ハイブリッド接続:オンプレミスからAzureに接続

この記事は、オンプレミス ネットワークを Azure 仮想ネットワーク (VNet) に接続するための適切な接続オプションを選択して計画するのに役立ちます。

この記事の内容

この記事では、Azure VPN GatewayまたはAzure ExpressRouteを使用してオンプレミス ネットワークを Azure VNet に接続するための設計上の決定事項について説明します。 各オプションを使用するタイミング、それらが連携する方法、ゲートウェイのデプロイを計画する方法について説明します。 ハイブリッド接続サービスの概要については、「 ハイブリッド接続とは何か?」をご覧ください。

この記事が必要なユーザー

これらの条件の 1 つ以上が該当する場合は、この記事をお読みください。

• Azureワークロードは、オンプレミスのシステム、ユーザー、またはデータセンターと通信する必要があります。
• 帯域幅、待機時間、回復性、またはコストに基づいて、VPN Gatewayと ExpressRoute のどちらかを選択する必要があります。
• ID、データ、管理、またはアプリケーションの依存関係をAzure外に保つプライベートパスまたは暗号化されたパスが必要です。
• VPN と ExpressRoute の間のゲートウェイ トポロジ、冗長性、または共存を計画する必要があります。

Azureサービスと機能

Azureでは、ハイブリッド接続のための複数のサービスが提供されます。 各サービスは、さまざまな帯域幅、待機時間、コスト、およびセキュリティの要件に対応します。

VPN Gatewayのしくみ

Azure VPN Gatewayは、オンプレミスの VPN デバイスとAzure仮想ネットワーク ゲートウェイの間に暗号化された IPsec/IKE トンネルを作成します。 以下の手順でサイト間(S2S)トンネルセットアッププロセスについて説明します:

1. ゲートウェイのプロビジョニング:VPN Gateway リソースは、ハブ VNet の GatewaySubnet にデプロイします。 Azureは、2 つ以上のゲートウェイ インスタンスをプロビジョニングします (SKU とアクティブ/アクティブ構成に応じて)。 プロビジョニングには約 30 ~ 45 分かかります。
2. ローカル ネットワーク ゲートウェイの定義:オンプレミス ネットワークを表すローカル ネットワーク ゲートウェイ リソースを Azure に作成します。 このリソースは、オンプレミスの VPN デバイスのパブリック IP アドレスと、トンネル経由でルーティングする必要Azureオンプレミスのアドレス範囲を指定します。
3. 接続リソースの作成:VPN Gatewayをローカル ネットワーク ゲートウェイにリンクする接続リソースを作成します。 トンネルの共有キー (事前共有キー) と IPsec/IKE パラメーターを指定します。
4. IKE フェーズ 1 (メイン モード):Azure ゲートウェイとオンプレミス デバイスは、セキュリティで保護されたチャネルをネゴシエートします。 暗号化アルゴリズム、整合性アルゴリズム、Diffie-Hellman グループ、認証方法の提案を交換します。 結果は IKE セキュリティ アソシエーション (SA) になります。
5. IKEフェーズ2(クイックモード): フェーズ1のセキュアチャネルを使用することで、両者はIPsec SAパラメータ(暗号化アルゴリズム、整合性アルゴリズム、鍵寿命)を交渉します。 このプロセスにより、IPsec トンネルが確立されます。
6. トラフィック フロー: 両方のフェーズが完了すると、トンネルがアクティブになります。 定義されたアドレス範囲に一致するトラフィックは暗号化され、IPsec ESP パケットにカプセル化され、パブリック インターネット経由でリモート エンドポイントに送信されます。

アクティブ/アクティブ構成の場合、Azureは、それぞれ独自のパブリック IP を持つ 2 つのゲートウェイ インスタンスをプロビジョニングします。 オンプレミスデバイスは両方のインスタンスへのトンネルを確立し、1 つのインスタンスが使用できなくなった場合に自動フェールオーバーを提供します。

