Azure Virtual Networkよく寄せられる質問 (FAQ)

基本

仮想ネットワークとは

仮想ネットワークは、Azure Virtual Network サービスによって提供される、クラウド内の独自のネットワークの表現です。 仮想ネットワークは、サブスクリプション専用のAzure クラウドを論理的に分離したものです。

仮想ネットワークを使用して、Azureで仮想プライベート ネットワーク (VPN) をプロビジョニングおよび管理できます。 必要に応じて、仮想ネットワークをAzure内の他の仮想ネットワークまたはオンプレミスの IT インフラストラクチャとリンクして、ハイブリッドまたはクロスプレミス ソリューションを作成できます。

作成する各仮想ネットワークには、独自の CIDR ブロックがあります。 CIDR ブロックが重複しない限り、仮想ネットワークを他の仮想ネットワークやオンプレミス ネットワークにリンクできます。 また、仮想ネットワーク用の DNS サーバーの設定と、仮想ネットワークのサブネットへのセグメント化も制御できます。

仮想ネットワークは、次のことのために使います。

• クラウドのみの専用プライベート仮想ネットワークを作成します。 場合によって、ソリューションの、クロスプレミス構成は必要ありません。 仮想ネットワークを作成すると、仮想ネットワーク内のサービスと仮想マシン (VM) は、クラウド内で相互に直接かつ安全に通信できます。 その場合でも、ソリューションの一部として、インターネット通信を必要とする VM とサービス用にエンドポイント接続を構成できます。

• データセンターを安全に拡張します。 仮想ネットワークを使って、従来型のサイト間 (S2S) VPN を構築し、データセンターの容量を安全にスケーリングできます。 S2S VPN は IPsec を使用して、企業の VPN ゲートウェイとAzure間のセキュリティで保護された接続を提供します。

• ハイブリッド クラウドのシナリオを有効にします。 クラウドベースのアプリケーションを、メインフレームや Unix システムなどの任意の種類のオンプレミス システムに安全に接続できます。

開始するには?

開始するには、Azure Virtual Network ドキュメントを参照してください。 このコンテンツでは、仮想ネットワークのすべての機能に関する概要とデプロイの情報が提供されています。

クロスプレミス接続を使わないで仮想ネットワークを使用できますか?

はい。 お客様の施設に接続しなくても仮想ネットワークを使用できます。 たとえば、Microsoft Windows Server Active Directoryドメイン コントローラーとSharePoint ファームは、Azure仮想ネットワーク内でのみ実行できます。

仮想ネットワーク間、または仮想ネットワークとオンプレミス データセンターの間で、WAN の最適化を実行できますか?

はい。 WAN の最適化のためのネットワーク仮想アプライアンスを複数のベンダーからAzure Marketplaceにデプロイできます。

構成

仮想ネットワークを作成するには、どのようなツールを使用しますか?

作成または仮想ネットワークを構成するのには、次のツールを使用できます。

• Azure ポータル
• PowerShell
• Azure CLI
• ネットワーク構成ファイル (netcfg、クラシック仮想ネットワークのみ)

仮想ネットワークで使用できるアドレス範囲は何ですか?

RFC 1918 で列挙されている次のアドレス範囲を使用することをお勧めします。 IETF では、ルーティング不可能なプライベート アドレス空間用に次の範囲が確保されています。

• 10.0.0.0 - 10.255.255.255 (10/8 プレフィックス)
• 172.16.0.0 - 172.31.255.255 (172.16/12 プレフィックス)
• 192.168.0.0 - 192.168.255.255 (192.168/16 プレフィックス)

RFC 6598 に予約されている共有アドレス空間をデプロイすることもできます。これは、Azureのプライベート IP アドレス空間として扱われます。

• 100.64.0.0 - 100.127.255.255 (100.64/10 プレフィックス)

IETF で認識されるプライベートでルーティング不可能な他のすべてのアドレス空間など、他のアドレス空間が機能する可能性がありますが、望ましくない副作用が発生する場合があります。

さらに、以下のアドレス範囲は追加できません。

• 224.0.0.0/4 (マルチキャスト)
• 255.255.255.255/32 (ブロードキャスト)
• 127.0.0.0/8 (ループバック)
• 169.254.0.0/16 (リンク ローカル)
• 168.63.129.16/32 (内部 DNS)

仮想ネットワーク内でパブリック IP アドレスを使用できますか?

