IPv6 経由で Azure Private Link を構成する（プレビュー）

Azure Private Link over IPv6は、IPv6ベースの接続を通じてAzure StorageやAzure SQL DatabaseなどのAzure PaaSサービスにプライベートアクセスを可能にします。 IPv6プライベートエンドポイントを使って、Azure仮想ネットワーク内のIPv6クライアントや、ExpressRoute経由でオンプレミスネットワークから接続します。

この記事では、Private Link over IPv6に必要な仮想ネットワーク、プライベートエンドポイント、DNS、ExpressRoute、ルーティングコンポーネントの設定方法と接続性の検証方法を紹介します。

サポートされているシナリオ

Private Link over IPv6は以下の接続シナリオをサポートしています:

• Azureネイティブ接続:仮想ネットワーク内のIPv6クライアント仮想マシン(VM)がIPv6プライベートエンドポイントを介してAzure PaaSサービスに接続します。

• オンプレミス接続:オンプレミスのIPv6クライアントはVirtual Network Routing Applianceを通じてExpressRoute経由でIPv6プライベートエンドポイントにアクセスします。 ExpressRouteはオンプレミスのIPv6クライアントからVirtual Network Routing Applianceへトラフィックを転送し、そこからAzure PaaSサービスがホストするターゲットとなるIPv6プライベートエンドポイントへトラフィックをルーティングします。

前提条件

• アクティブなサブスクリプションを持つ Azure アカウント。 無料でアカウントを作成できます。

• Private Link over IPv6プレビューのサブスクリプション登録が必要です。 リソースを設定する前に、登録は必須です。 以下のコマンドを実行することで自己登録が可能です:

  az feature register --namespace Microsoft.Network --name SupportIPv6PrivateEndpoint --subscription <subscription-id>
  az provider register --namespace Microsoft.Network
  

• プレビューは以下の地域でのみ利用可能です:

  • 米国中西部
  • 東アジア
  • 英国南部
  • 米国中部
  • 北ヨーロッパ

• プレビューはAzure Storage、Azure SQL Database、Azure Key Vault、Azure Data Explorer向けのIPv6プライベートエンドポイントをサポートしています。

• デュアルスタック(IPv4およびIPv6)仮想ネットワーク。 作成方法については、「 デュアルスタック(IPv4およびIPv6)構成で仮想ネットワークを作成する」をご覧ください。 以下の仮想ネットワークポリシーを設定します:

  "privateEndpointVNetPolicies": "Basic"
  

• プライベートエンドポイント用のデュアルスタックサブネット。 サブネットを追加するには、「 サブネットを追加」をご覧ください。 サブネット上で以下のポリシーを設定します:

  "privateEndpointNetworkPolicies": "RouteTableEnabled"
  

• デュアルスタック仮想ネットワーク内のIPv6アドレスを持つ仮想マシン(VM)。 作成方法については「 デュアルスタックVMの作成」を参照してください。

もしプライベートエンドポイント用のターゲットリソースがまだない場合は、以下のクイックスタートを使って作成してください:

プライベートエンドポイントの設定

ip-version-typeパラメータをIPv6に設定したプライベートエンドポイントを作成します。 このパラメータは、プライベートエンドポイントがIPv4アドレスを使うかIPv6アドレスを使うかを決定します。 一般的なプライベートエンドポイント作成手順については、「 プライベートエンドポイントを作成する」をご覧ください。

以下の例は、IPv6プライベートエンドポイントを作成するためのAzure CLI構文を示しています:

az network private-endpoint create \
  --name <private-endpoint-name> \
  --resource-group <resource-group-name> \
  --vnet-name <vnet-name> \
  --subnet <subnet-name> \
  --private-connection-resource-id <resource-id-of-target-service> \
  --group-id <group-id> \
  --connection-name <connection-name> \
  --location <region> \
  --ip-version-type IPv6

DNS を構成する

PaaS サービスの完全修飾ドメイン名 (FQDN) がプライベート エンドポイントの IPv6 アドレスに解決されるように、Azure プライベート DNS を設定します。

1. 各サービスタイプごとにプライベート DNSゾーンを作成します。 手順については、「AzureプライベートDNSゾーンを作成」をご覧ください。 サービスごとに使用するゾーン名については、Azure Private Endpoint DNS 設定を参照してください。

