Azure Virtual WANを使用したハブスポーク ネットワーク トポロジ

Azure バーチャル WAN
Azure Virtual Network
Azure ExpressRoute
Azure Firewall

このハブスポーク アーキテクチャは、 セルフマネージド ハブスポーク ネットワーク トポロジ アーキテクチャ または セキュリティで保護されたハイブリッド ネットワーク アーキテクチャに代替ソリューションを提供します。

このアーキテクチャでは、Azure Virtual WANhub 仮想ネットワークは、オンプレミス ネットワークへの接続の中心的なポイントとして機能し、スポーク仮想ネットワーク間およびパブリック インターネットとの間の接続を提供し、セキュリティで保護するのに役立ちます。 スポーク仮想ネットワークは、Virtual WAN接続を介してハブとピアリングされ、ワークロードの分離に役立ちます。 オンプレミスのデータセンターとハブ間のトラフィックフローは、Azure ExpressRouteまたはAzure VPN Gateway接続を介して行われます。 このアーキテクチャは、セルフマネージド ハブを Microsoft マネージド サービスである Virtual WAN に置き換えます。

このアーキテクチャでは、標準のハブスポーク ネットワーク トポロジの利点に次の利点が追加されます。

  • 既存のハブをフル マネージドのVirtual WAN サービスに置き換えることで、運用上のオーバーヘッドが軽減されます。これは、Microsoftがハブ内のすべてのハブとネットワーク構成の間のピアリングを管理するためです。

  • Azure FirewallとVirtual WANを使用して、構成ミスに関連するリスクを最小限に抑え、すべてのトラフィック フローがファイアウォールによって確実に検査されるようにする、一元的に管理されたセキュリティで保護されたハブによるセキュリティが強化されました。

アーキテクチャ

ハブスポーク参照アーキテクチャを示す図。

このアーキテクチャのVisio ファイルをダウンロードしてください。

このアーキテクチャでは、次のネットワーク コンポーネントを使用します。

  • オンプレミス ネットワーク: 組織内で動作するプライベート ローカル エリア ネットワーク (LAN)。

  • 仮想プライベート ネットワーク (VPN) デバイス: オンプレミス ネットワークへの外部接続を提供するデバイスまたはサービス。

  • VPN 仮想ネットワーク ゲートウェイ または ExpressRoute ゲートウェイ: 仮想ネットワークを VPN デバイスに接続する仮想ネットワーク ゲートウェイ、またはオンプレミス接続に使用される ExpressRoute 回線。

  • Virtual WAN ハブ: オンプレミス ネットワークへの接続の中心点。 Virtual WANは、このハブ スポーク トポロジのハブとして機能し、スポーク仮想ネットワーク内のワークロードのサービスをホストします。

  • セキュリティで保護された仮想ハブ:Virtual WAN ハブで構成Azure Firewall Managerセキュリティポリシーとルーティング ポリシー。 セキュリティで保護された仮想ハブには組み込みのルーティングが含まれているため、ユーザー定義ルート (UDR) を構成する必要はありません。

  • スポーク仮想ネットワーク: ハブスポーク トポロジでスポークとして機能する 1 つ以上の仮想ネットワーク。 スポークを使用して、独自の仮想ネットワーク内のワークロードを分離し、個別に管理できます。 各ワークロードには、複数のサブネット間に複数の層が含まれる場合があります。これらの層内または層間でトラフィックを分散するAzureロード バランサーを使用します。

  • 仮想ネットワーク ピアリング: 仮想ネットワーク間の非推移的で待機時間の短い接続。 ピアリングされたネットワークは、ルーターを必要とせずに、Azure バックボーン経由でトラフィックを交換します。 ハブスポーク ネットワーク トポロジでは、仮想ネットワーク ピアリングはハブを各スポークに接続し、ハブは相互に接続し、UDR はハブ間トラフィックを処理します。 Virtual WANでは、Microsoftはハブ間のピアリングと、クロスハブ トラフィック フローに必要なルーティングの両方を管理します。

Workflow

次のワークフローでは、トラフィックがハブスポーク Virtual WAN アーキテクチャを通過する方法について説明します。

  1. ブランチまたはユーザーのトラフィックはオンプレミスから送信されます。 ブランチ サイトまたはオンプレミス ネットワークのユーザーまたはシステムが接続を開始します。 このトラフィックは、Virtual WANに接続するように構成されたソフトウェア定義のワイド エリア ネットワーク (SD-WAN) または VPN デバイスを介してルーティングされます。

  2. トラフィックは、VPN または ExpressRoute ゲートウェイ経由でAzureに入ります。 暗号化されたトラフィックは、リージョンにデプロイされた VPN ゲートウェイまたは ExpressRoute ゲートウェイを介して、Virtual WAN ハブに到達します。

