この記事では、Azure Virtual WANを使用してネットワークを設計する方法について説明します。 Virtual WANは、自動ルーティング、ネイティブ SD-WAN 統合、ハブ間の組み込みのグローバル転送を備えたMicrosoftマネージド ハブ インフラストラクチャを提供します。
この記事の内容
この記事では、Virtual WANハブ アーキテクチャ、自動ルーティングとルート伝達、Basic と Standard の階層比較、トラフィック検査のルーティング意図、SD-WAN 統合パターン、およびVirtual WANコスト モデルについて説明します。
この記事が必要なユーザー
これらの条件の 1 つ以上が該当する場合は、この記事をお読みください。
- 多数のブランチ、サイト、リモート ユーザー、または接続された仮想ネットワーク間で管理されたトランジットが必要です。
- カスタムトランジットハブを自分で構築して運用するのではなく、Microsoft管理されたルーティングとブランチ接続が必要です。
- トポロジにコミットする前に、Azure Virtual WANをハブアンドスポークと比較する必要があります。
- ネットワークは、少数の手動で管理された接続エッジを超えて拡張することが予想されます。
Tip
シナリオパスに従っていますか? カスタマイズされたガイダンスについては、ページの上部にあるシナリオを選択してください。 以下の主要なガイダンスは、すべての読者に適用されます。
リフトアンドシフトフォーカス: 標準的なリフト アンド シフト移行については、この記事をスキップしてください。 ほとんどのリフトアンドシフト環境では、ブランチ接続が 30 個未満で、1 つまたは 2 つのリージョンで動作します。 VPN Gatewayを備えた従来のハブ アンド スポーク トポロジは、十分な接続を提供します。 多数のブランチ サイトがある場合や、迅速な拡張を計画している場合にのみ、Virtual WANを検討してください。
最新化の焦点: この記事は、モダン化プログラムにブランチスケールまたは多リージョンの輸送要件が含まれている場合に関連します。 各リージョンの VPN ゲートウェイを使用したデュアル ハブアンドスポークは、ほとんどの最新化シナリオを処理します。 手動 UDR 管理が維持できるルーティングの複雑さを超えると、Virtual WANが関連します。
クラウド間の焦点: Virtual WANは、複数の仮想プライベート クラウド (VPN)、ブランチ、リージョン、またはクラウド エッジがある場合に推奨されるトランジット モデルです。 Virtual WANは、AWS Transit Gateway と同等のAzureとして機能し、一元的なルーティングと接続管理を大規模に提供します。 Transit Gateway を使用する AWS 環境から移行する場合、Virtual WANはそのモデルに直接マップされます。
Azureサービスと機能
次の表に、Virtual WAN トポロジをサポートするAzure サービスと機能を示します。
| サービスまたは機能 | Virtual WANでのロール | 詳細情報 |
|---|---|---|
| Azure Virtual WAN | マネージド グローバル トランジット ネットワークとハブ インフラストラクチャを提供します | Virtual WANの概要 |
| 仮想ハブ | ルーティングとゲートウェイ サービスをホストするMicrosoftマネージド仮想ネットワーク | 仮想ハブのルーティング |
| VPN Gateway (ハブ内) | 支社向けのサイト間およびポイントツーサイト VPN 接続 | Virtual WAN VPN Gateway |
| ExpressRoute ゲートウェイ (ハブ内) | ExpressRoute 回線を介したオンプレミス データセンターからのプライベート接続 | Virtual WAN の ExpressRoute |
| Azure Firewall Manager | セキュリティで保護された仮想ハブの一元的なセキュリティ ポリシー管理 | Firewall Manager の概要 |
| ルーティング インテント | カスタム ルート テーブルを使用しないセキュリティ ソリューションを介した自動トラフィック ステアリング | 経路設定の意図 |
どのように機能するのか
Virtual WAN トポロジの場合:
