仮想ネットワーク接続オプションとスポーク間通信

Microsoft Entra ID

Azure Virtual Network

Azure VPN Gateway

Azure Virtual Network Manager

この記事では、仮想ネットワーク ピアリングと仮想プライベート ネットワーク (VPN) ゲートウェイの 2 つのAzure内の仮想ネットワークを接続する方法を比較します。 また、ハブ アンド スポーク アーキテクチャのスポーク間通信パターンについても説明し、ネットワーク要件に最適なアプローチを選択するのに役立ちます。

仮想ネットワークは、これらのトポロジの基礎を形成します。 仮想ネットワークは、リソースを分離するAzure内のプライベート ネットワーク空間です。 既定では、Azureは仮想ネットワーク間でトラフィックをルーティングしません。 ただし、1 つのリージョン内または 2 つのリージョン間で仮想ネットワークを接続して、それらの間でトラフィックをルーティングできます。

仮想ネットワーク接続の種類

• 仮想ネットワーク ピアリングは、2 つのAzure仮想ネットワークを接続します。これにより、接続の目的で 1 つとして表示されます。 Azureは、プライベート IP アドレスのみを使用して、ピアリングされた仮想ネットワーク内の仮想マシン間のトラフィックを Microsoft バックボーン経由でルーティングします。

• サブネット ピアリングは、 仮想ネットワーク全体をピアリングするのではなく、仮想ネットワーク間で特定の サブネット を接続します。

• VPN ゲートウェイは、パブリック インターネット経由でAzure仮想ネットワークとクロスプレミスの場所の間でトラフィックを送信する特定の種類の仮想ネットワーク ゲートウェイです。 VPN ゲートウェイを使用して、Azure 仮想ネットワーク間でトラフィックを送信することもできます。 各仮想ネットワークは、1 つの VPN ゲートウェイのみをサポートします。

ゲートウェイトランジット

仮想ネットワーク ピアリングと VPN ゲートウェイは、ゲートウェイ転送を介して共存することもできます。

ゲートウェイ転送では、新しいゲートウェイを作成する代わりに、ピアリングされた仮想ネットワークのゲートウェイを使用してオンプレミスに接続できます。 Azureワークロードが増加するにつれて、その成長をサポートするために、リージョンと仮想ネットワーク間でネットワークをスケーリングする必要があります。 ゲートウェイ転送を使用して、すべてのピアリングされた仮想ネットワークとAzure ExpressRouteまたは VPN ゲートウェイを共有し、接続を 1 か所で管理します。 この方法はコストを節約し、管理を簡素化します。

仮想ネットワーク ピアリングでゲートウェイ転送を有効にすると、VPN ゲートウェイ、ネットワーク仮想アプライアンス (NVA)、およびその他の共有サービスを含むトランジット仮想ネットワークを作成できます。 組織が新しいアプリケーションまたは部署を追加し、新しい仮想ネットワークを作成するときに、ピアリングを使用してトランジット仮想ネットワークに接続できます。 この設定により、ネットワークの複雑さが回避され、複数のゲートウェイとアプライアンスの管理に必要な労力が削減されます。

接続の設定

仮想ネットワーク ピアリングと VPN ゲートウェイでは、次の接続の種類がサポートされています。

• 異なるリージョンの仮想ネットワーク
• 異なるMicrosoft Entra テナント内の仮想ネットワーク
• 異なるAzure サブスクリプション内の仮想ネットワーク

詳細については、以下の記事を参照してください。

• Azure Resource Managerを使用して、異なるサブスクリプション間で仮想ネットワーク ピアリングを作成する
• Azure ポータルを使用して仮想ネットワーク間 VPN ゲートウェイ接続を構成する
• ポータルを使用して異なるデプロイ モデルの仮想ネットワークを接続する
• Azure VPN Gateway FAQ

仮想ネットワーク ピアリングと VPN ゲートウェイの比較

機能または能力	仮想ネットワーク ピアリング	VPNゲートウェイ
制限	仮想ネットワークあたり最大 500 個の仮想ネットワーク ピアリング。 Azure Virtual Network Manager接続構成機能を使用して、仮想ネットワークあたり最大 1,000 個の仮想ネットワーク ピアリングを作成します。	仮想ネットワークごとに 1 つの VPN ゲートウェイ。 ゲートウェイあたりのトンネルの最大数は、 ゲートウェイ SKU によって異なります。
価格モデル	イングレスとエグレス	時間単位とエグレス
Encryption	Azure Virtual Network暗号化を使用します。	新規または既存の接続にカスタム IPsec/IKE ポリシーを適用します。 暗号化要件と Azure VPN ゲートウェイについてを参照してください。
帯域幅の制限事項	帯域幅の制限なし	SKU によって異なります
プライベート。	はい。Microsoftバックボーンを経由して、パブリック インターネットを回避します	VPN ゲートウェイではパブリック IP アドレスが使用されますが、有効になっている場合、トラフィックはグローバル ネットワークMicrosoft経由でMicrosoft バックボーンを経由してルーティングされます。
推移的な関係	ピアリング接続は非トランザクションです。 推移的なネットワークを有効にするには、ハブ仮想ネットワーク内の NVA またはゲートウェイを使用します。 ハブスポーク ネットワーク トポロジの例を参照してください。	VPN ゲートウェイ経由で仮想ネットワークを接続し、接続で Border Gateway Protocol (BGP) を有効にした場合、推移的ルーティングがサポートされます。
初期セットアップ時間	速い	約 30 分
一般的なシナリオ	データ レプリケーション、データベース フェールオーバー、および大規模なデータの頻繁なバックアップを必要とするその他のシナリオ。 インターネット経由でトラフィックを送信できないようにするデータ ポリシーをサポートします。	待機時間の影響を受けず、高スループットを必要とせず、インターネット トラバーサルをサポートするデータ ポリシーを含むシナリオ

仮想ネットワーク ピアリングと VPN ゲートウェイ テクノロジは、より複雑なネットワーク アーキテクチャの基盤となります。 最も一般的なエンタープライズ パターンの 1 つは、複数のスポーク仮想ネットワークが相互に通信する必要があるハブ アンド スポーク ネットワークです。 仮想ネットワーク ピアリングと VPN ゲートウェイのどちらを選択するかは、スポーク間通信の実装方法に大きく影響します。

スポーク間通信パターン

スポーク間ネットワーク とは、ハブ アンド スポーク アーキテクチャ内の異なるスポーク仮想ネットワークで実行されるワークロードまたはワークロード コンポーネント間の直接通信を指します。 スポーク間パターンにより、中央ハブ経由でトラフィックをルーティングする必要がなくなります。

スポーク間ネットワークには、次の利点があります。

• パフォーマンスの向上: 直接接続により、余分なホップとボトルネックが排除されます。
• コストの削減: ピアリング接続が少なく、ハブ インフラストラクチャの要件が削減されます。
• 管理が容易: ルーティングが複雑になり、監視するコンポーネントが少なくなります。
• リージョンの柔軟性: 単一リージョンとリージョン間の通信パターンの両方をサポートします。

ほとんどの設計ガイドでは、ユーザーとアプリケーションの間を (オンプレミス ネットワークまたはインターネットからAzure仮想ネットワークに) 流れる南北トラフィックに焦点を当てています。 これらのパターンは、1 つのリージョン内または複数のリージョンにまたがって、Azure仮想ネットワークにデプロイされたワークロード コンポーネント間の通信フローを表す、東西のトラフィックに焦点を当てています。 Azureで実行されるアプリケーションのパフォーマンス、スケーラビリティ、回復性を提供するために、ネットワーク設計が東西トラフィックの要件を満たしていることを確認します。

