNATされたパブリックIPアドレスを持つものも多 い • Oracle Services Network内のサービスの例 ※ - OCI APIのエンドポイント - Object Storage - Oracle Autonomous Database - Analytics Cloud Service などのPaaSやSaaS ※ OCIのコンソール画面 (https://console.<region>.oraclecloud.com) はOracle Services Network内には存在しません 34 Copyright © 2026, Oracle and/or its affiliates VCN Oracle Services Network VCN オブジェクト・ ストレージ VCN Autonomous Database
34. VCNの中 から Oracle Services Network へのアクセス方法 アクセス元にパブリッ クIPアドレスの要否 アクセスに利用するIPアドレス VCN内からの通信の到達先 インターネット・ゲートウェイ経由 必要 パブリックIP インターネット(双方向通信) NATゲートウェイ経由 不要 ゲートウェイでパブリック-プライベートNAT変換される インターネット(アウトバウンド通信の み 同一リージョン内のOracle Services Network内のサービス 他テナンシのリソースも到達可能 (インターネットに出る通信は不許 可) サービス・ゲートウェイ経由 不要 ゲートウェイでプライベートIP-プライベートIPのNAT変 換が行われる (送信元IPには240.0.0.0/4が利用される) VCN内に設置したプライベート・ エンドポイント経由 不要 VCN内のプライベートIP プライベートエンドポイントを設定し たサービスのみ VCN内に設置したプライベート・ サービス・アクセス（PSA）・エン ドポイント経由 不要 VCN内のプライベートIP PSAで設定した自テナンシのサービ スのみ 35 Copyright © 2026, Oracle and/or its affiliates
35. オンプレミスからOracle Services Network へのアクセス方法 OCI Region 1. インターネット経由 インターネット VCN Oracle Services Network Service Gateway オブジェクトストレージ オンプレミス FastConnect プライベートピアリング DRG プライベート エンドポイント PSA エンドポイント FastConnect パブリックピアリング 36 Copyright © 2026, Oracle and/or its affiliates Autonomous AI Database 2. サービスゲートウェイ経由（トランジットルーティング） DRGとサービスゲートウェイを直接ルーティング 3. プライベートエンドポイント経由 VCN内のプライベートIPアドレスを使う 対応リソースのみ 4. PSAエンドポイント経由 プライベートIPに紐づいたFQDNで自テナンシのサービス にアクセスする 5. パブリックピアリングを経由
36. Oracle Services Network へのプライベートなアクセス方法 サービスゲートウェイを経由してアクセス プライベートエンドポイントを経由してアクセス PSAエンドポイントを経由してアクセス セキュリティ要件、エンドポイント方式、ルーティング要件および対象サービスの対応状況から検討する 37 Copyright © 2026, Oracle and/or its affiliates
37. VCNフローログ 38 Copyright © 2026, Oracle and/or its affiliates
38. VCN Flow Logs VCNを流れるすべての通信のメタデータの記録を保持し、ロギング・サービスに統合 ネットワークの監視やトラブルシューティング、コンプライアンス対応のために利用可能 サブネット単位で設定し、サブネット内のすべてのリソースに対応 インスタンスのVNICのみでなくプライベート・エンドポイントにも対応 • 以下のような内容が記録される VCN Flow Logs VCN トラフィックの送信元IPアドレスとポート番号/送信先IPアドレスとポート番号 トラフィック量 セキュリティ・ルールによる許可/拒否 DNSやDHCPといったOCIコアで使用されるリンクローカル(169.254.0.0/16)のIPアドレスやARPなどのネットワークトラフィックは除外 • • • • ログ内容の例 ACCEPT TCP 172.21.2.185 Port 43360 → 129.146.13.236 Port 443 Bytes 10515 Packets 19 ACCEPT TCP 129.146.13.236 Port 443 → 172.21.2.185 Port 43360 Bytes 5548 Packets 14 REJECT TCP 140.91.12.72 Port 443 → 10.0.0.7 Port 60700 Bytes 40 Packets 1 ログフォーマット詳細 • 39 https://docs.cloud.oracle.com/en-us/iaas/Content/Logging/Reference/details_for_vcn_flow_logs.htm#details_for_vcn_flow_logs Copyright © 2026, Oracle and/or its affiliates
