Azure仮想ネットワークの IP アドレス計画

この記事では、Azure展開のプライベート IP アドレスとパブリック IP アドレスの計画について説明します。アドレス空間を割り当て、範囲が重複しないようにする方法、適切なパブリック IP の種類を選択する方法、IPv6 デュアルスタックサポートを評価する方法について説明します。

この記事の内容

この記事では、プライベートアドレスの割り当て戦略、パブリック IP の種類と SKU、重複する範囲を回避するための CIDR 計画、IPv6 デュアルスタックの考慮事項、および大規模な環境の IP アドレスマネージャー (IPAM) について説明します。

この記事が必要なユーザー

次の場合は、この記事をお読みください。

Azureに仮想ネットワーク (VNet) をデプロイしており、使用する IP アドレス範囲を決定する必要があります。
Azureネットワークをオンプレミス環境に接続しており、アドレスの競合を防ぐ必要があります。
Standard パブリック IP、パブリック IP プレフィックス、または独自の IP アドレス範囲の持ち込み (BYOIP) のいずれかを選択する必要があります。
IPv6 デュアルスタックがワークロードに適しているタイミングを理解したいと考えています。
大規模または成長している環境を管理しており、IP 割り当てを大規模に追跡するための戦略が必要です。

リフトアンドシフトフォーカス: オンプレミスネットワークと重複しないプライベート範囲を選択して、VPN または ExpressRoute ルーティングが変換なしで機能するようにします。今後数年間で移行するワークロード用の領域を備えた大きなランディングゾーンブロックを 1 つ予約します。

フォーカスを最新化する:アクティブ/アクティブワークロードが後でピアリングできるように、プライマリリージョンとバックアップリージョン間で重複しないアドレス空間を計画し、App Service Environmentと AKS 用に適切なサイズのサブネットを予約します。

クラウド間のフォーカス: 既存の AWS VPC または Google Cloud CIDR 範囲と競合しないグローバルアドレスプランを作成します。これは、VPN または相互接続経由でクラウドを接続する前に必須です。

Azureサービスと機能

次のサービスと機能は、Azureでの IP アドレスの計画をサポートします。

サービスまたは機能	提供される内容	いつ使用するか
RFC 1918 プライベートアドレス空間	私的利用のために予約されている3つの範囲: 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16。 Azure VNet では、内部通信にこれらの範囲が使用されます。	常に:すべての VNet には、これらのスペースから少なくとも 1 つのプライベートアドレス範囲が必要です。
RFC 6598 共有アドレス空間	100.64.0.0/10: Azureのプライベートアドレス空間として扱われます。もともとはキャリアグレード NAT (CGNAT) 環境向けに設計されています。	組織で既に RFC 6598 の範囲がオンプレミスで使用されている場合、または RFC 1918 領域が不足している場合。
標準パブリック IP	1 つのリソースに割り当てられた静的なゾーン冗長パブリック IP アドレス。既定では、受信トラフィックを閉じてセキュリティで保護します。	リソースにロードバランサー、VPN ゲートウェイ、パブリックに接続する仮想マシンなどの一意のパブリックエンドポイントが必要な場合。
パブリック IP プレフィックス	特定のAzure リージョンからのパブリック IP アドレスの予約済みの連続したブロック。	NAT ゲートウェイ、仮想マシンスケールセット、または承認済みリストに追加する外部リソースに対して予測可能な IP 範囲が必要な場合。
BYOIP/カスタム IP プレフィックス	独自のパブリック IP アドレス範囲を Azure に追加します。所有権の検証、プレフィックスのプロビジョニング、使用の依頼という 3 段階のプロセスを使用します。	既存の IP 評判を維持する必要がある場合は、外部の承認済みリストエントリを維持するか、パブリック IP を変更せずにワークロードを移行します。
AZURE VIRTUAL NETWORK MANAGER IPAM	Azure Virtual Network Managerの組み込みの IP アドレス管理機能。ほとんどのリージョンで一般公開されています。サブスクリプション間で一元的な可視性と割り当ての追跡を提供します。	複数のサブスクリプションにわたって多数の VNet を管理し、アドレス使用率の自動追跡が必要な場合。一元化されたネットワーク管理を参照してください。

