この記事では、Virtual WAN静的ルートを使用して、スポーク仮想ネットワーク内のネットワーク仮想アプライアンスにトラフィックを送信し、間接的なスポーク接続、インターネット エグレス、または VPN/SD-WAN トンネルを使用する方法について説明します。
シナリオの概要
このルーティング シナリオでは、Virtual WAN スポーク仮想ネットワークにデプロイされたネットワーク仮想アプライアンス (NVA) にトラフィックをルーティングするようにAzure Virtual WANを構成する方法について説明します。 この設計では、NVA はトラフィックを検査し、 インターネット、 仮想ハブに間接的に接続されている ( ただし NVA 仮想ネットワークとピアリングされている) 仮想ネットワーク、または NVA で終了した VPN/SDWAN トンネル に転送します。
ネットワークダイアグラム
トラフィック フロー
次のセクションでは、Virtual WAN の静的ルートを使用してトラフィックを間接スポークおよびインターネットにルーティングする方法について説明します。
間接スポークのパターン
次の接続マトリックスは、トラフィックがVirtual WANを直接通過するか、このシナリオで NVA を走査するかをまとめたものです。
| ソース/宛先 | ハブ 1 インダイレクトスポーク | ハブ 1 ダイレクト スポーク | ハブ 1 のブランチ | ハブ 2 間接スポーク | ハブ 2 ダイレクト スポーク | ハブ 2 のブランチ |
|---|---|---|---|---|---|---|
| ハブ 1 インダイレクトスポーク | ハブ 1 NVA 経由 | ハブ 1 NVA 経由 | ハブ 1 NVA 経由 | ハブ 1,2 NVA 経由 | ハブ 1 NVA 経由 | ハブ 1 NVA 経由 |
| ハブ 1 ダイレクト スポーク | ハブ 1 NVA 経由 | 直接 | 直接 | ハブ 2 NVA 経由 | 直接 | 直接 |
| ハブ 1 のブランチ | ハブ 1 NVA 経由 | 直接 | 直接 | ハブ 2 NVA 経由 | 直接 | 直接 |
| ハブ 2 間接スポーク | ハブ 1 とハブ 2 の NVA 経由 | ハブ 2 NVA 経由 | ハブ 2 NVA 経由 | ハブ 2 NVA 経由 | ハブ 2 NVA 経由 | ハブ 2 NVA 経由 |
| ハブ 2 ダイレクト スポーク | ハブ 1 NVA 経由 | 直接 | 直接 | ハブ 2 NVA 経由 | 直接 | 直接 |
| ハブ 2 のブランチ | ハブ 1 NVA 経由 | 直接 | 直接 | ハブ 2 NVA 経由 | 直接 | 直接 |
インターネット アクセス パターン
Note
0.0.0.0/0 ルートは、Virtual WAN ハブに伝達されません。 各接続では、インターネット エグレスにローカル ハブの NVA を使用する必要があります。
次の接続マトリックスは、このシナリオでのインターネット アクセスをまとめたものです。
| Source | インターネット |
|---|---|
| ハブ 1 ダイレクト スポーク | ハブ 1 NVA 経由 |
| ハブ 1 のブランチ | ハブ 1 NVA 経由 |
| ハブ 2 ダイレクト スポーク | ハブ 2 NVA 経由 |
| ハブ 2 のブランチ | ハブ 2 NVA 経由 |
Configuration
このセクションの構成では、 オプション 1 の静的ルート構成を使用します。 オプション 2 も使用できますが、Virtual WAN全体のすべての defaultRouteTable に次ホップ NVA Virtual Network接続を持つ静的ルートを追加するには、追加の構成が必要です。
間接スポークの静的ルート
次の静的ルートは、NVA 仮想ネットワーク接続に静的ルートを直接追加し、 静的ルートの伝達 を true に設定して構成します。
| ハブ | 接続 | Prefix | 次ホップの IP アドレス |
|---|---|---|---|
| ハブ 1 | NVA 仮想ネットワーク接続 (ハブ 1) | 10.2.0.0/16 | 10.3.10.5 |
| ハブ 2 | NVA仮想ネットワーク接続 (Hub2) | 10.4.0.0/16 | 10.4.10.5 |
インターネット出口の静的ルート
次の静的ルートは、NVA 仮想ネットワーク接続に静的ルートを直接追加し、 静的ルートの伝達 を true (オプション 1 の静的ルーティング モデル) に設定して構成します。
| ハブ | 接続 | Prefix | 次ホップの IP アドレス |
|---|---|---|---|
| ハブ 1 | NVA Virtual Network接続 (ハブ 1) | 0.0.0.0/0 | 10.3.10.5 |