ハブアンドスポーク アーキテクチャは一元的な制御とセキュリティを提供しますが、 ワークロード間のすべての トラフィックがハブを通過する必要がある場合、パフォーマンスのボトルネックやコスト センターになる可能性があります。 スポーク間ネットワークは、セキュリティとガバナンスのニーズに対して一元的な制御を維持しながら、ビジネスにとって意味のあるパフォーマンスとコストを最適化するためのアーキテクチャの柔軟性を提供します。

スポーク仮想ネットワークを相互に接続する 2 つの主要なパターン:

• パターン 1: スポークは互いに直接接続します。 ハブ仮想ネットワークを通過することなく直接接続できるように、スポーク仮想ネットワーク間に仮想ネットワーク ピアリングまたは VPN トンネルを作成します。

• パターン 2: スポークはネットワーク アプライアンス経由で通信します。 各スポーク仮想ネットワークをAzure Virtual WANまたはハブ仮想ネットワークに接続します。 ネットワーク アプライアンスは、スポーク間でトラフィックをルーティングします。 アプライアンスは自分で管理することも、Microsoft管理することもできます。 この管理モデルは、Virtual WANデプロイでの管理に似ています。

アプローチを選択する

次の表を使用して、優先順位に基づいて全体的なアプローチを選択します。

優先順位	推奨パターン	主なテクノロジ
最大パフォーマンス	パターン 1	仮想ネットワーク ピアリング
エンタープライズ 規模の管理	パターン 1	バーチャルネットワークマネージャー
トラフィック検査	パターン 2	Azure Firewall
複数リージョンのシンプルさ	パターン 2	Virtual WAN
クラウド間接続	パターン 1	VPN トンネル

以降のセクションでは、各パターンの実装の詳細について説明します。

パターン 1: スポークが互いに直接接続する

スポーク間の直接接続では、通常、ハブ全体で NVA を経由する接続よりもスループット、待機時間、スケーラビリティが向上します。 NVA を介してトラフィックを送信すると、NVA が異なる 可用性ゾーン に存在し、トラフィックが少なくとも 2 つの仮想ネットワーク ピアリングを通過する必要がある場合、待機時間が長くなる可能性があります。

2 つのスポーク仮想ネットワークを相互に直接接続するには、仮想ネットワーク ピアリング、仮想ネットワーク マネージャー、または VPN トンネルを使用します。

テクノロジ	最適な用途	制限事項	Management
仮想ネットワーク ピアリング	高パフォーマンス、同じクラウド	500 ピアリングの制限	手動
バーチャルネットワークマネージャー	エンタープライズ 規模 (5 つ以上のスポーク)	学習曲線	自動化された
VPN トンネル	クラウド間、暗号化	トンネルあたり 1.25 Gbps	複雑

仮想ネットワーク ピアリング

仮想ネットワーク ピアリングは、スポーク間直接接続のための最高のパフォーマンス オプションを提供します。 この方法では、Microsoft バックボーン インフラストラクチャを介して低待機時間の高帯域幅接続が作成されます。ゲートウェイやパスに余分なホップはありません。 グローバル ピアリングと呼ばれるAzureリージョン間で仮想ネットワークをピアリングすることもできます。

仮想ネットワーク ピアリングは、リージョン間のデータ レプリケーションやデータベース のフェールオーバーなどのシナリオ (特に、データ ポリシーで検査が必要ない場合) に使用します。 このアプローチは、多くの場合、1 つのワークロード内のネットワーク分離コンポーネント間で使用されます。 トラフィックはプライベートのままであり、Microsoftバックボーン上でのみ移動するため、仮想ネットワーク ピアリングでは厳密なデータ ポリシーがサポートされ、パブリック インターネット経由でのトラフィックの送信が回避されます。

スポーク間実装の場合は、次のガイドラインに従ってください。

• 通信する必要があるスポーク仮想ネットワーク間にピアリング接続を直接作成します。

• エグレスの調査の対象となる一元化されたサービスとトラフィックの既存のハブツースポーク ピアリングを維持します。

• ピアリングを同じ環境内のスポークに制限します。

• スポークの数に基づいてスケーリングを計画します。 手動ピアリングは、2 ~ 5 つのスポークに対して機能します。 大規模な環境では、仮想ネットワーク マネージャーを使用します。

設計を最適化するには、次のベスト プラクティスに従います。

• 仮想ネットワークあたり 500 個のピアリング制限を監視します。

• 可能な場合はリージョン ピアリングを使用して、待機時間を最小限に抑えます。

• ネットワーク セキュリティ グループを使用して、ピアリングされたネットワーク間のトラフィック フローを制御します。

• トラブルシューティングとコンプライアンスのためにピアリング関係を文書化します。

• ピアリングを確立した後に接続をテストして、適切なルーティングを確認します。

• シナリオでサポートされている場合は、接続を一方向に制限します。

サブネット ピアリングは 仮想ネットワーク ピアリングと同様に機能しますが、より詳細な制御が提供されます。 ピアリングの両側で相互に通信できるサブネットを指定できます。 この機能にはサブスクリプションの登録が必要であり、ピアリング接続ごとに 400 サブネットの制限が適用されます。 サブネット ピアリングでは、仮想ネットワーク範囲の重複、IPv6 のみの接続、選択的ゲートウェイの公開などのシナリオがサポートされます。

バーチャルネットワークマネージャー

仮想ネットワーク マネージャーは、大規模な仮想ネットワーク接続の自動管理を提供します。 仮想ネットワーク マネージャー を使用して、サブスクリプション間で 3 種類のトポロジを構築できます。 これらのトポロジは、既存の仮想ネットワークと新しい仮想ネットワークの両方で機能します。

• 互いに接続しないスポークを持つハブとスポーク

• 中央にホップなしで、互いに直接接続するスポークを持つハブとスポーク

• 相互に接続する仮想ネットワークのメッシュグループ

この図は、ハブとスポーク、メッシュ、ハブとスポークのラベルが付いた 3 つのネットワーク トポロジ図と、スポーク間の直接接続を示しています。 最初の図は、黒い実線を介して 6 つの外部ノードに接続された中央ノードを特徴とします。 2 番目の図には、6 つのノードが正方形のグリッドに配置され、各ノードが緑色の破線で他のノードに接続されています。 3 番目の図は両方のスタイルを組み合わせ、6 つの外側のノードにリンクされた中央ノードと黒い線を示しています。 緑色の破線は、外側のノードを相互に接続します。

これらのトポロジのVisio ファイルをダウンロードします。

仮想ネットワーク マネージャーを使用してハブ アンド スポーク トポロジを作成し、スポークを相互に接続すると、Azureは、同じネットワーク グループ内のスポーク仮想ネットワーク間に双方向接続を自動的に作成します。

仮想ネットワーク マネージャーを使用して、スポーク仮想ネットワークを特定のネットワーク グループに静的または動的に割り当てます。 この割り当てにより、仮想ネットワーク接続が自動的に作成されます。

複数のネットワーク グループを作成して、スポーク仮想ネットワークのクラスターを直接接続から分離できます。 各ネットワーク グループは、単一リージョンとマルチリージョンのスポーク間接続の両方をサポートします。 仮想ネットワーク マネージャーの制限について説明します。

VPN トンネル

Microsoft VPN ゲートウェイまたは非Microsoft VPN NVA を使用してスポーク仮想ネットワークに直接接続するように VPN サービスを構成します。 VPN ゲートウェイは帯域幅の制限付き接続を提供し、暗号化を必要とするが帯域幅の制限と待機時間を許容できるシナリオでは適切に機能します。 大規模な攻撃を検出して軽減するには、境界仮想ネットワークで Azure DDoS Protection を有効にします。

スポーク仮想ネットワークは、同じクラウド プロバイダー内の商用クラウドとソブリン クラウド間、またはクロスクラウド プロバイダー間で接続されます。 各スポーク仮想ネットワークにソフトウェア定義のワイド エリア ネットワーク NVA が含まれている場合は、Microsoft以外のプロバイダーのコントロール プレーンと機能セットを使用して、仮想ネットワーク接続を管理します。