  3. Virtual WAN ハブは、適切な宛先へのルーティングを管理および最適化します。 ハブは、Azure Firewallまたはネットワーク仮想アプライアンス (NVA) によって適用されるカスタム ルートやポリシーなど、ルーティング ポリシーを評価します。 ハブによって、トラフィックの次ホップが決定されます。 宛先が別のリージョンまたはハブにある場合、グローバルトランジット機能によってルーティングが処理されます。

  4. ハブ間接続により、グローバルな到達可能性が確保されます。 宛先が別のリージョンにある場合、トラフィックは、Virtual WAN ハブ間のハブ間接続を介して、Microsoft グローバル バックボーン経由でルーティングされます。

  5. トラフィックはスポーク仮想ネットワークに到達します。 宛先がスポーク仮想ネットワーク内のワークロードまたはアプリケーションである場合、Virtual WAN ハブは、定義されたピアリングとルーティングの構成に基づいてトラフィックを転送します。

  6. オプションのセキュリティ検査が行われます。 ルーティング意図を介したプライベート ルーティング ポリシーは、最終的な宛先に到達する前にトラフィックを検査するために、Azure Firewall、統合された次世代ファイアウォール (NGFW) NVA、またはハブにデプロイされたサービスとしてのソフトウェア (SaaS) セキュリティ ソリューションを構成します。 この方法では、一元化されたセキュリティとポリシーのコンプライアンスが適用されます。

  7. アプリケーションの応答は、逆のパスに従います。 スポーク仮想ネットワーク内のアプリケーションまたはリソースが応答し、リターン トラフィックは、定義されたルートとセキュリティ ポリシーに従って、同じVirtual WAN ハブとゲートウェイを経由して戻ります。

  8. インターネット エグレス トラフィックが検査され、ルーティングされます。 宛先がインターネットなどの外部にある場合、Virtual WANは、インターネット トラフィックを処理するルーティング ポリシーの次ホップとして設定したセキュリティ ソリューションにトラフィックを転送します。

    直接アクセス モードでは、インターネット ルーティング ポリシーによって0.0.0.0/0が処理され、セキュリティ ソリューションによって、調査されたトラフィックがハブからインターネットに転送されます。 強制トンネル モードでは、プライベート ルーティング ポリシーが0.0.0.0/0を処理し、セキュリティ ソリューションは検査されたトラフィックをオンプレミスのエグレス ポイントに転送します。

コンポーネント

  • Azure Virtual Networkは、ワークロード用の分離されたセキュリティで保護されたネットワーク環境を提供します。 仮想ネットワークは、仮想ネットワーク接続を介してVirtual WAN ハブに接続します。これにより、スポーク内のワークロードは、一元化されたサービスを介して互い、オンプレミス ネットワーク、またはインターネットとより安全に通信できます。

  • Virtual WANは、仮想ネットワーク、ブランチ、リモート ユーザーを接続する統合されたグローバル トランジット ネットワーク アーキテクチャを提供するネットワーク サービスです。 このアーキテクチャでは、中央コントロール プレーンとデータ プレーンとして機能します。 Virtual WANは、ハブ、スポーク、および外部ネットワーク間でトラフィックを管理およびルーティングします。これにより、共通フレームワークを介したグローバル接続が可能になります。

  • Virtual WANサイト間 VPN ゲートウェイは、オンプレミス VPN デバイスからハブへの暗号化されたインターネット プロトコル セキュリティ (IPsec)/インターネット キー Exchange (IKE) 接続を提供するVirtual WAN固有のリソースです。 このアーキテクチャでは、ブランチ オフィスまたはデータセンターからVirtual WAN経由でAzureへの接続をセキュリティで保護するのに役立ちます。

  • ExpressRoute は、オンプレミスインフラストラクチャとAzure間のプライベートで高スループットの接続を提供します。 Virtual WANと統合すると、ミッション クリティカルなワークロードの VPN 接続に代わる、より高速で信頼性の高い代替手段が提供されます。

  • Azure Firewall は、ネットワーク トラフィックに対する脅威保護を提供する、クラウドネイティブのステートフル ネットワーク セキュリティ サービスです。 このアーキテクチャでは、Virtual WAN ハブで実行され、仮想ネットワーク間またはオンプレミス環境からの送信インターネット トラフィックとプライベート トラフィックの両方を検査してフィルター処理します。

  • Azure DDoS Protection は、分散型サービス拒否 (DDoS) 攻撃に対する強化された軽減策を提供します。 DDoS Protection は、多くのパブリック エンドポイントを持つハブスポーク アーキテクチャに推奨されます。 境界仮想ネットワークで DDoS Protection を有効にします。

代替

ハブスポーク アーキテクチャを実装するには、セルフマネージド ハブ インフラストラクチャまたはMicrosoftマネージド ハブ インフラストラクチャを使用できます。 どちらの方法でも、スポークは仮想ネットワーク ピアリング経由でハブに接続します。

