この記事では、仮想ハブ内のAzure Firewallとスポーク仮想ネットワーク内のネットワーク仮想アプライアンスを組み合わせて、さまざまなトラフィック検査パスを実現する高度なVirtual WAN設計について説明します。
シナリオの概要
Note
このアーキテクチャでは、二重検査シナリオはサポートされていません。 二重検査シナリオは、パケットがVirtual WAN ハブのAzure Firewallにルーティングされて検査され、スポーク仮想ネットワーク内の NVA に転送されるユース ケースです。 ダブルインスペクションアーキテクチャ は、仮想ネットワーク接続上の静的ルートとルーティングインテントを組み合わせて使用する Virtual WAN ハブでサポートされ、静的ルートの伝播 は true に設定されます。
この設計パターンでは、静的ルートを組み合わせて使用し、オンプレミスネットワークと仮想ネットワークの間のトラフィックなどのプライベートトラフィックをAzure Firewallに送信し、検査を行います。 同時に、インターネットにバインドされたトラフィックは、検査とブレークアウトのためにスポーク仮想ネットワークにデプロイされたネットワーク仮想アプライアンス (NVA) に送信されます。
この設計パターンは、Azure FirewallがAzureとオンプレミスのワークロード間のトラフィック検査に使用されるネットワーク トポロジで最も一般的ですが、インターネット アクセスはサードパーティのネットワーク仮想アプライアンス (NVA) またはセキュリティで保護された Web ゲートウェイ (SWG) サービスによって制御されます。
ネットワークダイアグラム
上の図では、次の 2 種類の仮想ネットワークがあります。
- DMZ Virtual Network: インターネット エグレスに使用される NVA または SWG サービスをホストします。
- ワークロード仮想ネットワーク: Virtual WAN ハブに接続されている他のすべての仮想ネットワーク。
トラフィック フロー
次の接続マトリックスは、このシナリオのトラフィック フローをまとめたものです。
| Source | ワークロード用仮想ネットワーク | DMZ Virtual Network | On-premises | インターネット |
|---|---|---|---|---|
| ワークロード用仮想ネットワーク | Azure Firewall経由 | Azure Firewall経由 | Azure Firewall経由 | DMZ NVA 経由 |
| DMZ Virtual Network | 直接 | 直接 | 直接 | 直接 |
| On-premises | Azure Firewall経由 | Azure Firewall経由 | 直接 | DMZ NVA 経由 |
Configuration
Virtual WAN ルート テーブル
| ルート テーブル名 | 関連付けられている接続 | 推論 |
|---|---|---|
| デフォルトルートテーブル | branches | オンプレミスのトラフィックをAzure Firewallにルーティングしてプライベート トラフィックを検査し、またインターネットエグレス用にDMZ NVAに送り込むためにブランチ接続で使用されます。 |
| ワークロードルートテーブル | ワークロード仮想ネットワーク | ワークロード仮想ネットワークにより、プライベートトラフィックはAzure Firewallに、インターネット向けトラフィックはDMZ仮想ネットワークにルーティングされます。 |
| dmzRouteTable | DMZ 仮想ネットワーク | DMZ 仮想ネットワークでブランチプレフィックスとワークロード プレフィックスを学習するために使用され、NVA は検査とブレークアウトの後にトラフィックを直接返すことができます。 |
Virtual WAN ルーティングの構成
| 接続 | 関連付けられたルート テーブル | 伝達されたルート テーブル | 推論 |
|---|---|---|---|
| オンプレミス接続 | デフォルトルートテーブル | デフォルトルートテーブル (defaultRouteTable)、DMZルートテーブル (dmzRouteTable) | DMZ NVA がトラフィックをオンプレミス ネットワークに直接ルーティングできるように、オンプレミスのプレフィックスを DMZ ルート テーブルに送信する必要があります。 |
| ワークロード仮想ネットワーク | ワークロードルートテーブル | ワークロードルートテーブル、DMZルートテーブル | ワークロード プレフィックスは、他のワークロードと dmzRouteTable の両方に表示される必要があります。 DMZ に伝達することで、DMZ NVA がトラフィックをワークロード仮想ネットワークに直接ルーティングできるようになります。 |
| DMZ 仮想ネットワーク | dmzRouteTable | dmzRouteTable、defaultRouteTable、workloadRouteTable | DMZ 仮想ネットワークは、すべてのルート テーブルに伝達されます。 これにより、他のすべての接続が外向きの通信を行うために DMZ 仮想ネットワークに直接アクセスできるようになります。 |
静的ルート
次の静的ルートは、NVA 仮想ネットワーク接続に静的ルートを直接追加し、 静的ルートの伝達 を true (オプション 1 の静的ルーティング モデル) に設定して構成します。 静的ルートは、適切なルート テーブル (defaultRouteTable と workloadRouteTable) に自動的に挿入されます。
| 仮想ネットワーク接続 | アドレス プレフィックス | 次ホップの IP アドレス | 推論 |
|---|---|---|---|
| DMZ | 0.0.0.0/0 | 10.5.10.5 | インターネットにバインドされたトラフィックを、DMZ 仮想ネットワークにデプロイされた NVA または SWG に送信して、検査とブレークアウトを行います。 |
オンプレミス ネットワークと仮想ネットワークからのトラフィックをAzure Firewallにルーティングするには、次の静的ルートが必要です。
| ルート テーブル | アドレス プレフィックス | ネクストホップ | 推論 |
|---|---|---|---|
| ワークロードルートテーブル | 10.0.0.0/8、192.168.0.0/16、172.16.0.0/12 | Azure Firewall | オンプレミス ネットワーク宛ての仮想ネットワーク トラフィックを、検査のためにAzure Firewallに送信します。 0.0.0.0/0 ルートは NVA 仮想ネットワーク接続の静的ルートの伝達設定のために自動的に伝達されるため、0.0.0.0/0 ルートは必要ありません。 |
| デフォルトルートテーブル | 10.0.0.0/8、192.168.0.0/16、172.16.0.0/12 | Azure Firewall | ワークロード仮想ネットワーク宛てのオンプレミス トラフィックを検査のためにAzure Firewallに送信します。 0.0.0.0/0 ルートは NVA 仮想ネットワーク接続の静的ルートの伝達設定のために自動的に伝達されるため、0.0.0.0/0 ルートは必要ありません。 |
オプション 2 の静的ルーティング モデルを使用する場合は、ルート テーブルに追加の静的ルートを追加します。
| ルート テーブル | アドレス プレフィックス | ネクストホップ | 推論 |
|---|---|---|---|
| ワークロードルートテーブル | 0.0.0.0/0 | DMZバーチャルネットワーク接続 | 仮想ネットワークのインターネットトラフィックをDMZのNVAに送信します。 |
| デフォルトルートテーブル | 0.0.0.0/0 | DMZバーチャルネットワーク接続 | オンプレミスのトラフィックをインターネットに接続するために、DMZにあるNVAに送信します。 |
その他の考慮事項
- 静的ルートが NVA 仮想ネットワーク アドレス空間と重複している場合は、 この VNet 設定内のワークロードのバイパス 次ホップ IP が仮想ネットワーク接続で正しく構成されていることを確認します。 NVA の管理インターフェイスへの直接アクセスが必要なシナリオでは、この設定を "true" に切り替える必要があることがよくあります。 詳細については、「 この VNet 内のワークロードの次ホップ IP をバイパスする」を参照してください。
- 接続がVirtual WANから 0.0.0.0/0 ルートを確実に学習するには、接続の Propagate の既定のルートまたは Enable Internet Security 設定が On に設定されていることを確認します。
