このドキュメントでは、Virtual WANのさまざまな種類の静的ルート、一般的なユース ケース、ネットワークの設計と実装時に考慮すべき主なベスト プラクティスと制限事項について説明します。
静的ルートの概要
Note
Virtual WANの静的ルートを使用して、Virtual WAN ハブにデプロイされたネットワーク仮想アプライアンス (NVA) またはサービスとしてのソフトウェア (SaaS) ソリューションにトラフィックを転送することはできません。 NVA および SaaS ソリューションの場合、トラフィックをルーティングする唯一の方法は、ルーティングの意図とポリシーを使用することです。 詳細については、 ルーティングの意図とポリシーのドキュメントを参照してください。
Virtual WAN静的ルートは、トラフィックを特定の次ホップに転送するために使用されます。 静的ルートは、次の 2 つの主要なルーティングのユース ケースを提供します。
- Virtual WAN ハブにデプロイされたAzure Firewall経由でトラフィックをルーティングします。
- Virtual WAN ハブに接続されているスポーク仮想ネットワークにデプロイされた、指定された IP アドレス (多くの場合、ネットワーク仮想アプライアンスの前にあるロード バランサー) にトラフィックをルーティングします。
大まかに言うと、上記の 2 つの主要なユース ケースには、次の静的ルート構成が必要です。
| 利用シーン | Configuration | ユース ケースに関する詳細なドキュメント |
|---|---|---|
| Virtual WAN ハブにデプロイされたAzure Firewall経由でトラフィックをルーティングする | Virtual WAN ルート テーブル内の、ネクスト ホップが Azure Firewall リソース ID の静的ルート。 | Virtual WAN の静的ルートを使用して、トラフィックをセキュリティで保護されたハブ Azure Firewall にルーティングします。 |
| スポーク Virtual Network内の指定された IP アドレスにトラフィックをルーティングする |
オプション 1: スポーク仮想ネットワーク内の NVA またはロード バランサーの IP アドレスに次ホップが設定された仮想ネットワーク接続での静的ルート。 静的ルートを true に設定して伝達 します。 Option 2: Virtual WAN ルート テーブルに静的ルートを構成し、次のホップとしてスポークバーチャルネットワーク接続を指定します。 スポーク仮想ネットワークの NVA またはロード バランサーの IP アドレスをネクスト ホップとして設定して、仮想ネットワーク接続で対応する静的ルートを構成します。 |
ルーティングの利用例
トラフィックをAzure Firewallにルーティングする
Note
トラフィックをAzure Firewallに転送する方法には、Virtual WAN ハブ ルート テーブルの静的ルートと、ルーティングの意図とポリシーの 2 つの方法があります。 2 つの構成オプションの混在はサポートされていません。 この記事では、Azure Firewall静的ルート パターンは、ルーティング意図が有効になっていないAzure Firewallを持つセキュリティで保護された仮想ハブを指します。
Configuration
静的ルートを使用してセキュリティで保護されたハブ内のAzure FirewallにトラフィックをルーティングするようにVirtual WANを構成します。 この構成は、ルーティングインテントが有効になっていないAzure Firewallを持つセキュリティで保護された仮想ハブに適用されます。 この構成には、Virtual WAN展開に 2 つの個別の構成を追加する必要があります。
- 静的ルートをVirtual WANハブ ルート テーブルに追加し、次ホップをAzure Firewallリソース識別子として指定します。
- Virtual WAN ハブ接続の関連付けられた、また伝播されたルートテーブルを構成します。
セキュリティで保護されたハブ シナリオで静的ルートと関連付けられた/プロパティ化されたルート テーブルを構成するには、次のベスト プラクティスを利用します。
-
静的ルート構成とルート テーブルに関するベスト プラクティス:
- ( defaultRouteTable と noneRouteTable に加えて) カスタム ルート テーブルの数を最小限 に抑えます。 カスタム ルート テーブルは、仮想ネットワークのさまざまなルーティング パターンなど、よりカスタマイズされたルーティング シナリオに使用する必要があります。
- 可能な場合は、静的ルートで特定の範囲ではなく集計範囲を使用します。 これにより、構成された静的ルートの数が最小限に抑えられます。
- マルチハブ設計を慎重に評価し、可能な場合は ルーティング意図を 利用します。 静的ルートを使用してトラフィックをAzure Firewallに送信するアーキテクチャは、複数のハブ間で動作する複雑になり、Azure Firewallを介したリージョン間検査は静的ルート構成ではサポートされません。
-
関連付けと伝達の構成に関するベスト プラクティス:
- すべてのブランチ (VPN/ExpressRoute) は defaultRouteTable に関連付け、 同じ ルート テーブルとルート テーブル ラベルのセットに伝達される必要があります。