カスタマー マネージド ハブ インフラストラクチャ コンポーネントを使用したセルフマネージド ハブ スポーク ネットワーク パターンについては、Azureのハブスポーク ネットワーク トポロジに関する説明を参照してください。 境界ネットワークを使用してオンプレミス ネットワークをAzureに拡張するセキュリティで保護されたハイブリッド ネットワークについては、「セキュリティで保護されたハイブリッド ネットワークを実装する」を参照してください。

シナリオの詳細

この記事では、Azure Virtual WANがMicrosoftマネージド ハブ インフラストラクチャを提供するハブスポーク ネットワーク パターンについて説明します。 Virtual WAN ハブは、多くのスポーク仮想ネットワークとオンプレミス ネットワークへの接続の中心点として機能します。 スポーク仮想ネットワークはハブに接続し、ワークロードを分離します。 Virtual WANは、ハブ内で管理されている VPN または ExpressRoute ゲートウェイを介してブランチ オフィスとデータセンターを接続することで、クロスプレミス シナリオをサポートします。

セルフマネージド ハブ スポーク トポロジとは異なり、Virtual WANはハブ インフラストラクチャ、ルーティング、ピアリングをマネージド サービスとして処理します。 このアプローチにより、運用上のオーバーヘッドが軽減され、スポーク間の推移的な接続が組み込まれており、複数のリージョンとハブ間のグローバル転送がサポートされます。

考えられるユース ケース

このアーキテクチャは、セルフマネージド ハブスポーク トポロジと 同じシナリオ に対応しますが、リソース管理、柔軟性、コストが異なります。

このアーキテクチャでは、次のユース ケースをサポートできます。

  • ExpressRoute または VPN を介して複数のワークロード仮想ネットワークをオンプレミスのデータセンターに接続する一元的なハイブリッド接続。

  • ワークロード間、ワークロードとオンプレミス間、およびインターネットとの間のトラフィックに対する一元的な検査とポリシーの適用。

  • 大規模なブランチ接続とリモート ユーザー接続、サイト間 VPN、ポイント対サイト ユーザー VPN、および多くのサイトからの SD-WAN 接続を集約します。

  • Azure、ワークロード チームが独自のサブスクリプションを所有し、プラットフォーム チームが共有サービスとして接続を提供するランディング ゾーンです。

メリット

次の図は、このアーキテクチャが提供するいくつかの利点を示しています。

  • Azure仮想ネットワークにおけるメッシュ状の完全ハブ
  • ブランチから Azure への接続
  • ブランチ間接続
  • VPN と ExpressRoute の混合使用
  • サイトに対するユーザー VPN の混在使用
  • 仮想ネットワークから仮想ネットワークへの接続

ハブスポーク参照アーキテクチャの利点を示す図。

このアーキテクチャのVisio ファイルをダウンロードしてください。

推奨事項

次の推奨事項は、ほとんどのシナリオに適用できます。 これらの推奨事項には、オーバーライドする特定の要件がない限り、従ってください。

リソースの編成

ハブと各スポークは、異なるリソース グループに配置でき、理想的には異なるサブスクリプションに存在できます。 異なるサブスクリプションの仮想ネットワークをピアリングする場合、両方のサブスクリプションが同じMicrosoft Entra IDテナントまたは異なるテナントに属している可能性があります。 このセットアップにより、ハブで維持されるサービスを共有しながら、各ワークロードを分散管理できます。

仮想ネットワークはサブスクリプションをまたぐことはできません。 Azureランディング ゾーン サブスクリプションの民主化設計原則に従い、各ワークロードまたはワークロード環境のペアを独自のサブスクリプションに配置すると、各ワークロードの仮想ネットワークは必ずしも個別になります。 ハブスポーク トポロジは、これらのワークロード ネットワークがハイブリッド接続、トランジット、一元的な検査を共有する方法です。

Virtual WAN

Azure Virtual WANには、Basic と Standard の 2 つの SKU があります。 Basic Virtual WANでは、1 つのハブ内でのサイト間 VPN 接続のみがサポートされます。

ソリューションで次のいずれかの機能が必要な場合は、Standard Virtual WANを作成します。

  • より高いスループットのためのスケーリング
  • Global Reach の場所で ExpressRoute Premium 回線を使用したプライベート接続
  • ExpressRoute VPN 相互接続
  • メトリックやリソース正常性など、Azure Monitor による統合された監視

Standard Virtual WAN では、既定でフルメッシュ接続が使用されます。 ハブ内およびハブ間で、サイト間 VPN、仮想ネットワーク、ExpressRoute、ポイント対サイト エンドポイントなど、任意の接続をサポートします。

Virtual WAN ハブ

仮想ハブは、リージョン内のネットワークのコアとして機能するMicrosoftマネージド仮想ネットワークです。 ハブには、接続を可能にするためのさまざまなサービス エンドポイントが含まれています。 各Azureリージョンに複数のハブを含めることができます。 詳細については、「Virtual WAN FAQ を参照してください。