- Virtual WAN リソースは、リージョン間で 1 つ以上の仮想ハブをグループ化する最上位のコンテナーとして機能します。
- 各仮想ハブは、Microsoftマネージド仮想ネットワークです。 ハブには、VPN、ExpressRoute、ファイアウォール サービスのサービス エンドポイントが含まれています。 ハブ仮想ネットワークを直接デプロイまたは管理することはありません。
- スポーク仮想ネットワークは 、VNet 接続を介して仮想ハブに接続します (従来のハブスポークでのピアリングと同様)。 仮想ハブ ルーターは、すべてのルーティングを自動的に処理します。
- ブランチ サイトは 、仮想ハブ内にデプロイされたサイト間 VPN または ExpressRoute ゲートウェイを介して接続します。
- 複数のハブをデプロイすると、Microsoft バックボーンを介して自動的に相互接続されるため、カスタマー マネージド ルーティングなしでグローバルトランジットが可能になります。
仮想ハブのルーティング
仮想ハブ ルーターは、接続されている仮想ネットワーク、ブランチ、およびその他のハブ間のすべてのルーティングを管理します。 主な動作:
- 自動転送: 同じハブに接続されている仮想ネットワークは、UDR なしで通信できます。 ハブ ルーターは、既定ですべての接続間でルートを伝達します。
- ハブ間転送:ルートは、同じVirtual WAN内のハブ間で自動的に伝達されます。 リージョン間のトラフィックは、Microsoft バックボーンを経由します。
- ルート テーブル: 高度な分離シナリオ (運用環境からの開発の分離など) の場合は、ハブ内にカスタム ルート テーブルを作成して、ルートの伝達を制御できます。
- 合計スループット: 仮想ハブ ルーターは、最大 50 個のルーティング インフラストラクチャ ユニットで構成されている場合、最大 50 Gbps の集計スループットをサポートします。 既定のデプロイでは、2 つのルーティング インフラストラクチャ ユニット (3 Gbps) が使用されます。 スループットをスケーリングするには、ハブ設定でルーティング インフラストラクチャ ユニットを増やします。
Note
自動ルーティングは、標準のトランジット接続に適用されます。 ハブ内のネットワーク仮想アプライアンス (NVA) を介してトラフィックをルーティングするカスタム シナリオでは、カスタム ルート テーブルが必要になる場合があります。
選択する方法
このセクションは、環境に適したトポロジと階層を選択するのに役立ちます。
Virtual WANと比較したハブスポーク
次の表を使用して、従来のハブスポーク トポロジまたはVirtual WANが環境に適しているかどうかを判断します。
| 要因 | ハブアンドスポーク (従来) | Azure Virtual WAN |
|---|---|---|
| 管理 | カスタマー マネージド ハブ仮想ネットワーク | Microsoftマネージド ハブ インフラストラクチャ |
| 最適な用途 | 最大 30 個の VPN ブランチ接続 | 30 以上の VPN ブランチまたは多数の Azure リージョン |
| ルーティング | 顧客がスポーク間トラフィック用に UDR を構成する | 仮想ハブでの自動ルーティング |
| SD-WAN 統合 | NVA の手動デプロイと構成 | ネイティブ SD-WAN パートナー統合 |
| グローバルトランジット | 顧客管理のリージョン間ルーティングが必要 | 組み込み: すべてのハブが自動的に相互接続される |
| コスト モデル | 個別に支払われるハブ VNet リソース (ファイアウォール、ゲートウェイ、Bastion) | デプロイメント ユニットおよびスケール ユニット別の価格体系 |
Tip
Virtual WAN は、ハブアンドスポークの置き換えではなく、スケーラブルな代替手段です。 30 未満のブランチ、1 つのリージョン、ハブ リソースを完全に制御する必要がある組織では、従来の ハブ アンド スポーク トポロジを使用する必要があります。
移行に関する考慮事項:従来のハブ スポークからVirtual WANに移行する場合は、並列実行移行を計画します。 既存のハブと共にVirtual WAN ハブをデプロイし、スポーク接続を段階的に移行し、各接続移行後にルーティングを検証します。 Virtual WANは既存の UDR 構成のインポートをサポートしていないため、ハブ ルーターの自動伝達モデルを使用するようにルーティングを再設計する必要があります。
