アウトバウンド インターネット アクセス: Azure からの送信トラフィックの制御

この記事では、Azure仮想ネットワークからの送信インターネット アクセスを制御する方法について説明します。 NAT ゲートウェイ、Azure Firewall、および結合されたエグレス パターンを比較して、ワークロードの予測可能で安全な方法を選択するのに役立ちます。

この記事の内容

送信エグレス制御は、Azureワークロードがパブリック インターネットに到達する方法を決定します。 適切に設計されたエグレス戦略は、予測可能なパブリック IP アドレスを提供し、SNAT ポートの枯渇を防ぎ、必要に応じて送信先別に送信接続をフィルター処理します。

この記事が必要なユーザー

これらの条件の 1 つ以上が該当する場合は、この記事をお読みください。

• ワークロードでは、更新プログラム、API、または外部サービスのインターネットへの送信アクセスを制御する必要があります。
• 送信接続には予測可能なパブリック IP アドレスが必要です。
• SNAT ポートの枯渇を防ぐか、高接続ワークロードの送信接続をスケールする必要があります。
• NAT ゲートウェイ、Azure Firewall、またはエグレス制御と検査の組み合わせパターンを選択する必要があります。

Azureサービスと機能

次の表では、Azure仮想ネットワークで送信インターネット アクセスに使用できるサービスと機能について説明します。

選択する方法

外向きアクセスを制御する方法

要件に基づいてエグレス方法を選択するには、次の表を使用します。

エグレス向けの NAT Gateway と Azure Firewall の比較

次の比較を使用して、NAT ゲートウェイとAzure Firewallを個別に使用した場合のトレードオフを理解します。

送信トラフィックのルーティング優先度

Azureは、次の優先順位で送信メソッドを評価します。 優先順位の高いメソッドは、同じサブネット上の優先順位の低いメソッドをオーバーライドします。

1. 仮想アプライアンスまたは仮想ネットワーク ゲートウェイへの UDR: NAT ゲートウェイ を含む他のすべての送信方法をオーバーライドします。
2. NAT ゲートウェイ: インスタンス レベルのパブリック IP とロード バランサーの送信規則よりも優先されます。
3. 仮想マシン上のインスタンス レベルのパブリック IP。
4. ロード バランサーのアウトバウンド規則。
5. インターネットへの既定のシステム ルート (Microsoft新しいデプロイではこのオプションは廃止されました)。

結合アーキテクチャ: NAT ゲートウェイ + Azure Firewall

エンタープライズ エグレスに推奨される運用パターンは、両方のサービスを組み合わせたものです。

1. ワークロード サブネットには、0.0.0.0/0 トラフィックをAzure Firewallプライベート IP アドレスに送信する UDR があります。
2. Azure Firewallは、ネットワーク ルール、アプリケーション ルール、またはその両方を使用して送信トラフィックを検査およびフィルター処理します。
3. NAT ゲートウェイは AzureFirewallSubnet に関連付け、ファイアウォールの送信接続にスケーラブルな SNAT を提供します。
4. 二重 NAT は発生しません。 ファイアウォールはプライベート IP を使用して NAT ゲートウェイにトラフィックを送信し、NAT ゲートウェイはパブリック IP を使用して SNAT を 1 回適用します。

このアーキテクチャにより、スケーラブルな SNAT を使用した一元的な検査が可能になります。 AZUREFirewallSubnet では追加の UDR は必要ありません。NAT ゲートウェイは、関連付けられているときに送信インターネット トラフィックを自動的にルーティングするためです。