2. プライベート DNSゾーンをプライベートエンドポイントにリンクします。

3. PaaSのFQDNがプライベートエンドポイントのIPv6アドレスに解決されているかを検証してください。

Azure ネイティブ接続の検証

デュアルスタック仮想ネットワーク内のAzure VMがIPv6経由でPaaSサービスに接続されているかを検証してください。 以下の例はAzure Storageアカウントを使用しています。

• ストレージアカウントFQDNがIPv6プライベートエンドポイントアドレスに解決されていることを確認してください。

• 標準サービスのFQDNを使ってストレージアカウントにアクセスします。

デュアルスタックVMからストレージアカウントFQDNを解決します:

nslookup <storage-account>.blob.core.windows.net

コマンドは以下の例のような出力を返します。

<storage-account>.privatelink.blob.core.windows.net
AAAA: <private endpoint IPv6 address>

ストレージアカウントとの接続性を確認する:

curl https://<storage-account>.blob.core.windows.net
Test-NetConnection <storage-account>.blob.core.windows.net -Port 443

ExpressRouteおよびVirtual Network Routing Applianceを使ったオンプレミス接続の設定

オンプレミスのIPv6クライアントは、Virtual Network Routing Applianceを通じてExpressRouteを通じてIPv6プライベートエンドポイントにアクセスします。 ExpressRouteはオンプレミスのIPv6クライアントからVirtual Network Routing Applianceへトラフィックを転送し、そこからAzure PaaSサービスがホストするターゲットとなるIPv6プライベートエンドポイントへトラフィックをルーティングします。

この接続性には以下の要素が必要です:

• 接続タイプ(FastPathまたは標準)に合ったゲートウェイSKUを備えたExpressRoute回線を用意してください。 詳しくは、「ExpressRoute 回線の作成と変更」をご覧ください。

• ExpressRouteゲートウェイvirtual networkで作成されたデュアルスタックのVirtual Network Routing Applianceで、IPv6トラフィックをプライベートエンドポイントに転送します。 手順については「Virtual Network Routing Applianceの作成」を参照してください。

ユーザー定義ルートの作成

1. ルートテーブルを作成し、 Propagateゲートウェイのルート を 「はい」に設定します。 手順については「 ルートテーブルの作成」を参照してください。

2. 以下の値でルートを追加します:

   Setting	価値
   宛先の種類	IP アドレス
   行き先	プライベートエンドポイント IPv6 プレフィックス
   ネクストホップの種類	仮想アプライアンス
   ネクストホップ アドレス	Virtual Network Routing Appliance IPv6アドレス

3. Virtual Network Routing Appliance を作成した仮想ネットワーク内の GatewaySubnet に、ルート テーブルを関連付けてください。

接続を検証する

オンプレミスのIPv6クライアントからプライベートエンドポイントへの接続性を検証します。

1. クライアントVMからPaaS FQDNのDNS検索を実行し、プライベートエンドポイントのIPv6アドレスに解決されていることを確認します。

2. PaaS FQDNを使ってサービスに接続してください。

3. 以下の結果を確認してください:

   • クライアントはIPv6を介してプライベートエンドポイントに接続します。
   • データプレーントラフィックは期待通りに動作します。
   • 接続性はデュアルスタックのシナリオで機能します。

Limitations

Private Link over IPv6にはプレビュー段階で以下の制限があります:

• 地域限定の入手可能性 – この文書の先に述べたプレビュー地域を参照。
• 宛先のPaaSリソースはプライベートエンドポイントと同じリージョンにある必要があります。 このリリースでは地域間の接続性はサポートされていません。
• このリリースでサポートされているPaaSサービスは限定的です(Storage、SQL、AKV、Azure Data Explorer)。
• 現在のオンプレミス接続サポートはExpressRouteベースのシナリオに限定されており、VPN、Virtual WAN(vWAN)、ネットワーク仮想アプライアンス(NVA)は含まれていません。
• このプレビューでは、IPv6上のPrivate Linkを使用するNSGやASGはサポートされていません。
• PL IPv6のシナリオでは、元のクライアントのIPv6アドレスは下流のサービスログに保持されません。 暗黙のNAT変換のため、ログにはVNet側の変換済み送信元IPアドレスが表示されます。

Support

プレビュー期間中、製品グループはサポート サービスを提供します。 サポートを依頼するには、以下のフォームにご記入ください:

Private Link IPv6 パブリックプレビューサポートリクエスト

関連するコンテンツ

• Azure Private Link とは
• プライベート エンドポイントは何ですか?
• Azure Private Link の可用性