選択する方法

次の決定表を使用して、IP 計画の決定を導きます。

IP 計画のベストプラクティス

演習	なぜでしょうか	例
大きな親 CIDR ブロック (/16) を割り当てて細分化する	ワークロードの増加に伴うアドレス枯渇を防ぎます。ルートを簡単に要約できます。	運用環境に 10.1.0.0/16 を割り当て、ワークロードレベルごとに /24 サブネットを切り開きます。
各サブネットで少なくとも 30% の余裕を確保する	Virtual Machine Scale Sets、AKS、App Service Environment などのスケーリングサービスでは、スケールアウト中に IP が急速に消費されます。	/24 サブネットは、251 個の使用可能な IP を提供します。ベースラインデプロイで 100 を使用する場合は、3 倍にする余地があります。
環境ごとに連続する CIDR ブロックを使用する	ルートの要約とファイアウォール規則を簡略化します。 1 つの概要ルートは、環境全体を表します。	運用環境: 10.1.0.0/16。ステージング: 10.2.0.0/16。開発: 10.3.0.0/16。
Azure プラットフォームで予約済みの範囲および使用禁止の範囲を避ける	予約範囲を使用すると、ルーティングエラーとデプロイエラーが発生します。	169.254.0.0/16、168.63.129.16/32、224.0.0.0/4、127.0.0.0/8、または 255.255.255.255/32 を割り当てないでください。
Azure IPAM またはスプレッドシートでのドキュメントの割り当て	環境の拡大に合わせて重複を防ぎます。ネットワークチームの可視性を一元化します。	自動追跡には Azure Virtual Network Manager IPAM を使用するか、小規模な環境向けに共有スプレッドシートを維持します。

パブリック IP アドレスの種類

タイプ	それは何か	いつ使用するか
標準パブリック IP	個別に割り当てられた静的パブリック IP。可用性ゾーンが有効になっているリージョンでは、既定でゾーン冗長です。既定でセキュリティ保護: NSG またはロードバランサー規則で許可されるまで、すべての受信トラフィックがブロックされます。	公開されているロードバランサー、VPN ゲートウェイ、Azure Bastion、アプリケーションゲートウェイ、または一意のパブリックエンドポイントを必要とするリソース。
パブリック IP プレフィックス	特定のリージョンからのパブリック IP の予約済みの連続したブロック。順次アドレスを保証します。	NAT ゲートウェイ (複数の送信 IP にプレフィックスが必要)、Virtual Machine Scale Sets、または外部システムが承認済みリストに予測可能な IP 範囲を追加する必要がある場合。
BYOIP/カスタム IP プレフィックス	検証、プロビジョニング、および試運転という 3 段階のプロセスを通じて、お客様所有のパブリック IP 範囲をAzureにオンボードします。地域プレフィックスは約30分でプロビジョニングされます。グローバルプレフィックスは3～4時間かかります。	クラウド移行中の IP 評判の維持、外部の承認済みリストエントリの維持、または IP 所有権に関する規制要件の満たす。カスタム IP プレフィックスから派生した IP は、Azure DDoS Protection を使用することもできます。

Note

Basic SKU パブリック IP は、2025 年 9 月 30 日に廃止されました。既存の Basic IP は引き続き機能しますが、サポートされておらず、SLA はありません。すべての新しいデプロイの Standard SKU にアップグレードします。

IPv6 の決定

シナリオ	レコメンデーション	根拠
ワークロードは IPv4 クライアントにのみ対応し、規制上の IPv6 要件はありません	IPv4 のみ	最も単純な構成。デュアルスタック管理のオーバーヘッドを回避します。ほとんどのAzure サービスでは、IPv4 がネイティブにサポートされています。
ワークロードが IPv6 クライアントにサービスを提供する必要がある、または規制で IPv6 サポートが必要	デュアルスタック (IPv4 + IPv6)	Azure VNet では、デュアルスタックサブネットがサポートされます。 IPv6 を IPv4 と共に同じリソースにデプロイします。
ワークロードには IPv6 が必要ですが、Azure Firewall、Virtual WAN、またはルートサーバーに依存しています	IPv4 のみ (外部 IPv6 終端あり)	Azure Firewall、Virtual WAN、および Route Server は現在、IPv6 をサポートしていません。トラフィックがこれらのサービスに入る前に、外部ロードバランサーまたはエッジデバイスで IPv6 を終了します。 VPN Gateway IPv6 はプレビューで利用できます。

Azureの IPv6 デュアルスタック

Azureでは、仮想ネットワーク間での IPv6 デュアルスタックデプロイがサポートされます。デュアルスタックを有効にすると、各サブネットは IPv4 範囲と IPv6 /64 範囲の両方を取得します。リソースは両方のファミリからアドレスを受信し、両方のプロトコルを介して同時に通信できます。

Azureの IPv6 には、特定のサイズ設定要件があります。 IPv6 サブネットは、正確に /64 である必要があります。それ以外のプレフィックス長はサポートされていません。 VNet に割り当てる IPv6 アドレス空間は、IPv6 接続を必要とする各サブネットの /64 サブネットに対応できる十分な大きさである必要があります。初期ネットワーク設計時に、IPv4 範囲と共に IPv6 アドレスの割り当てを計画します。