Virtual WAN ハブには、少なくとも /24 のアドレス範囲が必要です。 Azureは、ハブ ルーターと、ハブに追加するすべてのゲートウェイまたはその他のコンポーネント用の領域を予約します。 ゲートウェイは、明示的に作成する個別のリソースです。 このアーキテクチャで使用されるゲートウェイについては、「 ゲートウェイ接続」を参照してください。

Virtual WANはハブまたはそのゲートウェイで IPv6 をサポートしていません。また、IPv6 アドレス範囲を持つスポーク仮想ネットワークは、ハブに接続すると IPv6 接続を失います。 ワークロード、ハイブリッド接続、またはリモート ユーザーに IPv6 が必要な場合は、セルフマネージド ハブスポーク トポロジを選択します。 詳細については、「Virtual WAN FAQ を参照してください。

セキュリティ保護付き仮想ハブ

仮想ハブをセキュリティで保護された仮想ハブとして作成することも、作成後いつでも既存のハブをセキュリティで保護されたハブに変換することもできます。 詳細については、「 Firewall Manager を使用して仮想ハブをセキュリティで保護する」を参照してください。

セキュリティで保護された仮想ハブ内のAzure Firewallは、そのハブに接続されているすべてのスポーク仮想ネットワークとブランチ サイトによって共有されます。 ネットワーク アドレス変換がワークロード設計にどのように影響するかを計画します。

  • スポークまたはブランチからの送信フローは、ファイアウォールのパブリック IP アドレスの 1 つからソースとしてハブから離れます。 このメカニズムは 、ソース ネットワーク アドレス変換 (SNAT) です。 Azure Firewall、接続されているパブリック IP アドレスのいずれかに対する各送信フローが実行されるため、選択は決定論的ではありません。そのため、パートナーの許可リストは、セキュリティで保護されたハブ ファイアウォールに接続されているすべての IP アドレスをカバーする必要があります。 パブリック IP アドレス プレフィックスを使用して、セットを連続した範囲として表します。

    接続されているパブリック IP アドレスの数によって、接続されているすべてのワークロードの SNAT ポートの予算が設定されます。 ポートの枯渇はハブを通過するすべてのワークロードに影響するため、すべてのスポークとブランチからの合計同時送信接続速度のサポートを計画します。 パブリック IP の追加は、セキュリティで保護されたハブの SNAT 容量を増やす主な方法です。 Azure NAT Gateway は、標準の仮想ネットワークのAzure Firewallの SNAT をスケーリングします。Virtual WAN ハブではサポートされていません。

  • ファイアウォールを介して発行されたワークロードは、ファイアウォールのパブリック IP アドレスで到達可能です。 宛先ネットワーク アドレス変換 (DNAT) 規則を使用してバックエンドを発行します。 Azure Firewall は、DNAT に一致するパケットに対しても SNAT を行うため、バックエンドは元のクライアントの IP アドレスではなく、ファイアウォール インスタンスの IP アドレスを送信元として認識します。

    アプリケーションでクライアントの実際の IP アドレスが必要な場合は、Azure Application GatewayやAzure Front Doorなどのリバース プロキシでクライアント接続のアップストリームを終了し、X-Forwarded-For HTTP ヘッダーでクライアントの IP アドレスを転送し、元の HTTP ホスト名を保持して、バックエンドがクライアントのホスト名を監視し続けます。

ハブ内の NVA

ハブに NVA をデプロイすると、スポーク仮想ネットワーク内の UDR が不要になり、Azure管理された高可用性とスケーリングによる一元的なトラフィック検査が提供されます。

特定のサード パーティの NVA は、Virtual WAN ハブ内に直接デプロイできます。 ハブで実行できるのは、Microsoftとベンダーが共同で修飾する NVA のみです。 各認定 NVA は、次の 3 つのロール カテゴリのいずれかに分類されます。

  • SD-WAN 接続 NVA は ブランチ接続を終了します。 これらの NVA は、 ルーティング意図の次ホップ リソースになる資格がありません。

  • NGFW NVA はトラフィックを 検査します。 これらの NVA は、ルーティング インテントのネクスト ホップ リソースとして使用できます。

  • デュアル ロール SD-WAN と NGFW NVA は 、両方のロールを 1 つのアプライアンスに結合します。

Virtual WAN ハブでホストできる統合 NVA は 1 つだけであり、そのスロットは 3 つのカテゴリすべてで共有されます。 パートナー提供の SD-WAN 接続と NGFW 検査を同じハブで実行するには、デュアルロール NVA を使用する必要があります。 別の SD-WAN NVA と NGFW NVA をデプロイすることはできません。

パートナーの権限のある一覧、ルーティング意図が受け入れるベンダー識別子、および各ベンダーが分類するカテゴリについては、「Virtual WAN ハブの NVA について」を参照してください。 認定ベンダーには、Barracuda、Check Point、Cisco、Fortinet などがあります。

