仮想マシンのネットワークルーティングに関する問題を診断する - Azure PowerShell

[アーティクル]
04/12/2024

この記事では、仮想マシン (VM) をデプロイし、IP アドレスおよび URL との通信を確認します。通信障害の原因と解決方法を特定します。

Azure サブスクリプションをお持ちでない場合は、開始する前に無料アカウントを作成してください。

Azure Cloud Shell

Azure では、ブラウザーを介して使用できる対話型のシェル環境、Azure Cloud Shell がホストされています。 Cloud Shell で Bash または PowerShell を使用して、Azure サービスを操作できます。ローカル環境に何もインストールしなくても、Cloud Shell にプレインストールされているコマンドを使用して、この記事のコードを実行できます。

Azure Cloud Shell を開始するには、以下のようにします。

オプション	例とリンク
コードまたはコマンドブロックの右上隅にある [使ってみる] を選択します。 [使ってみる] を選択しても、コードまたはコマンドは Cloud Shell に自動的にはコピーされません。
https://shell.azure.com に移動するか、[Cloud Shell を起動する] ボタンを選択して、ブラウザーで Cloud Shell を開きます。
Azure portal の右上にあるメニューバーの [Cloud Shell] ボタンを選択します。

Azure Cloud Shell を使用するには、以下のようにします。

Cloud Shell を開始します。
コードブロック (またはコマンドブロック) の [コピー] ボタンを選択し、コードまたはコマンドをコピーします。
Windows と Linux では Ctrl+Shift+V キーを選択し、macOS では Cmd+Shift+V キーを選択して、コードまたはコマンドを Cloud Shell セッションに貼り付けます。
Enter キーを選択して、コードまたはコマンドを実行します。

PowerShell をローカルにインストールして使用する場合、この記事では Az PowerShell モジュールが必要になります。詳細については、「Azure PowerShell のインストール方法」を参照してください。インストールされているバージョンを確認するには、Get-InstalledModule -Name Az を実行します。 PowerShell をローカルで実行している場合は、Connect-AzAccount コマンドレットを使用して Azure にサインインします。

VM の作成

VM を作成する前に、その VM を含めるリソースグループを作成する必要があります。 New-AzResourceGroup を使用して Azure リソースグループを作成します。次の例では、myResourceGroup という名前のリソースグループを eastus に作成します。

New-AzResourceGroup -Name myResourceGroup -Location EastUS

New-AzVM を使用して VM を作成します。この手順の実行時に、資格情報の入力を求められます。入力した値は、VM のユーザー名とパスワードとして構成されます。

$vM = New-AzVm `
    -ResourceGroupName "myResourceGroup" `
    -Name "myVm" `
    -Location "East US"

VM の作成には数分かかります。 VM が作成されて、PowerShell から出力が返されるまでは、次の手順に進まないでください。

ネットワーク通信をテストする

Network Watcher を使用してネットワーク通信をテストするには、最初にテスト対象の VM が含まれるリージョンにおいて Network Watcher を有効にしてから、Network Watcher の次ホップ機能を使用して通信をテストする必要があります。

ネットワークウォッチャーを有効にする

米国東部リージョンで Network Watcher を既に有効にしてある場合は、Get-AzNetworkWatcher を使ってそのネットワークウォッチャーを取得します。次の例では、NetworkWatcherRG リソースグループ内にある NetworkWatcher_eastus という名前の既存のネットワークウォッチャーを取得しています。

$networkWatcher = Get-AzNetworkWatcher `
  -Name NetworkWatcher_eastus `
  -ResourceGroupName NetworkWatcherRG

米国東部リージョンで Network Watcher をまだ有効にしていない場合は、New-AzNetworkWatcher を使って、米国東部リージョンにネットワークウォッチャーを作成します。

$networkWatcher = New-AzNetworkWatcher `
  -Name "NetworkWatcher_eastus" `
  -ResourceGroupName "NetworkWatcherRG" `
  -Location "East US"