はい。 パブリック IP アドレス範囲の詳細については、「 仮想ネットワークの作成」を参照してください。 パブリック IP アドレスは、インターネットから直接アクセスできません。

仮想ネットワーク内のサブネットの数に制限はありますか。

はい。 詳細については、「 ネットワークの制限 」を参照してください。 サブネットのアドレス空間は、互いに重複できません。

これらのサブネット内の IP アドレスの使用に関する制限はありますか。

はい。 Azureは、最初の 4 つのアドレスと最後のアドレスを予約し、各サブネット内の合計 5 つの IP アドレスを確保します。

たとえば、IP アドレスの範囲が 192.168.1.0/24 の場合、次のアドレスが予約されます。

• 192.168.1.0: ネットワーク アドレス。
• 192.168.1.1: 既定のゲートウェイ用にAzureによって予約されています。
• 192.168.1.2、192.168.1.3: Azure DNS IP アドレスを仮想ネットワーク空間にマップするためにAzureによって予約されています。
• 192.168.1.255: ネットワーク ブロードキャスト アドレス。

仮想ネットワークとサブネットのサイズはどのくらい小さく、どの程度ですか?

サポートされる最小の IPv4 サブネットは /29、最大は /2 です (CIDR サブネット定義を使用)。 IPv6 のサブネットは、正確に /64 のサイズである必要があります。

Azure に仮想ネットワークを使用してVLANを持ち込むことはできますか?

いいえ。 仮想ネットワークはレイヤー 3 のオーバーレイです。 Azureでは、レイヤー 2 セマンティクスはサポートされていません。

仮想ネットワークとサブネットにカスタム ルーティング ポリシーを指定できますか?

はい。 ルート テーブルを作成してサブネットに関連付けることができます。 Azureでのルーティングの詳細については、「Custom ルート」を参照してください。

サブネットで NSG と UDR の両方を適用すると、どのような動作になりますか?

受信トラフィックの場合、ネットワーク セキュリティ グループ (NSG) のインバウンド規則が処理されます。 送信トラフィックの場合、NSG のアウトバウンド規則に続いて、ユーザー定義ルート (UDR) の規則が処理されます。

NIC と VM のサブネットで NSG を適用すると、どのような動作になりますか?

ネットワーク アダプター (NIC) と VM のサブネットの両方で NSG を適用した場合:

• 受信トラフィックの場合は、サブネット レベルの NSG、NIC レベルの NSG の順に処理されます。
• 送信トラフィックの場合は、NIC レベルの NSG、サブネット レベルの NSG の順に処理されます。

仮想ネットワークでマルチキャストやブロードキャストはサポートされていますか?

いいえ。 マルチキャストとブロードキャストはサポートされていません。

仮想ネットワークではどのようなプロトコルを使用できますか?

仮想ネットワークでは、TCP、UDP、ESP、AH、ICMP TCP/IP プロトコルを使用できます。

ユニキャストは仮想ネットワークでサポートされています。 マルチキャスト、ブロードキャスト、IP-in-IP カプセル化パケット、Generic Routing Encapsulation (GRE) パケットは、仮想ネットワークではブロックされます。 ユニキャスト (発信元ポート UDP/68、宛先ポート UDP/67) 経由では動的ホスト構成プロトコル (DHCP) を使用できません。 UDP ポート 4791 と 65330 はホスト用に予約されています。

DHCP サーバーを仮想ネットワークにデプロイできますか?

Azure仮想ネットワークは、Azure仮想マシンに対してDHCPサービスとDNSを提供します。 ただし、AZURE VM に DHCP サーバーをデプロイして、DHCP リレー エージェント経由でオンプレミス クライアントにサービスを提供することもできます。

Azureの DHCP サーバーは、ポート UDP/67 へのトラフィックがAzureでレート制限されているため、以前は実現不可能と見なされていました。 しかし、最近のプラットフォーム更新プログラムでレート制限が削除され、この機能が有効になりました。

仮想ネットワーク内のデフォルト ゲートウェイに ping を実行できますか?