サード パーティの SaaS セキュリティ ソリューション

Virtual WAN ハブでは、サービスとしてのインフラストラクチャ (IaaS) ベースの NVA とは異なるサードパーティの SaaS ネットワークおよびセキュリティ ソリューションもサポートされます。 たとえば、Palo Alto Networks Cloud NGFW をハブ内にフル マネージド SaaS オファリングとしてデプロイし、アプライアンス インフラストラクチャを管理せずにインライン トラフィック検査を提供できます。 これらの SaaS ソリューションはルーティング意図と統合され、Azure Marketplaceを通じて課金されます。 ハブごとに 1 つの SaaS セキュリティ ソリューションをデプロイできます。 詳細については、「Virtual WAN ハブに Palo Alto Networks Cloud NGFW をインストールするを参照してください。

1 つのハブでセキュリティ ソリューションを結合する

ルーティングの意図により、ハブごとに 2 つのトラフィック ステアリング制御が提供されます。1 つのプライベート ルーティング ポリシーと 1 つのインターネット ルーティング ポリシーで、それぞれが 1 つの次ホップ リソースを持ちます。 すべての東西、ブランチから仮想ネットワーク、およびハブ間のトラフィックは 1 つのプライベート ポリシーの下で一緒に移動するため、ルーティング意図を使用してデータセンター間 Azureトラフィックを 1 つのベンダーのファイアウォールに送信し、東西トラフィックを別のベンダーのファイアウォールに送信することはできません。

1 つのハブでは、次の共存パターンがサポートされます。

  • Azure Firewallに加え、統合された NGFW NVA が 1 つ追加されました。 1 つのポリシーの次ホップをAzure Firewallに設定し、もう一方のポリシーの次ホップをパートナー NGFW NVA に設定します。 詳細については、「NVA をセキュリティで保護されたハブにデプロイできますか?」を参照してください。

  • Azure Firewallと 1 つの SaaS セキュリティ ソリューション。 一方のポリシーの次ホップをAzure Firewallに設定し、もう一方のポリシーの次ホップをハブにデプロイされた SaaS セキュリティ リソースに設定します。

ベンダーによって異なるか、SD-WAN または NGFW ロール カテゴリによって異なるかにかかわらず、同じハブ内の 2 つの異なるサードパーティ NVA はサポートされていません。 2 つのルーティング ポリシーで許可されているものを超えてトラフィックの種類ごとにベンダーを分離する必要がある場合は、次のいずれかの方法を検討してください。

  • 複数のハブをデプロイし、それぞれに接続するワークロードに対して独自の次ホップを選択します。 ハブ間検査では、すべてのハブでルーティング意図が必要です。
  • セカンダリ NVA をスポーク仮想ネットワークに配置し、NVA を使用する必要がある仮想ネットワークを選択的にピアリングします。 パフォーマンスとセキュリティに最適化されたVirtual WANアーキテクチャはこのパターンを示しています。

ゲートウェイ接続

Virtual WAN ハブにゲートウェイを作成するには、「Azure Virtual WAN を使用してサイト間接続を作成する」および「 ExpressRoute 関連付けをVirtual WAN。

高可用性ハイブリッド接続を実現するには、同じハブ内の ExpressRoute ゲートウェイと共に VPN ゲートウェイをデプロイし、ExpressRoute を優先するように Border Gateway Protocol (BGP) パスの優先設定を設定します。 VPN 接続は、ExpressRoute 回線に障害が発生した場合にのみトラフィックを伝送します。 詳細については、Virtual WAN のディザスター リカバリー設計およびAzure Virtual WAN のアーキテクチャのベスト プラクティスに記載されている信頼性に関する推奨事項を参照してください。

このアーキテクチャでは、ハブにゲートウェイをデプロイして、図に示されているブランチ、リモート ユーザー、オンプレミスの接続を提供します。 ゲートウェイは、要件ではなく、Virtual WAN ハブへの一般的な追加です。 ゲートウェイのないハブは、ハブ ルーター経由でスポーク間トラフィックをルーティングします。

仮想ネットワーク ピアリング

仮想ネットワーク ピアリングは、2 つの仮想ネットワーク間に非推移的な関係を作成します。 Virtual WANを使用すると、スポークは直接ピアリングを必要とせずに相互に接続できます。

複数のスポークを接続する必要がある場合は、各仮想ネットワークの仮想ネットワーク ピアリングの制限にすぐに達することができます。 詳細については、「ネットワークの制限」を参照してください。 Virtual WANは、スポーク間に組み込みの接続を提供することで、この制限を取り除きます。 詳細については、「Global transit network architecture and Virtual WAN」を参照してください。

