オンプレミス ネットワークを Azure に接続する

この記事では、オンプレミス ネットワークをAzure仮想ネットワークに接続するための 3 つの主要なオプション (Azure VPN Gateway、Azure ExpressRoute、Azureでホストされている非Microsoft IPsec または SD-WAN ソリューション) を比較します。 各オプションについて、オプションが適切な場合の接続モデル、主な利点とトレードオフ、詳細な参照アーキテクチャへのリンクがまとめられます。

この記事では、企業またはデータセンター ネットワークと 1 つ以上のAzure仮想ネットワークとの間のサイト間接続を評価するネットワークおよびクラウド アーキテクトを対象としています。 個別のドキュメントでは、ポイント対サイト VPN と Vnet 間接続について説明します。この接続は、ここでは範囲外です。

Azure VPN 接続

Azure VPN ゲートウェイは、Azure仮想ネットワークとオンプレミスの場所 (通常はパブリック インターネット経由) の間で暗号化されたトラフィックを送信する仮想ネットワーク ゲートウェイの一種です。

このアーキテクチャは、オンプレミスとAzureの間のトラフィックが軽いハイブリッド アプリケーションや、柔軟性とクラウドのスケーラビリティと引き換えに待機時間が長くなるハイブリッド アプリケーションに適しています。

VPN ゲートウェイとのハイブリッド接続を示す図。

Azure VPN は、サイト間 (S2S) VPN 接続に最もよく使用されます。これは、IPsec/IKE トンネル経由のオンプレミス ネットワークとAzure仮想ネットワーク間の暗号化されたルーティング接続を提供します。 Azure VPN ではポイント対サイト (P2S) と VNet 対 VNet のシナリオもサポートされていますが、これらのシナリオはそれぞれリモート ユーザー アクセスと VNet 間接続に対応しており、ここでは主な焦点ではありません。

特典

次の機能により、Azure VPN は、専用接続を必要としないハイブリッド シナリオに適しています。

  • よりシンプルな構成。 接続はパブリック インターネット経由で移動し、接続プロバイダーや回線プロビジョニング ワークフローを必要としないため、ExpressRoute などの専用の接続オプションよりもセットアップが簡単です。
  • 転送中に暗号化されます。 サイト間接続では IPsec/IKE トンネルが使用されるため、オンプレミスの VPN デバイスと Azure VPN ゲートウェイの間のトラフィックは、既定でネットワーク 層で暗号化されます。
  • 高い集計帯域幅。 VPN Gatewayでは、標準のハブ アンド スポーク トポロジで最大 10 Gbps の集計がサポートされます。 Azure Virtual WANでは、各仮想ハブで最大 20 Gbps の集計がサポートされます。 集計スループットとゾーン冗長性はどちらも、選択したVPN Gateway SKU によって異なります。そのため、必要なスループットと回復性のために SKU のサイズを変更します。 (信頼性を参照)。詳細については、トポロジと設計VPN GatewayおよびVirtual WANに関する FAQ を参照してください。

Challenges

ハイブリッド ワークロードの vpn Azure選択する前に、次の制約を考慮してください。

  • オンプレミスの VPN デバイスが必要です。 Azure管理境界の外側にある、互換性のあるオンプレミス VPN デバイスを運用および保守します。
  • SLA はゲートウェイのみを対象としています。 Microsoftでは、VPN Gatewayの 99.9% 可用性 SLA が提供されます。 高可用性 SLA は SKU によって異なります。 SKU レベルの詳細については、Azure仮想ネットワーク ゲートウェイの信頼性に関するページを参照してください。 SLA は VPN ゲートウェイのみを対象とし、オンプレミスとゲートウェイの間のパブリック インターネット パスはカバーしません。

リファレンス アーキテクチャ

このオプションの完全な実装チュートリアルについては、次の参照アーキテクチャを参照してください。

Azure ExpressRoute接続

ExpressRoute は、オンプレミス ネットワークとAzureの間のプライベート、冗長、専用の接続です。 Microsoft以外の接続プロバイダーが回線を提供するか、ExpressRoute Direct を使用してMicrosoftとネットワーク間の直接接続を行います。 回線を配信する方法の概要については、 ExpressRoute 接続モデルに関するページを参照してください。

ExpressRoute は、高帯域幅と予測可能なパフォーマンスを必要とする大規模でミッション クリティカルなワークロードを実行するハイブリッド アプリケーションに適しています。

ExpressRoute ゲートウェイとのハイブリッド接続を示す図。

Note

ExpressRoute のコンテキストでは、Microsoft Enterprise Edge (MSEE) は ExpressRoute 回線のMicrosoft側のエッジ ルーターを指します。 これらのルーターは、Microsoft ネットワークへのエントリ ポイントです。