いいえ。 Azure指定された既定のゲートウェイは ping に応答しません。 ただし、仮想ネットワークで ping を使用して、VM 間の接続の確認とトラブルシューティングを行うことができます。

Tracert を使用して、接続を診断することができますか。

はい。

仮想ネットワークの作成後にサブネットを追加できますか?

はい。 次の両方の条件が満たされていれば、いつでもサブネットを仮想ネットワークに追加できます。

• サブネット アドレス範囲が別のサブネットの一部ではない。
• 仮想ネットワークのアドレス範囲に使用可能な空間がある。

作成した後、サブネットのサイズを変更できますか。

はい。 VM またはサービスがデプロイされていないサブネットは、追加、削除、拡張、または縮小できます。

作成後に仮想ネットワークを変更できますか?

はい。 仮想ネットワークで使用される CIDR ブロックを追加、削除、変更できます。

仮想ネットワークで自社のサービスを実行している場合、インターネットに接続できますか?

はい。 仮想ネットワークにデプロイされているすべてのサービスは、インターネットに送信接続できます。 Azureでの送信インターネット接続の詳細については、「送信接続に送信元ネットワーク アドレス変換 (SNAT) を使用するを参照してください。

Azure Resource Managerを介してデプロイされたリソースに受信接続する場合は、リソースにパブリック IP アドレスが割り当てられている必要があります。 詳細については、「パブリック IP アドレスの作成、変更、または削除 Azureを参照してください。

Azureにデプロイされるすべてのクラウド サービスには、パブリックにアドレス指定可能な仮想 IP (VIP) が割り当てられます。 これらのサービスがインターネットからの接続を受け入れられるようにするには、サービスとしてのプラットフォーム (PaaS) ロール用の入力エンドポイントと仮想マシン用のエンドポイントを定義します。

仮想ネットワークは IPv6 をサポートしていますか?

はい。 仮想ネットワークは、IPv4 専用またはデュアル スタック (IPv4 + IPv6) にできます。 詳細については、「 Azure Virtual Networkの IPv6 とは

仮想ネットワークはリージョンにまたがることができますか?

いいえ。 1 つの仮想ネットワークは、単一のリージョンに制限されます。 ただし、仮想ネットワークは複数の可用性ゾーンにまたがります。 可用性ゾーンの詳細については、「Azureリージョンと可用性ゾーンとは」を参照してください>

仮想ネットワーク ピアリングを使って、異なるリージョンの仮想ネットワークを接続できます。 詳細については、「 仮想ネットワーク ピアリング」を参照してください。

Azure内の別の仮想ネットワークに仮想ネットワークを接続できますか?

はい。 次のいずれかを使って、仮想ネットワークを別の仮想ネットワークに接続できます。

• 仮想ネットワーク ピアリング。 詳細については、「 仮想ネットワーク ピアリング」を参照してください。
• Azure VPN ゲートウェイ。 詳細については、「 ネットワーク間 VPN ゲートウェイ接続の構成」を参照してください。

名前解決 (DNS)

仮想ネットワークの DNS オプションは何ですか?

Azure 仮想ネットワーク内のリソースの Name 解決の意思決定テーブルを使用して、使用可能な DNS オプションについて説明します。

仮想ネットワークに対して DNS サーバーを指定できますか?

はい。 仮想ネットワークの設定で DNS サーバーの IP アドレスを指定できます。 設定は、仮想ネットワーク内のすべての VM に既定の DNS サーバー (1 つまたは複数) として適用されます。

DNS サーバーの数を指定できますか。

ネットワークの制限を参照してください。

ネットワークを作成した後で DNS サーバーを変更できますか?

はい。 仮想ネットワークの DNS サーバーの一覧はいつでも変更できます。

DNS サーバーの一覧を変更する場合は、仮想ネットワーク内の影響を受けるすべての VM で DHCP リースの更新を実行する必要があります。 DNS の新しい設定は、リースの更新後に有効になります。 Windowsを実行している VM の場合は、vm で直接 ipconfig /renew を入力してリースを更新できます。 その他の OS の種類については、DHCP リースの更新に関するドキュメントを参照してください。

Azure提供される DNS とは何ですか。また、仮想ネットワークで動作しますか?