ハブ接続の仮想ネットワーク ピアリング

Virtual WANでは、Microsoftは仮想ネットワーク ピアリングを管理します。 ハブへの接続を追加すると、Virtual WANによって仮想ネットワーク ピアリングが自動的に構成されます。 したがって、すべてのスポークは推移的な関係を持ち、ゲートウェイ転送やリモート ゲートウェイなどの接続ごとのピアリング設定を必要とせずに、ハブのルート テーブルを介してハブのゲートウェイと接続されたブランチに自動的に到達します。

ルーティングの意図

ルーティング意図は、Virtual WAN ハブにデプロイされたセキュリティ ソリューションを介してトラフィックを送信する宣言型ルーティング機能です。 ハブには最大 2 つのルーティング ポリシーがあり、各ポリシーには 1 つの次ホップ リソースがあります。

  • プライベート ルーティング ポリシー では、VNet 間、インターハブ、ブランチから VNet への ExpressRoute、サイト間 VPN、およびポイント対サイト VPN トラフィックを、構成済みの次ホップに 1 つのクラスとして誘導します。

    既定では、ポリシーは 10.0.0.0/8、 172.16.0.0/12、および 192.168.0.0/16RFC1918集計と一致します。 RFC1918以外のプレフィックス、委任されたサブネット プレフィックス、Azure NetApp Filesが必要とするより具体的なルートなど、他のプライベート アドレス範囲を調べるには、ポリシーの追加プレフィックスに追加します。

  • インターネット ルーティング ポリシー は、構成された次ホップに 0.0.0.0/0 トラフィックを誘導し、検査されたトラフィックをハブからインターネットに直接転送します。 このパターンは 、直接アクセスと呼ばれます。

各ポリシーは、Azure Firewall、統合された NGFW NVA、または SaaS セキュリティ ソリューションを次ホップ リソースとして受け入れます。 2 つのポリシーは、同じハブ内の異なるリソースを指すことができます。 たとえば、プライベート ポリシーの次ホップをAzure Firewallに設定し、インターネット ポリシーの次ホップを SaaS セキュリティ ソリューションに設定できます。 現在の適格性の一覧、ベンダー識別子、および構成手順については、「 Hub ルーティングの意図とルーティング ポリシー Virtual WANを構成する方法を参照してください。 同じハブ内の異なるセキュリティ製品を組み合わせる方法のガイダンスについては、「 1 つのハブでセキュリティ ソリューションを結合する」を参照してください。

ハブ内のインターネットにバインドされたトラフィックを検査し、インターネットに直接ではなくオンプレミスのエグレス ポイントに送信するには、 強制トンネル モードを使用します。 このモードでは、インターネット ルーティング ポリシーは構成せず、プライベート ルーティング ポリシーを構成し、ポリシーの追加プレフィックスに 0.0.0.0/0 を追加します。 プライベート ポリシーの次ホップ セキュリティ ソリューションは、 0.0.0.0/0 トラフィックを検査し、オンプレミスから、ハブまたはスポークの NVA から、または仮想ネットワーク接続上の静的ルートから、既定のルートを介して転送します。

強制トンネル モードでは DNAT がサポートされていないため、一部のトポロジで非対称ルーティングが導入される可能性があります。 詳細については、「 ルーティング意図を使用したインターネット アクセス パターン」を参照してください。

インターネットイングレスはルーティング意図トラフィック クラスではありません。 インターネットにワークロードを発行するには、ハブ ファイアウォールで DNAT 規則を構成するか、Application Gateway またはスポーク仮想ネットワーク内のAzure Front Doorでクライアント接続をアップストリームで終了します。 詳細については、「 セキュリティで保護された仮想ハブ 」セクションを参照してください。

ルート マップ

ルート マップは、スケーラブルで制御されたハイブリッド接続をサポートし、ルーティング ポリシーとネットワーク セグメント化に確実に準拠し、大規模な環境でのルーティング ループまたはルート リークを防ぎます。

Virtual WANのルート マップでは、アドバタイズされたルートと受信したルートをきめ細かく制御できます。 ルート マップを使用して、Virtual WAN ハブと外部ネットワーク (ブランチ、パートナー ネットワーク、SD-WAN 接続など) 間の BGP ルート伝達をフィルター処理、変更、または制御します。 ルート マップは、BGP 接続を介してアドバタイズまたは受け入れられるルートを制御します。

ルート マップは、VPN サイト、ExpressRoute 回線、仮想ネットワーク接続などの接続にアタッチできます。 各ルート マップは、一致ステートメントや許可、拒否、設定などのアクションなどの条件を含む 1 つ以上のルールで構成されます。 Azureはルールを順番に評価し、最初の一致は次のステップが設定されていない限り、そのルートの結果を決定します。 ルート マップは、受信または送信のいずれかを適用できます。

ハブ拡張機能

ドメイン ネーム システム (DNS) リソース、カスタム NVA、Azure Bastionなどのネットワーク全体の共有ツールをサポートするには、仮想ハブ拡張機能パターンを使用して各サービスを実装します。 このモデルを使用して、仮想ハブに直接デプロイできないビジネス クリティカルな共有サービスの単一機能拡張機能を構築して運用します。