ExpressRoute の動作のしくみ

Azure ExpressRouteは、接続プロバイダーを介してオンプレミス ネットワークとAzureの間にプライベート接続を作成します。 VPN とは異なり、トラフィックはパブリック インターネットを経由することはありません。 接続モデルには、次の 3 つのネットワーク エッジが含まれます。

• カスタマー エッジ (CE): データセンターまたはコロケーション施設のオンプレミス ルーター。 このデバイスは、BGP を使用してプロバイダー エッジ ルーターとピアリングします。
• プロバイダー エッジ (PE): Meet-me の場所 (ピアリング機能) にある接続プロバイダーのルーター。 プロバイダーは、CE と PE の間にレイヤー 2 またはレイヤー 3 接続を設定します。
• Microsoft Edge (MSEE): ピアリング施設にある Microsoft Enterprise Edge ルーター。 プロバイダーは PE を MSEE に接続し、Azure へのプライベート パスを完成させます。

ExpressRoute 回線をプロビジョニングすると、プロバイダーは 3 つのエッジ間の冗長接続を設定します。 Azureは BGP を使用して VNet アドレス プレフィックスを CE ルーターにアドバタイズし、CE はオンプレミス ルートを Azure にアドバタイズします。 この双方向ルート交換により、トラフィックをプライベート パス経由でフローできます。

ExpressRoute では、次の 2 種類のピアリングがサポートされています。

• Azureプライベート ピアリング: Azure VNet (プライベート エンドポイントを使用した IaaS と PaaS) に接続します。 このピアリングの種類は、ハイブリッド接続で最も一般的です。
• Microsoft ピアリング: Microsoft 365 および Azure のパブリック サービス (Azure Storage のパブリック エンドポイントなど) に接続します。 特定のサービス プレフィックスを選択するには、ルート フィルターが必要です。

ExpressRoute SKU の比較

VPN Gateway SKU の比較

選択する方法

次のデシジョン テーブルを使用して、適切な接続オプションを選択し、ゲートウェイを配置する場所を決定します。

VPN Gatewayと ExpressRoute

ゲートウェイはどこに存在しますか?

ExpressRoute の回復性オプション

次の表は、ExpressRoute の可用性を向上させる方法をまとめたものです。 現在の SLA の割合については、サービス レベル アグリーメントAzure参照してください。

展開決定:ゲートウェイ配置の例

運用、ステージング、開発用に 3 つのスポーク VNet を備えたハブ アンド スポーク ネットワークを持つ企業を考えてみましょう。 運用ワークロードでは、待機時間の短いデータベース レプリケーションには ExpressRoute が必要ですが、開発ではコスト効率のためにVPN Gatewayが使用されます。

推奨される配置:

1. ハブVNetのGatewaySubnetにExpressRouteゲートウェイとVPN Gatewayの両方を展開してください(共存には/26サブネットが必要です)。
2. ゲートウェイ転送を有効にして、VNet ピアリングを介して運用スポークとステージング スポークをハブに接続します。 これらのスポークは、オンプレミス接続に ExpressRoute パスを使用します。
3. ゲートウェイ転送が有効になっている状態で、開発スポークをハブに接続します。 開発トラフィックが VPN トンネルを優先的に使用するようにルート テーブルを構成し、ExpressRoute データ転送コストを削減します。
4. ExpressRoute 回線でプロバイダーが停止した場合に備え、VPN 接続を運用環境のフェールオーバー パスとして構成します。

このアプローチはゲートウェイ管理を単一のハブに集中させ、必要なゲートウェイリソースの数を最小限に抑え、各スポークをそのワークロード要件に応じた適切な接続層にマッチさせます。

コストに関する考慮事項

VPN Gatewayと ExpressRoute の価格モデルは異なります。 これらのモデルを理解することは、支出を最適化するのに役立ちます。

コスト最適化のヒント:

