Azure Virtual Network ManagerのNetwork Verifierは、ネットワークポリシーがAzureネットワークリソース間のトラフィックを許可または禁止しているかどうかを確認するためのツールです。 接続性、セキュリティ、ルーティング、リソース固有の構成には複数の要素が絡んでいます。では、Azure環境で構築したものが、ネットワークリソースに対して望むリーチ性を実現しているかどうか、どうやって確認できるのでしょうか? リーチアビリティが期待通りに機能しない原因を診断する場合でも、組織のセキュリティコンプライアンス要件にAzure環境が適合していることを証明する場合でも、ネットワーク検証ツールはその答えを提供します。 ネットワーク検証器で到達可能性分析を実行すると、なぜ2つの仮想マシンが互いに通信できないのか、完全な到達可能性パスやブロッカーを提供することで、その疑問に答えることができます。
重要
Azure Virtual Network Manager のネットワーク検証ツールは、次のリージョンで一般提供されています。
- australiaeast
- centralus
- eastus
- eastus2
- eastus2euap
- northeurope
- southcentralus
- uksouth
- westeurope
- westus
- westus2
ネットワーク検証器はどのように動作しますか?
ネットワーク検証器は、すべてのネットワークマネージャーインスタンスで「検証者ワークスペース」と呼ばれるリソースを通じて利用可能であり、これはネットワーク検証者の子リソースや機能のコンテナとして機能します。 ネットワーク マネージャーには 1 つ以上の検証ツール ワークスペースを含めることができ、これらの検証ツール ワークスペースは、ネットワーク マネージャー以外のユーザーに委任できます。 検証ツール ワークスペースでは、次のワークフローを使用してネットワーク データを収集および分析します。
検証ツール ワークスペースを作成する
検証ツール ワークスペースは、ネットワーク マネージャーの子リソースです。 そのアクセス許可は、ネットワーク マネージャー以外の管理者ユーザーに委任でき、Azure portal から検出できます。 検証ツール ワークスペースには、到達可能性分析意図と到達可能性分析結果の独自の子リソースが含まれており、その親ネットワーク マネージャーのスコープを境界として使用して分析を実行します。 この範囲内の任意のAzureリソース、設定、ルールは、親ネットワークマネージャーのスコープのサブスクリプションや管理グループのユーザー権限を昇格することなく、到達可能性分析で評価できます。
検証ツール ワークスペース リソースを委任する
既定では、ネットワーク マネージャーへのアクセス許可を持つユーザーには、検証ツール ワークスペースの作成、削除、および拡張するためのアクセス許可があります。 検証ツール ワークスペースの親ネットワーク マネージャーに対するアクセス許可を持たないユーザーには、"共同作成者" のロールを割り当てることで、検証ツール ワークスペースのアクセス制御を通じてアクセス許可を付与できます。この方法で検証ツール ワークスペースにユーザー アクセス許可を付与しても、そのユーザーにネットワーク マネージャー インスタンスの残りの部分へのアクセス権は付与されません。
到達可能性分析意図を作成する
検証ツール ワークスペース内で、到達可能性分析意図を作成して、検証する送信元と送信先の間のトラフィック パスを定義します。 到達可能性分析意図には、次のフィールドが含まれます。
| フィールド | Description |
|---|---|
| ソース | トラフィックのソースは仮想マシン、仮想マシンのスケールセット、インスタンス、サブネット、またはインターネットのいずれかです。 |
| 送信元ポート | トラフィックのソース ポート。 |
| ソース IP アドレス | トラフィックのソース IP アドレス。 |
| 宛先 | トラフィックの宛先は仮想マシン、仮想マシンスケールセット、インスタンス、サブネット、Cosmos DB、ストレージアカウント、SQLサーバー、またはインターネットのいずれかです。 |
| 送信先ポート | トラフィックの宛先ポート。 |
| 宛先 IP アドレス | トラフィックの宛先 IP アドレス。 |