スポーク接続と共有サービス

Virtual WANはスポーク間の接続を提供しますが、スポーク トラフィックの UDR は仮想ネットワークの分離に役立ちます。 スポークと同じVirtual WANで共有サービスをホストすることもできます。

Virtual WANでは、ハブあたり最大 4,000 個のプライベート エンドポイントがサポートされています。これにより、パブリック インターネットにトラフィックを公開することなく、Azure サービスとしてのプラットフォーム (PaaS) オファリングへのセキュリティで保護された接続が可能になります。 Private Linkを使用して、Azure Storage、Azure SQL Database、カスタム サービスなどのサービスにアクセスします。 標準の仮想ネットワークで使用できるより大規模なプライベート エンドポイントの制限は、Virtual WAN ハブには適用されません。 詳細については、「 Virtual WAN間でPrivate Link サービスを共有する」を参照してください。

注意事項

これらの考慮事項は、ワークロードの品質向上に使用できる一連の基本原則である Azure Well-Architected Framework の要素を組み込んでいます。 詳細については、「 Well-Architected Framework」を参照してください。

Reliability

信頼性は、アプリケーションが顧客に対して行ったコミットメントを確実に満たすことができるのに役立ちます。 詳細については、「信頼性の設計レビュー チェックリスト」を参照してください。

  • Virtual WANはルーティングを処理します。これにより、スポーク間のネットワーク待機時間を最適化し、予測可能なパフォーマンスを確保できます。 Virtual WANは、複数のリージョンにまたがるワークロードに対して、異なるAzure リージョン間の信頼性の高い接続も提供します。 この機能により、Azure内のネットワーク フローのエンド ツー エンドの可視性が向上します。

  • セキュリティで保護された仮想ハブ内の共有Azure Firewallを通過する有効期間の長い伝送制御プロトコル (TCP) フローは、アイドル タイムアウトやインスタンスのリサイクル時に低下する可能性があります。 VPN トンネル、データベース セッション、Secure Shell (SSH) セッション、リモート デスクトップ プロトコル (RDP) セッションなど、接続を何時間も保持するワークロードには、双方向 TCP キープアライブとアプリケーション レベルの再試行が必要です。 また、スケールインと毎月のプラットフォーム メンテナンスでは、インスタンスAzure Firewallリサイクルされ、ドレイン期間を超えるセッションが削除されます。 アイドル タイムアウト値、スケールイン動作、および事前スケーリングのガイダンスについては、「Azure Firewall TCP セッション管理」を参照してください。

セキュリティ

セキュリティは、意図的な攻撃や貴重なデータとシステムの誤用に対する保証を提供します。 詳細については、セキュリティ設計レビューのチェックリストを参照してください。

Virtual WAN内のハブを、Azure Firewallを使用するセキュリティで保護されたハブに変換できます。 UDR は、ネットワーク分離の適用に引き続き有効です。

ExpressRoute プライベート ピアリングでは、既定ではトラフィックは暗号化されません。 ExpressRoute を通過するオンプレミストラフィックを暗号化するには、ExpressRoute プライベート ピアリングを介してサイト間 VPN トンネルを実行する ExpressRoute 経由の IPsec を構成します。

DDoS Protection とアプリケーション設計のベスト プラクティスを組み合わせることで、DDoS 攻撃に対する軽減策が強化されます。 DDoS Protection は、仮想ネットワーク全体をカバーし、DDoS Rapid Response と Cost Protection を含む DDoS ネットワーク保護と、より小規模な環境に適した IP 単位のモデルである DDoS IP Protection の 2 つの層で利用できます。 DDoS ネットワーク保護は、多数のパブリック エンドポイントを持つハブスポーク アーキテクチャに推奨されます。 境界仮想ネットワークで DDoS Protection を有効にします。

コストの最適化

コストの最適化では、不要な経費を削減し、運用効率を向上させる方法に重点を置いています。 詳細については、「コスト最適化の設計レビュー チェックリスト」を参照してください。

Virtual WAN の価格ページを使用して、ネットワーク トポロジの最もコスト効率の高いソリューションを理解し、見積もります。 Virtual WAN価格には、いくつかの主要なコスト要因が含まれます。

  • デプロイ時間: Virtual WAN ハブのデプロイと使用に対する料金。
  • スケール ユニット: サイト間またはポイント対サイト VPN および ExpressRoute ゲートウェイをスケーリングするための帯域幅容量 (Mbps) またはギガビット/秒 (Gbps) に基づく料金。
  • 接続ユニット: VPN、ExpressRoute、またはリモート ユーザーへの各接続のコスト。
  • データ処理ユニット: ハブ経由で処理されるデータのギガバイトあたりの料金 (GB)。
  • ルーティング インフラストラクチャ ユニット: ハブのルーティング機能のコスト。 現在および地域固有の見積もりについては、Virtual WAN価格ページとAzure料金計算ツールを使用します。
  • セキュリティで保護された仮想ハブを使用したAzure Firewall: デプロイ ユニットごと、およびデータ処理ユニットあたりの追加コスト。 このコンポーネントは推奨されますが、必須ではありません。
  • ハブからハブへのデータ転送: ハブ間でデータを転送するためのコスト。 これらのコストは、Azure 帯域幅の価格で詳しく説明されているように、リージョン間 (大陸内または大陸間) の料金の対象となります。