• ワークロードがピアリングの場所と同じメトロエリアにある場合は、ExpressRoute の ローカル SKU を使用します。 この選択により、送信データ転送の料金が不要になります。
• 送信データ転送が 1 か月あたり約 10 TB 未満の場合は、ExpressRoute の 従量制課金プラン を選択します。 ボリュームの大きいワークロードには 無制限のプラン を使用します。
• 予算が限られているが冗長性が必要な場合は、2つ目のExpressRoute回線ではなくフェイルオーバーとしてVPN Gatewayを展開してください。
• VPN Gateway SKU のサイズを適切に設定します。 ほとんどの運用ワークロードで VpnGw2AZ から開始し、一貫したスループットの飽和状態が観察された場合にのみスケールアップします。
• ゲートウェイ使用率を月単位で確認します。 Azure Monitorメトリックは、トンネルのスループットと接続数を示し、過剰にプロビジョニングされたゲートウェイを識別するのに役立ちます。

設計上の考慮事項

前提条件

ハイブリッド接続を実装する前に、次の要件が満たされていることを確認します。

• GatewaySubnet を使用した仮想ネットワーク: VNet には、最小サイズが /27 (ExpressRoute ゲートウェイと VPN ゲートウェイを共存させる場合は /26) の GatewaySubnet という名前の専用サブネットが含まれている必要があります。 VNet とサブネットの計画ガイダンスについては、 VNet とサブネットに関する記事を参照してください。
• オンプレミス VPN デバイス (VPN Gateway): IKEv2 と IPsec をサポートする互換性のある VPN デバイス。 Microsoftは、検証済みの VPN デバイスの一覧を保持します。
• 接続プロバイダーの関係 (ExpressRoute の場合): ExpressRoute 接続プロバイダーまたは ExpressRoute Direct ポート割り当てとのコントラクト。 プロバイダーのプロビジョニングには、サービス キー交換と物理的なクロス接続のセットアップが必要です。
• IP アドレスの計画:オンプレミスネットワークとAzureネットワーク間の重複しないアドレス空間。 全体的な IP 戦略の一環として、ゲートウェイ サブネット アドレスを計画します。 IP 計画に関する記事を参照してください。
• ボーダーゲートウェイプロトコル(BGP)のサポート:ExpressRouteはBGPが必要で、VPN Gatewayの動的ルーティングには推奨されています。 オンプレミスの機器で BGP がサポートされたことを確認します。

セキュリティに関する考慮事項

ハイブリッド接続では、慎重な計画を必要とするセキュリティ境界が導入されます。 接続の種類ごとに、異なる脅威プロファイルと軽減戦略があります。

ExpressRoute トラフィックは既定では暗号化されません

ExpressRouteはプライベートパスを提供しますが、デフォルトではネットワーク層でのトラフィックを暗号化しません。 この暗号化の欠如は、物理的にプロバイダーのインフラにアクセスできる誰もが理論上トラフィックを傍受できることを意味します。 リスク プロファイルに基づいて、次の暗号化オプションを検討してください。

• MACsec (レイヤー 2): ExpressRoute Direct でのみ使用できます。 エッジ ルーターとMicrosoftのエッジの間の物理リンク上のトラフィックを暗号化します。 ポートプロビジョニング後にMACsecを明示的に有効にする必要があります。 このオプションは、待機時間のオーバーヘッドを最小限に抑えたワイヤスピード暗号化を提供します。
• ExpressRoute 経由の IPsec (レイヤー 3): エンドツーエンドの暗号化のために、ExpressRoute プライベート ピアリング接続経由で VPN トンネルを実行します。 この方法は、ExpressRoute 回線で動作し、プロバイダー ネットワークとMicrosoft バックボーンの両方のトラフィックを暗号化します。 VPN GatewayのSKUはスループットを制限します。
• アプリケーション層の暗号化: アプリケーション レベルで TLS/HTTPS を使用します。 この方法は接続の種類に依存せず、基になるトランスポートに関係なくデータを保護します。 これは、すべてのハイブリッド ワークロードで最も一般的で推奨される最小暗号化です。

ほとんどの組織では、ExpressRoute プライベート パスとアプリケーション層 TLS の組み合わせによって十分な保護が提供されます。 転送中のデータのネットワーク層暗号化が規制要件で義務付けられている場合にのみ、ExpressRoute 経由で MACsec または IPsec を追加します。