ExpressRoute は、最も一般的に ExpressRoute プライベート ピアリングで使用され、Azure仮想ネットワークへのプライベート接続を提供します。 また、Microsoft 365やパブリック サービス エンドポイントなどのパブリック サービスへの接続Microsoft MicrosoftピアリングAzureサポートしています。 この記事では、プライベート ピアリングに重点を置いています。

特典

次の機能により、ExpressRoute は、専用の予測可能な接続を必要とするハイブリッド ワークロードに適しています。

  • 高帯域幅。 ExpressRoute は、接続プロバイダーを介して回線あたり最大 10 Gbps、 ExpressRoute Direct を使用したデュアル 10 Gbps、100 Gbps、または 400 Gbps ポート オプションを提供します。 また、Azureスループットは ExpressRoute 仮想ネットワーク ゲートウェイ SKU によってゲートされます。これは、独自の SKU ごとの帯域幅上限があるため、ワークロードのスループットは、回線、ゲートウェイ SKU、およびオンプレミスのエッジ デバイスの最小値になります。
  • 予測可能な待機時間。 専用回線を使用すると、パブリック インターネットのパスの変動と、VPN トンネルのパケットごとの IPsec 処理オーバーヘッドを回避できます。 この設計により、ラウンドトリップ待機時間はインターネットベースの接続よりも短く一貫性が高まります。
  • 動的帯域幅のスケーリング。 接続プロバイダーでこの機能がサポートされている場合は、接続を削除せずに回線帯域幅を増やすことができます。
  • 国内クラウド アクセス。 ExpressRoute では、接続プロバイダーに応じて、国内クラウドへの直接アクセスがサポートされます。
  • 回線レベルの SLA。 ExpressRoute は、Microsoft ネットワーク エッジと接続プロバイダーまたはパートナー インフラストラクチャの間の専用 ExpressRoute 回線で高可用性 SLA を提供します。 SLA では、プロバイダーへのオンプレミス パスや、Azure内の ExpressRoute 仮想ネットワーク ゲートウェイについては説明しません。

Challenges

ハイブリッド ワークロードの ExpressRoute を選択する前に、次の制約を考慮してください。

  • プロバイダーの調整が必要です。 ExpressRoute Direct 以外の回線をプロビジョニングするには、接続プロバイダーとの調整が必要です。これによって、リード タイムと依存関係がAzureマネージド境界の外に追加されます。
  • 大容量のオンプレミス ルーター。 選択した回線帯域幅に合わせてオンプレミスのエッジ デバイスのサイズを設定できます。これには、両方の ME への冗長 BGP セッションが含まれます。
  • プライベート ピアリングは既定では暗号化されません。 ExpressRoute プライベート ピアリングはプライベート回線を提供しますが、既定ではネットワークレイヤーのトラフィックを暗号化しません。 転送中の暗号化が必要なワークロードの場合は、 ExpressRoute 経由の ExpressRoute Direct または IPsec で MACsec を使用して暗号化レイヤーを追加します。

リファレンス アーキテクチャ

このオプションの完全な実装チュートリアルについては、次の参照アーキテクチャを参照してください。

非Microsoft SD-WANまたは IPsec 接続

Azureでは、既存のネットワーク アーキテクチャをクラウドに拡張するために、Microsoft SD-WANまたは IPsec 以外のソリューションのホストがサポートされています。 これらの非ネイティブ オプションを使用すると、Azureとの統合時に推奨される接続テクノロジを使用できます。通常は、ベンダーのアプライアンスをハブ仮想ネットワークでネットワーク仮想アプライアンス (NVA) として実行するか、Virtual WAN ハブに接続します。

SD-WAN とのハイブリッド接続を示す図。

特典

次の機能は、既存の接続スタックを維持する場合に、Microsoft SD-WANまたは IPsec 以外の展開に適しています。

  • アーキテクチャの継続性。 優先接続テクノロジを使用して既存のネットワーク アーキテクチャをAzureに拡張するため、オンプレミス側とクラウド側は同じ運用およびルーティング モデルを共有します。
  • リーチとスケールAzure。 Azureのグローバルなリーチとスケーラビリティを活用しながら、一貫したネットワーク設計を維持します。

Challenges

ハイブリッド ワークロードの非Microsoft SD-WANまたは IPsec 展開を選択する前に、次の制約を考慮してください。

  • 実装の複雑さ。 非ネイティブ ソリューションでは、Azureネイティブ接続オプションよりも多くの設計と統合の手順が必要です。 展開する前に、Microsoftと SD-WAN または IPsec パートナーの両方で提案されたアーキテクチャを検証します。
  • ベンダー定義の高可用性とスケール。 高可用性、スループット、スケーリングの動作は、ベンダーの参照設計と、Azureの NVA の SKU とインスタンスのサイズ設定によって異なります。 VPN Gatewayおよび ExpressRoute のプラットフォーム SLA は、サブスクリプションで実行されているMicrosoft以外の NVA には拡張されません。 そのアプライアンスのランタイム、修正プログラムの適用、およびフェールオーバーの動作は、お客様の責任とパートナーの責任です。