VPN ベースの接続は、Media Access Control Security Encryption (MACsec) が適用されない単一のAzure データセンター内の仮想ネットワーク間のトラフィックの暗号化に関するコンプライアンス要件を満たすのにも役立ちます。

この方法には、次の制限があります。

• 帯域幅はトンネルあたり 1.25 Gbps に制限されています。
• ハブとスポークの両方の仮想ネットワークに仮想ネットワーク ゲートウェイが必要です。
• ゲートウェイを持つスポーク仮想ネットワークは、Virtual WANに接続することも、オンプレミス接続にハブ ゲートウェイを使用することもできません。

1 つのリージョンと複数のリージョン

次の図は、スポーク仮想ネットワーク接続に使用されるテクノロジに関係なく、1 つのリージョンのネットワーク トポロジを示しています。

この図は、4 つの仮想ネットワーク セクションを示しています。 3 つの黒い線がハブ仮想ネットワークを 3 つの個別の仮想ネットワークに接続します。 緑の線は、3 つのスポーク仮想ネットワークすべてを相互に接続します。

次の図は、複数のリージョンのネットワーク トポロジを示しています。 すべてのスポーク仮想ネットワークを相互に接続する設計は、複数のリージョンにまたがって拡張できます。 仮想ネットワーク マネージャーは、多数の接続を維持するために必要な管理作業を減らすのに役立ちます。

この画像は、米国東部ハブと米国西部ハブを、上部と 6 つのスポーク仮想ネットワークに示しています。 黒い線は、米国東部ハブと米国西部ハブを接続します。 3 本の黒い線が米国東部ハブから 3 つのスポークを指しています。 3 本の黒い線が米国西部ハブから 3 つのスポークを指しています。 各スポークから5本の緑の線が伸び、6本のスポークを相互に接続しています。

Note

直接接続方法を使用する場合は、1 つのリージョンでも複数のリージョンでも、同じ環境内でスポーク仮想ネットワークを接続します。 たとえば、1 つのスポーク開発仮想ネットワークを別のスポーク開発仮想ネットワークに接続します。 スポーク開発仮想ネットワークをスポーク運用仮想ネットワークに接続しないでください。

完全にメッシュ化されたトポロジでスポーク仮想ネットワークを相互に直接接続する場合は、多数の仮想ネットワーク ピアリングが必要です。 次の図は、この課題を示しています。 このシナリオでは、仮想ネットワーク マネージャーを使用して仮想ネットワーク接続を自動的に作成します。

この図は、フル メッシュ接続に必要なピアリングを表す折れ線グラフを示しています。 x 軸には、スポーク仮想ネットワークの数が表示されます。 y 軸はピアリングの数を示します。 ピアリングの数が増えると、仮想ネットワークの数が増える。

パターン 2: スポークがネットワーク アプライアンス経由で通信する

スポーク仮想ネットワークを相互に直接接続する代わりに、ネットワーク アプライアンスを使用してスポーク間でトラフィックを転送できます。 ネットワーク アプライアンスは、ディープ パケット検査、トラフィックのセグメント化、監視などの他のネットワーク機能を提供します。 ただし、適切なサイズに設定されていない場合は、待機時間とパフォーマンスのボトルネックが発生する可能性があります。 これらのアプライアンスは、通常、スポークが接続するハブ仮想ネットワーク内に存在します。

次のリソースでは、ネットワーク アプライアンスを使用してスポーク間でトラフィックを転送します。

• Virtual WAN ハブ ルーター: Microsoft Virtual WANを管理します。 Virtual WANには、スポークからのトラフィックを引き付ける仮想ルーターが含まれています。 そのトラフィックは、Virtual WANに接続されている別の仮想ネットワーク、または ExpressRoute またはサイト間またはポイント対サイト VPN トンネルを介してオンプレミス ネットワークにルーティングされます。 Virtual WANルーターは自動的にスケールアップおよびスケールダウンします。 スポーク間のトラフィック 量がVirtual WAN制限内に収まるようにする必要があるだけです。

• Azure Firewall:Azure Firewall は、管理するハブ仮想ネットワークまたはVirtual WAN ハブにデプロイできるMicrosoftマネージド ネットワーク アプライアンスです。 IP アドレス パケットを転送し、それらを検査し、ポリシーで定義されたトラフィック セグメント化ルールを適用します。 Azure Firewall、ボトルネックにならないように自動的にスケールアップされますが、制限があります。 組み込みのマルチリージョン機能は、Virtual WANで使用する場合にのみサポートされます。 Virtual WANを使用しない場合は、ユーザー定義ルートを実装して、リージョン間のスポーク間通信を有効にする必要があります。

• Microsoft以外の NVA: ルーティングとネットワークのセグメント化Microsoftパートナー NVA を使用する場合は、ハブ アンド スポークトポロジまたはVirtual WAN トポロジに展開できます。 詳細については、「Virtual WAN ハブに高可用性 NVA と NVA をデプロイする」を参照してください。 NVA がスポーク間通信によって生成される帯域幅をサポートしていることを確認します。

• Azure VPN Gateway: VPN ゲートウェイは、ユーザー定義ルートの次ホップの種類として使用できます。 VPN 仮想ネットワーク ゲートウェイを使用してスポーク間トラフィックをルーティングしないでください。 これらのデバイスは、クロスプレミス サイトまたは VPN ユーザーへのトラフィックを暗号化するように設計されています。 たとえば、Azureでは、VPN ゲートウェイ経由でルーティングするときにスポーク間の帯域幅は保証されません。

• ExpressRoute: ExpressRoute ゲートウェイは、スポーク間通信を引き付けるルートをアドバタイズできます。 このセットアップでは、トラフィックを宛先スポークにルーティングするMicrosoft Edge ルーターに送信します。 ExpressRoute ヘアピニングと呼ばれるこのパターンは、明示的に有効にする必要があります。 Microsoftバックボーン エッジにトラフィックを送信して戻すことで待機時間が発生するため、この方法の使用は避けてください。 単一障害点を作成し、ブラスト半径を拡張します。 また、ExpressRoute インフラストラクチャ、特にゲートウェイと物理ルーターに負荷が追加されるため、パケットがドロップする可能性があります。

集中型 NVA を含むセルフマネージド ハブ アンド スポーク ネットワーク設計では、アプライアンスをハブに配置します。 ハブアンドスポーク仮想ネットワーク間の仮想ネットワーク ピアリングを手動で作成するか、仮想ネットワーク マネージャーを使用して構成を自動化します。

• 手動の仮想ネットワーク ピアリングまたはサブネット ピアリング: この方法は、少数のスポーク仮想ネットワークがある場合に適しています。 ただし、大規模な管理オーバーヘッドが増加します。

• 仮想ネットワーク マネージャー: 仮想ネットワーク マネージャーは、ハブとスポークの仮想ネットワーク間のピアリング構成を大規模に自動化します。 ネットワーク グループ内のスポーク仮想ネットワークは、接続にハブ VPN または ExpressRoute ゲートウェイを使用できます。 仮想ネットワーク マネージャーの制限内に留まる。

単一リージョンのデプロイ

次の図は、ハブ仮想ネットワークにデプロイされたAzureファイアウォールを介してスポーク間でトラフィックを送信する単一リージョンのハブ アンド スポーク トポロジを示しています。 スポーク サブネットに適用されるユーザー定義ルートは、ハブ内の一元化されたアプライアンスにトラフィックを転送します。

この画像は、一元化された NVA を介して相互接続されたスポークを備えた基本的なハブアンドスポーク設計を示しています。 3 本の黒い線がハブを 3 本のスポークに接続します。

スケーラビリティを向上させるために、インターネット トラフィックを処理する NVA からスポーク間トラフィックを処理する NVA を分離できます。 NVA を分離するには、次の手順を実行します。

