Oracle CloudWorld 2023視察記 クラウド編

今年もオラクル社の年次イベント「Oracle CloudWorld 2023」が開催されました。アシストからは、9名の社員がラスベガス現地で参加し、その視察記として「基調講演と注目のトピック」「クラウド編」「データベース編」のブログ記事を公開しています。

当記事では「クラウド編」として、Oracle Cloud Infrastructure（以下、OCI）関連セッションの中から、サポートエンジニアの視点で見逃せない「Network Monitoring and Troubleshooting」の内容をご紹介します。

関連するブログ記事もぜひ併せてお読みください。

まず、このセッションの内容を簡単にご紹介します。オラクル社のネットワークエンジニアが講師として登壇し、OCIのネットワーク監視とトラブルシューティングに関するベストプラクティスや便利な機能について、デモンストレーションを交えて解説しました。

また、OCIのネットワーク関連のサポートチケットの30%以上がユーザーの設定の不備、あるいは設定誤りに起因している問題であることが紹介されました。これは、OCIのネットワークはユーザーの様々なニーズに応じられるよう、柔軟かつ詳細なカスタマイズが可能な反面、設定が複雑になりやすいことを示しています。

これらのゴールを達成するために、セッションでは以下の内容が紹介されました。

セッションの最後には、OCIのネットワーク問題のトラブルシューティング方法を理解し、ユーザー自身で解決する知識を習得することが大事であると締められていました。

当記事では、セッションの三つのゴールのうち、二つ目の「ネットワーク構成の視覚化とトラブルシューティングのシナリオの知識習得」について、具体的なツールの使い方や操作例を交えてご紹介します。

OCIのネットワーク構成を収集・分析し、送信元と宛先の間のパスに問題が無いか判別するツールです。構成の誤りによって生じる通信の問題をトラブルシューティングできます。

OCIのネットワーク構成を図で表示できるツールです。VCNやサブネット、ゲートウェイ、ルーティングなどのネットワーク・リソースの接続や関係が一目で分かるため、構成の問題を視覚的にトラブルシューティングできます。

パブリック・サブネット内のComputeから、プライベート・サブネット内のDatabaseにSSH接続できません。次のステップでトラブルシューティングを行い、接続可能な状態にするためネットワーク設定を修正します。

接続に何らかの問題が見られるネットワーク構成を分析するために、トラブルシューティング機能の一つである、ネットワーク・パス・アナライザを使用します。

OCIコンソールのメニューから、[ネットワーキング]→[ネットワーク・パス・アナライザ]をクリックします。

[パス分析の作成]をクリックします。

分析の構成画面で各項目を入力します。

[分析の実行]をクリックします。

1分ほどで分析が完了すると、ネットワーク接続パスの図が表示されます。分析の結果、ComputeとDatabaseの間の通信に問題があるようです。

また、[ダイアグラム情報の表示]をクリックすると、説明を確認できます。
・「開始」に送信元のComputeのインスタンス名が表示されている
・「宛先」に送信先のDatabaseのIPアドレスが表示されている

セキュリティ・ステータスが赤字で「拒否済」となっているので、この点が怪しいようです。[分析の保存]をクリックして、Step3の再分析のために結果を保存しておきます。

OCIコンソールのメニューから、[ネットワーキング]→[ネットワーク・ビジュアライザ]をクリックします。

VCNのイメージが表示されます。この画面では、VCNの構成要素や接続関係を確認できます。六角形のイメージをクリックすると、右側にサマリー情報が表示されます。

次に、VCNのルーティング・マップを見てみましょう。[VCNルーティング・マップの表示]をクリックすると、サブネットのルーティングが図として表示されます。

このように、ネットワーク・ビジュアライザを使うと、VCNの詳細画面から各設定のリンクをたどって設定内容を個別に確認するよりも、直感的で分かりやすいと思います。

次にセキュリティ・リストの設定を確認してみましょう。まずは、Computeが配置されているパブリック・サブネットをクリックし、リソース・サマリーから[リソース・セキュリティ詳細の表示]をクリックします。

パブリック・サブネットに関連付けられたセキュリティ・リストには、次の情報が表示されます。

パブリック・サブネットは通信元となるため、エグレス・セキュリティ・ルールを確認する必要があります。今回は「192.168.10.0/24」が宛先として登録されていることが分かります。これは、プライベート・サブネットのCIDR範囲であり、パブリック・サブネットからプライベート・サブネットへの通信ルールが設定されていることを意味します。

次は、Databaseが配置されているプライベート・サブネットのセキュリティ・リストを確認してみましょう。

プライベート・サブネットに関連付けられたセキュリティ・リストには、次の情報が表示されます。

それではプライベート・サブネットのセキュリティ・リストを修正しましょう。OCIコンソールのメニューから、[ネットワーキング]→[仮想クラウド・ネットワーク]をクリックします。

VCNの名前をクリックします。

画面左の[セキュリティ・リスト]をクリックし、[プライベート・サブネット-VCN名のセキュリティ・リスト]をクリックします。

[イングレス・ルールの追加]をクリックし、ソースCIDRにパブリック・サブネットのCIDRを入力します。その後、[イングレス・ルールの追加]をクリックします。

ネットワーク・パス・アナライザで、修正後のネットワーク構成を再分析します。

OCIコンソールのメニューから、[ネットワーキング]→[ネットワーク・パス・アナライザ]をクリックします。

Step1で保存したパス分析の名前をクリックします。

画面上の[分析]をクリックします。

分析結果が表示されます。フォワード・パス（パブリック・サブネットからプライベート・サブネット）では、ホップ（パケットの渡し）がカウントされていることが確認できます。[ダイアグラム情報の表示]をクリックすると、セキュリティ・ステータスが緑色の「許可」に変わっていることが分かります。

画面を下にスクロールして、戻りパス（プライベート・サブネットからパブリック・サブネット）も確認してみましょう。こちらも、ホップがカウントされており、[ダイアグラム情報の表示]をクリックするとセキュリティ・ステータスが緑色の「許可」になっていることが分かります。

ネットワークの設定は、OCIに限らずクラウドをご利用いただく上で重要な項目ですが、設計や実装で頭を悩ませる項目でもあります。そのため、サポートセンターに「正しい設定のはずなのに接続できない。」「ネットワークの設定が正しいか確認したい。」など、ネットワークに関する問い合わせをいただくケースが多くあります。

トラブルシューティングの方法を覚えておくことで、サポートセンターに問い合わせる必要がなくなり問題解決の時間を短縮できる場合もありますので、今回紹介した機能を積極的に活用してみてください。また、今回ご紹介した機能については、製品マニュアルもご一読いただければと存じます。