ハブスポークを使用する場合: ハブ仮想ネットワークをきめ細かく制御する必要がある場合 (たとえば、ハブ サブネットにカスタム NVA を直接デプロイする)、組織が 10 未満のブランチを持つ単一のリージョンで運用している場合、またはコンプライアンス要件でカスタマー マネージド ルーティング インフラストラクチャが義務付けられている場合は、従来のハブスポークを選択します。
Basic レベルと比較した Standard
Virtual WANには 2 つのレベルがあります。 ルーティングと接続のニーズに合ったレベルを選択します。
| 特徴 | Basic | Standard |
|---|---|---|
| サイト間 VPN | ✅ | ✅ |
| ポイント対サイト VPN | ❌ | ✅ |
| ExpressRoute | ❌ | ✅ |
| VNet 間トランジット | ❌ | ✅ |
| ハブ間転送 | ❌ | ✅ |
| ハブでのAzure Firewall | ❌ | ✅ |
| ハブの NVA | ❌ | ✅ |
Important
Basic レベルから Standard レベルにアップグレードすることはできますが、Standard から Basic にダウングレードすることはできません。 トランジット ルーティング、ExpressRoute 接続、またはセキュリティ統合が必要な場合は、[ Standard] を選択します。
コスト モデル
Virtual WANでは、従来のハブスポークとは異なるユニットベースの価格が使用されます。
- デプロイ ユニット (ハブ): 仮想ハブ自体に対して 1 時間あたりの料金を支払います。 この料金は、マネージド ハブ インフラストラクチャの固定コストです。
- スケール ユニット (ゲートウェイ): VPN ゲートウェイと ExpressRoute ゲートウェイは、プロビジョニングするスケール ユニットの数に基づいて課金されます。 スケール ユニットが増えると、帯域幅の容量とコストが比例して増加します。
- ルーティング インフラストラクチャ ユニット: ハブ ルーターは、ルーティング インフラストラクチャ ユニットごとに課金されます。 既定のデプロイには、2 つのユニット (3 Gbps) が含まれています。 高スループット環境では、最大 50 ユニット (50 Gbps) までスケールアップできます。
- データ処理: VNet 間、ブランチ対 VNet、ハブ間トラフィックなど、ハブ経由で処理されたデータに対して課金されます。 Azure Firewall経由でルーティングされるインターネットにバインドされたトラフィックには、個別のデータ処理料金があります。
- セキュリティで保護された仮想ハブ アドオン:Firewall Manager を使用してAzure Firewallをデプロイする場合、標準のAzure Firewall料金は、Virtual WAN ハブのコストにも適用されます。
従来のハブスポーク トポロジとコストを比較します。 ブランチが最小限の小規模なデプロイでは、カスタマー マネージド ハブの方がコスト効率が高い場合があります。 大規模なブランチ数 (30 以上) の場合、Virtual WANの自動化とマネージド インフラストラクチャは、通常、ユニットごとの価格を相殺します。 詳細な価格については、Virtual WAN価格の概念に関する記事を参照してください。
セキュリティで保護された仮想ハブ: Firewall Manager を使用するタイミング
セキュリティで保護された仮想ハブは、Azure Firewall (またはサポートされている NVA) と Firewall Manager を統合して、一元化されたポリシーを実現します。
| コンフィギュレーション | 次の場合に使用します。 | 給付金 |
|---|---|---|
| Standard Virtual Hub (ファイアウォールなし) | ブランチと VNet 間の接続のみ、セキュリティはスポーク レベルで処理 | 最もシンプルなデプロイ、低コスト |
| Firewall Manager を使用したセキュリティで保護された仮想ハブ | プライベート トラフィックとインターネット トラフィックの一元的なトラフィック検査 | 一貫性のあるポリシー、ルーティング意図により UDR の必要性が排除される |