- 接続のルートをルート テーブルに伝達することは、そのルート テーブルに関連付けられているすべての接続が、伝達されたルートに直接アクセスできることを意味します。 ルーティング構成に一貫性があり、ルーティングの対称性が得られるようにします。 たとえば、ブランチがVirtual Networkのルート テーブルに伝達される場合は、同じ仮想ネットワークが defaultRouteTable に反映されていることを確認します。 接続が別の接続のルート テーブルに伝達 されない 場合も、同じ処理が保持されます。
- 同様に、ルート テーブルに接続を伝達しないということは、通常、その同じルート テーブルに関連付けられている接続がその接続にアクセスできないことを意味します。 静的ルートが必要です。
一般的なユース ケース
Virtual WANの静的ルートの一般的なユース ケースの 1 つは、仮想ハブにデプロイされたAzure Firewall経由で同じハブプライベート トラフィックを送信することです。 この設計では、ファイアウォールは、それ以外の場合は最終的な宛先に直接流れるトラフィックの次ホップとして機能します。
このパターンは、次の高度なユース ケースのAzure Firewall検査を提供するために使用されます。
| トラフィック フローの図 | 説明 |
|---|---|
| 1 | オンプレミスのブランチと、同じ仮想ハブに接続されている仮想ネットワーク間のトラフィック。 |
| 2 | 同じ仮想ハブに接続されている仮想ネットワーク間のトラフィック。 |
| 3 | 仮想ハブのローカルに接続されたオンプレミスブランチと仮想ネットワークとインターネット間のトラフィック。 |
さらに複雑なユース ケースには、次のようなものがあります。
代替アプローチが必要な、または静的ルートでサポートされていないその他の一般的なユース ケース:
| ユースケース(事例) | 他の方法 |
|---|---|
| Virtual WAN ハブ内にデプロイされた NVA にトラフィックをルーティングする | ハブにデプロイされた NVA を使用してトラフィックを検査するには、 ルーティングの意図とポリシーを使用する必要があります。 |
| ハブ間トラフィックを検査する | ルーティングの意図とポリシーを使用します。 |
| ブランチ間トラフィック (ExpressRoute、サイト間 VPN、ポイント対サイト VPN) を検査する | ブランチ間トラフィック検査では、 ルーティングの意図とポリシーを使用する必要があります。 |
| 仮想ネットワークの分離をセキュリティで保護されたハブを使用して行います。 | Azure Firewallネットワーク ルールを利用して、通信できない仮想ネットワーク間のトラフィックをブロックします。 Virtual WANルーティングは、伝達と関連付けが適切に構成されている場合でも、ルーティングの観点から 2 つの仮想ネットワークが分離されることを保証できません。 たとえば、集約ルート (10.0.0.0/8 や 0.0.0.0/0 など) が、Virtual Networkの関連付けられているVirtual WAN ルート テーブル上のハブ内のAzure Firewallを指す静的ルートとして構成されている場合、相互に伝達されない 2 つの仮想ネットワークはAzure Firewall経由で通信できます。 |
スポーク仮想ネットワーク内のNVAへのトラフィックのルーティング
構成オプション
スポーク仮想ネットワーク内の IP アドレスへのルーティングは、次の 2 つの方法で構成できます。
- オプション 1: 仮想ネットワーク接続の静的ルートを指定します。 静的ルートの伝達 を True に設定します。 このモデルでは、仮想ネットワーク接続上の静的ルートは、Virtual WANルート テーブルに個別の静的ルート エントリを必要とせずに、Virtual WANに自動的に反映されます。 この構成では、Virtual WANがVirtual Networkの伝達されたルート テーブルとラベルに従って静的ルートを自動的に伝達するため、スケーリング プロパティが向上します。
- Option 2: 次ホップが Hub 仮想ネットワーク接続に設定されたVirtual WAN ルート テーブル内の静的ルートを指定します。 このモデルでは、プレフィックスの次ホップ IP アドレスを指定する仮想ネットワーク接続上の対応する静的ルートも必要です。 さらに、すべての Virtual WAN ルート テーブル（リモート Virtual WAN ハブを含む）に静的ルートを追加し、その静的ルートが利用するハブ仮想ネットワーク接続を指すようにする必要があります。
2 つの構成オプションは、異なるルーティング パターンをサポートし、使用可能なユース ケースが異なります。
| オプション | 概要 | サポートされているユース ケース | アーキテクチャの例 | サポートされていないユース ケース |
|---|---|---|---|---|
| 1 | True に設定された[静的ルートの伝達]を持つ仮想ネットワーク接続上の静的ルート | スポーク NVA を、間接スポークのルートのソース、NVA デバイスで終端された VPN トンネル、またはインターネット エッジとして利用します。 ルーティングインテントハブと互換性があります。 | 間接スポーク アーキテクチャと、エグレス用のスポーク NVA へのインターネットへのトラフィックのハイブリッド シナリオ | この構成オプションは、Virtual WANオンプレミス接続とスポーク Virtual Network間の検査シナリオには使用できません。 |