Azure提供される DNS は、Microsoftからのマルチテナント DNS サービスです。 Azureは、すべての VM とクラウド サービス ロール インスタンスをこのサービスに登録します。 このサービスでは次の名前解決が提供されます。

• 同じクラウド サービス内の VM とロール インスタンスのホスト名による。
• 完全修飾ドメイン名 (FQDN) を使用して、同じ仮想ネットワーク内の VM およびロール インスタンスにアクセスします。

DNS の詳細については、「Azure の仮想ネットワーク内のリソース名解決」について参照してください。

仮想ネットワーク内の最初の 100 個のクラウド サービスには、Azure提供された DNS によるテナント間の名前解決には制限があります。 独自の DNS サーバーをお使いの場合は、この制限は適用されません。

VM またはクラウド サービスごとに、DNS の設定をオーバーライドできますか?

はい。 VM またはクラウド サービスごとに DNS サーバーを設定して、ネットワークの既定の設定をオーバーライドできます。 ただし、できるだけネットワーク全体の DNS を使用することをお勧めします。

独自の DNS サフィックスを取り込むことができますか。

いいえ。 仮想ネットワークにカスタム DNS サフィックスを指定することはできません。

仮想マシンの接続

仮想ネットワークに VM をデプロイできますか?

はい。 Resource Manager デプロイ モデルを使用してデプロイされた VM に接続されているすべてのネットワーク アダプター (NIC) は、仮想ネットワークに接続されている必要があります。 必要に応じて、クラシック デプロイ モデルを使ってデプロイされた VM を仮想ネットワークに接続できます。

VM にはどのような種類の IP アドレスを割り当てることができますか?

• プライベート: 静的メソッドまたは動的メソッドを使用して、各 VM 内の各 NIC に割り当てられます。 プライベート IP アドレスは、ユーザーが仮想ネットワークのサブネットの設定で指定した範囲から割り当てられます。

  クラシック デプロイ モデルを使ってデプロイされたリソースには、仮想ネットワークに接続されていなくても、プライベート IP アドレスが割り当てられます。 割り当て方法の動作は、Resource Managerデプロイ モデルとクラシック デプロイ モデルのどちらを使用してリソースをデプロイしたかによって異なります。

  • Resource Manager: 動的または静的メソッドによって割り当てられたプライベート IP アドレスは、リソースが削除されるまで仮想マシン (Resource Manager) に割り当てられたままになります。 違いは、静的メソッドを使用しているときに割り当てるアドレスを選択し、動的メソッドを使用する場合Azure選択することです。
  • クラシック: 動的メソッドを使用して割り当てられたプライベート IP アドレスは、停止 (割り当て解除) 状態になった後に仮想マシン (クラシック) が再起動されたときに変更される可能性があります。 クラシック デプロイ モデルを使ってデプロイされるリソースのプライベート IP アドレスが変わらないようにする必要がある場合は、静的な方法を使ってプライベート IP アドレスを割り当てます。

• Public: 必要に応じて、Resource Manager デプロイ モデルを使用してデプロイされた VM にアタッチされた NIC に割り当てられます。 静的または動的な割り当て方法を使ってアドレスを割り当てることができます。

  クラシック デプロイ モデルを介してデプロイされたすべての VM とAzure Cloud Services ロール インスタンスは、クラウド サービス内に存在します。 クラウド サービスには、動的なパブリック VIP アドレスが割り当てられます。 必要に応じて、予約済み IP アドレスと呼ばれるパブリック静的 IP アドレスを VIP として割り当てることができます。

  パブリック IP アドレスは、クラシック デプロイ モデルを使用してデプロイされた個々の VM または Cloud Services ロール インスタンスに割り当てることができます。 これらのアドレスは インスタンス レベルのパブリック IP アドレスと呼ばれ、動的に割り当てることができます。

後で作成する VM 用にプライベート IP アドレスを予約できますか?

いいえ。 プライベート IP アドレスを予約することはできません。 プライベート IP アドレスを使用できる場合、DHCP サーバーはそれを VM またはロール インスタンスに割り当てます。 その VM は、ユーザーがプライベート IP アドレスを割り当てたい VM である場合も、そうでない場合もあります。 ただし、既存の VM のプライベート IP アドレスを、任意の使用可能なプライベート IP アドレスに変更できます。

仮想ネットワーク内の VM のプライベート IP アドレスは変更されますか?

