複数のネットワーク インターフェースを持つ VM を作成する

デフォルトでは、Virtual Private Cloud（VPC）ネットワーク内の各仮想マシン（VM）インスタンスには 1 つのネットワーク インターフェースがあります。ただし、複数のネットワーク インターフェースを持つインスタンスを構成することもできます。1 つのインスタンスで複数のネットワーク インターフェースを使用する場合、各インターフェースは異なる VPC ネットワークのサブネットに接続する必要があります。複数のネットワーク インターフェースを同じサブネットや同じ VPC ネットワーク内のサブネットに接続することはできません。

VM インターフェースは、IPv4 アドレスのみ（シングルスタック）または IPv4 アドレスと IPv6 アドレスの両方（デュアルスタック）で構成できます。

複数のネットワーク インターフェースが不要な場合は、インスタンスの作成と起動の手順に沿って、デフォルトのネットワーク構成でインスタンスを作成してください。

複数のネットワーク インターフェースとその仕組みの詳細については、複数のネットワーク インターフェースをご覧ください。

仕様

• ネットワーク インターフェースを構成できるのはインスタンスの作成時のみです。
• Compute Engine ベアメタル インスタンスに複数のネットワーク インターフェースを構成することはできません。
• 複数のネットワーク インターフェースを持つインスタンスを作成する場合は、各インターフェースを異なる VPC ネットワークに接続する必要があります。ネットワークは、スタンドアロンの VPC ネットワークまたは共有 VPC ネットワークになります。
• ネットワーク インターフェースは、同じインスタンスの別のインターフェースの IP アドレス範囲と重複しない IP アドレス範囲のサブネットに接続する必要があります。
• 複数の VPC ネットワーク内のサブネットに接続する VM を作成する場合は、インスタンスを作成する前に、すべてのネットワークとサブネットが存在している必要があります。ネットワークとサブネットの作成の詳細については、VPC ネットワークの作成と管理をご覧ください。
• ネットワーク インターフェースを削除するには、その接続先のインスタンスを削除します。

• 各インスタンスには、インスタンスのマシンタイプに応じて、少なくとも 1 つのネットワーク インターフェースと、最大 8 つのネットワーク インターフェースが必要です。

  • nic0 は必須で、インスタンスの作成時に構成する必要があります。
  • nic1～nic7 は省略可ですが、これらもインスタンスの作成時に構成する必要があります。

  詳細については、インターフェースの最大数をご覧ください。

• インターフェースごとに任意で外部 IPv4 アドレスを設定できます。

• VM を内部または外部の IPv6 サブネット範囲を持つサブネットに接続する場合、必要に応じて内部または外部 IPv6 アドレスを構成できます。

• Google Cloud の DHCP サーバーはデフォルトのルート（RFC 3442「クラスレス静的ルート」）をデフォルトのネットワーク インターフェース（nic0）にのみ送信します。別のネットワーク インターフェースでデフォルト ルートが必要な場合は、インスタンスにポリシー ルーティングを構成する必要があります。これを行う方法の例については、追加のインターフェースのルーティングを構成するチュートリアルをご覧ください。

• すべての VM ネットワーク インターフェースは、VM と同じプロジェクトのネットワークのサブネットに接続するか、プロジェクトで共有されている共有 VPC ネットワークに接続する必要があります。

制限事項

• 既存の VM からネットワーク インターフェースを追加または削除することはできません。

• IP 転送は VM レベルで有効になっており、個々のインターフェースには適用できません。

複数のネットワーク インターフェースを持つ権限、IAM、インスタンス

複数のネットワーク インターフェースを持つインスタンスを作成するには、次のいずれかのロールが必要です。

• プロジェクト オーナーまたはプロジェクト編集者のロール
• Compute インスタンス管理者（v1）のロール（roles/compute.instanceAdmin.v1）

共有 VPC 環境を使用しないプロジェクトでの複数のインターフェースを持つインスタンスおよびインスタンス テンプレートの作成と削除: プロジェクト レベルでオーナー、編集者、または Compute インスタンス管理者（v1）のロールを持つユーザーは、その同じプロジェクトの一部である VPC ネットワークとサブネットに関連付けられている複数のインターフェースを持つインスタンスを作成できます。

共有 VPC 環境での複数のネットワーク インターフェースを持つインスタンスおよびインスタンス テンプレートの作成と削除: プロジェクト レベルでオーナー、編集者、または Compute インスタンス管理者（v1）のロールを持つユーザーは、複数のインターフェースを持つインスタンスを作成できます。いずれかのインターフェースが共有 VPC ホスト プロジェクトのサブネットに接続されている場合は、共有 VPC ホスト プロジェクト レベルまたは共有 VPC サブネット レベルで Compute ネットワーク ユーザーのロール（roles/compute.networkUser）も必要になります。