参照アーキテクチャ

これらのオプションの完全な実装チュートリアルについては、次の参照アーキテクチャを参照してください。

Considerations

これらの信頼性に関する考慮事項は、ハイブリッド接続に Azure Well-Architected Framework の信頼性の柱を適用します。 その他の柱 (セキュリティ、コストの最適化、オペレーショナル エクセレンス、パフォーマンス効率) には、それぞれ VPN、ExpressRoute、および非Microsoft接続に関する独自の考慮事項があります。 完全な柱のレビューについては、「Microsoft Azure Well-Architected Framework」を参照してください。

Reliability

信頼性は、アプリケーションが顧客に対するコミットメントを確実に満たすことができるのに役立ちます。 詳細については、「信頼性の設計レビュー チェックリスト」を参照してください。

ハイブリッド接続の信頼性は、Azure側ゲートウェイまたは回線の回復性と、それに接続するオンプレミスとネットワークパスの両方の回復性によって異なります。

  • ゾーン冗長ゲートウェイ。 リージョンが可用性ゾーンをサポートしている場合は、ゾーン冗長 SKU にVPN Gatewayゲートウェイと ExpressRoute ゲートウェイをデプロイします。そのため、Azureはゲートウェイ VM を可用性ゾーン間に分散し、ゲートウェイは単一ゾーンの停止を乗り切ります。 詳細については、「Azure仮想ネットワーク ゲートウェイ (VPN) の信頼性」および「回復性のためのAzure ExpressRouteの設計と設計」を参照してください。
  • アクティブ/アクティブ VPN ゲートウェイ。 より高い回復性を必要とし、VPN 接続からのスループットを集計する必要があるワークロードの場合は、Azure VPN ゲートウェイをアクティブ/アクティブ モードでデプロイして、両方のゲートウェイ インスタンスがトラフィックを伝送し、各インスタンスからのトンネルがオンプレミスの VPN デバイスで終了するようにします。 この構成を 2 つのオンプレミス VPN デバイスとペアリングして、オンプレミスの単一障害点を削除します。
  • ExpressRoute の冗長 BGP セッション。 ExpressRoute は、アクティブ/アクティブ構成の 2 つの Microsoft Enterprise Edge (MSEE) ルーターに対して、ピアリングごとに BGP セッションの冗長ペアをプロビジョニングします。 両方のセッションを終了するようにオンプレミスの顧客エッジ デバイスのサイズを設定し、既定の BGP タイムアウトを下回るリンク障害検出を短縮するために 双方向転送検出 (BFD) を検討します。
  • ExpressRoute のフェールオーバー パスとしての VPN。 セカンダリ パスを必要とするワークロードの場合は、 ExpressRoute プライベート ピアリング回線の共存バックアップとしてサイト間 VPN を構成します。 ExpressRoute 回線はプライマリのままであり、トラフィックは回線が使用できない場合にのみ VPN パスを使用します。 ExpressRoute パスを優先し、非対称ルーティングを回避するように、オンプレミス のルーティング (ローカル設定など) を構成します。
  • リージョンのフェールオーバー。 上記の項目は、単一のAzure リージョン内のゾーン スコープの回復性とパス スコープの回復性に対応します。 リージョンの停止中に継続性を必要とするワークロードでは、フェールオーバー リージョンに 2 つ目のゲートウェイまたは回線が必要です。また、DNS レベルまたはルーティング レベルのパスを選択して、残りのリージョンにトラフィックを転送する必要があります。 ExpressRoute プライベート ピアリングを使用したディザスター リカバリーの設計を参照してください。
  • 管理するコンポーネント。 オンプレミス VPN デバイス、オンプレミス エッジ ルーター、および Azure で実行されている非Microsoft SD-WANまたは IPsec NVA は、Azure プラットフォーム SLA の範囲外です。 ベンダーの参照設計に沿って、これらのコンポーネントのデバイス レベルの冗長性、修正プログラムの適用、およびフェールオーバーを計画します。

貢献者達

Microsoft では、この記事を保持しています。 この記事を書いたのは、以下の寄稿者です。

主要著者:

公開されていない LinkedIn プロフィールを見るには、LinkedIn にサインインしてください。

次のステップ

選択した接続オプションの実装ガイダンスについては、一致する参照アーキテクチャを参照してください。

次の記事では、ハイブリッド接続設計に伴う多くの場合、関連するAzureネットワーク トポロジについて説明します。

  • Last updated on