一概には言えません。 Resource Managerを使用して VM をデプロイした場合、静的割り当て方法と動的割り当て方法のどちらを使用してアドレスを割り当てたかに関係なく、IP アドレスを変更することはできません。 クラシック デプロイ モデルを使って VM をデプロイした場合は、停止 (割り当て解除) 状態であった VM を起動すると、動的 IP アドレスが変更される可能性があります。

VM を削除すると、いずれのデプロイ モデルを使ってデプロイされた VM からもアドレスが解放されます。

VM オペレーティング システム内の NIC に手動で IP アドレスを割り当てることはできますか。

はい。ただし、必要な場合 (仮想マシンに複数の IP アドレスを割り当てる場合など) 以外はお勧めしません。 詳細については、「 仮想マシンに複数の IP アドレスを割り当てる」を参照してください。

VM に接続されているAzure NIC に割り当てられている IP アドレスが変更され、VM オペレーティング システム内の IP アドレスが異なる場合、VM への接続が失われます。

クラウド サービス デプロイ スロットを停止した場合、またはオペレーティング システム内から VM をシャットダウンした場合、IP アドレスはどうなりますか?

Nothing。 IP アドレス (パブリック VIP、パブリック、プライベート) は、クラウド サービス デプロイ スロットまたは VM に割り当てられたままになります。

再デプロイを行わずに、仮想ネットワーク内のサブネットから別のサブネットに VM を移動できますか?

はい。 詳細については、「 VM またはロール インスタンスを別のサブネットに移動する」を参照してください。

VM に静的な MAC アドレスを構成できますか。

いいえ。 MAC アドレスを静的に構成することはできません。

VM の MAC アドレスは、作成後は同じままになりますか?

はい。 MAC アドレスは、Resource Manager デプロイ モデルとクラシック デプロイ モデルの両方を使用してデプロイした VM では、削除するまで変わりません。

以前は、VM を停止 (割り当て解除) した場合、MAC アドレスは解放されていました。 しかし現在は、VM が割り当て解除された状態のときでもその MAC アドレスは保持されます。 ユーザーが次のいずれかのタスクを実行するまで、MAC アドレスはネットワーク アダプターに割り当てられたままになります。

• ネットワーク アダプターを削除する。
• プライマリ ネットワーク アダプターのプライマリ IP 構成に割り当てられているプライベート IP アドレスを変更する。

Azure サービスの仮想ネットワーク接続

仮想ネットワークでWeb Appsを使用できますか?

はい。 App Service Environmentを使用して、仮想ネットワーク内にAzure App ServiceのWeb Apps機能をデプロイできます。 この場合は、次のいずれかの操作を行うことができます。

• 仮想ネットワーク統合を使って、アプリのバックエンドを仮想ネットワークに接続する。
• サービス エンドポイントを使って、アプリへの受信トラフィックをロックダウンする。

詳細については、次の記事を参照してください。

• App Service のネットワーク機能
• App Service Environment を使用します
• Azure仮想ネットワークを使用してアプリを統合します
• アクセス制限Azure App Service設定します

仮想ネットワーク内に Web と worker のロール (PaaS) を使用して Cloud Services をデプロイできますか?

はい。 (必要に応じて) 仮想ネットワークに Cloud Services ロール インスタンスをデプロイできます。 そのためには、サービス構成のネットワーク構成セクションで、仮想ネットワークの名前と、ロールとサブネットのマッピングを指定します。 どのバイナリも更新する必要はありません。

仮想マシン スケール セットを仮想ネットワークに接続できますか?

はい。 仮想マシン スケール セットは仮想ネットワークに接続する必要があります。

仮想ネットワークにリソースをデプロイできるAzure サービスの完全な一覧はありますか。

はい。 詳細については、「専用Azure サービスを仮想ネットワークにデプロイするを参照してください。

仮想ネットワークから Azure PaaS リソースへのアクセスを制限するにはどうすればよいですか?

一部のAzure PaaS サービス (Azure StorageやAzure SQL Databaseなど) を介してデプロイされたリソースは、仮想ネットワーク サービス エンドポイントまたはAzure Private Linkを使用して、仮想ネットワークへのネットワーク アクセスを制限できます。 詳細については、「仮想ネットワーク サービス エンドポイントとAzure Private Link

仮想ネットワークの内外でサービスを移動することはできますか?