39. VCN Flow Logs 取得フィルタを使って特定のリソースから必要なトラフィックのログを取得可能 • 取得ポイントの選択が可能。取得できるポイントは以下の3つ • VCN内の全てのVNIC • サブネット内の全てのVNIC • 特定のVNIC（特定のインスタンスやロードバランサー） • 取得フィルタを使うことで特定のリソースから必要なトラフィックを取得できる • サンプリング抽出率を選択可能（例：取得するネットワークフローの1％～100％を抽出する） • プロトコルや宛先CIDRなどの特定のトラフィックを取得ルールで選択可能（ルールは最大10個まで） - ユースケース：Rejectされた通信だけのログを取得する OCI Region VCN Subnet VCN Enablement Point Subnet Virtual Machine Bare Metal Compute Subnet Enablement Point Load Balancer Subnet Load Balancer NLB NLB Logging Resource Enablement Point 40 Copyright © 2026, Oracle and/or its affiliates
40. 取得フィルタ・ルール 取得フィルタ・ルールによってトラフィックに含まれるものを選 択することが可能 • 1つのフィルタに少なくとも1つ～最大10個のルールを作成 • 定義した順序に従って判定され、一致するルールが見つかる とそのルールが適用される • 取得フィルタのタイプ 41 • イングレスまたはエグレス・トラフィック • ソースまたは宛先のIPv4 CIDRブロックまたはIPv6プリフィクス • IPプロトコルパラメータ(TCPまたはUDPポート範囲、ICMP、 ICMPv6)、プロトコル（デフォルトはAll） Copyright © 2026, Oracle and/or its affiliates
41. OCI Flow Logs をLogging Analyticsに連携 https://blogs.oracle.com/observability/oracle-cloud-infrastructure-security-fundamentals-dashboards-using-oci-logging-analytics Flow Logs Logging サービスコネクタハブ Logging Analytics 1. 監査ログおよび VCN Flow Logs を有効化し、OCI Logging に収集 2. Service Connector Hub を使用して、OCI Logging のログを OCI Logging Analytics に転送 3. Logging Analytics の事前定義ダッシュボードで、 ネットワーク通信・脅威 IP・セキュリティイベントを可視 化・分析 42 Copyright © 2026, Oracle and/or its affiliates
42. OCI Flow Logs の Splunk 連携 ユースケース • OCIログをSplunkで一覧で閲覧 - Flow Logs - Audit Logs • ログのパース、解析 43 Copyright © 2026, Oracle and/or its affiliates • Oracle と Splunk の TAP パートナーシップに基づく 連携 • OCI Logging／Streaming のログを Splunk へ取 り込むアドオンを Splunkbase で提供
43. IP持ち込み 44 Copyright © 2026, Oracle and/or its affiliates
44. Bring Your Own IP (BYOIP) お客様が所有するパブリック IPv4 アドレス帯または IPv6 プレフィックスを OCI に持ち込み、既存の IP アドレス体系を維持したまま OCI へ移行できる機能。 IP アドレスがハードコードされている場合や、既存 IP のレピュテーションを維 持したい場合に有効 • お客様が所有権を持つパブリック IP アドレスを持込み可能 所有権は、 対応 RIR（ARIN／RIPE NCC／APNIC）に登録されていることが必要 • JPNIC は対応 RIR に含まれない • RIR 登録情報への検証トークン追加、ROA 作成および Oracle による 所有権検証が必要 • 持込み先は特定の OCI リージョン IPv4 は /24～/8、IPv6 は /48 以 上のプレフィックスを持込み可能 • テナンシ当たり、IPv4 CIDR ブロックと IPv6 プレフィックスの合計で 最大 20個 • Free Tier では利用不可、Pay As You Go では利用申請が必要 45 Copyright © 2026, Oracle and/or its affiliates