権限の詳細については、Compute Engine IAM ドキュメントをご覧ください。

VPC ネットワークの種類が異なる複数のネットワーク インターフェースを使用する

• レガシー ネットワークでは、複数のネットワーク インターフェースはサポートされていません。
• 複数のネットワーク インターフェースを構成するときは、各インターフェースを自動モード VPC ネットワークかカスタムモード VPC ネットワークに接続します。

ネットワーク インターフェースの IP アドレスの割り振り

• 各ネットワーク インターフェースには、サブネットのプライマリ IP アドレス範囲から割り当てられたプライマリ内部 IP アドレスを構成する必要があります。
  • 単一のインスタンス内の各インターフェースに割り当てられるプライマリ内部アドレスとは異なる必要があります。
• 一意の外部 IP アドレスを使用して、各仮想インターフェース（NIC）を構成することもできます。外部アドレスはエフェメラルまたは予約済みです。

ネットワーク インターフェースの最大数

仮想ネットワーク インターフェースの数は vCPU の数に比例し、最小 2 個、最大 8 個です。

次の表を使用して、インスタンスに接続できるネットワーク インターフェース数を判断します。

始める前に

• インスタンスを作成する前に、必要なネットワークとサブネットがすべて作成されていることを確認します。ネットワークまたはサブネットを作成する必要がある場合は、VPC ネットワークの作成と管理をご覧ください。

• 各インターフェースと、複数のインターフェースを持つ VM との間のトラフィックを許可する適切なファイアウォール ルールがあることを確認します。ファイアウォール ルールを作成する必要がある場合は、VPC ファイアウォール ルールを使用するをご覧ください。

• IPv6 アドレスを使用して VM を複数のネットワークに接続する場合は、google-guest-agent バージョン 20220603.00 以降をインストールします。詳細については、セカンダリ インターフェースの IPv6 アドレスに接続できないをご覧ください。

複数のネットワーク インターフェースを持つ VM インスタンスを作成する

インスタンスの作成に関する一般的な手順については、VM インスタンスを作成して起動するをご覧ください。

インスタンスを作成するときに、複数のネットワーク インターフェースを追加できます。

• Google Cloud コンソールの [インスタンスの作成] ページの [ネットワーキング] > [ネットワーク インターフェース] セクションでネットワーク インターフェースを追加します。
• gcloud CLI で instances create コマンドを使用します。インターフェースごとに --network-interface フラグ、その次に ([network | subnet], private-network-ip, address, external-ipv6-address) などの適切なネットワーキング キーを指定します。

最初のインターフェースは、常に nic0 として作成されます。また、これが常にデフォルトのインターフェースになります。このインターフェースは、Google Cloud ネットワーキングの他の側面で重要となります。たとえば、Google Cloud ロードバランサ（パススルー ネットワーク ロードバランサを除く）は、nic0 にのみトラフィックを分散します。

gcloud compute instances create INSTANCE_NAME \
    --zone ZONE \
    --network-interface \
        network=NETWORK,subnet=SUBNET, \
        stack-type=STACK_TYPE, \
        address=EXTERNAL_IPV4_ADDRESS | no-address, \
        private-network-ip=INTERNAL_IPV4_ADDRESS \
        internal-ipv6-address=INTERNAL_IPV6_ADDRESS \
    ...
    --network-interface \
        network=NETWORK,subnet=SUBNET, \
        stack-type=STACK_TYPE, \
        external-ipv6-address=EXTERNAL_IPV6_ADDRESS, \
        external-ipv6-prefix-length=96 \
        ipv6-network-tier=PREMIUM \
    ...

resource "google_compute_instance" "default" {
  project      = var.project_id # Replace with your project ID in quotes
  zone         = "us-central1-b"
  name         = "backend-instance"
  machine_type = "e2-medium"
  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-9"
    }
  }
  network_interface {
    subnetwork = var.subnet_1 # Replace with self link to a subnetwork in quotes
    network_ip = "10.0.0.14"
  }
  network_interface {
    subnetwork = var.subnet_2 # Replace with self link to a subnetwork in quotes
    network_ip = "10.10.20.14"
  }
}

