サービスを選ぶ

オンプレミス・マルチクラウドとの接続

インターネット経由で数 Gbps までなら HA VPN、専用線で大きな帯域が要るなら Dedicated Interconnect か Partner Interconnect、他のクラウドとは Cross-Cloud Interconnect を選びます。経路はどれも Cloud Router の BGP で交換します。

オンプレミスや他のクラウドと VPC をつなぐ方法は 4 つで、選ぶ軸は帯域、インターネットを通ってよいか、Google の接続拠点がある施設 (コロケーション施設) まで自前の回線を引けるか、の 3 つです。どの方法でも、経路は Cloud Router が BGP で交換します。

4 つの接続方法

自社 DCBGP ルーターVPCCloud RouterHA VPNインターネット上の IPsecDedicated Interconnectコロケーション施設で直結Partner Interconnectプロバイダの回線を経由他のクラウドAWS、Azure などCross-Cloud Interconnect
インターネットを通るのは HA VPN だけ。Interconnect は私設の経路を通るが、既定では暗号化されない

帯域は 2026 年 10 月時点の公式ドキュメントの値です (最新は接続方法の選び方)。

方法帯域の目安
HA VPNトンネル 1 本あたり約 1〜3 Gbps
Dedicated Interconnect10、100、400 Gbps の回線を最大 8 本束ねる
Partner InterconnectVLAN アタッチメントあたり 50 Mbps〜50 Gbps
Cross-Cloud Interconnect10、100 Gbps (AWS と OCI は 400 Gbps も)。相手は AWS、Azure、OCI、Alibaba Cloud

HA VPN のトンネルの上限は送受信合わせて毎秒 250,000 パケットで、平均パケットサイズしだいで約 1〜3 Gbps になります。10 Gbps を超えたら Interconnect を検討します。Interconnect は暗号化されないので、「専用線で、かつ暗号化」とあれば MACsec か、Interconnect の上に HA VPN を張る構成を選びます。

試すハイブリッド接続の選び方

必要な帯域
SLA
開始までの期間

Dedicated Interconnect同じメトロの異なるエッジ可用性ドメインに 2 本

ドメイン 1・回線 1ドメイン 2・回線 2オンプレミスGoogle Cloud
  • 10 Gbps 以上は Interconnect の領域。施設まで回線を引けるので、10、100、400 Gbps の回線で直結する
  • 99.9% は、同じメトロの異なるエッジ可用性ドメインに 2 本で付く

SLA は構成で決まる

HA VPN は、ゲートウェイの 2 つのインターフェースの両方から対向へトンネルを張ると 99.99% の SLA が付き、片方だけでは SLA がありません。動的ルーティング (BGP) だけに対応するので、対向のルーターも BGP を話す必要があります。旧来の Classic VPN は SLA が 99.9% で、新しく作るなら HA VPN です (Cloud VPN の概要)。

99.9%メトロ 1ドメイン 11 本ドメイン 21 本99.99%メトロ 1ドメイン 11 本ドメイン 21 本メトロ 2ドメイン 11 本ドメイン 21 本
1 本だけの Interconnect には SLA がない。同じ施設に 2 本では 99.99% に届かない

Dedicated Interconnect も Partner Interconnect も、上の図の構成で SLA が付きます。Partner の場合、Google の SLA が覆うのは Google とプロバイダの間だけで、自社からプロバイダまではプロバイダの SLA を確かめます。

Cloud Router と Network Connectivity Center

Cloud Router は VPC の中で BGP を話すマネージドのルーターです。リージョンの動的ルーティングモードでは自分のリージョンのサブネットしか扱わないので、東京の Cloud Router から大阪のサブネットにも届かせるなら、VPC の動的ルーティングモードをグローバルにします。

NCC ハブグローバルVPC 1VPC 2東京 DCInterconnect大阪 DCHA VPN
スポーク同士はハブを通して通信できる。ピアリングのように全組み合わせをつなぐ必要がなく、データセンター同士も Google のバックボーンでつながる

Network Connectivity Center (NCC) のスポークには、VPC、HA VPN のトンネル、Interconnect の VLAN アタッチメント、ルーターアプライアンスの VM をつなげます。拠点同士を Google 経由でつなぐ使い方をサイト間データ転送と呼びます。