| 2 | ハブ仮想ネットワーク接続に次ホップが設定されたVirtual WANルーティングテーブル内にある静的ルートと、仮想ネットワーク接続上で一致する次ホップIP。 | スポーク NVA を、間接スポークのルートのソース、NVA デバイスで終端された VPN トンネル、またはインターネット エッジとして利用します。 2つのVirtual WAN接続間 (オンプレミスとVirtual Network間) の検査シナリオに利用します。 | Indirect スポーク アーキテクチャ、インターネット向けトラフィックをスポーク NVA にルーティングしてエグレスを実現する、ハイブリッドシナリオ、オンプレミスからの仮想ネットワーク検査。 | ルーティング意図を使用するハブと互換性がありません。 |
静的ルートを使用して、Virtual WANのVirtual Network接続にトラフィックをルーティングする場合は、次のベスト プラクティスと考慮事項に注意してください。
- 可能な限り、構成オプション 1を構成オプション 2より利用してください。オプション 1は静的ルートを関連するVirtual WANルートテーブルに自動的に告知することを保証します。 これにより、複数のVirtual WAN ルート テーブルとハブにわたる静的ルート管理の運用オーバーヘッドが大幅に削減されます。
- bypass の次ホップ IP アドレス設定は、NVA と同じVirtual Network内の IP アドレス宛てのトラフィックのルーティング方法を決定します。 この設定を目的のネットワーク パターンに合わせます。 多くの場合、NVA 管理トラフィックを想定される NVA インターフェイスまたはインスタンスに正しくルーティングするには、この値を true に設定することが重要です。
- 宛先 CIDR が IANA RFC1918 にない 複数の静的ルートが構成されている場合、RFC1918以外の宛先を持つすべての静的ルートは 、同じ次ホップ IP アドレスを使用する必要があります。
- NVA を使用してオンプレミスと他の仮想ネットワーク間のトラフィックを検査するシナリオでは、 NVA のVirtual Networkは通常、ブランチやその他の仮想ネットワークとは異なる custom ルート テーブルに関連付けられますが、その他のすべての接続は NVA Virtual Networkの custom ルート テーブルに伝達されます。 例については、以下の一般的なユース ケースのセクションを参照してください。
一般的なユース ケース
スポーク仮想ネットワーク内のネットワーク仮想アプライアンスにトラフィックを送信するVirtual WANの静的ルートを示す図。
別の方法が必要なユース ケースや、Virtual WANでサポートされていない一般的なユース ケースを次に示します。
| ユースケース(事例) | 代替アプローチ |
|---|---|
| 3 番目の Virtual WAN スポークにデプロイされた NVA 経由の仮想ネットワーク間のトラフィックを、NVA を利用して検査します。 | サポートされていません。 スポーク仮想ネットワークが、Virtual WAN ハブではなく、NVA スポークとピアリングされる、間接スポーク アーキテクチャを利用します。 または、Virtual WAN ハブに NVA をデプロイし、すべてのスポーク仮想ネットワークをVirtual WAN ハブに接続し、ルーティングの意図を利用します。 |
| スポーク内の NVA を使用して、ブランチ同士のトラフィックを検査します。 | サポートされていません。 Virtual WAN ハブに NVA をデプロイし、ルーティングの意図を利用します。 |
2 種類の静的ルートの組み合わせ
仮想ハブ内のAzure Firewallを指す静的ルートと、仮想ネットワーク接続を指す静的ルートを組み合わせることもできます。 この設計は、同じVirtual WANデプロイ内のトラフィック クラスごとに異なる次ホップが必要な場合に便利です。
一般的なユース ケースは次のとおりです。
| トラフィック フローの図 | 説明 |
|---|---|
| 1 と 2 | ブランチと仮想ネットワーク (1) の間、または同じハブ (1) に接続されている仮想ネットワーク間の内部トラフィックを調べるのに仮想ハブのAzure Firewallを使用し、スポーク仮想ネットワーク内の NVA をインターネットにバインドされたトラフィックに使用します (2)。 |
代替アプローチが必要な、または静的ルートでサポートされていないその他の一般的なユース ケース:
| 利用シーン | 代替アプローチ |
|---|---|
| 二重検査シナリオ: 安全なハブにデプロイされたAzure Firewallを使用して、間接スポークまたはインターネット宛てのトラフィックを検査します。 その後、スポークの NVA にトラフィックを転送して、ブレイクアウトを行ったり間接スポークへアクセスしたりします。 | ルーティングの意図とポリシーおよび静的ルートを使用し、仮想ネットワーク接続において静的ルートの伝播をtrueに設定します。 |