Note
この設計パターンは、Azure Firewall、統合 NVA、サービスとしてのソフトウェア (SaaS) ソリューションなど、Virtual WAN ハブにデプロイされているサポートされている次ホップ セキュリティ ソリューションと互換性があります。 さらに、仮想ネットワーク接続で静的ルートを構成する場合は、 静的ルート構成オプション 1 を使用して、静的ルートをハブやその他の接続されたスポークに適切に伝達します。 ルーティング意図を使用する場合、構成オプション 2 は サポートされていません 。
シナリオの概要
この設計パターンでは、ルーティング の意図ポリシーとルーティング ポリシーをAzure Virtual WANの仮想ネットワーク接続上の 静的ルートと組み合わせる方法について説明します。 このパターンは、仮想ハブにデプロイされたセキュリティ ソリューションでトラフィックを最初に検査しながら、選択した宛先にスポーク仮想ネットワークにデプロイされたネットワーク仮想アプライアンス (NVA) 経由で到達できるようにする場合に便利です。
一般的な例として、次へのトラフィックの送信があります。
- NVA 仮想ネットワークにピアリングされているが、Virtual WAN ハブに直接接続されていない間接スポーク。
- スポーク仮想ネットワーク内の NVA で終了する VPN または SDWAN トンネル。
- インターネットにバインドされたトラフィック (強制トンネル)
トラフィック パターン
次の接続マトリックスは、この設計における一般的なトラフィック パターンをまとめたものです。
| ソース/宛先 | ダイレクトスポーク | On-premises | 間接スポークおよび NVA に接続されたサイト | インターネット |
|---|---|---|---|---|
| ダイレクトスポーク | ハブ内のルーティング インテントのネクスト ホップ経由 | ハブ内のルーティング インテントのネクスト ホップ経由 | ハブ内のルーティング インテントのネクスト ホップを経由し、次にスポーク NVA を経由 | ハブが強制トンネル モードで構成されている場合、ハブ内のルーティング インテントのネクスト ホップを経由し、その後スポーク NVA を経由 |
| On-premises | ハブ内のルーティング インテントのネクスト ホップ経由 | ハブ内のルーティング インテントのネクスト ホップ経由 | ハブ内のルーティング インテントのネクスト ホップを経由し、次にスポーク NVA を経由 | ハブが強制トンネル モードで構成されている場合、ハブ内のルーティング インテントのネクスト ホップを経由し、その後スポーク NVA を経由 |
| 間接スポークおよび NVA に接続されたサイト | スポーク NVA を経由を経由して、次にハブ内のルーティング インテントのネクスト ホップを経由 | スポーク NVA を経由を経由して、次にハブ内のルーティング インテントのネクスト ホップを経由 | スポークNVAを通じて | スポークNVAを通じて |
ネットワークダイアグラム
上の図では、次の 3 種類のスポークがあります。
- 直接接続されたスポーク: Virtual WAN ハブに直接接続されています。
- NVA スポーク: Virtual WAN ハブに直接接続され、NVA と共にデプロイされます。
- 間接スポーク: Virtual WAN ハブに直接接続されていません。 間接スポークは NVA スポークとピアリングされます。 これらのスポークとの間のトラフィックは、Virtual WAN ハブへの他の接続に到達する前に NVA を通過する必要があります。
Configuration
ルーティングの意図とルーティング ポリシー
仮想ハブはルーティング意図を使用する必要があります。 Private Traffic ルーティング ポリシーを使用し、Azure Firewall、サポートされている統合 NVA、SaaS (サービスとしてのソフトウェア) セキュリティ ソリューションなど、仮想ハブにデプロイされたセキュリティ ソリューションに次ホップを設定します。
NVA 仮想ネットワーク接続上の静的ルート
Note
ルーティング インテント ハブの場合、サポートされている静的ルート統合パターンは 静的ルート構成オプション 1 のみです。 仮想ネットワーク接続 で 静的ルート を構成し、静的ルートの伝達を true に設定します。
| プレフィックスの種類 | プレフィックスの例 | 推論 |
|---|---|---|
| 間接スポーク プレフィックス | 10.20.0.0/16 | ハブで検査されたトラフィックを、スポークにデプロイされた NVA の背後で到達可能なプレフィックスに転送できるようにします。 |
| SDWAN プレフィックス | 192.168.0.0/24 | ハブ内で検査されたトラフィックを、スポークにデプロイされた NVA で終端されたトンネルを介して到達可能な SDWAN に接続されたサイトまたはプレフィックスに転送できるようにします。 |
その他の考慮事項
- 仮想ネットワーク接続において、[静的ルートの伝達] を有効にして静的ルートが指定されたデプロイの場合、ルーティング インテントが適用されると、バイパスのネクスト ホップ IP の動作は無視されます。 詳細については、「 この VNet 内のワークロードの次ホップ IP をバイパスする」を参照してください。
- 宛先 CIDR が IANA RFC1918 にない 複数の静的ルートが構成されている場合、RFC1918以外の宛先を持つすべての静的ルートは 、同じ次ホップ IP アドレスを使用する必要があります。
- ルーティングインテントは、仮想ハブにデプロイされたセキュリティ ソリューションを介してinter-hubトラフィックを検査するVirtual WANで唯一サポートされているメカニズムです。
- スポークにデプロイされた NVA がインターネットブレークアウトにのみ使用される設計が必要な場合は、仮想ハブ セキュリティ ソリューションがプライベート トラフィックを検査する際に、スポークにデプロイされた Azure Firewallと NVA の組み合を参照してください。 このシナリオでは、インターネット トラフィックは、スポークにデプロイされた NVA によってのみ検査されます。
- スポークにデプロイされた NVA を使用して、ルーティング意図なしで間接スポークまたはインターネットにトラフィックをルーティングする設計が必要な場合は、「 間接スポークへのトラフィックのルーティング」を参照してください。