次ホップの使用

Azure では、既定の接続先へのルートを自動的に作成します。既定のルートをオーバーライドするカスタムルートを作成できます。場合によっては、カスタムルートが通信の失敗の原因になることがあります。 VM からのルーティングをテストするには、Get-AzNetworkWatcherNextHop コマンドを使用して、トラフィックが特定のアドレスに送信されるときの次のルーティングホップを特定します。

VM から www.bing.com のいずれかの IP アドレスへの送信通信をテストします。

Get-AzNetworkWatcherNextHop `
  -NetworkWatcher $networkWatcher `
  -TargetVirtualMachineId $VM.Id `
  -SourceIPAddress 192.168.1.4 `
  -DestinationIPAddress 13.107.21.200

数秒後、 [NextHopType] が [インターネット] であり、 [RouteTableId] が [System Route](システムルート) であることが出力からわかります。この結果から、接続先に対して有効なルートが存在することがわかります。

VM から 172.31.0.100 への送信通信をテストします。

Get-AzNetworkWatcherNextHop `
  -NetworkWatcher $networkWatcher `
  -TargetVirtualMachineId $VM.Id `
  -SourceIPAddress 192.168.1.4 `
  -DestinationIPAddress 172.31.0.100

返される出力は、 [NextHopType] が [なし] であり、 [RouteTableId] が [System Route](システムルート) であることを示しています。この結果から、送信先への有効なシステムルートはあるものの、接続先にトラフィックをルーティングする次ホップはないことがわかります。

ルートの詳細の表示

さらに詳細にルーティングを分析するには、Get-AzEffectiveRouteTable コマンドを使用してネットワークインターフェイスの有効なルートを確認します。

Get-AzEffectiveRouteTable `
  -NetworkInterfaceName myVm `
  -ResourceGroupName myResourceGroup |
  Format-table

次のテキストが含まれる出力が返されます。

Name State  Source  AddressPrefix           NextHopType NextHopIpAddress
---- -----  ------  -------------           ----------- ----------------
     Active Default {192.168.0.0/16}        VnetLocal   {}              
     Active Default {0.0.0.0/0}             Internet    {}              
     Active Default {10.0.0.0/8}            None        {}              
     Active Default {100.64.0.0/10}         None        {}              
     Active Default {172.16.0.0/12}         None        {}

前の出力からわかるように、AddressPrefix が 0.0.0.0/0 であるルートでは、インターネットの次ホップを持つ他のルートアドレスプレフィックス内のアドレスを送信先としていないすべてのトラフィックがルーティングされます。出力でもわかるように、アドレス 172.31.0.100 を含む、172.16.0.0/12 プレフィックスへの既定のルートがあるにも関わらず、[nextHopType] は [なし] になっています。 Azure では、172.16.0.0/12 への既定のルートを作成しますが、理由がない限り次ホップの種類は指定しません。たとえば、仮想ネットワークのアドレス空間に 172.16.0.0/12 アドレス範囲を追加した場合は、ルートの [nextHopType] を [仮想ネットワーク] に変更します。 [nextHopType] として [仮想ネットワーク] にチェックマークが表示されます。

リソースをクリーンアップする

必要なくなったら、Remove-AzResourceGroup を使用して、リソースグループとその中のすべてのリソースを削除できます。

Remove-AzResourceGroup -Name myResourceGroup -Force

次のステップ

この記事では、VM を作成し、VM からのネットワークのルーティングを診断しました。 Azure では複数の既定のルートが作成されることを学習し、2 つの異なる送信先へのルーティングをテストしました。詳細については、Azure でのルーティングとカスタムルートを作成する方法に関するページを参照してください。

送信 VM 接続の場合は、Network Watcher の接続のトラブルシューティング機能を使用することにより、待機時間に加えて、VM とエンドポイント間で許可/拒否されているネットワークトラフィックを確認することもできます。 Network Watcher の接続監視機能を使用すると、VM とエンドポイント (IP アドレスや URL など) の間の通信を継時的に監視することができます。詳細については、ネットワーク接続の監視に関する記事を参照してください。

仮想マシンのネットワーク ルーティングに関する問題を診断する - Azure PowerShell