| ハブ 2 | NVA Virtual Network接続 (ハブ 2) | 0.0.0.0/0 | 10.4.10.5 |
Virtual WAN ルーティングの構成
Virtual WAN ハブの両方について、すべての接続がVirtual WAN全体のすべての defaultRouteTable に伝達される必要があります。 この構成により、直接接続されているすべてのスポーク ワークロードと静的ルートがすべての接続に伝達され、フル メッシュの到達可能性が提供されます。
次の表では、ハブ 1 へのVirtual WAN接続のルーティング構成について説明します。
| ハブ | 接続の種類 | 関連付けられたルート テーブル | 伝播されたルートテーブル | 伝播されたラベル |
|---|---|---|---|---|
| ハブ 1 | ブランチ (ExpressRoute と VPN) | defaultRouteTable (ハブ 1) | defaultRouteTable (ハブ 1、ハブ 2) | 既定のラベル（Virtual WAN 内のすべての defaultRouteTable） |
| ハブ 1 | 仮想ネットワーク | defaultRouteTable (ハブ 1) | defaultRouteTable (ハブ 1、ハブ 2) | 既定のラベル（Virtual WAN 内のすべての defaultRouteTable） |
次の表では、ハブ 2 へのVirtual WAN接続のルーティング構成について説明します。
| ハブ | 接続の種類 | 関連付けられたルート テーブル | 伝播されたルートテーブル | 伝播されたラベル |
|---|---|---|---|---|
| ハブ 2 | ブランチ (ExpressRoute と VPN) | defaultRouteTable (Hub 2) | defaultRouteTable (ハブ 1、ハブ 2) | 既定のラベル（Virtual WAN 内のすべての defaultRouteTable） |
| ハブ 2 | 仮想ネットワーク | defaultRouteTable (Hub 2) | defaultRouteTable (ハブ 1、ハブ 2) | 既定のラベル（Virtual WAN 内のすべての defaultRouteTable） |
追加の間接スポーク ルーティング構成
Virtual WANは、Virtual WAN ハブに直接接続されている仮想ネットワーク上のルートのみを構成します。 間接スポーク仮想ネットワークにユーザー定義ルートを追加して、トラフィックを正しい NVA IP アドレスにルーティングします。
このユーザー定義ルートは、間接スポーク仮想ネットワーク内のワークロードがNVAへ戻るためのパスを確保し、それによってVirtual WANの他の部分へのパスを持つために必要です。
上記の例では、ハブ 1 の間接スポーク仮想ネットワークには次のエントリが必要です。
| Prefix | 次ホップの IP アドレス | Purpose |
|---|---|---|
| 0.0.0.0/0 | 10.3.10.5 | 検査のためにインターネット トラフィックをルーティングする |
| 192.168.0.0/16 | 10.3.10.5 | オンプレミスへのルート |
| 10.1.0.0/16 | 10.3.10.5 | ハブ 1 上の他の間接スポークへのルート |
| 10.2.0.0/16 | 10.3.10.5 | ハブ 2 の間接スポークへのルート |
| 10.3.0.0/24 | 10.3.10.5 | ハブ 1 のスポークを制御するルート |
| 10.4.0.0/24 | 10.3.10.5 | ハブ 2 でスポークをダイレクトするルート |
または、10.0.0.0/8 などの集約ルートを構成します。
その他の考慮事項
- 静的ルートが NVA 仮想ネットワーク アドレス空間と重複している場合は、 この VNet 設定内のワークロードのバイパス 次ホップ IP が仮想ネットワーク接続で正しく構成されていることを確認します。 NVA の管理インターフェイスへの直接アクセスが必要なシナリオでは、この設定を "true" に切り替える必要があることがよくあります。 詳細については、「 この VNet 内のワークロードの次ホップ IP をバイパスする」を参照してください。
- NVA との仮想ネットワーク接続に対して、[ 既定のルートを伝達 する] または [インターネット セキュリティを有効にする] 設定が [オフ ] に設定されていることを確認します。 これにより、
0.0.0.0/0ルートが NVA にアドバタイズされず、ルーティング ループも作成されません。 または、パブリックに接続する NVA インターフェイスがデプロイされているサブネットに、次ホップ0.0.0.0/0を使用するのユーザー定義ルートを追加することもできます。