| プロトコル | トラフィックのプロトコル。 |
検証ツール ワークスペース内に複数の到達可能性分析意図を作成し、それらを並行して実行できます。 特定の検証ツール ワークスペースに対するアクセス許可を持つすべてのユーザーは、その到達可能性分析の意図を作成、表示、削除できます。
到達可能性分析を実行する
到達可能性解析の意図を定義した後、解析を実行して到達可能性解析の結果を受け取る必要があります。 この静的分析では、ネットワーク マネージャーのスコープ内のさまざまなリソースとポリシーの構成によって、到達可能性分析意図の特定のソースと宛先の間の到達可能性が保持されているかどうかを確認します。 解析が完了すると、到達可能性解析の結果が生成されます。
到達可能性解析の結果は、パケットがそのソースから到達可能性解析の意図の目的地に到達できるかどうかを示す JSON オブジェクトです。 接続のパスに関する詳細情報が提供され、ソースと宛先が接続できなかった場合にトラフィックがブロックされた場所が示されます。 これには、到達可能性分析の結果に関係なく、パス上のリソースとそのメタデータに関する情報が含まれます。
Azure portal では、この到達可能性分析結果が視覚化され、到達可能性分析意図の定義された接続の前方のパスが表示されます。 検証ツール ワークスペースへのアクセス権を持つユーザーは、検証ツール ワークスペース内のすべての到達可能性分析意図上で到達可能性分析を実行できます。
到達可能性分析のサポートされている機能
実行すると、ネットワーク検証ツールの到達可能性解析により、次の機能が評価されます。
- ネットワーク セキュリティ グループ (NSG) のルール
- アプリケーション セキュリティ グループ (ASG) ルール
- Azure Virtual Network Manager セキュリティ管理者ルール
- Azure Virtual Network Manager メッシュ トポロジー (接続グループ)
- 仮想ネットワーク ピアリング
- ルート テーブル
- サービス エンドポイントとアクセス制御リスト
- プライベート エンドポイント
- Virtual WAN
- Azure Firewall (静的 L4 のみ)
この一覧は拡張されることがあります。
いつネットワーク検証器を使うべきですか?
Network Verifierは、Azureネットワークの設定やリソースを検証し、意図した到達可能性に適合し、内部標準に準拠していることを確認するために設計されています。 このツールは、Azureネットワークの設計および展開後の段階で特に有用です。 予期せぬトラフィック許容度や許可外に遭遇した場合、ネットワーク検証ツールはAzure環境内での到達可能性からの逸脱の原因を特定するのに役立ちます。 詳細な到達可能性分析結果により、ネットワーク検証器はAzure制御平面上で送信元から宛先までの経路を再構築し、誤設定の原因を追跡できます。
Network Verifierは、Azureネットワークリソースの到達可能性に関するいくつかの質問に答えるのに役立ちます。以下が含まれます:
- 特定の仮想マシン、サブネット、またはその他のリソースとのパブリックインターネットIPアドレス
- NSGルールやセキュリティ管理者ルールなど、トラフィック拒否や評価順序を強制するセキュリティルールの検証
- プライベートエンドポイント背後のリソースへの到達可能性の確認
- 仮想WANを通る理論的なトラフィックパスのリモデル
より複雑なトラブルシューティングシナリオには、ネットワーク検証器が優れた出発点となります。 その到達可能性分析の結果は、運用監視、ネットワークパフォーマンス、データ経路レベルのネットワークトラブルシューティングに特化したツールを案内し、診断の次のステップへと導きます。
ネットワーク検証器の制限
ネットワーク検証器の制限は以下の通りです:
- 到達可能性分析は、単一の到達可能性分析意図でのみ実行できます。
- 到達可能性分析意図のソース/宛先として選択されたサブネットには、到達可能性分析結果が提供されるために、少なくとも 1 つの仮想マシンが実行されている必要があります。
- 到達可能性分析の結果は、サポートされている機能としてここに記載されているサポートされた Azure サービス、リソース、ポリシーの評価に基づいています。 上記で明示的に示されていないサービスに起因する実際のトラフィックの動作は、到達可能性分析の結果とは異なる場合があります。