次のAzure サービスは、IPv6 デュアルスタック構成をサポートしています。

サービス	IPv6 のサポート
Azure 仮想ネットワーク	/64 IPv6 範囲を持つデュアルスタックサブネット
Standard Load Balancer	パブリックおよび内部 IPv6 フロントエンド
VPN Gateway	IPv6 トンネルエンドポイント (プレビュー、オプトインが必要)
NAT Gateway	IPv6 送信変換 (StandardV2 SKU のみ;Standard SKU は IPv4 のみ)
パブリックIPアドレス (Standard SKU)	IPv6 パブリックアドレス
Virtual Machine Scale Sets	IPv6 ネットワークインターフェイス
VNet ピアリング	ピアリングされた VNet 間の IPv6 トラフィック
ネットワークセキュリティグループ	フィルター処理の IPv6 規則
DNS (Azure DNS)	AAAAレコード対応

IPv6 をサポートしていない主要なサービス: Azure Firewall (IPv4 専用サブネットが必要)、Virtual WAN (IPv4 のみ)、およびルートサーバー (IPv4 のみ)。 VPN Gatewayはデュアルスタックモードで IPv6 をサポートしますが、プレビュー機能としてのみサポートされます (オプトインが必要)。アーキテクチャがトラフィック検査またはルーティングのためにAzure Firewall、Virtual WAN、または Route Server に依存している場合は、これらのコンポーネントに到達する前に IPv6 トラフィックが処理されるようにネットワークを設計します。

IPv6 の機能、制限事項、および構成手順の詳細については、Azure Virtual Networkの IPv6 を参照してください。

Azure予約済みアドレス

Azureでは、すべてのサブネットに 5 つの IP アドレスが予約されます。

予約済みアドレス	Purpose
最初のアドレス (.0)	ネットワーク識別子
2 番目のアドレス (.1)	デフォルトゲートウェイ
3 番目のアドレス (.2)	Azure DNS マッピング
4 番目のアドレス (.3)	Azure DNS マッピング
最後のアドレス (ブロードキャスト)	ブロードキャストアドレス

これら 5 つの予約済みアドレスを、すべてのサブネットサイズ設定の計算に組み込みます。 /24 サブネットでは、アドレス総数 256 個から予約済みの 5 個を差し引くと、使用可能なホスト IP アドレスは 251 個になります。サポートされている最小の IPv4 サブネットは /29 です (8 個のアドレスから 5 個の予約済み = 3 個の使用可能なアドレスを差し引いた値)。サポートされている最大の IPv4 サブネットは /2 です。

Tip

Standard SKU のパブリック IP アドレスは、リソースにアタッチされているかどうかに関係なく、料金が発生します。 IP 検疫の一環として、使用しなくなったパブリック IP アドレスを定期的に削除し、パブリック IP プレフィックスを解放します。接続されていないパブリック IP は、回避可能なコストの頻繁な原因であり、不要な攻撃対象領域です。

設計上の考慮事項

リフトアンドシフト向けIP設計計画の重点

ランディングゾーン用に 1 つの大きな CIDR ブロック (/16 が一般的) を予約し、移行されたアプリケーションごとに分割し、拡大のために約 20% のバッファーを残します。
VPN Gatewayまたは ExpressRoute 経由で接続するオンプレミスネットワークと重複しない範囲を選択すると、アドレス変換なしでルーティングが機能します。
GatewaySubnet (/27) や AzureFirewallSubnet (/26) など、Azureのサブネットごとに 5 つの予約済みアドレスとプラットフォームサービスに必要な専用サブネットを考慮します。
ネットワークがピアリングされない場合は、プライベート IPv4 範囲を意図的に再利用してアドレス空間を節約できます。

IP 計画設計の焦点を最新化する

プライマリリージョンとバックアップリージョンに重複しない範囲を割り当てて、アクティブ/アクティブなワークロードが後で再アドレス指定せずにグローバルピアリングを使用できるようにします。
App Service Environment 用に、専用サブネットを確保します（/24、最大規模に近い場合は /23）。 CNI オーバーレイを使用する AKS の場合、ポッドは個別のオーバーレイ CIDR から描画されるため、ノードのサブネットのサイズはノードのサイズのみを変更します。これにより、ノードサブネットはフラットな CNI 設計に必要なサイズよりもはるかに小さくなります。
PaaS の導入によってアドレス計画が断片化されないように、プライベートエンドポイント用の専用サブネットを予約します。
Azure Virtual Network Manager IP アドレス管理を使用して、環境のスケーリングに合わせて割り当てを追跡および自動化します。

