ExpressRoute プライベート ピアリング経由のサイト間 VPN 接続を構成する

仮想ネットワーク ゲートウェイへのサイト間 VPN を、ExpressRoute プライベート ピアリングを経由し、RFC 1918 IP アドレスを使用して構成できます。 この構成には次のような利点があります。

  • プライベート ピアリング経由のトラフィックは暗号化されます。

  • 仮想ネットワーク ゲートウェイに接続するポイント対サイト ユーザーは、(サイト間トンネルを介して) ExpressRoute を使用してオンプレミス リソースにアクセスできます。

  • 同じ VPN ゲートウェイ上で、インターネットを介したサイト間 vpn 接続と同時に、ExpressRoute プライベートピアリング経由でサイト間 VPN 接続を展開することができます。

この機能は、次の SKU で使用できます。

  • VpnGw1、VpnGw2、VpnGw3、VpnGw4、VpnGw5 (ゾーンなしの標準パブリック IP)

  • VpnGw1AZ、VpnGw2AZ、VpnGw3AZ、VpnGw4AZ、VpnGw5AZ (1 つまたは複数のゾーンがある標準パブリック IP)

    Note

    この機能は、Standard パブリック IP があるゲートウェイでのみサポートされます。

前提条件

この構成を完了するには、次の前提条件を満たしていることを確認してください。

  • VPN ゲートウェイが作成される (予定の) VNet にリンクされた ExpressRoute 回線が正常に機能している。

  • VNet 内の RFC1918 (プライベート) IP を使用して、ExpressRoute 回線経由でリソースに到達できる。

ルーティング

図 1 は、ExpressRoute プライベート ピアリングを経由した VPN 接続の例を示しています。 この例では、ExpressRoute プライベート ピアリング経由で Azure ハブ VPN ゲートウェイに接続されたオンプレミス ネットワーク内のネットワークを確認できます。 この構成の重要な側面は、オンプレミス ネットワークと Azure の間で、ExpressRoute パスと VPN パスの両方を経由してルーティングを行うことです。

図 1

図 1

接続の確立は簡単です。

  1. ExpressRoute 回線とプライベート ピアリングを使用して ExpressRoute 接続を確立します。

  2. この記事の手順を使用して VPN 接続を確立します。

オンプレミス ネットワークから Azure へのトラフィック

オンプレミス ネットワークから Azure へのトラフィックに関しては、Azure プレフィックスは、ExpressRoute プライベート ピアリング BGP と VPN BGP の両方を経由してアドバタイズされます。 結果として、オンプレミス ネットワークから Azure への 2 つのネットワーク ルート (パス) が生成されます。

• IPsec で保護されたパスを経由する 1 つのネットワーク ルート。

• IPsec で保護されていない ExpressRoute を直接経由する 1 つのネットワーク ルート。

通信に暗号化を適用するには、図 1 の VPN 接続ネットワークに関して、オンプレミス VPN ゲートウェイ経由の Azure ルートが直接 ExpressRoute パスよりも優先されることを確認する必要があります。

Azure からオンプレミス ネットワークへのトラフィック

Azure からオンプレミス ネットワークへのトラフィックにも同じ要件が適用されます。 IPsec パスを直接 ExpressRoute パス (IPsec なし) よりも確実に優先させるには、2 つのオプションがあります。

VPN 接続ネットワークの VPN BGP セッションで、より具体的なプレフィックスをアドバタイズします。 VPN 接続ネットワークを包含する広い範囲を ExpressRoute プライベート ピアリング経由でアドバタイズし、次に VPN BGP セッションでより具体的な範囲をアドバタイズすることができます。 たとえば、ExpressRoute 経由では 10.0.0.0/16 を、VPN 経由では 10.0.1.0/24 をアドバタイズします。

VPN と ExpressRoute で、互いに切り離されたプレフィックスをアドバタイズします。 VPN 接続ネットワーク範囲が他の ExpressRoute 接続ネットワークから切り離されている場合、VPN と ExpressRoute の各 BGP セッションでそれぞれプレフィックスをアドバタイズできます。 たとえば、ExpressRoute 経由では 10.0.0.0/24 を、VPN 経由では 10.0.1.0/24 をアドバタイズします。

どちらの例でも Azure は、ExpressRoute 経由で直接、VPN 保護なしで送信するのではなく、VPN 接続経由で 10.0.1.0/24 にトラフィックを送信します。

警告

ExpressRoute 接続と VPN 接続の両方を経由して同じプレフィックスをアドバタイズした場合、>Azure は ExpressRoute パスを直接、VPN 保護なしで使用します。

ポータルの手順

  1. サイト間接続を構成します。 手順については、サイト間接続に関する記事を参照してください。 Standard パブリック IP があるゲートウェイを選択してください。

    ゲートウェイ プライベート IP

  2. ゲートウェイでプライベート IP を有効にします。 [構成] を選択し、 [ゲートウェイ プライベート IP][有効] に設定します。 [保存] を選択して変更を保存します。

  3. [概要] ページで、 [詳細表示] を選択してプライベート IP アドレスを表示します。 後で構成手順で使用するために、この情報を書き留めておきます。

    [概要] ページ

  4. 接続で [Azure プライベート IP アドレスを使用する] を有効にするには、[構成] を選択します。 [Azure プライベート IP アドレスを使用する][有効] に設定してから、 [保存] を選択します。

    ゲートウェイ プライベート IP - 有効

  5. 手順 3 で記述したプライベート IP をオンプレミス ファイアウォール上のリモート IP として使用して、ExpressRoute プライベート ピアリング経由のサイト間トンネルを確立します。

PowerShell ステップ

  1. サイト間接続を構成します。 手順については、「サイト間 VPN の構成」の記事を参照してください。 Standard パブリック IP があるゲートウェイを選択してください。

  2. 次の PowerShell コマンドを使用して、ゲートウェイ上でプライベート IP を使用するようにフラグを設定します。

    $Gateway = Get-AzVirtualNetworkGateway -Name <name of gateway> -ResourceGroup <name of resource group>
    
    Set-AzVirtualNetworkGateway -VirtualNetworkGateway $Gateway -EnablePrivateIpAddress $true
    

    パブリックとプライベートの IP アドレスが表示されます。 出力の "TunnelIpAddresses" セクションの IP アドレスを書き留めます。 この情報は後の手順で使用します。

  3. 次の PowerShell コマンドを使用して、プライベート IP アドレスを使用するように接続を設定します。

    $Connection = get-AzVirtualNetworkGatewayConnection -Name <name of the connection> -ResourceGroupName <name of resource group>
    
    Set-AzVirtualNetworkGatewayConnection --VirtualNetworkGatewayConnection $Connection -UseLocalAzureIpAddress $true
    
  4. ファイアウォールから、手順 2 で書き留めたプライベート IP に ping を実行します。 ExpressRoute プライベート ピアリング経由で到達できるはずです。

  5. このプライベート IP をオンプレミス ファイアウォール上のリモート IP として使用して、ExpressRoute プライベート ピアリング経由のサイト間トンネルを確立します。

次のステップ

VPN Gateway の詳細については、「VPN ゲートウェイとは」をご覧ください。