リフトアンドシフトネットワーク設計パス

このガイドでは、アプリケーションを再設計することなく、オンプレミスのワークロードを Azure サービスとしてのインフラストラクチャ (IaaS) に移行するお客様向けに、Azure ネットワーク設計ガイドを通じて、シーケンスされた読み取りパスを提供します。 番号付き手順に従ってネットワークを一から構築し、各段階で適切な意思決定を行います。

Overview

リフト アンド シフト移行では、アプリケーション アーキテクチャの変更を最小限に抑えながら、既存のオンプレミス ワークロードをAzure仮想マシン (VM) に移行します。 アプリケーションは、既存の通信パターン、依存関係、および構成を保持します。 Azureで構築するネットワークでは、Azureネイティブのセキュリティと接続サービスを利用しながら、これらの既存のパターンをサポートする必要があります。

ターゲット アーキテクチャは、一元化された共有サービスを備えたハブアンドスポーク トポロジです。 1 つのハブ仮想ネットワーク (VNet) は、VPN Gatewayまたは ExpressRoute 接続をオンプレミスにホストし、セキュリティで保護された VM アクセス用のAzure Bastion、一元化されたトラフィック検査用のAzure Firewall、DNS 転送を行います。 スポーク VNet は、移行されたワークロード VM をホストし、既定では互いに分離され、ワークロード間通信のためにハブを介して接続されます。

この読み取りパスでは、5 つのフェーズで 10 の重要な記事を確認できます。 各記事は、前の手順で行った決定に基づいています。 最終的には、多層防御のセキュリティと接続性を備えた移行されたワークロードをサポートする、運用対応のネットワーク設計が用意されています。

前提条件

  • 使用可能なサービスとガイド構造の向きについては、Azureネットワーク計画と設計の概要を参照してください。
  • 既存のオンプレミス ネットワークのインベントリ (IP 範囲、サブネット、ファイアウォール規則、DNS ゾーン、アプリケーション間トラフィック フロー) を完了します (このインベントリについては、基本的な記事「VNet とサブネット、IP アドレスの計画、NSG の構成」を参照してください)。
  • 最初に移行する予定のワークロードを特定します。 完全な資産を移行する前に、パイロット グループから始めます。
  • オンプレミスの接続要件 (Azureへの帯域幅、待機時間の感度、およびフェールオーバーの期待値) を文書化します。

あなたの閲覧経路

これらのフェーズを順番に実行します。 各フェーズは、前のフェーズの決定に基づいています。

フェーズ 1: 基礎

3 つの基本的な記事から始めます。 これらの決定は、その後のすべての要素を形成します。

1. 仮想ネットワークとサブネット

移行された VM をホストする VNet を作成します。 既存のネットワーク セグメントをAzureサブネットにマップします。 サブネット分離境界に焦点を当てます。サブネットを共有するワークロード、独自のサブネットが必要なワークロード、VM 数に基づいて各サブネットに必要な IP アドレスの数。

2. IP アドレスの計画

オンプレミス環境との IP 重複を避けます。 VNet ごとに /16 クラスレス ドメイン間ルーティング (CIDR) プールを使用して、拡張の余地を残します。 オンプレミスの範囲がAzure予約済みアドレスまたは他のAzure サブスクリプションと重複している場合は、移行する前に再アドレス指定戦略を計画してください。

3. ネットワーク セキュリティ グループとアプリケーション セキュリティ グループ

既存のファイアウォール規則をネットワーク セキュリティ グループ (NSG) としてミラー化します。 既定の拒否体制を使用して、オンプレミスのアクセス制御リスト (ACL) を NSG ルールに変換します。 アプリケーション セキュリティ グループ (ASG) を使用して、個々の IP アドレスを管理するのではなく、ロール別に VM をグループ化します。

フェーズ 2: トポロジ

4. ハブアンドスポークトポロジ

ハブアンドスポークは、マルチワークロードのリフトアンドシフト移行の既定のトポロジです。 ハブ VNet に共有サービス (VPN Gateway、Azure Bastion、Azure Firewall、DNS フォワーダー) を配置します。 各ワークロードには、ハブとピアリングされた専用のスポーク VNet があります。 スポークはハブ ファイアウォールを介して通信し、一元的なトラフィック制御を提供します。