• 各スポークのルート テーブルを調整して、、、などの RFC 1918 プレフィックスを使用するトラフィックなど、プライベート アドレス トラフィックを NVA に送信します。 このアプライアンスは、Azure から Azure へのトラフィックと Azureto-on-premises トラフィック (多くの場合、 東西トラフィックと呼ばれます) を処理します。

• 0.0.0.0/0 ルートを持つインターネット トラフィックを 2 つ目の NVA に調整します。 この NVA は、Azureからインターネットへのトラフィック (南北トラフィックとも呼ばれます) を管理します。

次の図はこの構成を示したものです。

この画像は、North-South ハブと East-West ハブを示しています。 North-South ハブには、1 つの NVA が含まれています。 East-West ハブには、2 つの NVA が含まれています。 3 つの点線は、North-South ハブから 3 つの個別のスポークを指します。 3 本の黒い線は、East-West ハブから同じ 3 本のスポークを指しています。

Note

Azure Firewallでは、仮想ネットワークごとに 1 つのファイアウォール リソースのみがサポートされます。 追加のAzure Firewall リソースをデプロイするには、別のハブ仮想ネットワークを作成します。 NVA シナリオでは、追加の NVA デプロイに 1 つのハブ仮想ネットワークを使用します。

複数リージョンのデプロイ

同じ構成を複数のリージョンに拡張できます。 たとえば、Azure Firewallを使用するセルフマネージドハブアンドスポーク設計では、各ハブのAzure Firewallサブネットに追加のルート テーブルを適用します。 これらのルート テーブルは、リモート リージョンのスポークをサポートし、リージョン間トラフィックが各ハブ仮想ネットワークのAzure ファイアウォール間を確実に流れるようにします。 スポーク仮想ネットワーク間のリージョン間トラフィックは、両方のAzureファイアウォールを通過します。 詳細については、「 Azure Firewall を使用してマルチハブ とスポークのトポロジをルーティングする」を参照してください。

この画像は、米国東部ハブと米国西部ハブを示しています。 各ハブにはファイアウォールが含まれています。 黒い線が 2 つのハブを接続します。 3 本の黒い実線が米国東部ハブを 3 つのスポークに接続します。 3 本の黒い線が米国西部ハブを 3 つのスポークに接続します。

次の図は、マルチリージョン ハブ アンド スポーク トポロジ内の南北トラフィックと東西トラフィック用の個別のAzure ファイアウォールまたは NVA を含む設計のバリエーションを示しています。

この画像は、North-South 米国東部ハブ、East-West 米国東部ハブ、East-West 米国西部ハブ、North-South 米国西部ハブを示しています。 3 本の点線が、North-South 米国東部ハブを 3 つの個別のスポークに接続します。 3 本の実線が、East-West 米国東部ハブを同じスポークに接続します。 3 本の実線が、East-West 米国西部ハブを 3 つの異なるスポークに接続します。 3 本の点線が、North-South 米国西部ハブをこれらのスポークに接続します。

次のトポロジでは、ルーティングを簡略化するためにVirtual WANを使用します。 Virtual WANは、Microsoftが管理するハブとスポークのルーティングを管理します。このハブでは、ルート テーブルを手動で編集しなくても、ルートを自動的に挿入できます。 ネットワーク管理者は、スポーク仮想ネットワークをVirtual WAN ハブに接続するだけで済み、リージョン間のトラフィック転送を管理する必要はありません。

この図は、米国東部と米国西部の仮想ハブとのVirtual WANを示しています。 3 つのラインの 2 つのグループは、Virtual WAN を 3 つの個別のスポークに接続します。

混合パターン

一部のシナリオでは、2 つのパターンを組み合わせたハイブリッド アプローチが必要です。 この場合、特定のスポーク間のトラフィックは直接接続を経由しますが、残りのスポークは中央ネットワーク アプライアンスを介して通信します。 たとえば、Virtual WAN環境では、高帯域幅と低待機時間の要件を持つ 2 つの特定のスポークを直接接続できます。

また、複数のスポーク仮想ネットワークが単一の環境の一部として含まれるシナリオもあります。 たとえば、スポーク開発仮想ネットワークを別のスポーク開発仮想ネットワークに直接接続しても、開発ワークロードと運用ワークロードは中央アプライアンスを介して通信します。

この画像は、米国東部ハブと米国西部ハブを示しています。 各ハブには NVA があります。 黒い線がハブを接続します。 3 本の黒い線が米国東部ハブを 3 つのスポークに接続します。 3 本の黒い線が、米国西部ハブを 3 つの個別のスポークに接続します。 緑の線は、各ハブから 1 つのスポークを接続します。

もう 1 つの一般的なパターンは、直接仮想ネットワーク ピアリングまたは 仮想ネットワーク マネージャー 接続グループ を介して 1 つのリージョンのスポークを接続しますが、リージョン間トラフィックが NVA をまたがることができます。 このモデルにより、アーキテクチャ内の仮想ネットワーク ピアリングの数が減ります。 ただし、最初のモデル (スポーク間の直接接続) と比較して、このモデルにはリージョン間トラフィックの仮想ネットワーク ピアリング ホップが多くなります。 複数の仮想ネットワーク ピアリングが交差しているため、これらのホップによりコストが増加します。 また、このモデルでは、リージョン間トラフィックの前にハブ NVA に追加の負荷が発生します。

この画像は、米国東部ハブと米国西部ハブを示しています。 各ハブには NVA があります。 黒い線がハブを接続します。 3 本の黒い線が米国東部ハブを 3 つのスポークに接続します。 3 本の黒い線が、米国西部ハブを 3 つの個別のスポークに接続します。 どちらのハブ ネットワークでも、スポークはすべて緑色の線で相互に接続されます。

Virtual WANにも同じ設計が適用されます。 ただし、スポーク仮想ネットワーク間の直接接続には、Virtual WAN リソース経由ではなく、仮想ネットワーク間で手動で構成する必要があります。 仮想ネットワーク マネージャーでは、Virtual WANを使用するアーキテクチャはサポートされていません。 次の図について考えてみましょう。

この画像は、米国東部と米国西部の仮想ハブを含む Virtual WAN を示しています。 両方のハブで、3 本の黒い線が Virtual WAN セクションを 3 つの個別のスポークに接続します。 各ハブのスポークはすべて、緑色の線で互いに接続されています。 1 つのハブから他のハブのスポークにスポークを直接接続するラインはありません。

Note

混合アプローチでは、仮想ネットワーク ピアリングを介した直接接続によって、接続された仮想ネットワーク間でシステム ルートが伝達されます。 多くの場合、これらのシステム ルートは、ルート テーブルを介して構成されたカスタム ルートよりも具体的です。 したがって、仮想ネットワーク ピアリング パスは、プレフィックスの最長一致でのルート選択に従うカスタム ルートよりも優先されます。

あまり一般的でないシナリオでは、システム ルートとカスタム ユーザー定義ルートのアドレス プレフィックスが同じである場合、ユーザー定義ルートは仮想ネットワーク ピアリングによって作成されたシステム ルートをオーバーライドします。 この動作により、直接ピアリング接続が存在する場合でも、スポーク間仮想ネットワーク トラフィックがハブ仮想ネットワークを通過します。

貢献者達

Microsoft では、この記事を保持しています。 この記事を書いたのは、以下の寄稿者です。

主な執筆者:

• Jay Li | シニア プロダクト マネージャー
• Jose Moreno | プリンシパル カスタマー エンジニア
• アレハンドラ パラシオス |Azureカスタマー エンジニア

その他の共同作成者:

• ムハンマド・ハッサン |Azureネットワーク製品責任者
• アンドレア・マイケル |プロダクト マネージャー 2

公開されていない LinkedIn プロフィールを見るには、LinkedIn にサインインしてください。

次のステップ

• 仮想ネットワークを計画する
• オンプレミス ネットワークをAzureに接続するソリューションを選択する
• Azure ポータルを使用して仮想ネットワーク ピアリングを作成する
• 仮想ネットワーク マネージャー
• Azure のハブスポーク ネットワーク トポロジ