| NVA パートナーによるセキュリティで保護された仮想ハブ | 既存のサード パーティ製ファイアウォールへの投資、特定の機能要件 | 既存のベンダー ツールと専門知識を使用する |
ルーティング インテント
ルーティング意図は、カスタム ルート テーブルや UDR を使用せずにセキュリティ ソリューション (Azure Firewallまたはサポートされている NVA) を介してトラフィックを自動的に制御することで、Virtual WANのトラフィック制御を簡素化します。
ルーティング意図を有効にする場合は、次の 2 種類のトラフィックのポリシーを宣言します。
- インターネット トラフィック: 接続された仮想ネットワークからのすべてのインターネットにバインドされたトラフィックは、ハブ内のセキュリティ ソリューションを経由してルーティングされます。
- プライベート トラフィック: 仮想ネットワーク、ブランチ、およびその他のハブ間のすべてのトラフィックは、セキュリティ ソリューションを経由してルーティングされます。
ルーティング意図により、ルート テーブルを手動で管理する必要がなくなります。 Virtual WAN コントロール プレーンは、接続されているすべてのハブとスポーク仮想ネットワークに対して必要なすべてのルートを自動的に構成します。
Note
ルーティングの意図には、Azure Firewallまたはサポートされている NVA パートナーが含まれたセキュリティで保護された仮想ハブが必要です。 Standard レベルでのみ使用できます。
Warning
ルーティング意図によって行われるルート テーブルの変更は元に戻すことができません。 ルーティング意図は削除できますが、削除しても、以前の defaultRouteTable 構成は自動的に復元されません。 ルーティング意図を有効にする前に、構成のスナップショットを保存します。これは、後で削除する場合は、以前のルートを手動で復元する必要があるためです。
接続の制限とスケーラビリティ
Virtual WANでは、大規模なデプロイがサポートされます。
- 仮想ハブあたり最大 1,000 のサイト間 VPN 接続。
- Virtual WANごとに複数のハブ (リージョンごとに 1 つ、または分離のためにリージョンごとに複数)。
- ハブ ルーターあたり最大 50 Gbps の合計スループット (最大 50 個のルーティング インフラストラクチャ ユニットが必要)。既定値は 3 Gbps で 2 単位です)。
- 同じハブ内のすべての VNet 接続、VPN ブランチ、および ExpressRoute 回線間の任意の接続。
1 つのハブの制限を超える組織の場合は、同じリージョンまたは異なるリージョンに追加のハブをデプロイします。 Virtual WANはハブ間ルーティングを自動的に処理します。
SD-WAN パートナー統合
Virtual WANでは、SD-WAN パートナー デバイスとのネイティブ統合が提供されます。 パートナー デバイスは次のことができます。
- ブランチ デバイス情報をプログラムでAzureにエクスポートします。
- Azure構成を自動的にダウンロードします。
- 手動で構成せずに、仮想ハブへの IPsec/IKE 接続を確立します。
この自動化により、ブランチのデプロイ時間が数日から数分に短縮されます。 サポートされているパートナーの現在の一覧については、Virtual WANパートナーを参照してください。
パートナー オートメーションの仕組み
SD-WAN パートナーは、Virtual WAN接続自動化 API を使用して、プログラムによってブランチ デバイスのライフサイクルを管理します。
- デバイスの登録:パートナー コントローラーは、ブランチ デバイスをVirtual WAN リソースに登録します (デバイス メタデータや帯域幅の要件を含む)。
- 構成のダウンロード: パートナー プラットフォームは、ポータルの手動操作なしでハブ ゲートウェイ構成 (IP アドレス、事前共有キー、BGP 設定) をプルします。
- トンネルの確立: パートナー デバイスは、ダウンロードした構成を使用して仮想ハブ VPN ゲートウェイへの IPsec トンネルを確立します。
- 継続的な正常性の監視: パートナー プラットフォームはトンネルの正常性を監視し、トンネルがドロップした場合に再接続できます。