Google Cloud の VPC 同士は、VPC の設計の Shared VPC、ピアリング、Private Service Connect か、NCC から選びます。他のクラウドとは、帯域が小さければ HA VPN、大きな帯域と安定した遅延が要るなら Cross-Cloud Interconnect です。Google が相手のクラウドの入り口まで物理接続を用意するので、施設に機器を置く必要はなく、SLA にはプロバイダごとに 2 本の接続が要ります (Cross-Cloud Interconnect の概要)。

試してみる

2 つの VPC の間に HA VPN を張り、片側をオンプレミスに見立てて Cloud Router の BGP を見ます。インターフェースを 1 つしか使わないので SLA は付きません。トンネルは時間単位で課金されるので、確認したらすぐに消してください。

REGION=asia-northeast1
SECRET=$(openssl rand -base64 24)

for s in a b; do
  gcloud compute networks create net-$s --subnet-mode=custom
  gcloud compute vpn-gateways create gw-$s --network=net-$s --region=$REGION
done
gcloud compute networks subnets create sub-a --network=net-a --region=$REGION --range=10.1.0.0/24
gcloud compute networks subnets create sub-b --network=net-b --region=$REGION --range=10.2.0.0/24
gcloud compute routers create router-a --network=net-a --region=$REGION --asn=65001
gcloud compute routers create router-b --network=net-b --region=$REGION --asn=65002

gcloud compute vpn-tunnels create tun-a --region=$REGION --vpn-gateway=gw-a --interface=0 \
  --peer-gcp-gateway=gw-b --router=router-a --ike-version=2 --shared-secret=$SECRET
gcloud compute vpn-tunnels create tun-b --region=$REGION --vpn-gateway=gw-b --interface=0 \
  --peer-gcp-gateway=gw-a --router=router-b --ike-version=2 --shared-secret=$SECRET

gcloud compute routers add-interface router-a --region=$REGION --interface-name=if-a \
  --vpn-tunnel=tun-a --ip-address=169.254.0.1 --mask-length=30
gcloud compute routers add-bgp-peer router-a --region=$REGION --peer-name=peer-b \
  --interface=if-a --peer-ip-address=169.254.0.2 --peer-asn=65002
gcloud compute routers add-interface router-b --region=$REGION --interface-name=if-b \
  --vpn-tunnel=tun-b --ip-address=169.254.0.2 --mask-length=30
gcloud compute routers add-bgp-peer router-b --region=$REGION --peer-name=peer-a \
  --interface=if-b --peer-ip-address=169.254.0.1 --peer-asn=65001

1〜2 分待ちます。トンネルが ESTABLISHED になり、router-a の経路に 10.2.0.0/24 が現れれば成功です。

gcloud compute vpn-tunnels describe tun-a --region=$REGION --format="value(status)"
gcloud compute routers get-status router-a --region=$REGION \
  --format="table(result.bestRoutes[].destRange, result.bestRoutes[].nextHopIp)"

後片付けです。

gcloud compute vpn-tunnels delete tun-a tun-b --region=$REGION --quiet
gcloud compute routers delete router-a router-b --region=$REGION --quiet
gcloud compute vpn-gateways delete gw-a gw-b --region=$REGION --quiet
gcloud compute networks subnets delete sub-a sub-b --region=$REGION --quiet
gcloud compute networks delete net-a net-b --quiet

試験で問われる判断

このカリキュラムで作った例です。

「地方の拠点で接続拠点まで回線を引けない。帯域は 1 Gbps 程度で、インターネットは経由したくない」なら Partner Interconnect です。HA VPN は帯域は足りても、インターネットを通る点で外れます。

「AWS の分析基盤と BigQuery の間で大量のデータを低遅延でやり取りする」なら Cross-Cloud Interconnect です。帯域と遅延の安定が要件に入った時点で、HA VPN ではなく専用の接続を選びます。

理解度チェック

答えを開く前に、自分で考えてください。結果はこのブラウザにだけ残り、間違えた問題は復習のページでまとめて解き直せます。

思い出す

HA VPN で 99.99% の SLA を得るには、どう構成しますか。対向のルーターには何が求められますか。

状況で選ぶ

地方のデータセンターと Google Cloud の間で、20 Gbps の帯域が要ります。データセンターは Google の接続拠点がある施設から遠く、自前の回線は引けません。99.9% の SLA も求められています。どう接続しますか。

説明する

Interconnect はインターネットを通らない専用の接続です。それでも要件に「通信を暗号化する」とあると、Interconnect だけでは足りないのはなぜですか。どう構成しますか。