この記事では、仮想ネットワーク ピアリングと仮想プライベート ネットワーク (VPN) ゲートウェイの 2 つのAzure内の仮想ネットワークを接続する方法を比較します。 また、ハブ アンド スポーク アーキテクチャのスポーク間通信パターンについても説明し、ネットワーク要件に最適なアプローチを選択するのに役立ちます。

仮想ネットワークは、これらのトポロジの基礎を形成します。 仮想ネットワークは、リソースを分離するAzure内のプライベート ネットワーク空間です。 既定では、Azureは仮想ネットワーク間でトラフィックをルーティングしません。 ただし、1 つのリージョン内または 2 つのリージョン間で仮想ネットワークを接続して、それらの間でトラフィックをルーティングできます。

仮想ネットワーク接続の種類

• 仮想ネットワーク ピアリングは、2 つのAzure仮想ネットワークを接続します。これにより、接続の目的で 1 つとして表示されます。 Azureは、プライベート IP アドレスのみを使用して、ピアリングされた仮想ネットワーク内の仮想マシン間のトラフィックを Microsoft バックボーン経由でルーティングします。

• サブネット ピアリングは、 仮想ネットワーク全体をピアリングするのではなく、仮想ネットワーク間で特定の サブネット を接続します。

• VPN ゲートウェイは、パブリック インターネット経由でAzure仮想ネットワークとクロスプレミスの場所の間でトラフィックを送信する特定の種類の仮想ネットワーク ゲートウェイです。 VPN ゲートウェイを使用して、Azure 仮想ネットワーク間でトラフィックを送信することもできます。 各仮想ネットワークは、1 つの VPN ゲートウェイのみをサポートします。

ゲートウェイトランジット

仮想ネットワーク ピアリングと VPN ゲートウェイは、ゲートウェイ転送を介して共存することもできます。

ゲートウェイ転送では、新しいゲートウェイを作成する代わりに、ピアリングされた仮想ネットワークのゲートウェイを使用してオンプレミスに接続できます。 Azureワークロードが増加するにつれて、その成長をサポートするために、リージョンと仮想ネットワーク間でネットワークをスケーリングする必要があります。 ゲートウェイ転送を使用して、すべてのピアリングされた仮想ネットワークとAzure ExpressRouteまたは VPN ゲートウェイを共有し、接続を 1 か所で管理します。 この方法はコストを節約し、管理を簡素化します。

仮想ネットワーク ピアリングでゲートウェイ転送を有効にすると、VPN ゲートウェイ、ネットワーク仮想アプライアンス (NVA)、およびその他の共有サービスを含むトランジット仮想ネットワークを作成できます。 組織が新しいアプリケーションまたは部署を追加し、新しい仮想ネットワークを作成するときに、ピアリングを使用してトランジット仮想ネットワークに接続できます。 この設定により、ネットワークの複雑さが回避され、複数のゲートウェイとアプライアンスの管理に必要な労力が削減されます。

接続の設定

仮想ネットワーク ピアリングと VPN ゲートウェイでは、次の接続の種類がサポートされています。

• 異なるリージョンの仮想ネットワーク
• 異なるMicrosoft Entra テナント内の仮想ネットワーク
• 異なるAzure サブスクリプション内の仮想ネットワーク

詳細については、以下の記事を参照してください。

• Azure Resource Managerを使用して、異なるサブスクリプション間で仮想ネットワーク ピアリングを作成する
• Azure ポータルを使用して仮想ネットワーク間 VPN ゲートウェイ接続を構成する
• ポータルを使用して異なるデプロイ モデルの仮想ネットワークを接続する
• Azure VPN Gateway FAQ

仮想ネットワーク ピアリングと VPN ゲートウェイの比較

機能または能力	仮想ネットワーク ピアリング	VPNゲートウェイ
制限	仮想ネットワークあたり最大 500 個の仮想ネットワーク ピアリング。 Azure Virtual Network Manager接続構成機能を使用して、仮想ネットワークあたり最大 1,000 個の仮想ネットワーク ピアリングを作成します。	仮想ネットワークごとに 1 つの VPN ゲートウェイ。 ゲートウェイあたりのトンネルの最大数は、 ゲートウェイ SKU によって異なります。
価格モデル	イングレスとエグレス	時間単位とエグレス
Encryption	Azure Virtual Network暗号化を使用します。	新規または既存の接続にカスタム IPsec/IKE ポリシーを適用します。 暗号化要件と Azure VPN ゲートウェイについてを参照してください。
帯域幅の制限事項	帯域幅の制限なし	SKU によって異なります
プライベート。	はい。Microsoftバックボーンを経由して、パブリック インターネットを回避します	VPN ゲートウェイではパブリック IP アドレスが使用されますが、有効になっている場合、トラフィックはグローバル ネットワークMicrosoft経由でMicrosoft バックボーンを経由してルーティングされます。
推移的な関係	ピアリング接続は非トランザクションです。 推移的なネットワークを有効にするには、ハブ仮想ネットワーク内の NVA またはゲートウェイを使用します。 ハブスポーク ネットワーク トポロジの例を参照してください。	VPN ゲートウェイ経由で仮想ネットワークを接続し、接続で Border Gateway Protocol (BGP) を有効にした場合、推移的ルーティングがサポートされます。
初期セットアップ時間	速い	約 30 分
一般的なシナリオ	データ レプリケーション、データベース フェールオーバー、および大規模なデータの頻繁なバックアップを必要とするその他のシナリオ。 インターネット経由でトラフィックを送信できないようにするデータ ポリシーをサポートします。	待機時間の影響を受けず、高スループットを必要とせず、インターネット トラバーサルをサポートするデータ ポリシーを含むシナリオ

仮想ネットワーク ピアリングと VPN ゲートウェイ テクノロジは、より複雑なネットワーク アーキテクチャの基盤となります。 最も一般的なエンタープライズ パターンの 1 つは、複数のスポーク仮想ネットワークが相互に通信する必要があるハブ アンド スポーク ネットワークです。 仮想ネットワーク ピアリングと VPN ゲートウェイのどちらを選択するかは、スポーク間通信の実装方法に大きく影響します。

スポーク間通信パターン

スポーク間ネットワーク とは、ハブ アンド スポーク アーキテクチャ内の異なるスポーク仮想ネットワークで実行されるワークロードまたはワークロード コンポーネント間の直接通信を指します。 スポーク間パターンにより、中央ハブ経由でトラフィックをルーティングする必要がなくなります。

スポーク間ネットワークには、次の利点があります。

• パフォーマンスの向上: 直接接続により、余分なホップとボトルネックが排除されます。
• コストの削減: ピアリング接続が少なく、ハブ インフラストラクチャの要件が削減されます。
• 管理が容易: ルーティングが複雑になり、監視するコンポーネントが少なくなります。
• リージョンの柔軟性: 単一リージョンとリージョン間の通信パターンの両方をサポートします。

ほとんどの設計ガイドでは、ユーザーとアプリケーションの間を (オンプレミス ネットワークまたはインターネットからAzure仮想ネットワークに) 流れる南北トラフィックに焦点を当てています。 これらのパターンは、1 つのリージョン内または複数のリージョンにまたがって、Azure仮想ネットワークにデプロイされたワークロード コンポーネント間の通信フローを表す、東西のトラフィックに焦点を当てています。 Azureで実行されるアプリケーションのパフォーマンス、スケーラビリティ、回復性を提供するために、ネットワーク設計が東西トラフィックの要件を満たしていることを確認します。

ハブアンドスポーク アーキテクチャは一元的な制御とセキュリティを提供しますが、 ワークロード間のすべての トラフィックがハブを通過する必要がある場合、パフォーマンスのボトルネックやコスト センターになる可能性があります。 スポーク間ネットワークは、セキュリティとガバナンスのニーズに対して一元的な制御を維持しながら、ビジネスにとって意味のあるパフォーマンスとコストを最適化するためのアーキテクチャの柔軟性を提供します。