VMware SD-WAN、Fortinet SD-WAN、Cisco Viptela、Versa Networks などのパートナーは、このオートメーション モデルをサポートしています。 各パートナーは、Virtual WAN API の上に独自のオーケストレーション レイヤーを実装します。 パートナーを選択する前に、アプリケーション対応のルーティング、トラフィックの最適化、ローカル インターネットブレークアウトなどのパートナー固有の機能を評価します。
設計上の考慮事項
ほとんどのリフト アンド シフト移行では、Virtual WANは開始トポロジではありません。 それが正当化されるタイミングを評価してください。
- Virtual WANが正当化されたとき。 リフト アンド シフト資産に 30 を超えるブランチ サイトが含まれている場合、3 つ以上のAzureリージョンにまたがる場合、または SD-WAN 統合が必要な場合、Virtual WANの自動ルーティングにより、多数のハブスポーク ピアリング間での UDR の管理と比較して運用オーバーヘッドが削減されます。
- 小規模な環境には、ハブアンドスポークで十分です。 VPN Gatewayを備えた 1 つのハブは、最大 30 個のサイト間接続と 500 のスポーク ピアリングを処理します。 移行がこれらの制限内にある場合、従来のハブスポークはよりシンプルでコスト効率が高くなります。
- 移行パスが存在します。 ハブ スポークから始めて、後でVirtual WANが必要な場合は、既存のハブと共にVirtual WAN ハブをデプロイし、スポーク接続を段階的に移動することで移行できます。
マルチリージョンデプロイでは、Virtual WANは自動的に必要ありません。 ルーティングの複雑さを評価します。
- 多くの場合、デュアル ハブ スポークで十分です。 2 リージョンのアクティブ/アクティブ アーキテクチャの場合は、ハブ間で VNet ピアリングを使用して各リージョンにハブをデプロイします。 このパターンは、Virtual WAN のユニットごとの課金オーバーヘッドを伴わずに、ほとんどのモダナイゼーション シナリオに対応できます。
- 複雑さがVirtual WANに向かって進む場合。 最新化が 2 つのリージョンを超えて拡大したり、リージョン間のブランチ接続を追加したり、手動の UDR 管理なしでハブ間ルートの自動伝達を必要とする場合は、Virtual WAN操作が簡略化されます。
- 複数領域をVirtual WANと混同しないでください。 Virtual WANを使用する決定は、ブランチ数、リージョン数、ルーティングの複雑さによって異なります。 マルチリージョンだけでは十分な正当な理由ではありません。
Virtual WANでは、一元化されたスケーラブルなトランジットのために、AWS Transit Gateway と同等のAzureが提供されます。
- トランジット ゲートウェイの等価性。 aws Transit Gateway のようなVirtual WANの仮想ハブ機能: 接続された仮想ネットワーク、ブランチ、およびクロスクラウド VPN トンネル間のトラフィックを自動的にルーティングします。 AWS から移行する場合、このマッピングによりアーキテクチャの変換が簡略化されます。
- セキュリティで保護された仮想ハブ (セキュリティで保護された仮想ハブ)。 仮想ハブの Firewall Manager を使用してAzure Firewallをデプロイします。 ルーティングインテントを有効にして、すべてのプライベートトラフィックとインターネットトラフィックをファイアウォール経由で誘導します。 これにより、Azureに入るクラウド間トラフィックの一元的な検査が提供されます。
- Google Cloud と AWS への VPN 接続。 Virtual WAN ハブから Google Cloud VPN (HA VPN) と AWS Virtual Private Gateway へのサイト間 VPN 接続を作成します。 Virtual WANでは、ハブあたり最大 1,000 個の VPN 接続がサポートされるため、より多くのワークロードを移行する際に拡張の余地が提供されます。
- マルチリージョン計画。 移行されたアプリケーションが配置されている各Azure リージョンに仮想ハブをデプロイします。 ハブ間ルーティングは、AWS のトランジット ゲートウェイ ピアリング モデルをミラーリングして、Microsoftバックボーンに自動的に伝達されます。
前提条件