データ フローのチュートリアル

次のシーケンスは、1 つの送信要求が結合されたアーキテクチャを通過する方法を示しています。

1. ワークロード サブネット内の VM は、外部 API (たとえば、 api.contoso.com:443) への TCP 接続を開始します。
2. サブネットの UDR は 0.0.0.0/0 と一致し、パケットをAzure Firewallプライベート IP に送信します。
3. Azure Firewallは、アプリケーション ルールとネットワーク ルールに対して接続を評価します。 FQDN 許可エントリを含むアプリケーション規則が一致する場合、ファイアウォールは接続を許可します。
4. ファイアウォールは、AzureFirewallSubnet 上の独自のインターフェイスから許可されたパケットを送信します。
5. AzureFirewallSubnet に関連付けられている NAT ゲートウェイは、SNAT を実行します。 ファイアウォールのプライベート ソース IP をパブリック IP のいずれかに変換し、プールから SNAT ポートを割り当てます。
6. 外部 API からの応答は、NAT ゲートウェイのパブリック IP に戻ります。 NAT ゲートウェイは逆変換を実行し、パケットをファイアウォールに返します。
7. ファイアウォールは、既存の接続状態を介して送信元 VM に応答を送信します。

このエンド ツー エンド フローでは、ファイアウォールはトラフィックを 1 回だけ検査し、NAT ゲートウェイは 1 回だけ SNAT を適用し、二重 NAT は適用しません。

監視と診断

エグレス インフラストラクチャを監視して、ワークロードに影響を与える前に容量の問題を検出します。

• NAT ゲートウェイのメトリック:Azure Monitorで、SNAT 接続の合計数、SNAT 接続数 (状態ごと)、およびデータパスの可用性を監視します。 SNAT ポートの使用量が割り当てられた容量の 80% を超えたときにアラートを設定します。
• Azure Firewallログ: 診断設定を有効にして、Log Analyticsにログを送信します。 許可された送信接続と拒否された送信接続を監査するには、 AzureFirewallApplicationRule ログ カテゴリと AzureFirewallNetworkRule ログ カテゴリを使用します。
• 接続モニター: Network Watcher 接続モニターを使用して、ワークロード VM から外部エンドポイントへのエンドツーエンドの接続をテストします。 接続モニターは、SNAT の枯渇またはファイアウォールの構成ミスを示す可能性のある待機時間の増加と接続エラーを検出します。
• ファイアウォール メトリック:スループット、ルール ヒット数、SNAT ポート使用率を追跡して、ファイアウォール SKU のサイズを適切に設定し、ホット ルールを特定します。

設計上の考慮事項

前提条件

アウトバウンド エグレス制御を実装する前に、次の項目を確認してください。

• 仮想ネットワークは、 ワークロードに合わせてサイズ設定されたサブネットでデプロイされます。 サブネットの設計ガイダンスについては、 仮想ネットワークとサブネットに関する ページを参照してください。
• ユーザー定義ルート (UDR) と、既定のAzure ルーティングをオーバーライドする方法について説明します。 UDR 構成の詳細については、「 仮想ネットワークとサブネット 」を参照してください。
• Azure Firewallを使用すると、ファイアウォール サブネットのサイズが正しく設定されます。 AzureFirewallSubnet には、少なくとも /26 (64 個のアドレス) が必要です。
• SNAT のスケール要件は把握している。 ピーク同時送信接続を計算して、必要な NAT ゲートウェイ パブリック IP の数 (IP あたり 64,512 ポート) を決定します。

セキュリティに関する考慮事項

既定のアウトバウンド アクセスを置き換える

既定の送信アクセスは廃止されます。 2026 年 3 月 31 日以降にリリースされた API バージョンの場合、新しい仮想ネットワークは既定でプライベート サブネットに設定されます (自動送信なし)。 既存の仮想ネットワークは影響を受けませんが、明示的な送信方法に移行する必要があります。 詳細については、 既定の送信アクセスに関するドキュメントを参照してください。

一元化されたファイアウォール検査のための UDR ルーティング

エグレス制御にAzure Firewallを使用する場合は、次を使用して、すべてのワークロード サブネットに UDR を作成します。

• 宛先: 0.0.0.0/0
• 次ホップの種類: 仮想アプライアンス
• 次ホップ アドレス: Azure Firewallプライベート IP (例: 10.0.1.4)

この構成により、ワークロード サブネットからのすべてのインターネットにバインドされたトラフィックが、検査のためにファイアウォールを通過します。 この UDR がないと、トラフィックはファイアウォールをバイパスし、サブネットで直接構成されている送信方法を使用します。