スポーク仮想ネットワークを相互に接続する 2 つの主要なパターン:

• パターン 1: スポークは互いに直接接続します。 ハブ仮想ネットワークを通過することなく直接接続できるように、スポーク仮想ネットワーク間に仮想ネットワーク ピアリングまたは VPN トンネルを作成します。

• パターン 2: スポークはネットワーク アプライアンス経由で通信します。 各スポーク仮想ネットワークをAzure Virtual WANまたはハブ仮想ネットワークに接続します。 ネットワーク アプライアンスは、スポーク間でトラフィックをルーティングします。 アプライアンスは自分で管理することも、Microsoft管理することもできます。 この管理モデルは、Virtual WANデプロイでの管理に似ています。

アプローチを選択する

次の表を使用して、優先順位に基づいて全体的なアプローチを選択します。

優先順位	推奨パターン	主なテクノロジ
最大パフォーマンス	パターン 1	仮想ネットワーク ピアリング
エンタープライズ 規模の管理	パターン 1	バーチャルネットワークマネージャー
トラフィック検査	パターン 2	Azure Firewall
複数リージョンのシンプルさ	パターン 2	Virtual WAN
クラウド間接続	パターン 1	VPN トンネル

以降のセクションでは、各パターンの実装の詳細について説明します。

パターン 1: スポークが互いに直接接続する

スポーク間の直接接続では、通常、ハブ全体で NVA を経由する接続よりもスループット、待機時間、スケーラビリティが向上します。 NVA を介してトラフィックを送信すると、NVA が異なる 可用性ゾーン に存在し、トラフィックが少なくとも 2 つの仮想ネットワーク ピアリングを通過する必要がある場合、待機時間が長くなる可能性があります。

2 つのスポーク仮想ネットワークを相互に直接接続するには、仮想ネットワーク ピアリング、仮想ネットワーク マネージャー、または VPN トンネルを使用します。

テクノロジ	最適な用途	制限事項	Management
仮想ネットワーク ピアリング	高パフォーマンス、同じクラウド	500 ピアリングの制限	手動
バーチャルネットワークマネージャー	エンタープライズ 規模 (5 つ以上のスポーク)	学習曲線	自動化された
VPN トンネル	クラウド間、暗号化	トンネルあたり 1.25 Gbps	複雑

仮想ネットワーク ピアリング

仮想ネットワーク ピアリングは、スポーク間直接接続のための最高のパフォーマンス オプションを提供します。 この方法では、Microsoft バックボーン インフラストラクチャを介して低待機時間の高帯域幅接続が作成されます。ゲートウェイやパスに余分なホップはありません。 グローバル ピアリングと呼ばれるAzureリージョン間で仮想ネットワークをピアリングすることもできます。

仮想ネットワーク ピアリングは、リージョン間のデータ レプリケーションやデータベース のフェールオーバーなどのシナリオ (特に、データ ポリシーで検査が必要ない場合) に使用します。 このアプローチは、多くの場合、1 つのワークロード内のネットワーク分離コンポーネント間で使用されます。 トラフィックはプライベートのままであり、Microsoftバックボーン上でのみ移動するため、仮想ネットワーク ピアリングでは厳密なデータ ポリシーがサポートされ、パブリック インターネット経由でのトラフィックの送信が回避されます。

スポーク間実装の場合は、次のガイドラインに従ってください。

• 通信する必要があるスポーク仮想ネットワーク間にピアリング接続を直接作成します。

• エグレスの調査の対象となる一元化されたサービスとトラフィックの既存のハブツースポーク ピアリングを維持します。

• ピアリングを同じ環境内のスポークに制限します。

• スポークの数に基づいてスケーリングを計画します。 手動ピアリングは、2 ~ 5 つのスポークに対して機能します。 大規模な環境では、仮想ネットワーク マネージャーを使用します。

設計を最適化するには、次のベスト プラクティスに従います。

• 仮想ネットワークあたり 500 個のピアリング制限を監視します。

• 可能な場合はリージョン ピアリングを使用して、待機時間を最小限に抑えます。

• ネットワーク セキュリティ グループを使用して、ピアリングされたネットワーク間のトラフィック フローを制御します。

• トラブルシューティングとコンプライアンスのためにピアリング関係を文書化します。

• ピアリングを確立した後に接続をテストして、適切なルーティングを確認します。

• シナリオでサポートされている場合は、接続を一方向に制限します。

サブネット ピアリングは 仮想ネットワーク ピアリングと同様に機能しますが、より詳細な制御が提供されます。 ピアリングの両側で相互に通信できるサブネットを指定できます。 この機能にはサブスクリプションの登録が必要であり、ピアリング接続ごとに 400 サブネットの制限が適用されます。 サブネット ピアリングでは、仮想ネットワーク範囲の重複、IPv6 のみの接続、選択的ゲートウェイの公開などのシナリオがサポートされます。

バーチャルネットワークマネージャー

仮想ネットワーク マネージャーは、大規模な仮想ネットワーク接続の自動管理を提供します。 仮想ネットワーク マネージャー を使用して、サブスクリプション間で 3 種類のトポロジを構築できます。 これらのトポロジは、既存の仮想ネットワークと新しい仮想ネットワークの両方で機能します。

• 互いに接続しないスポークを持つハブとスポーク

• 中央にホップなしで、互いに直接接続するスポークを持つハブとスポーク

• 相互に接続する仮想ネットワークのメッシュグループ

この図は、ハブとスポーク、メッシュ、ハブとスポークのラベルが付いた 3 つのネットワーク トポロジ図と、スポーク間の直接接続を示しています。 最初の図は、黒い実線を介して 6 つの外部ノードに接続された中央ノードを特徴とします。 2 番目の図には、6 つのノードが正方形のグリッドに配置され、各ノードが緑色の破線で他のノードに接続されています。 3 番目の図は両方のスタイルを組み合わせ、6 つの外側のノードにリンクされた中央ノードと黒い線を示しています。 緑色の破線は、外側のノードを相互に接続します。

これらのトポロジのVisio ファイルをダウンロードします。

仮想ネットワーク マネージャーを使用してハブ アンド スポーク トポロジを作成し、スポークを相互に接続すると、Azureは、同じネットワーク グループ内のスポーク仮想ネットワーク間に双方向接続を自動的に作成します。

仮想ネットワーク マネージャーを使用して、スポーク仮想ネットワークを特定のネットワーク グループに静的または動的に割り当てます。 この割り当てにより、仮想ネットワーク接続が自動的に作成されます。

複数のネットワーク グループを作成して、スポーク仮想ネットワークのクラスターを直接接続から分離できます。 各ネットワーク グループは、単一リージョンとマルチリージョンのスポーク間接続の両方をサポートします。 仮想ネットワーク マネージャーの制限について説明します。

VPN トンネル

Microsoft VPN ゲートウェイまたは非Microsoft VPN NVA を使用してスポーク仮想ネットワークに直接接続するように VPN サービスを構成します。 VPN ゲートウェイは帯域幅の制限付き接続を提供し、暗号化を必要とするが帯域幅の制限と待機時間を許容できるシナリオでは適切に機能します。 大規模な攻撃を検出して軽減するには、境界仮想ネットワークで Azure DDoS Protection を有効にします。

スポーク仮想ネットワークは、同じクラウド プロバイダー内の商用クラウドとソブリン クラウド間、またはクロスクラウド プロバイダー間で接続されます。 各スポーク仮想ネットワークにソフトウェア定義のワイド エリア ネットワーク NVA が含まれている場合は、Microsoft以外のプロバイダーのコントロール プレーンと機能セットを使用して、仮想ネットワーク接続を管理します。

