Azure 仮想ネットワーク ゲートウェイの信頼性

Azure VPN Gateway に関する情報を表示するには、このページの先頭で適切な仮想ネットワーク ゲートウェイの種類を選択します。

ExpressRoute ゲートウェイに関する情報を表示するには、このページの先頭で適切な仮想ネットワーク ゲートウェイの種類を選択します。

Azure Well-Architected Framework では、信頼性、パフォーマンス、セキュリティ、コスト、運用に関する推奨事項が提供されます。 これらの領域が互いに及ぼす影響を理解し、信頼性の高い ExpressRoute ソリューションに貢献するには、 Well-Architected Framework での ExpressRoute のアーキテクチャのベスト プラクティスに関する説明を参照してください。

運用仮想ネットワーク ゲートウェイの高い信頼性を確保するには、次のプラクティスを適用します。

ExpressRoute では、オンプレミス環境、ピアリングの場所、および Azure 内にコンポーネントをデプロイする必要があります。 これらのコンポーネントには、次のものが含まれます。

• 回線と接続:ExpressRoute 回線は、Microsoft Enterprise Edge への 1 つのピアリングの場所を介した 2 つの接続で構成されます。 2 つの接続を使用すると、アクティブ/アクティブ接続を実現できます。 ただし、この構成では、サイト レベルの障害から保護されません。

• 顧客のオンプレミス機器 (CPE): この機器には、エッジ ルーターとクライアント デバイスが含まれます。 CPE が回復性を備え、ExpressRoute インフラストラクチャの他の部分で問題が発生した場合に迅速に復旧できるように設計されていることを確認します。

• サイト： 回線は、物理的なピアリングの場所である サイトを介して確立されます。 サイトは高可用性を実現するように設計されており、すべてのレイヤーに冗長性が組み込まれています。 ただし、サイトは単一の物理的な場所を表しているため、問題が発生する可能性があります。 サイトの停止のリスクを軽減するために、ExpressRoute には、さまざまなレベルの保護を持つサイトの回復性オプションが用意されています。

• Azure 仮想ネットワーク ゲートウェイ: Azure では、Azure 仮想ネットワーク 内の 1 つ以上の ExpressRoute 回線の終端ポイントとして機能する仮想ネットワーク ゲートウェイを作成します。

次の図は、2 つの異なる ExpressRoute 構成を示しています。それぞれが 1 つの仮想ネットワーク ゲートウェイを持ち、サイト間で異なるレベルの回復性が構成されています。

VPN では、オンプレミス環境と Azure 内の両方にコンポーネントをデプロイする必要があります。

• オンプレミス コンポーネント: 展開するコンポーネントは、ポイント対サイト構成とサイト対サイト構成のどちらを使用するかによって異なります。

  • サイト間 構成には、展開、構成、管理を担当するオンプレミスの VPN デバイスが必要です。

  • ポイント対サイト 構成では、リモート デバイス (ノート PC やデスクトップなど) に VPN クライアント アプリケーションを展開し、ユーザー プロファイルを VPN クライアントにインポートする必要があります。 各ポイント対サイト接続には、独自のユーザー プロファイルがあります。 クライアント デバイスの展開と構成は、お客様の責任で行います。

  相違点の詳細については、「 VPN Gateway のトポロジと設計」を参照してください。

• Azure 仮想ネットワーク ゲートウェイ: Azure では、VPN 接続の終了ポイントとして機能する仮想ネットワーク ゲートウェイ (VPN ゲートウェイとも呼ばれます) を作成します。

• ローカル ネットワーク ゲートウェイ: サイト間 VPN 構成には、リモート VPN デバイスを表すローカル ネットワーク ゲートウェイも必要です。 ローカル ネットワーク ゲートウェイには、次の情報が格納されます。

  • インターネット キー交換 (IKE) フェーズ 1 とフェーズ 2 の接続を確立するためのオンプレミス VPN デバイスのパブリック IP アドレス

  • 静的ルーティング用のオンプレミス IP ネットワーク

  • 動的ルーティング用のリモート ピアの Border Gateway Protocol (BGP) IP アドレス

次の図は、オンプレミス環境から Azure に接続する VPN の主要なコンポーネントを示しています。

ExpressRoute ゲートウェイには、2 つ以上の ゲートウェイ仮想マシン (VM) が含まれています。これは、ゲートウェイが ExpressRoute トラフィックを処理するために使用する基になる VM です。

VPN 仮想ネットワーク ゲートウェイには、ゲートウェイ 仮想マシン (VM) が 2 つだけ含まれています。これは、ゲートウェイが VPN トラフィックを処理するために使用する基になる VM です。

ゲートウェイ SKU を構成します。 各 SKU では、異なるレベルのスループットと異なる数の回線がサポートされます。 ErGwScale SKU (プレビュー) を使用する場合、ExpressRoute はゲートウェイ VM を追加することでゲートウェイを自動的にスケーリングします。 詳細については、「 ExpressRoute 仮想ネットワーク ゲートウェイ」を参照してください。