いいえ。 サービスを仮想ネットワークの外から中に、または中から外に移動することはできません。 リソースを別の仮想ネットワークに移動するには、リソースを削除して再デプロイする必要があります。

セキュリティ

仮想ネットワークのセキュリティ モデルは何ですか?

仮想ネットワークは、互いに分離され、Azure インフラストラクチャでホストされている他のサービスから分離されます。 仮想ネットワークは信頼の境界です。

仮想ネットワークに接続されているリソースの受信または送信トラフィック フローを制限できますか?

はい。 ネットワーク セキュリティ グループは、仮想ネットワーク内の個々のサブネット、仮想ネットワークに接続されている NIC、またはその両方に適用できます。

仮想ネットワークに接続されているリソース間にファイアウォールを実装できますか?

はい。 複数のベンダーからAzure Marketplace>ファイアウォール ネットワーク仮想アプライアンス

仮想ネットワークのセキュリティ保護に関する情報はありますか?

はい。 Azureネットワーク セキュリティの概要を参照してください。

顧客データは仮想ネットワークに格納されますか?

いいえ。 仮想ネットワークに顧客データは格納されません。

FlowTimeoutInMinutes プロパティをサブスクリプション全体に設定できますか?

いいえ。 仮想ネットワークで FlowTimeoutInMinutes プロパティを設定する必要があります。 次のコードは、大規模なサブスクリプションに対してこのプロパティを自動的に設定するのに役立ちます。

$Allvnet = Get-AzVirtualNetwork
$time = 4 #The value should be from 4 to 30 minutes (inclusive) to enable tracking, or null to disable tracking. 
ForEach ($vnet in $Allvnet)
{
    $vnet.FlowTimeoutInMinutes = $time
    $vnet | Set-AzVirtualNetwork
}

API、スキーマ、およびツール

コードから仮想ネットワークを管理できますか?

はい。 rest API は、Azure Resource Manager および classic デプロイメント モデルの仮想ネットワークに使用できます。

仮想ネットワークのツールサポートはありますか?

はい。 次のツールを使用できます。

• Azure Resource Manager および classic デプロイメント モデルを介して仮想ネットワークをデプロイするAzure ポータル。
• Resource Manager デプロイ モデルを使用してデプロイされた仮想ネットワークを管理する PowerShell。
• Resource Manager および classic デプロイ モデルを使用してデプロイされた仮想ネットワークをデプロイおよび管理するAzure CLIまたはAzureクラシック CLI。

仮想ネットワーク ピアリング

仮想ネットワーク ピアリングとはどのようなものですか?

仮想ネットワーク ピアリングを使用すると、仮想ネットワークを接続できます。 仮想ネットワーク間のピアリング接続を使うと、IPv4 アドレスによってそれらの間でトラフィックをプライベートにルーティングできます。

ピアリングされた仮想ネットワーク内の仮想マシンは、同じネットワーク内にあるかのように相互に通信できます。 これらの仮想ネットワークは、同じリージョン内でも異なるリージョン内 (グローバル仮想ネットワーク ピアリングとも呼ばれます) でもかまいません。

Azure サブスクリプション間で仮想ネットワーク ピアリング接続を作成することもできます。

異なるリージョン内の仮想ネットワークへのピアリング接続を作成できますか?

はい。 グローバル仮想ネットワーク ピアリングを使うと、異なるリージョンの仮想ネットワークをピアリングできます。 グローバル仮想ネットワーク ピアリングは、パブリック リージョン、中国クラウド リージョン、政府機関向けクラウド リージョンAzureすべてで利用できます。 Azureパブリック リージョンから国内クラウド リージョンにグローバルにピアリングすることはできません。

グローバル仮想ネットワーク ピアリングとロード バランサーに関連する制約は何ですか?