VPN ベースの接続は、Media Access Control Security Encryption (MACsec) が適用されない単一のAzure データセンター内の仮想ネットワーク間のトラフィックの暗号化に関するコンプライアンス要件を満たすのにも役立ちます。

この方法には、次の制限があります。

• 帯域幅はトンネルあたり 1.25 Gbps に制限されています。
• ハブとスポークの両方の仮想ネットワークに仮想ネットワーク ゲートウェイが必要です。
• ゲートウェイを持つスポーク仮想ネットワークは、Virtual WANに接続することも、オンプレミス接続にハブ ゲートウェイを使用することもできません。

1 つのリージョンと複数のリージョン

次の図は、スポーク仮想ネットワーク接続に使用されるテクノロジに関係なく、1 つのリージョンのネットワーク トポロジを示しています。

この図は、4 つの仮想ネットワーク セクションを示しています。 3 つの黒い線がハブ仮想ネットワークを 3 つの個別の仮想ネットワークに接続します。 緑の線は、3 つのスポーク仮想ネットワークすべてを相互に接続します。

次の図は、複数のリージョンのネットワーク トポロジを示しています。 すべてのスポーク仮想ネットワークを相互に接続する設計は、複数のリージョンにまたがって拡張できます。 仮想ネットワーク マネージャーは、多数の接続を維持するために必要な管理作業を減らすのに役立ちます。

この画像は、米国東部ハブと米国西部ハブを、上部と 6 つのスポーク仮想ネットワークに示しています。 黒い線は、米国東部ハブと米国西部ハブを接続します。 3 本の黒い線が米国東部ハブから 3 つのスポークを指しています。 3 本の黒い線が米国西部ハブから 3 つのスポークを指しています。 各スポークから5本の緑の線が伸び、6本のスポークを相互に接続しています。

Note

直接接続方法を使用する場合は、1 つのリージョンでも複数のリージョンでも、同じ環境内でスポーク仮想ネットワークを接続します。 たとえば、1 つのスポーク開発仮想ネットワークを別のスポーク開発仮想ネットワークに接続します。 スポーク開発仮想ネットワークをスポーク運用仮想ネットワークに接続しないでください。

完全にメッシュ化されたトポロジでスポーク仮想ネットワークを相互に直接接続する場合は、多数の仮想ネットワーク ピアリングが必要です。 次の図は、この課題を示しています。 このシナリオでは、仮想ネットワーク マネージャーを使用して仮想ネットワーク接続を自動的に作成します。

この図は、フル メッシュ接続に必要なピアリングを表す折れ線グラフを示しています。 x 軸には、スポーク仮想ネットワークの数が表示されます。 y 軸はピアリングの数を示します。 ピアリングの数が増えると、仮想ネットワークの数が増える。

パターン 2: スポークがネットワーク アプライアンス経由で通信する

スポーク仮想ネットワークを相互に直接接続する代わりに、ネットワーク アプライアンスを使用してスポーク間でトラフィックを転送できます。 ネットワーク アプライアンスは、ディープ パケット検査、トラフィックのセグメント化、監視などの他のネットワーク機能を提供します。 ただし、適切なサイズに設定されていない場合は、待機時間とパフォーマンスのボトルネックが発生する可能性があります。 これらのアプライアンスは、通常、スポークが接続するハブ仮想ネットワーク内に存在します。

次のリソースでは、ネットワーク アプライアンスを使用してスポーク間でトラフィックを転送します。

• Virtual WAN ハブ ルーター: Microsoft Virtual WANを管理します。 Virtual WANには、スポークからのトラフィックを引き付ける仮想ルーターが含まれています。 そのトラフィックは、Virtual WANに接続されている別の仮想ネットワーク、または ExpressRoute またはサイト間またはポイント対サイト VPN トンネルを介してオンプレミス ネットワークにルーティングされます。 Virtual WANルーターは自動的にスケールアップおよびスケールダウンします。 スポーク間のトラフィック 量がVirtual WAN制限内に収まるようにする必要があるだけです。

• Azure Firewall:Azure Firewall は、管理するハブ仮想ネットワークまたはVirtual WAN ハブにデプロイできるMicrosoftマネージド ネットワーク アプライアンスです。 IP アドレス パケットを転送し、それらを検査し、ポリシーで定義されたトラフィック セグメント化ルールを適用します。 Azure Firewall、ボトルネックにならないように自動的にスケールアップされますが、制限があります。 組み込みのマルチリージョン機能は、Virtual WANで使用する場合にのみサポートされます。 Virtual WANを使用しない場合は、ユーザー定義ルートを実装して、リージョン間のスポーク間通信を有効にする必要があります。

• Microsoft以外の NVA: ルーティングとネットワークのセグメント化Microsoftパートナー NVA を使用する場合は、ハブ アンド スポークトポロジまたはVirtual WAN トポロジに展開できます。 詳細については、「Virtual WAN ハブに高可用性 NVA と NVA をデプロイする」を参照してください。 NVA がスポーク間通信によって生成される帯域幅をサポートしていることを確認します。

• Azure VPN Gateway: VPN ゲートウェイは、ユーザー定義ルートの次ホップの種類として使用できます。 VPN 仮想ネットワーク ゲートウェイを使用してスポーク間トラフィックをルーティングしないでください。 これらのデバイスは、クロスプレミス サイトまたは VPN ユーザーへのトラフィックを暗号化するように設計されています。 たとえば、Azureでは、VPN ゲートウェイ経由でルーティングするときにスポーク間の帯域幅は保証されません。

• ExpressRoute: ExpressRoute ゲートウェイは、スポーク間通信を引き付けるルートをアドバタイズできます。 このセットアップでは、トラフィックを宛先スポークにルーティングするMicrosoft Edge ルーターに送信します。 ExpressRoute ヘアピニングと呼ばれるこのパターンは、明示的に有効にする必要があります。 Microsoftバックボーン エッジにトラフィックを送信して戻すことで待機時間が発生するため、この方法の使用は避けてください。 単一障害点を作成し、ブラスト半径を拡張します。 また、ExpressRoute インフラストラクチャ、特にゲートウェイと物理ルーターに負荷が追加されるため、パケットがドロップする可能性があります。

集中型 NVA を含むセルフマネージド ハブ アンド スポーク ネットワーク設計では、アプライアンスをハブに配置します。 ハブアンドスポーク仮想ネットワーク間の仮想ネットワーク ピアリングを手動で作成するか、仮想ネットワーク マネージャーを使用して構成を自動化します。

• 手動の仮想ネットワーク ピアリングまたはサブネット ピアリング: この方法は、少数のスポーク仮想ネットワークがある場合に適しています。 ただし、大規模な管理オーバーヘッドが増加します。

• 仮想ネットワーク マネージャー: 仮想ネットワーク マネージャーは、ハブとスポークの仮想ネットワーク間のピアリング構成を大規模に自動化します。 ネットワーク グループ内のスポーク仮想ネットワークは、接続にハブ VPN または ExpressRoute ゲートウェイを使用できます。 仮想ネットワーク マネージャーの制限内に留まる。

単一リージョンのデプロイ

次の図は、ハブ仮想ネットワークにデプロイされたAzureファイアウォールを介してスポーク間でトラフィックを送信する単一リージョンのハブ アンド スポーク トポロジを示しています。 スポーク サブネットに適用されるユーザー定義ルートは、ハブ内の一元化されたアプライアンスにトラフィックを転送します。

この画像は、一元化された NVA を介して相互接続されたスポークを備えた基本的なハブアンドスポーク設計を示しています。 3 本の黒い線がハブを 3 本のスポークに接続します。

スケーラビリティを向上させるために、インターネット トラフィックを処理する NVA からスポーク間トラフィックを処理する NVA を分離できます。 NVA を分離するには、次の手順を実行します。

• 各スポークのルート テーブルを調整して、、、などの RFC 1918 プレフィックスを使用するトラフィックなど、プライベート アドレス トラフィックを NVA に送信します。 このアプライアンスは、Azure から Azure へのトラフィックと Azureto-on-premises トラフィック (多くの場合、 東西トラフィックと呼ばれます) を処理します。