ゲートウェイは、回線の高可用性をサポートする アクティブ/アクティブ モードで既定で実行されます。 必要に応じて アクティブ/パッシブ モードに切り替えることができますが、この構成により、接続に影響する障害のリスクが高まります。 詳細については、「 アクティブ/アクティブ接続」を参照してください。

通常、トラフィックは仮想ネットワーク ゲートウェイを経由します。 ただし、 FastPath を使用する場合、オンプレミス環境からのトラフィックはゲートウェイをバイパスします。 この方法では、スループットが向上し、待機時間が短縮されます。 ゲートウェイはトラフィックのルーティングを構成するため、引き続き重要です。

ゲートウェイ SKU を構成します。 各 SKU では、異なるレベルのスループットと異なる数の VPN 接続がサポートされます。 詳細については、「ゲートウェイの SKU」を参照してください。

高可用性の要件に応じて、次の 2 つのモードのいずれかでゲートウェイを構成できます。

• アクティブ/スタンバイ: 1 つのゲートウェイ VM がトラフィックを処理し、もう 1 つのゲートウェイ VM はスタンバイ状態のままです。

• アクティブ/アクティブ: 両方のゲートウェイ VM が同時にトラフィックを処理します。 接続フローは非対称になる可能性があるため、このモードは常に可能であるとは限りません。

詳細については、「 クロスプレミス接続と仮想ネットワーク間接続の高可用性ゲートウェイ接続の設計」を参照してください。

• エッジ サイト

• インターネット

ExpressRoute は、冗長な接続パス、高速障害検出、自動フェールオーバーを使用して、一時的な障害の影響を軽減します。 ただし、さまざまな問題に対する回復性を備えるためには、アプリケーションとオンプレミスコンポーネントを正しく構成する必要があります。 包括的な障害処理戦略については、「 ExpressRoute を使用した高可用性の設計」を参照してください。

オンプレミス デバイスで IP アドレス ルーティングを正しく構成すると、切断が発生すると、伝送制御プロトコル (TCP) フローなどのデータ トラフィックは、アクティブなインターネット プロトコル セキュリティ (IPsec) トンネルを介して自動的に転送されます。

一時的な障害は、IPsec トンネルまたは TCP データ フローに影響する場合があります。 切断が発生すると、IKE はフェーズ 1 とフェーズ 2 の両方のセキュリティ アソシエーション (CA) を再ネゴシエーションして、IPsec トンネルを再確立します。

ゾーン冗長 ExpressRoute ゲートウェイ VM は、少なくとも 3 つの可用性ゾーンに自動的に分散されます。

次の図は、3 つのゲートウェイ VM が異なる可用性ゾーンに分散されたゾーン冗長仮想ネットワーク ゲートウェイを示しています。

VPN Gateway では、ゾーン冗長とは、ゲートウェイ VM が複数の可用性ゾーンに自動的に分散されることを意味します。

次の図は、2 つのゲートウェイ VM が異なる可用性ゾーンに分散されたゾーン冗長仮想ネットワーク ゲートウェイを示しています。

• SKU: 仮想ネットワーク ゲートウェイをゾーン冗長にするには、ゾーン冗長をサポートする SKU を使用する必要があります。 次の表に、ゾーン冗長をサポートする SKU を示します。

  SKU 名	可用性ゾーンをサポートします
  Standard	いいえ
  HighPerformance	いいえ
  UltraPerformance	いいえ
  ErGw1Az	イエス
  ErGw2Az	イエス
  ErGw3Az	イエス
  ErGwScale (プレビュー)	イエス

• SKU: 仮想ネットワーク ゲートウェイをゾーン冗長にするには、ゾーン冗長をサポートする SKU を使用する必要があります。 VPN Gateway のすべてのレベルでは、開発環境専用の Basic SKU を除くゾーン冗長性がサポートされます。 SKU オプションの詳細については、「 ゲートウェイ SKU」を参照してください。

• パブリック IP アドレス: Standard SKU のパブリック IP アドレスを使用し、ゾーン冗長に構成する必要があります。

ExpressRoute のゾーン冗長ゲートウェイには特定の SKU が必要です。これは、機能とパフォーマンス特性が強化されているため、標準ゲートウェイ SKU と比較して時間単位のレートが高くなる可能性があります。 詳しくは、「Azure ExpressRoute の価格」を参照してください。

サポートされている SKU を使用する場合、複数の可用性ゾーンにデプロイされたゲートウェイに対して追加料金は発生しません。 詳細については、「 VPN Gateway の価格」を参照してください。

• 可用性ゾーンをサポートする新しい仮想ネットワーク ゲートウェイを作成します。 新しい仮想ネットワーク ゲートウェイは、前述の要件を満たしている場合、自動的にゾーン冗長になります。 詳細については、「 可用性ゾーンにゾーン冗長仮想ネットワーク ゲートウェイを作成する」を参照してください。

• 可用性ゾーンをサポートする新しい仮想ネットワーク ゲートウェイを作成します。 新しい仮想ネットワーク ゲートウェイは、前述の要件を満たしている場合、自動的にゾーン冗長になります。 詳細については、「 可用性ゾーンにゾーン冗長仮想ネットワーク ゲートウェイを作成する」を参照してください。