構成例

以降のセクションでは、複数のインターフェースを持つ VM を作成する方法について説明します。

IPv4 アドレスを持つ複数のネットワーク インターフェースを構成する

次のサンプル コマンドは、3 つのネットワーク インターフェースを持つインスタンスを作成します。

 gcloud compute instances create vm1 --machine-type=n1-standard-4 \
    --network-interface '' \
    --network-interface network=net1,subnet=subnet-a,private-network-ip=10.10.10.2,address=EXTERNAL_IPV4_ADDRESS \
    --network-interface network=net2,subnet=subnet-b,private-network-ip=10.10.20.2,no-address

インターフェースは次のように作成されます。

• nic0 はデフォルト設定で作成されます。インターフェースは、デフォルトの VPC ネットワークのサブネットに接続し、内部 IP アドレスとエフェメラル外部 IP アドレスが自動的に割り振られます。

• nic1 は、ネットワーク net1 のサブネット subnet-a に接続されます。内部 IPv4 アドレスは 10.10.10.2 であり、静的外部 IPv4 アドレスは EXTERNAL_IPV4_ADDRESS です。

• nic2 は、ネットワーク net2 のサブネット subnet-b に接続されます。内部 IPv4 アドレスは 10.10.20.2 であり、外部 IP アドレスはありません。

gcloud compute instances create コマンドと --network-interface フラグの詳細については、コマンドのドキュメントをご覧ください。

追加したネットワーク インターフェースの IP アドレスを使用して、DNS 転送を設定できます。Cloud DNS 転送ゾーンの構成の詳細については、転送ゾーンをご覧ください。

IPv4 アドレスと IPv6 アドレスを持つ複数のインターフェースを構成する

次のサンプル コマンドは、2 つのネットワーク インターフェースを持つデュアル スタック インスタンスを作成します。

gcloud compute instances create vm1 \
--network-interface network=dual-int,subnet=int-subnet,stack-type=IPV4_IPV6 \
--network-interface network=dual-ext,subnet=ext-subnet,stack-type=IPV4_IPV6,ipv6-network-tier=PREMIUM \
--machine-type=n1-standard-4 --zone=us-west2-a

インターフェースは次のように作成されます。

• nic0 は、ネットワーク dual-int のサブネット int-subnet に接続され、エフェメラル内部 IPv4 アドレスとエフェメラル内部 IPv6 アドレスが割り振られます。

• nic1 は、ネットワーク dual-ext のサブネット ext-subnet に接続され、エフェメラル内部 IPv4 アドレスとエフェメラル外部 IPv6 アドレスが割り振られます。

インスタンス グループに複数のネットワーク インターフェースを構成する

非マネージド インスタンス グループとマネージド インスタンス グループでは、複数のネットワーク インターフェースを持つインスタンスを使用できます。

非マネージド インスタンス グループの場合は、各インスタンスを個別に作成します。各 VM の nic0 ネットワーク インターフェースが同じサブネットに接続するようにします。次に、非マネージド インスタンス グループに VM インスタンスを追加します。

マネージド インスタンス グループに複数のネットワーク インターフェースを構成するには、各インターフェースに --network-interface フラグを 1 回設定して、インスタンス テンプレートでインターフェースごとにネットワーク構成を指定する必要があります。次の例では、3 つのネットワーク インターフェースを持つインスタンス テンプレートを作成します。

gcloud compute instance-templates create template-1 \
    --network-interface subnet=net0-subnet-a \
    --network-interface subnet=net1-subnet-b,no-address \
    --network-interface subnet=net2-subnet-c,no-address \
    --region us-central1

プロジェクトの各リージョンのサブネット名は一意である必要があるため、名前でサブネットを指定すると、各インターフェースが暗黙的に VPC ネットワークに関連付けられます。各インターフェースでは、一意の VPC ネットワーク内のサブネットを使用する必要があります。

• nic0 は net0-subnet-a サブネットを使用します。
• nic1 は net1-subnet-b サブネットを使用します。
• nic2 は net2-subnet-c サブネットを使用します。

--network-interface フラグの no-address オプションは、外部 IP アドレスなしでインターフェースが構成されていることを示します。内部 IP アドレスは、インターフェースで使用されるサブネットから取得されます。フラグと構文の詳細については、instance-templates create コマンドの --network-interface フラグをご覧ください。

トラブルシューティング

複数のインターフェースがある VM を作成できない

以下のエラー メッセージのいずれかが表示される場合があります。

• Invalid value for field 'resource': ''. Too many network interfaces. The maximum number of network interfaces allowed for this machine type is.

  このエラー メッセージが表示された場合、インスタンス マシンタイプでサポートされている最大インターフェース数より多くのインターフェースを作成しようとしています。インターフェースの最大数の表を参照してください。

• Networks must be distinct for NICs attached to a VM.

