Azureのネットワークサービス — VNet・VPN Gateway・ExpressRouteをつなげて理解する - AZ-900 合格とクラウドの基礎がわかるAzure入門

前章で作った仮想マシンは、ネットワークにつながって初めて役に立ちます。この章のテーマは、Azure上に自分専用のネットワークを組み立てる 仮想ネットワーク(VNet) と、それを社内やインターネットと つなぐための手段 です。

ネットワーク用語は抽象的になりがちですが、「Azureの中に自分のオフィスビルを建てて、廊下と専用道路をつなぐ」というイメージで読み進めてください。

学習者

VNet、ピアリング、VPN、ExpressRoute…「つなぐ」系の用語が多すぎて、どれが何をつないでるのか混乱してきた…

先生

実は「何と何をつなぐか」で綺麗に整理できます。VNet内の通信はサブネット、VNet同士はピアリング、社内とAzureはVPN GatewayかExpressRoute。この章はその地図を作る章だと思ってください。

仮想ネットワーク (VNet) とサブネット

仮想ネットワーク (Azure Virtual Network / VNet) は、Azure上に作るプライベートなネットワーク空間 です。オンプレミスで言えば、自社ビル内のLANに相当します。

VNetにはプライベートIPアドレスの範囲(例: 10.0.0.0/16)を割り当てる
VM、App Service(統合時)、データベースなどのリソースをVNetに接続する
同じVNet内のリソースは互いに通信できる

サブネット — VNet内の間仕切り

サブネットは、VNetのアドレス範囲を分割した区画 です。ビルの中をフロアで分けるイメージです。

VNet: 10.0.0.0/16
├── サブネット1: 10.0.1.0/24  ← Webサーバー用
├── サブネット2: 10.0.2.0/24  ← アプリサーバー用
└── サブネット3: 10.0.3.0/24  ← データベース用

役割ごとにサブネットを分けることで、「DBサブネットにはWebサブネットからしかアクセスさせない」といった 区画単位のセキュリティ制御 ができるようになります(制御にはネットワークセキュリティグループを使います。詳細は第10章)。

VNet同士をつなぐ — ピアリング

VNetは既定では互いに独立しています。VNetピアリング を設定すると、2つのVNetをMicrosoftのバックボーンネットワーク経由でプライベートに接続できます。

同一リージョン内の接続も、リージョンをまたぐ接続(グローバルピアリング) も可能
通信はインターネットを経由しない
「システムごとにVNetを分けつつ、必要な通信だけ許可する」構成で使う

社内とAzureをつなぐ — VPN GatewayとExpressRoute

ハイブリッドクラウド(第2章)を実現するには、オンプレミスのネットワークとVNetを接続する必要があります。手段は大きく2つです。

VPN Gateway — 暗号化トンネルでつなぐ

VPN Gatewayは、インターネット上に暗号化されたトンネルを作って接続する 方式です。

サイト間 (Site-to-Site) VPN — 社内ネットワーク全体とVNetをつなぐ。ハイブリッド構成の定番
ポイント対サイト (Point-to-Site) VPN — 個人のPC 1台からVNetにつなぐ。在宅勤務者向け

インターネットを使うため低コストで始められますが、通信品質はインターネットの混雑に左右されます。

ExpressRoute — 専用線でつなぐ

ExpressRouteは、インターネットを一切経由しない専用接続 です。通信事業者の専用線でオンプレミスとMicrosoftのネットワークを直結します。

帯域と遅延が安定し、大容量通信に向く
インターネットに出ないため、セキュリティ要件が厳しい業界(金融など)で選ばれる
そのぶんコストは高い

名前解決 — Azure DNS

Azure DNSは、ドメイン名とIPアドレスの対応(DNSレコード)をAzureでホストするサービス です。

www.example.com のようなドメインの問い合わせに、Azureのグローバルなネームサーバー網が応答します。既存のドメインのDNS管理をAzureに移せば、他のAzureリソースと同じポータル・同じ権限管理(RBAC)で運用できるのが利点です。

入口をどこに置くか — パブリックエンドポイントとプライベートエンドポイント

Azureのサービス(ストレージやデータベースなど)への「入口」には2種類あります。

	パブリックエンドポイント	プライベートエンドポイント
アクセス経路	インターネット経由の公開アドレス	VNet内のプライベートIP
既定の状態	多くのPaaSサービスの既定	明示的に構成する
セキュリティ	ファイアウォール等で制限は可能	インターネットに入口を公開しない

プライベートエンドポイント を構成すると、たとえばストレージアカウントに 10.0.2.5 のようなVNet内のIPアドレスが与えられ、インターネットを経由せずに アクセスできるようになります。「DBへの接続をインターネットに公開したくない」という要件の答えです。

学習者

なるほど、「つなぐ手段」が要件ごとに分かれてるんだね。表にすると意外とシンプルかも。

先生

その調子です。最後に「何と何をつなぐか」の地図を一枚にまとめて、この章を締めましょう。

この章の地図 — 「何と何をつなぐか」一覧

つなぐもの	使う仕組み	キーワード
VNet内のリソース同士	サブネット分割+VNet内通信	区画ごとの制御
VNetとVNet	VNetピアリング	リージョンをまたげる、非インターネット
社内とAzure(低コスト)	VPN Gateway	暗号化トンネル、インターネット経由
社内とAzure(高品質・非公開)	ExpressRoute	専用線、インターネット非経由
在宅PCとAzure	ポイント対サイトVPN	個人端末から接続
ドメイン名とIP	Azure DNS	名前解決のホスティング
PaaSサービスへの非公開の入口	プライベートエンドポイント	VNet内のプライベートIP

ポータルで試してみよう — VNetとサブネットを作ってみる

仮想ネットワーク自体は無料 です(VPN GatewayやExpressRouteは有料なので作らないこと)。アドレス空間とサブネットの関係を画面で確認しましょう。

ポータル上部の検索ボックスに「仮想ネットワーク」と入力して選択する
「+ 作成」 をクリックし、リソースグループ(例: rg-learn)と名前(例: vnet-learn)を指定する
「IPアドレス」タブ を開く — 既定でアドレス空間(例: 10.0.0.0/16)と default サブネットが設定されている
「+ サブネットの追加」 で、本文の例のように 10.0.1.0/24 のようなサブネットを足してみる
作成後、VNetの 「サブネット」 画面で区画の一覧を確認。試し終わったらリソースグループごと削除してOK

まとめ

VNet はAzure上のプライベートネットワークで、サブネット で区画に分けて役割ごとに管理する
VNet同士は ピアリング でつなぐ(リージョンをまたぐグローバルピアリングも可能)
社内との接続は VPN Gateway(暗号化・インターネット経由) と ExpressRoute(専用線・非経由) の2択
Azure DNS はドメインの名前解決をAzureでホストする
プライベートエンドポイント はPaaSサービスへの入口をVNet内に閉じ込め、インターネット非公開にする

次の章では、ネットワークの上を流れるデータの保存先——Azure Storageのストレージ層と冗長性オプション を学びます。