• 0.0.0.0/0 ルートを持つインターネット トラフィックを 2 つ目の NVA に調整します。 この NVA は、Azureからインターネットへのトラフィック (南北トラフィックとも呼ばれます) を管理します。

次の図はこの構成を示したものです。

この画像は、North-South ハブと East-West ハブを示しています。 North-South ハブには、1 つの NVA が含まれています。 East-West ハブには、2 つの NVA が含まれています。 3 つの点線は、North-South ハブから 3 つの個別のスポークを指します。 3 本の黒い線は、East-West ハブから同じ 3 本のスポークを指しています。

Note

Azure Firewallでは、仮想ネットワークごとに 1 つのファイアウォール リソースのみがサポートされます。 追加のAzure Firewall リソースをデプロイするには、別のハブ仮想ネットワークを作成します。 NVA シナリオでは、追加の NVA デプロイに 1 つのハブ仮想ネットワークを使用します。

複数リージョンのデプロイ

同じ構成を複数のリージョンに拡張できます。 たとえば、Azure Firewallを使用するセルフマネージドハブアンドスポーク設計では、各ハブのAzure Firewallサブネットに追加のルート テーブルを適用します。 これらのルート テーブルは、リモート リージョンのスポークをサポートし、リージョン間トラフィックが各ハブ仮想ネットワークのAzure ファイアウォール間を確実に流れるようにします。 スポーク仮想ネットワーク間のリージョン間トラフィックは、両方のAzureファイアウォールを通過します。 詳細については、「 Azure Firewall を使用してマルチハブ とスポークのトポロジをルーティングする」を参照してください。

この画像は、米国東部ハブと米国西部ハブを示しています。 各ハブにはファイアウォールが含まれています。 黒い線が 2 つのハブを接続します。 3 本の黒い実線が米国東部ハブを 3 つのスポークに接続します。 3 本の黒い線が米国西部ハブを 3 つのスポークに接続します。

次の図は、マルチリージョン ハブ アンド スポーク トポロジ内の南北トラフィックと東西トラフィック用の個別のAzure ファイアウォールまたは NVA を含む設計のバリエーションを示しています。

この画像は、North-South 米国東部ハブ、East-West 米国東部ハブ、East-West 米国西部ハブ、North-South 米国西部ハブを示しています。 3 本の点線が、North-South 米国東部ハブを 3 つの個別のスポークに接続します。 3 本の実線が、East-West 米国東部ハブを同じスポークに接続します。 3 本の実線が、East-West 米国西部ハブを 3 つの異なるスポークに接続します。 3 本の点線が、North-South 米国西部ハブをこれらのスポークに接続します。

次のトポロジでは、ルーティングを簡略化するためにVirtual WANを使用します。 Virtual WANは、Microsoftが管理するハブとスポークのルーティングを管理します。このハブでは、ルート テーブルを手動で編集しなくても、ルートを自動的に挿入できます。 ネットワーク管理者は、スポーク仮想ネットワークをVirtual WAN ハブに接続するだけで済み、リージョン間のトラフィック転送を管理する必要はありません。

この図は、米国東部と米国西部の仮想ハブとのVirtual WANを示しています。 3 つのラインの 2 つのグループは、Virtual WAN を 3 つの個別のスポークに接続します。

混合パターン

一部のシナリオでは、2 つのパターンを組み合わせたハイブリッド アプローチが必要です。 この場合、特定のスポーク間のトラフィックは直接接続を経由しますが、残りのスポークは中央ネットワーク アプライアンスを介して通信します。 たとえば、Virtual WAN環境では、高帯域幅と低待機時間の要件を持つ 2 つの特定のスポークを直接接続できます。

また、複数のスポーク仮想ネットワークが単一の環境の一部として含まれるシナリオもあります。 たとえば、スポーク開発仮想ネットワークを別のスポーク開発仮想ネットワークに直接接続しても、開発ワークロードと運用ワークロードは中央アプライアンスを介して通信します。

この画像は、米国東部ハブと米国西部ハブを示しています。 各ハブには NVA があります。 黒い線がハブを接続します。 3 本の黒い線が米国東部ハブを 3 つのスポークに接続します。 3 本の黒い線が、米国西部ハブを 3 つの個別のスポークに接続します。 緑の線は、各ハブから 1 つのスポークを接続します。

もう 1 つの一般的なパターンは、直接仮想ネットワーク ピアリングまたは 仮想ネットワーク マネージャー 接続グループ を介して 1 つのリージョンのスポークを接続しますが、リージョン間トラフィックが NVA をまたがることができます。 このモデルにより、アーキテクチャ内の仮想ネットワーク ピアリングの数が減ります。 ただし、最初のモデル (スポーク間の直接接続) と比較して、このモデルにはリージョン間トラフィックの仮想ネットワーク ピアリング ホップが多くなります。 複数の仮想ネットワーク ピアリングが交差しているため、これらのホップによりコストが増加します。 また、このモデルでは、リージョン間トラフィックの前にハブ NVA に追加の負荷が発生します。

この画像は、米国東部ハブと米国西部ハブを示しています。 各ハブには NVA があります。 黒い線がハブを接続します。 3 本の黒い線が米国東部ハブを 3 つのスポークに接続します。 3 本の黒い線が、米国西部ハブを 3 つの個別のスポークに接続します。 どちらのハブ ネットワークでも、スポークはすべて緑色の線で相互に接続されます。

Virtual WANにも同じ設計が適用されます。 ただし、スポーク仮想ネットワーク間の直接接続には、Virtual WAN リソース経由ではなく、仮想ネットワーク間で手動で構成する必要があります。 仮想ネットワーク マネージャーでは、Virtual WANを使用するアーキテクチャはサポートされていません。 次の図について考えてみましょう。

この画像は、米国東部と米国西部の仮想ハブを含む Virtual WAN を示しています。 両方のハブで、3 本の黒い線が Virtual WAN セクションを 3 つの個別のスポークに接続します。 各ハブのスポークはすべて、緑色の線で互いに接続されています。 1 つのハブから他のハブのスポークにスポークを直接接続するラインはありません。

Note

混合アプローチでは、仮想ネットワーク ピアリングを介した直接接続によって、接続された仮想ネットワーク間でシステム ルートが伝達されます。 多くの場合、これらのシステム ルートは、ルート テーブルを介して構成されたカスタム ルートよりも具体的です。 したがって、仮想ネットワーク ピアリング パスは、プレフィックスの最長一致でのルート選択に従うカスタム ルートよりも優先されます。

あまり一般的でないシナリオでは、システム ルートとカスタム ユーザー定義ルートのアドレス プレフィックスが同じである場合、ユーザー定義ルートは仮想ネットワーク ピアリングによって作成されたシステム ルートをオーバーライドします。 この動作により、直接ピアリング接続が存在する場合でも、スポーク間仮想ネットワーク トラフィックがハブ仮想ネットワークを通過します。

貢献者達

Microsoft では、この記事を保持しています。 この記事を書いたのは、以下の寄稿者です。

主な執筆者:

• Jay Li | シニア プロダクト マネージャー
• Jose Moreno | プリンシパル カスタマー エンジニア
• アレハンドラ パラシオス |Azureカスタマー エンジニア

その他の共同作成者:

• ムハンマド・ハッサン |Azureネットワーク製品責任者
• アンドレア・マイケル |プロダクト マネージャー 2

公開されていない LinkedIn プロフィールを見るには、LinkedIn にサインインしてください。

次のステップ

• 仮想ネットワークを計画する
• オンプレミス ネットワークをAzureに接続するソリューションを選択する
• Azure ポータルを使用して仮想ネットワーク ピアリングを作成する
• 仮想ネットワーク マネージャー
• Azure のハブスポーク ネットワーク トポロジ