  このメッセージが表示された場合、同じネットワーク内に複数のインターフェースを作成しようとしています。各ネットワーク インターフェースは、それぞれ異なる VPC ネットワークに接続する必要があります。

• Subnetwork CIDR ranges must be non-overlapping for NICs attached to a VM.

  このメッセージが表示された場合、VM のインターフェースに関連付けられた CIDR の範囲が重複しています。これらの CIDR 範囲には、VM インターフェースに関連付けられたサブネットのすべてのプライマリ範囲だけでなく、エイリアス IP 範囲により使用されるセカンダリ範囲も含まれます。各インターフェースが属するサブネットは、それぞれが別の VPC ネットワーク内にあり、他のインターフェースのサブネットと重なってはいけません。たとえば、インスタンスをリージョン us-west1 で作成しようとしている場合、次のコマンドか Google Cloud コンソールを使用すると、サブネット プライマリ CIDR 範囲を確認できます。

  gcloud compute networks subnets list --regions us-west1
  NAME                REGION    NETWORK          RANGE
  default             us-west1  default          10.138.0.0/20
  overlapping-subnet  us-west1  test-network     10.138.8.0/24
  

  セカンダリ サブネット CIDR 範囲を確認するには、次のコマンドまたは Google Cloud コンソールを使用します。

  gcloud compute networks subnets describe overlapping-subnet --region us-west1
  

  ...
  ipCidrRange: 10.128.8.0/24
  ...
  secondaryIpRanges:
  - ipCidrRange: 10.138.8.0/24
    rangeName: conflicting-range
  

• Multiple network interfaces are not supported on legacy networks.

  このメッセージが表示された場合、レガシー ネットワーク内にインスタンスを作成しようとしています。以前のネットワークでは、複数インターフェースのインスタンスはサポートされていません。ネットワークが以前のネットワークかどうかは、次のコマンドまたは Google Cloud コンソールで確認できます。Mode フィールドがネットワークのタイプを表しています。

  gcloud compute networks list
  NAME             MODE    IPV4_RANGE     GATEWAY_IPV4
  default          auto
  legacy-network   legacy  10.240.0.0/16  10.240.0.1
  test-network     custom
  

• Required 'compute.instances.create' permission for 'projects/PROJECT_ID/zones/ZONE/instances/test-inst'

  このメッセージが表示された場合、ログインしているアカウントに、インスタンスの作成に必要な IAM 権限がありません。インスタンスの作成に必要なロールの詳細については、IAM 権限をご覧ください。OWNER、EDITOR、compute.instanceAdmin.v1 のいずれかのロールが、プロジェクトに関連付けられている IAM ポリシーによって付与されているかどうかを確認できます。共有 VPC でインスタンスを作成するには、さらに compute.networkUser のロールが必要です。以下の例では、インスタンスを作成するために必要な IAM 権限がアカウント email2@gmail.com に付与されていません。手順については、IAM ガイドのリソースへのアクセス権の付与、変更、取り消しをご覧ください。

  gcloud projects get-iam-policy PROJECT_ID
  bindings:
  - members:
    - user:email1@gmail.com
      role: roles/owner
  - members:
    - serviceAccount:our-project-123@appspot.gserviceaccount.com
    - serviceAccount:123456789012-compute@developer.gserviceaccount.com
      role: roles/editor
  - members:
    - user:email2@gmail.com
      role: roles/viewer
  etag: BwUjMhXbSPU=
  version: 1
  

  OWNER、EDITOR、compute.instanceAdmin.v1 のいずれかのロールを付与するよう、プロジェクトのオーナーまたは編集者に依頼できます。インターフェースを共有 VPC に属するサブネットに関連付ける場合は、compute.networkUser のロールも必要です。

  gcloud projects set-iam_policy --member user:email2@gmail.com --role roles/editor
  

セカンダリ インターフェースの内部 IP アドレスに接続できない

• ファイアウォール ルールをチェックして、VM セカンダリ インターフェースへの接続が許可されていることを確認します。セカンダリ インターフェースに接続されているネットワークのファイアウォール ルールを確認するには、Google Cloud コンソールにアクセスして該当する VPC ネットワークをクリックするか、次の gcloud コマンドを使用します。

  gcloud compute firewall-rules list --filter='network:NETWORK_NAME'
  