一般的なネットワーク シナリオに合わせた価格の詳細については、「about Virtual WAN pricing」を参照してください。

この記事の 2 ハブ アーキテクチャの開始点のコストを調べるには、Azure料金計算ツールで、構成済みのハブスポーク Virtual WAN インフラストラクチャの見積もりを開きます。 予想されるトラフィック ボリューム、スポークの数、ゲートウェイ スケール ユニットに合わせて値を調整します。

オペレーショナル エクセレンス

オペレーショナル エクセレンスは、アプリケーションをデプロイし、それを運用環境で実行し続ける運用プロセスをカバーします。 詳細については、「 オペレーショナル エクセレンスの設計レビュー チェックリスト」を参照してください。

Microsoftは、マネージド サービスとしてのVirtual WANを提供します。 テクノロジの観点からは、自己管理型ハブ インフラストラクチャによく似ています。 ただし、Virtual WANは、スポーク間の推移的なネットワーク接続を可能にするメッシュ ネットワーク トポロジを提供することで、ネットワーク アーキテクチャ全体を簡略化します。 また、オンプレミス ネットワークとAzure間のサイト間の構成と接続を完全に自動化することもできます。

Azure Monitorを使用してVirtual WANを監視する必要があります。 主要なハブ レベルのメトリックには、容量計画とスケールの監視のための ルーティング インフラストラクチャ ユニットの使用状況 (%) や、ハブトラフィック量を追跡するための ビットイン と ビットアウト が含まれます。 使用率またはトラフィックがしきい値に近づいたときにアラート ルールを設定して、ハブスケールを事前に管理します。 詳細については、「Azure Virtual WAN monitoring」を参照してください。

パフォーマンス効率

パフォーマンス効率とは、ユーザーの要求を効率的に満たすためにスケーリングするワークロードの能力を指します。 詳細については、「パフォーマンス効率のための設計レビュー チェックリスト」を参照してください。

Virtual WANは、スポーク間およびリージョン間の待機時間を短縮するのに役立ちます。 ゲートウェイのスループットは、ゲートウェイの種類とデプロイスコープによって異なります。 単一ゲートウェイまたは単一ハブの制限を超えるワークロードの場合は、リージョンごとに追加のハブまたはゲートウェイをデプロイして、集計容量をスケーリングします。 現在の制限については、Virtual WAN制限を参照してください。

Virtual WANは、スポーク間のフルメッシュ接続を提供すると同時に、特定の要件に基づくトラフィック制限を許可します。 このアーキテクチャにより、サイト間の大規模なパフォーマンスが実現します。 また、グローバルに分散されたクラウド ワークロードのセット間の任意の接続を有効にすることで、グローバルトランジット ネットワーク アーキテクチャを作成することもできます。

共有ハブ ファイアウォールの容量を計画するには:

  • アドバタイズされた最大スループットではなく、計画された検査プロファイルのAzure Firewallサイズ。 トランスポート層セキュリティ (TLS) 検査と侵入検出防止システム (IDPS) の両方を拒否モードで有効にすると、検査なしで実行する場合と比較して、効果的なスループットを大幅に削減できます。 1 つのハブから検査されたスループットが制約になる場合は、複数のハブ間でスケールアウトします。 機能の比較による図については、Azure Firewallパフォーマンスに関する記事を参照してください。

  • フラット ルール数ではなく、ネットワーク ルールの容量を組み合わせとして計画します。 Azure Firewallには、ネットワーク ルール間の一意の送信元と宛先の組み合わせに制限があります。 各ルールの送信元、宛先、IP グループ、完全修飾ドメイン名 (FQDN)、プロトコル、ポートが乗算されるため、いくつかのルールで大きな予算共有を使用できます。 IP グループはサイズに関係なく 1 つのユニットとしてカウントされるため、IP グループを使用して許可リストを最適化し、ポリシー分析を使用して、文書化されたAzure Firewall制限に対する使用状況を追跡します。

高度なシナリオ

アーキテクチャは、この記事で説明する基本的なハブスポーク アーキテクチャとは異なる場合があります。 次の一覧では、高度なシナリオのガイダンスを示します。

Contributors

Microsoft では、この記事を保持しています。 この記事を書いたのは、以下の寄稿者です。

主要著者:

公開されていない LinkedIn プロフィールを見るには、LinkedIn にサインインしてください。

次のステップ