2 つのリージョンの 2 つの仮想ネットワークがグローバル仮想ネットワーク ピアリングを介してピアリングされている場合、Basic ロード バランサーの内側にあるリソースに、ロード バランサーのフロントエンド IP 経由で 接続することはできません。 Standard ロード バランサーの場合、この制限はありません。

次のリソースでは Basic ロード バランサーを利用できます。つまり、グローバル仮想ネットワーク ピアリングで、ロード バランサーのフロント エンド IP 経由でリソースに到達できません。 ただし、許可されている場合は、グローバル仮想ネットワーク ピアリングを使って、リソースにそのプライベート仮想ネットワーク IP 経由で直接到達できます。

• Basic ロード バランサーの内側にある VM
• Basic ロード バランサーを使用する仮想マシン スケール セット
• Azure Managed Redis
• Azure Application Gateway v1
• Azure Service Fabric
• Azure API Management stv1
• Microsoft Entra Domain Services
• Azure Logic Apps
• Azure HDInsight
• Azure Batch
• App Service Environment v1 と v2

これらのリソースには、Azure ExpressRoute接続または仮想ネットワーク ゲートウェイ経由のネットワーク間接続を介して接続できます。

仮想ネットワークが異なるMicrosoft Entra テナント内のサブスクリプションに属している場合、仮想ネットワーク ピアリングを有効にできますか?

はい。 サブスクリプションが異なるMicrosoft Entra テナントに属している場合は、仮想ネットワーク ピアリング (ローカルまたはグローバル) を確立できます。 これを行うには、Azure ポータル、PowerShell、または Azure CLI。

仮想ネットワーク ピアリング接続は開始済み状態になっています。 接続できないのはなぜですか?

ピアリング接続がInitiated状態にある場合、リンクを 1 つだけ作成したことになります。 接続を正常に確立するには、双方向のリンクを作成する必要があります。

たとえば、VNetA から VNetB にピアリングするには、VNetA から VNetB と VNetB から VNetA へのリンクを作成する必要があります。 両方のリンクを作成すると、状態が "接続済み" に変わります。

仮想ネットワーク ピアリング接続は切断状態になっています。 ピアリング接続を作成できないのはなぜですか?

仮想ネットワーク ピアリング接続が切断状態の場合、作成 した リンクのいずれかが削除されました。 ピアリング接続を再確立するには、残っているリンクを削除して、両方を作成し直す必要があります。

仮想ネットワークを別のサブスクリプションの仮想ネットワークとピアリングできますか?

はい。 サブスクリプションおよびリージョンをまたいで仮想ネットワークをピアリングできます。

アドレス範囲が一致または重複している 2 つの仮想ネットワークをピアリングできますか?

いいえ。 アドレス空間が重複している場合は、仮想ネットワーク ピアリングを有効にできません。

仮想ネットワークを 2 つの仮想ネットワークにピアリングし、両方のピアリングで [リモート ゲートウェイを使用する] オプションを有効にできますか?

いいえ。 [ リモート ゲートウェイの使用 ] オプションは、いずれかの仮想ネットワークへのピアリングを 1 つだけ有効にできます。

ピアリング接続を持つ仮想ネットワークを別の仮想ネットワークに移動できますか?

いいえ。 ピアリング接続を持つ仮想ネットワークを別の仮想ネットワークに移動することはできません。 仮想ネットワークを移動する前に、ピアリング接続を削除する必要があります。

仮想ネットワーク ピアリング リンクの料金はどれくらいですか?

仮想ネットワーク ピアリング接続を作成するのに料金はかかりません。 ピアリング接続経由でのデータ転送には料金が発生します。 詳細については、Azure Virtual Network 価格に関するページを参照してください。

仮想ネットワーク ピアリングのトラフィックは暗号化されますか?

Azureトラフィックがデータセンター間を移動する場合 (MicrosoftまたはMicrosoftの代わりに制御されない物理的境界の外側)、基になるネットワーク ハードウェアは MACsec データ リンク レイヤー暗号化を使用します。 この暗号化は、仮想ネットワーク ピアリング トラフィックに適用できます。

ピアリング接続が切断状態になるのはなぜですか?

1 つの仮想ネットワーク ピアリング リンクが削除されると、仮想ネットワーク ピアリング接続は 切断 状態になります。 ピアリング接続を正常に確立し直すには、両方のリンクを削除する必要があります。

VNetA から VNetB にピアリングし、VNetB から VNetC にピアリングすると、VNetA と VNetC がピアリングされたことになりますか。

いいえ。 推移的なピアリングはサポートされません。 VNetA を VNetC に手動でピアリングする必要があります。

ピアリング接続に帯域幅制限はありますか。

いいえ。 ローカルでもグローバルでも、仮想ネットワーク ピアリングによって帯域幅が制限されることはありません。 帯域幅は、VM またはコンピューティング リソースによってのみ制限されます。

仮想ネットワーク ピアリングに関する問題をトラブルシューティングするにはどうすればよいですか?