• インターネット アドレスから、またはセカンダリ インターフェースのネットワークの外部から、セカンダリ インターフェースに接続しようとしていないか確認します。インターフェースの内部 IP に接続できるのは、ネットワーク内からに限られます。ネットワーク外からセカンダリ インターフェースにアクセスする必要がある場合は、セカンダリ インターフェースに外部 IP アドレスを割り当てます。

• セカンダリ インターフェースの内部 IP に、セカンダリ インターフェースの接続先サブネットの外部から接続しようとしているのか、それとも同じネットワークの別のサブネットから、またはピアリングされたネットワークから接続しようとしているのかを確認します。VPC ピアリングと複数のインターフェースがある VM インスタンスとの間の相互作用については、1 つのインスタンスに複数のネットワーク インターフェースを設定するで説明しています。インターフェースのサブネットの外部からセカンダリ インターフェースに到達するには、VM にルートを構成する必要があります。VM 内のデフォルト ルートが DHCP でどのようにプログラムされるかについては、複数のネットワーク インターフェースがある場合の DHCP の動作をご覧ください。

• IPv6 アドレスにアクセスする場合は、セカンダリ インターフェースの IPv6 アドレスに接続できないもご覧ください。

外部 IP アドレスを使用してセカンダリ インターフェースに接続できない

DHCP サーバーは、VM のプライマリ ネットワーク インターフェース上でのみ、既定のルートをプログラムします。外部 IP を使用してセカンダリ インターフェースに接続する場合は、2 つのオプションがあります。ネットワーク外への接続がセカンダリ ネットワーク インターフェースでのみ必要な場合は、そのネットワーク インターフェース上に既定のルートを設定できます。それ以外の場合は、追加のインターフェースのルーティングを構成するチュートリアルで説明されている方法を使用して、VM でソースベースのポリシー ルーティングを使用して個別のルーティング テーブルを構成します。

IPv6 アドレスにアクセスする場合は、セカンダリ インターフェースの IPv6 アドレスに接続できないもご覧ください。

セカンダリ インターフェースの IPv6 アドレスに接続できない

IPv6 アドレスにアクセスする場合は、VM に google-guest-agent バージョン 20220603.00 以降がインストールされていることを確認します。google-guest-agent バージョンの管理の詳細については、ゲスト環境をご覧ください。

以前のバージョンの google-guest-agent を使用している場合、セカンダリ インターフェースは IPv6 サブネット ルートを受信しません。ルートが正しく構成されるように、ゲスト エージェントを更新することをおすすめします。

ただし、回避策として、代わりに起動スクリプトを作成して、セカンダリ インターフェースごとに次の構成変更を行うこともできます。

sudo sysctl -w net.ipv6.conf.INTERFACE_NAME.accept_ra_rt_info_max_plen=128

INTERFACE_NAME は、インターフェースの名前に置き換えます（eth1、ens5 など）。

/32 ではないネットマスクを使用する場合に接続の問題が発生する

デフォルトでは、インスタンスのメタデータ サーバーはデフォルト ゲートウェイの ARP リクエストにのみ応答します。

/32 以外のネットマスクを使用してインターフェースを構成するには、フラグ --guest-os-features MULTI_IP_SUBNET を使用してイメージを作成し、それを使用してインスタンスを作成する必要があります。たとえば、debian-9 ベースのイメージを使用している場合、次のコマンドを使用してイメージを作成できます。

gcloud compute images create debian-9-multi-ip-subnet \
     --source-disk debian-9-disk \
     --source-disk-zone us-west1-a \
     --guest-os-features MULTI_IP_SUBNET

イメージに構成されているゲスト機能を表示するには、ゲストイメージで gcloud compute images describe コマンドを実行します。

gcloud compute images describe debian-9-multi-ip-subnet

カスタム イメージの作成の詳細については、カスタム イメージの作成、削除、サポート終了をご覧ください。

複数のネットワーク インターフェースを持つ VM の内部ホスト名を解決できない

DNS クエリを内部ホスト名で実行すると、インスタンスのプライマリ ネットワーク インターフェース（nic0）に解決されます。

nic0 が、DNS クエリを発行するインスタンスの VPC ネットワークとは異なる VPC ネットワークに接続されている場合、DNS クエリは失敗します。内部 DNS は、特定の VPC ネットワーク内でのみ解決されます。詳細については、複数のネットワーク インターフェースを使用した DNS の解決をご覧ください。

シリアル コンソールを使用したトラブルシューティング

VM でシリアル コンソールを有効にして、構成関連の問題をデバッグすることをおすすめします。シリアル コンソールを使用してインタラクティブ デバッグを行うには、シリアル コンソールを使用したトラブルシューティングの操作を行います。