SNAT ポートの枯渇を防ぐ

SNAT ポートの枯渇は、ワークロードが使用可能なポート インベントリでサポートされているよりも多くの同時送信接続を開いたときに発生します。 現象には、断続的な接続タイムアウト、送信接続での TCP RST パケット、ソケット エラーが発生した失敗した HTTP 要求などがあります。 アプリケーション ログには、"既に使用中のアドレス" または "要求されたアドレスを割り当てることができない" というエラーが表示されます。 通常、枯渇は高負荷時に発生するのが一般的で、同じ宛先 IP アドレスとポートに対して多数の短時間接続が短時間のうちに急速に確立される場合に見られます。

枯渇を防ぐには:

• 送信接続数が多いワークロードには NAT ゲートウェイを使用します。 各パブリック IP は、サブネット内のすべてのリソースに動的に割り当てられた 64,512 個の SNAT ポートを提供します。
• 監視でポート使用量が 80%を超える場合は、パブリック IP を NAT ゲートウェイに追加します。 最大 16 個のパブリック IP を追加します。
• アプリケーション コードで接続プールを使用して、すべての要求に対して新しい接続を開くのではなく、既存の接続を再利用します。
• 可能な場合は宛先エンドポイントを分散します。 SNAT ポートの割り当ては宛先 IP/ポート タプルごとに行われるので、複数の宛先 IP にトラフィックを分散すると、ポートの負荷が軽減されます。
• アイドル タイムアウトを減らして、 ポートを迅速に回収します。 NAT ゲートウェイの既定のアイドル タイムアウトは 4 分です。 有効期間の短い接続を多数作成するワークロードの場合は、この値を小さくします。

ネットワーク セキュリティ グループがエグレス制御を補完する

ネットワーク セキュリティ グループ (NSG) と送信エグレスメソッドは、さまざまな目的に対応し、連携します。 NSG は、サブネットまたは NIC レベルで IP アドレスとポートによってトラフィックをフィルター処理します。 NAT ゲートウェイとAzure Firewallは、トラフィックがインターネットに到達する方法を制御します。 多層防御には両方のレイヤーを使用します。 NSG 設計ガイダンスについては、 ネットワーク セキュリティ グループとアプリケーション セキュリティ グループ に関するページを参照してください。

強制トンネリングに関する考慮事項

オンプレミス経由の強制トンネリング エグレスでは、待機時間が発生し、オンプレミスのファイアウォールへの依存関係が追加される可能性があります。 待機時間が短いことが重要な場合は、エグレス検査のAzure Firewallを検討してください。 コンプライアンスでオンプレミスの検査が義務付けられている場合は、ワークロード サブネットからのエンドツーエンドの待機時間をテストし、オンプレミスパスがボトルネックになることなくスループット要件を処理できることを確認します。

データ流出を防止する

FQDN フィルター処理Azure Firewall、送信接続を承認済みのドメイン名のみに制限することで、データ流出を防止します。 特定の FQDN へのトラフィック ( *.blob.core.windows.net や api.partner.comなど) を許可し、他のすべての送信接続を拒否するアプリケーション ルールを定義します。 この方法により、侵害されたワークロードが攻撃者が制御するエンドポイントにデータを送信できなくなります。

関連資料

• 仮想ネットワークとサブネット: サブネットの設計と UDR ルーティング
• IP アドレスの計画: NAT ゲートウェイのパブリック IP 割り当て
• Azure Firewallの配置と規則: 規則コレクションの優先順位とアーキテクチャ パターンに関する詳細なファイアウォール ガイダンス
• ネットワーク セキュリティ グループとアプリケーション セキュリティ グループ: エグレス制御を補完するトラフィック フィルタリング
• ハイブリッド接続: 強制トンネリングは、必要に応じてオンプレミスにエグレスを送信します
• インバウンド インターネット接続: エグレスの対となる受信側

詳細情報

• Azure NAT Gateway のドキュメント
• Azure Firewall のドキュメント
• Azure における VM の既定のアウトバウンド アクセス
• Azure NAT Gatewayを使用して SNAT ポートをスケーリングする (ファイアウォール統合)
• Azure Firewall Premium の機能

次のステップ