フェーズ 3: 接続

5. ハイブリッド接続

オンプレミスへのVPN GatewayまたはAzure ExpressRouteは、最も重要な移行の依存関係です。 この接続がないと、移行された VM は、依存しているオンプレミス のサービスに到達できません。また、ユーザーは移行されたアプリケーションにアクセスできません。 インベントリに記載したトラフィック パターンに基づいて、ゲートウェイ帯域幅のサイズを設定します。

6. 開発者と管理者のアクセス

Azure Bastionは、パブリック インターネットに公開することなく、移行された VM に対する安全なリモート デスクトップ プロトコル (RDP) と Secure Shell (SSH) アクセスを提供します。 ハブ VNet に Bastion をデプロイして、すべてのスポークが 1 つのアクセス ポイントを共有できるようにします。 既存のジャンプボックス インフラストラクチャをこのマネージド サービスに置き換えます。

フェーズ 4: セキュリティ

7. DNS セキュリティとプライベート名解決

移行中に従来の DNS 名前付け動作を保持します。 移行した VM はオンプレミスのホスト名を解決する必要があり、オンプレミス システムはAzureホスト名を解決する必要があります。 双方向転送Azure DNSプライベート リゾルバーを構成します。 アプリケーションの再構成を回避するために、既存の DNS 名前付け規則を保持します。

8. アウトバウンド インターネット アクセス

すべての送信インターネット トラフィックをハブ ファイアウォール経由で一元化します。 スポーク VNet の既定の送信アクセスを無効にし、User-Defined ルート (UDR) を使用してAzure Firewall経由で送信トラフィックをルーティングします。 このアプローチは、境界ファイアウォールがインターネットにバインドされたすべてのトラフィックを制御する既存のオンプレミス モデルを反映しています。

9. Azure Firewall

ハブ VNet にAzure Firewallをデプロイして、一元的な東西 (スポーク間) と南北 (送信) トラフィック制御を行います。 オンプレミスのファイアウォール ポリシーをAzure Firewall規則に変換します。 完全修飾ドメイン名 (FQDN) ターゲットを使用した HTTP/HTTPS フィルター処理では、HTTP 以外のトラフィックとアプリケーション ルールにネットワーク 規則を使用します。

フェーズ 5: 操作

10. ネットワークの監視と可観測性

移行ベースラインを検証するためのAzure Network Watcherと接続モニターを設定します。 接続パスが期待どおりに動作することを確認します。 Azure VM とオンプレミス システムの間の待機時間を測定し、運用ワークロードを移行する前にパフォーマンス ベンチマークを確立します。

条件付き記事

すべてのリフト アンド シフト移行で同じ記事セットが必要になるわけではありません。 特定の要件に基づいて、次の記事を含めます。

状態 記事 含めるタイミング
インターネットに接続するアプリケーション インターネットイングレス 移行されたアプリケーションは、インターネットから到達可能である必要があります
レイヤー 7 (L7) の負荷分散が必要 アプリケーションの配信とパフォーマンス ワークロードには、Azure Application GatewayまたはAzure Front Doorが必要です
パブリック Web アプリケーション Web アプリケーション ファイアウォール 移行されたアプリケーションがパブリック HTTP/HTTPS トラフィックを処理する
パブリック IP の公開 DDoS 保護 パブリック エンドポイントを使用するリソースのアップタイム要件がある
複数リージョンが必要 マルチリージョン ネットワーク ディザスター リカバリーまたはアクティブ-アクティブ デプロイが必要
リージョン間の接続 リージョン間接続とマルチクラウド接続 その他のリージョンまたは他のクラウドがスコープ内にある
分岐スケールのトランジット Azure Virtual WAN 多数のブランチオフィスや接続拠点がある
PaaS コンポーネント PaaS プライベート アクセス 一部のワークロード コンポーネントが Azure PaaS サービスに移行する
大規模な VNet 資産 一元化されたネットワーク管理 移行により、一元的なガバナンスを必要とするマルチ VNet 資産が作成されます

まとめ

この読み取りパスに従って、一元化された共有サービス、確立された VPN または ExpressRoute 接続をオンプレミスに戻すハブアンドスポーク ネットワーク、一元的なトラフィック検査用にデプロイされたAzure Firewall、名前解決用に DNS 転送を構成し、Azure Bastion経由で VM アクセスをセキュリティで保護し、移行を検証するための監視を設定しました。 このアーキテクチャでは、移行されたワークロードがサポートされ、一元的なセキュリティと運用上の可視性が提供されます。

次のステップ

  • Last updated on