クラウド間 IP 計画の設計に重点を置く

まずグローバルアドレス計画を策定します。既存の AWS VPC または Google Cloud VPC ネットワークと重複しない Azure の CIDR ブロックを予約します。これは、ルーティング VPN または相互接続に必要です。
接続されている各クラウドとブランチのアドレス範囲を文書化して、Azure Virtual WAN経由で集約されたルートを計画できるようにします。
Virtual WAN ハブや VPN ゲートウェイサブネットなどのトランジットコンポーネントのアドレス空間を予約し、クラウドエッジとブランチを追加するときにスケーリングするスペースを確保します。
アドレス重複が避けられない場合は、影響を受ける VPN 接続に NAT を適用するか、移行後ではなく移行中にワークロードのアドレスを再設定することを計画してください。

前提条件

IP アドレスの割り当てを計画する前に、

仮想ネットワークの設計: 既存または計画的な VNet 構造がある。 VNet をまだ設計していない場合は、最初に仮想ネットワークとサブネットAzureを参照してください。
オンプレミスの IP インベントリ: ブランチオフィス、データセンター、またはその他のクラウドプロバイダーによって使用される範囲を含む、既存のオンプレミスのアドレス範囲を文書化します。ハイブリッド接続には、重複しないアドレスが必要です。
成長予測: 今後 2 ~ 3 年間に必要な追加のサブネットとホストの数を見積もります。アドレス空間を前もって割り当てる方が、後で VNet を拡張するよりも簡単です。

セキュリティに関する考慮事項

IP 計画には、直接的なセキュリティへの影響があります。リスクを軽減するには、次のプラクティスに従います。

アドレスの重複を防ぐ:オンプレミスネットワーク、Azure VNet、ピアリングされた VNet の間で IP 範囲が重複すると、ルーティングエラーが発生します。トラフィックが間違った宛先に到達したり、警告なしに破棄されたりする可能性があります。すべてのアドレス範囲がネットワーク全体で一意であることを確認します。
禁止範囲を避ける: Azureは、プラットフォーム操作用に次の範囲を予約します。 VNet アドレス空間として使用しないでください。
- 169.254.0.0/16（リンクローカル）
- 168.63.129.16/32 (Azure内部 DNS)
- 224.0.0.0/4 (マルチキャスト)
- 127.0.0.0/8 (ループバック)
- 255.255.255.255/32 (ブロードキャスト)
ドキュメントと監査: すべての IP 割り当ての現在のレコードを保持します。文書化されていない範囲は、新しいワークロードがデプロイされるときに誤って重複する原因になります。 Azure Virtual Network Manager IPAM を使用してコンプライアンスの自動追跡を行うか、すべてのデプロイ中にレビューされる共有スプレッドシートを維持します。
パブリック IP を保護する:Azure DDoS Protection を運用環境のパブリック IP リソースに関連付けます。 BYOIP 範囲は、DDoS Protection で保護することもできます。

これらの記事では、IP アドレス計画と対話するトピックについて説明します。

Azure仮想ネットワークとサブネット: IP アドレスが割り当てられている VNet とサブネットの構造。
ネットワークセキュリティグループとアプリケーションセキュリティグループ: IP 範囲を参照するセキュリティ規則。
ハブアンドスポークトポロジ: ハブアンドスポーク設計での共有 VNet とワークロード VNet 全体の IP 計画。
Virtual WAN トポロジー: Virtual WAN ハブおよび接続された VNet のアドレス計画。
マルチリージョンネットワーク: リージョン間の IP 計画 (リージョン間ピアリングの重複しない範囲を含む)。
一元化されたネットワーク管理: 大規模な IP アドレスの追跡と割り当てのための Azure Virtual Network Manager の IPAM。

詳細情報

次のステップ

Tip

あなた自身で探検? 概要ナビゲーターに戻り、機能別に次の記事を見つけます。

リフトアンドシフト体験の次の手順:

ネットワークセキュリティグループを使用してサブネットをセキュリティで保護する: 既存のファイアウォール規則を NSG ルールとしてミラー化し、Azureでセキュリティ体制を維持します。

次に、最新化の取り組みを行います。

ネットワークセキュリティグループを使用してサブネットをセキュリティで保護する: ロードバランサーのトラフィックのみがアプリのサブネットに到達するように、厳密なセグメント化を適用します。

マルチクラウドへの移行における次のステップ:

ネットワークセキュリティグループでサブネットを保護: AWS セキュリティグループと Google Cloud ファイアウォールルールを Azure NSG としてミラーリングします。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-07-01