非対称ルーティングによってステートフル ファイアウォールが破損する

ExpressRoute や VPN などの複数の接続パスを使用する場合、トラフィックはさまざまな受信パスと送信パスに従うことができます。 ステートフル ファイアウォールは、元の要求とは異なるインターフェイスに到着したリターン トラフィックをドロップします。 ルーティングを計画して対称パスを確保するか、ルート テーブルと BGP 属性を使用してトラフィック フローを制御します。

軽減策には次のようなものがあります。

• バックアップ パスで BGP AS パス プリペンドを設定して、そのパスの優先度を下げます。
• サブネット上の ルート テーブル (UDR) を使用して、特定のゲートウェイ経由でトラフィックを強制します。
• ルートの選択に決定的に影響を与える BGP コミュニティ と ローカル優先設定 を構成します。
• フェールオーバー シナリオをテストして、到着したのと同じパスを介してトラフィックが返されることを確認します。

GatewaySubnet NSG の注意

NSG を GatewaySubnet に適用する必要がある場合は、少なくとも GatewayManager サービス タグと AzureLoadBalancer サービス タグからのトラフィックを許可します。 変更を行う前に、ゲートウェイのドキュメントで必要な規則の完全な一覧を確認してください。

サイト間VPN暗号化

IKEv2/IPsecは、常にサイト間VPNトラフィックを転送中に暗号化します。 接続の IPsec/IKE ポリシーの一部として、暗号化アルゴリズムとキーの強度を構成します。 カスタム ポリシーを使用して、既定値に依存するのではなく、特定の暗号化アルゴリズムを適用します。

運用環境のワークロードに推奨されるカスタム ポリシー設定:

• IKE フェーズ 1: AES-256 暗号化、SHA-256 整合性、DH グループ 14 以降
• IKE フェーズ 2 (IPsec): AES-256-GCM 暗号化、PFS グループ 14 以降
• 既定の SA 有効期間: 28,800 秒 (IKE)、3,600 秒 (IPsec)

Azure では後方互換性のために引き続きサポートされていますが、非推奨のアルゴリズム (DES、3DES、MD5、SHA-1、DH グループ 1/2) は使用しないでください。

ポイント・トゥ・サイトVPN認証

P2S VPN では、多要素認証 (MFA) 統合によるMicrosoft Entra ID認証がサポートされます。 このオプションは、Azureに接続する個々のクライアントに対して ID ベースのアクセス制御を提供します。 P2S VPNは証明書ベースおよびRADIUS認証もサポートしています。

要件に基づいて認証方法を選択します。

関連資料

• ハイブリッド接続とは何か?:Azureのハイブリッド接続サービスの概要とそれぞれの利用時期。
• VNet とサブネット: ハイブリッド接続の GatewaySubnet のサイズ設定と VNet の前提条件。
• 強制トンネリングとエグレス制御: 強制トンネリングによって、インターネットにバインドされたトラフィックがAzureからオンプレミスにルーティングされる方法。
• PaaS サービスへのプライベート アクセス: ハイブリッド接続を介してオンプレミス ネットワークからプライベート エンドポイントに到達できるようにする。
• 開発者と管理者向けのリモートアクセス:ポイント・トゥ・サイトVPN展開、アイデンティティ統合、クライアント設定の詳細。
• マルチクラウドおよび地域横断接続:ExpressRoute Global Reachおよびクロスクラウド接続シナリオ。
• ハブ アンド スポーク トポロジ: ハブ VNet およびスポーク ルーティング構成でのゲートウェイの配置。

詳細情報

• Azure VPN Gateway とは
• Azure ExpressRoute とは
• ExpressRoute Direct について
• VPN Gateway構成設定について
• ExpressRoute を使用した高可用性のための設計
• ExpressRoute プライベート ピアリングのバックアップとして S2S VPN を使用する
• ExpressRoute の暗号化について

次のステップ