Virtual WAN トポロジを実装する前に、
- ハブスポークの概念を理解する。 Virtual WAN は、ハブ アンド スポーク モデルを基盤としています。 基本的な概念については 、ハブアンドスポーク トポロジ を確認します。
- ブランチ サイトのインベントリを作成します。 ブランチの数、地理的な分布、および現在の接続 (VPN、MPLS、SD-WAN) を文書化します。
- リージョン戦略を定義します。 ワークロードをホストするAzureリージョンと、仮想ハブが必要な場所を決定します。
- レベルを選択します。 この記事の階層比較表に基づいて、Basic (サイト間 VPN のみ) と Standard (フル トランジット、ExpressRoute、ファイアウォール) を決定します。
- セキュリティ要件を評価します。 一元的な検査 (セキュリティで保護された仮想ハブ) またはスポークごとのセキュリティが適切かどうかを判断します。
セキュリティに関する考慮事項
- セキュリティで保護された仮想ハブ。 ファイアウォール マネージャーを使用してAzure Firewallをデプロイし、接続されているすべての仮想ネットワークとブランチに一貫したセキュリティ ポリシーを適用します。 Firewall Manager は、複数のセキュリティで保護されたハブに対して一元的なルール管理を提供します。
- ルーティングの目的。 ルーティング意図を有効にして、セキュリティ ソリューションを介してプライベートトラフィックとインターネット トラフィックを自動的に誘導します。 この方法では、手動ルーティング構成を排除することで、トラフィックが検査をバイパスするのを防ぎます。
- NVA-in-Hub の制限事項。 ハブにデプロイされたネットワーク仮想アプライアンスの機能は、Azure Firewallとは異なります。 NVA パートナーを選択する前に、セキュリティ要件と機能の同等性を確認します。
- SD-WAN セキュリティ モデル。 パートナー デバイス SD-WAN 統合する場合、トラフィックのセキュリティはパートナーの実装によって異なります。 パートナーの暗号化、認証、トラフィック検査の機能を評価します。
- ハブ間トラフィックの分離。 仮想ハブ間のトラフィックはMicrosoftバックボーンを経由し、パブリック インターネットを経由しません。 バックボーンはプライベート ネットワークですが、トラフィックは既定ではネットワーク レイヤーで暗号化されません。 リージョン間の機密データには、アプリケーション層 TLS を使用します。
関連資料
- ハブ アンド スポーク トポロジ: ハブ リソースを完全に制御する必要がある場合、またはブランチが 30 未満の場合。
- マルチリージョン ネットワーク: マルチリージョン Virtual WAN ハブ パターンとリージョン フェールオーバー設計用。
- リージョン間接続とマルチクラウド接続: リージョン間のグローバル転送とハイブリッド接続パターン。
- VNet とサブネット: スポーク仮想ネットワークは引き続き VNet 接続を介してVirtual WAN ハブに接続します。
- ExpressRoute 接続: 仮想ハブ内の ExpressRoute ゲートウェイの構成。
- Azure Firewallとトラフィックの検査: セキュリティで保護された仮想ハブ のファイアウォール統合パターン。
詳細情報
- Azure Virtual WAN とは
- Virtual WAN ルーティングの概要
- ルーティングの意図とルーティング ポリシー
- Azure Firewall Manager のセキュリティ保護された仮想ハブ
- Virtual WAN の料金の考え方
- Virtual WAN パートナーと場所
次のステップ
Tip
あなた自身で探検? 概要ナビゲーターに戻り、機能別に次の記事を見つけます。
リフトアンドシフト体験の次の手順:
ハイブリッド接続: 移行されたワークロードを、VPN Gatewayまたは ExpressRoute 経由でオンプレミスに接続します。
次に、最新化の取り組みを行います。
マルチリージョン デプロイを計画する: アクティブ-アクティブの復元性を実現するために、設計を複数のリージョンにまたがって拡張します。
マルチクラウドへの移行における次のステップ:
Azureランディング ゾーン VNet を設計する: 接続された移行されたワークロードのAzure仮想ネットワーク基盤を構築します。