• 既存の仮想ネットワーク ゲートウェイの可用性ゾーン構成を変更します。 既に作成した仮想ネットワーク ゲートウェイは、ゾーン冗長ではない可能性があります。 ダウンタイムを最小限に抑えて、非ゾーン ゲートウェイをゾーン冗長ゲートウェイに移行できます。 詳細については、「 ExpressRoute ゲートウェイを可用性ゾーン対応 SKU に移行する」を参照してください。

• 既存の仮想ネットワーク ゲートウェイの可用性ゾーン構成を変更します。 既に作成した仮想ネットワーク ゲートウェイは、ゾーン冗長ではない可能性があります。 ダウンタイムを最小限に抑えて、非ゾーン ゲートウェイをゾーン冗長ゲートウェイに移行できます。 詳細については、「SKU の 統合と移行」を参照してください。

• ゾーン間のトラフィック ルーティング: オンプレミス環境からのトラフィックは、ゲートウェイが使用するすべてのゾーンのゲートウェイ VM 間で分散されます。 このアクティブ/アクティブ構成により、通常の動作条件下での最適なパフォーマンスと負荷分散が保証されます。

  パフォーマンスを最適化するために FastPath を使用する場合、オンプレミス環境からのトラフィックはゲートウェイをバイパスするため、スループットが向上し、待機時間が短縮されます。 詳細については、「 ExpressRoute FastPath」を参照してください。

• ゾーン間のデータ レプリケーション: 仮想ネットワーク ゲートウェイには永続的な顧客データが格納されないため、ゾーン間でデータ レプリケーションは行われません。

• ゾーン間のトラフィック ルーティング: ゾーン冗長は、トラフィックのルーティング方法には影響しません。 トラフィックは、クライアントの構成に基づいて、ゲートウェイのゲートウェイ VM 間でルーティングされます。 ゲートウェイがアクティブ/アクティブ構成を使用し、2 つのパブリック IP アドレスを使用している場合、両方のゲートウェイ VM がトラフィックを受信する可能性があります。 アクティブ/スタンバイ構成の場合、トラフィックは、Azure が選択した 1 つのプライマリ ゲートウェイ VM にルーティングされます。

• ゾーン間のデータ レプリケーション: VPN Gateway は、可用性ゾーン間で接続状態を同期する必要はありません。 アクティブ/アクティブ モードでは、VPN 接続を処理するゲートウェイ VM が接続の状態を管理します。

• トラフィックの再ルーティング: プラットフォームは、正常なゾーン内のゲートウェイ VM にトラフィックを自動的に分散します。

  FastPath 対応接続では、フェールオーバー プロセス全体で最適化されたルーティングが維持されるため、アプリケーションのパフォーマンスへの影響を最小限に抑えることができます。

• トラフィックの再ルーティング: トラフィックは、別の可用性ゾーン内の他のゲートウェイ VM に自動的に再ルーティングされます。

次の 1 つ以上の方法を使用して、Azure 環境への独立した接続パスを作成できます。

• 異なる Azure リージョンのゲートウェイに接続する複数の ExpressRoute 回線を作成します。

• プライベート ピアリング トラフィックのバックアップとしてサイト間 VPN を使用します。

• Microsoft ピアリング トラフィックのバックアップとしてインターネット接続を使用します。

詳細については、「 ExpressRoute プライベート ピアリングを使用したディザスター リカバリーの設計」を参照してください。

2 つ以上の異なるリージョンに個別の VPN ゲートウェイをデプロイできます。 各ゲートウェイは異なる仮想ネットワークに接続され、ゲートウェイは独立して動作します。 それらの間に構成や状態の相互作用やレプリケーションはありません。 必要に応じて、適切な VPN に接続したり VPN を切り替えたりするようにクライアントとリモート デバイスを構成する必要もあります。

詳細については、「 ExpressRoute ゲートウェイの顧客が管理するメンテナンスを構成する」を参照してください。

詳細については、「 仮想ネットワーク ゲートウェイのメンテナンス期間を構成する」を参照してください。

ExpressRoute は、接続の高いアップタイムを保証する強力な可用性 SLA を提供します。 複数のピアリングの場所 (サイト) に展開する場合、ExpressRoute Metro を使用する場合、または単一サイト構成がある場合は、異なる可用性 SLA が適用されます。

Basic SKU 以外のすべての VPN Gateway SKU は、高可用性 SLA の対象となります。 Basic SKU は、可用性の低い SLA と制限された機能を提供し、テストと開発にのみ使用する必要があります。 詳細については、「ゲートウェイ SKU: 運用ワークロードと開発テスト ワークロード」を参照してください。

• ExpressRoute の概要
• 冗長性のための ExpressRoute の設計と構築
• ExpressRoute を使用して高可用性を実現する設計
• ExpressRoute プライベート ピアリングを使用したディザスター リカバリーの設計

• ゾーン冗長仮想ネットワーク ゲートウェイの作成
• VPN Gateway の監視
• クロスプレミス接続と仮想ネットワーク間ネットワーク接続の高可用性ゲートウェイ接続を設計する