45. Bring Your Own ASN（BYOASN） https://blogs.oracle.com/cloud-infrastructure/byoasn-on-oci ASN／IPアドレスのレピュテーションを維持するため、 独自の IP アドレスと ASN を OCI へ持ち込み、 BYOIP プレフィックスを独自の ASN でインターネットに アドバタイズできる ASを持ち込める地域インターネットレジストリ（RIR） は以下 • ARIN（北米地域） • RIPE NCC（ヨーロッパ、中近東、北アフリカ） • APNIC（アジア太平洋地域） ※JPNIC（日本ネットワークインフォメーションセン ター）は含まれない 46 Copyright © 2026, Oracle and/or its affiliates
46. ネットワーク・コマンド・センター 47 Copyright © 2026, Oracle and/or its affiliates
47. ネットワークビジュアライザ ネットワークの全体像を把握する機能 ネットワークビジュアライザを使うことのメリット • ネットワークのトポロジーを確認 • アタッチメントをクリックするとルーティング情報が 表示される • ネットワークの構成図とリソースをpdfでエクス ポートできる 現状のネットワーク構成を確認したり、ネットワーク 構成を変更した時にどのように変更したのかを視覚 的に理解することができる。 48 Copyright © 2026, Oracle and/or its affiliates Network Visualizer
48. 「ルーティング」「セキュリティ」モード セキュリティリストの紐づけ状況やサブネット内リソースを可視化 ルーティングモードではサブネットに関連付けられている ルート表とゲートウェイの紐づけを表示可能 49 Copyright © 2026, Oracle and/or its affiliates Network Visualizer セキュリティモードでは、リソースに関連付けられているセキュ リティリストとセキュリティグループの紐づけを表示可能
49. Network Path Analyzer ネットワークが繋がらないときに構成情報から到達可能性を調査する機能 実際にトラフィックを発生させずに、構成情報 からOCI内のネットワークパスを可視化 ネットワーク疎通ができない際に、ネットワーク 構成情報が間違っていないかを確認できる パス情報に加えて、ルーティング・ルールおよ びセキュリティ・リストなどがトラフィックを拒否 or許可する情報も含まれる 次のソースおよび宛先のシナリオがサポート • OCIからOCI • OCIからオンプレミス • オンプレミスからOCIまで • インターネットからOCIへ • OCIからインターネット 参考ブログ：https://blogs.oracle.com/oracle4engineer/post/ja-introoracle-cloud-network-path-analyzer 50 Copyright © 2026, Oracle and/or its affiliates Network Path Analyzer
50. VTAP (Virtual Test Access Point、仮想テスト・アクセス・ポイント） ネットワークのトラブルシューティングやセキュリティ監視などに活用できるパケット・キャプチャ機能 • VTAPはトラフィック・ミラーリング、フル・パケット・キャプチャとも呼ばれる機能。VCNの中のコンポーネント。 • 指定されたソースを流れるトラフィックの中身をミラーして選択したターゲットに送信 • 取得フィルタのルールをつけることも可能 • ネットワークのトラブルシューティングやテスト、セキュリティ監視や分析などに活用可能 • ソース • コンピュート・インスタンスのVNIC、ロードバランサ、DBシステム、 Exadata VMクラスタ、ADBのプライベート・エンドポイント • ターゲット • ネットワーク・ロード・バランサ（NLB） VTAPはあくまでキャプチャしたトラフィックをミラーして送信する機能なので、送信 されたログの蓄積や分析、監査、レポートを行うためには、ターゲットのNLBの バックエンドにインスタンスを配置し、必要なソフトウェアを構成して実施する必 要がある。 検証済のマーケットプレイス・ソリューション • • • • Palo Alto Networks Accedian 仮想テスト・アクセス・ポイント(VTAP)概要資料（リンク） 51 Copyright © 2026, Oracle and/or its affiliates VTAP
51. 参考 52 Copyright © 2026, Oracle and/or its affiliates
52. OCIネットワーク参考資料リンク • OCI活用資料集 ネットワーク https://oracle-japan.github.io/ocidocs/services/networking/ 53 Copyright © 2026, Oracle and/or its affiliates