トラブルシューティング ガイドをお試しください。

仮想ネットワーク TAP

仮想ネットワーク TAP で使用できるAzureリージョンはどれですか?

仮想ネットワーク ターミナル アクセス ポイント (TAP) のプレビューは、すべてのAzureリージョンで利用できます。 監視対象のネットワーク アダプター、仮想ネットワーク TAP リソース、コレクターまたは分析ソリューションは、同じリージョンにデプロイする必要があります。

仮想ネットワーク TAP では、ミラー化されたパケットのフィルター処理機能はサポートされていますか?

仮想ネットワーク TAP のプレビュー版では、フィルター処理機能はサポートされていません。 TAP 構成をネットワーク アダプターに追加すると、ネットワーク アダプターでのイングレスとエグレスのすべてのトラフィックのディープ コピーが、TAP の宛先にストリーミングされます。

監視対象のネットワーク アダプターに複数の TAP 構成を追加できますか?

監視対象のネットワーク アダプターに追加できる TAP 構成は 1 つだけです。 TAP トラフィックの複数のコピーを選択した分析ツールにストリーミングする機能については、個々の パートナー ソリューション を確認してください。

同じ仮想ネットワーク TAP リソースで、複数の仮想ネットワーク内の監視対象ネットワーク アダプターからのトラフィックを集約できますか?

はい。 同じ仮想ネットワーク TAP リソースを使って、同じサブスクリプションまたは異なるサブスクリプションのピアリングされた仮想ネットワーク内の監視対象ネットワーク アダプターからのミラー化されたトラフィックを集約できます。

仮想ネットワーク TAP リソースと、宛先ロード バランサーまたは宛先ネットワーク アダプターは、同じサブスクリプション内にある必要があります。 すべてのサブスクリプションは、同じMicrosoft Entra テナントの下にある必要があります。

ネットワーク アダプターで仮想ネットワーク TAP 構成を有効にする場合、運用環境のトラフィックのパフォーマンスについて考慮することがありますか?

仮想ネットワーク TAP はプレビュー段階です。 プレビュー期間中は、サービス レベル アグリーメントはありません。 運用環境のワークロードにはこの機能を使用しないでください。

TAP 構成で仮想マシン ネットワーク アダプターを有効にすると、運用トラフィックを送信するために仮想マシンに割り当てられたAzure ホスト上の同じリソースが、ミラーリング機能の実行とミラー化されたパケットの送信に使用されます。 Linux または Windows 仮想マシンのサイズを選択して、仮想マシンが運用トラフィックとミラー化されたトラフィックを送信するのに十分なリソースを確保します。

Linux または Windowsの高速ネットワークは、仮想ネットワーク TAP でサポートされていますか?

Linux または Windows の高速ネットワークで有効になっている仮想マシンに接続されているネットワーク アダプターに TAP 構成を追加できます。 ただし、TAP 構成を追加すると、Azure高速ネットワークでは現在、トラフィックをミラーリングするためのオフロードがサポートされていないため、仮想マシンのパフォーマンスと待機時間に影響します。

仮想ネットワーク サービス エンドポイント

Azure サービスにサービス エンドポイントを設定するための適切な一連の操作は何ですか?

サービス エンドポイントを使用して Azure サービス リソースをセキュリティで保護するには、次の 2 つの手順があります。

1. Azure サービスのサービス エンドポイントを有効にします。
2. Azure サービスに仮想ネットワーク アクセス制御リスト (ACL) を設定します。

1 番目のステップはネットワーク側の操作であり、2 番目のステップはサービス リソース側の操作です。 同じ管理者または別の管理者が、管理者ロールに付与されたAzureロールベースのアクセス制御 (RBAC) アクセス許可に基づいて、手順を実行できます。

Azure サービス側で仮想ネットワーク ACL を設定する前に、仮想ネットワークのサービス エンドポイントを有効にすることをお勧めします。 仮想ネットワーク サービス エンドポイントを設定するには、前のシーケンスの手順を実行する必要があります。

特定のサービス (Azure SQLやAzure Cosmos DBなど) では、IgnoreMissingVnetServiceEndpoint フラグを介して上記のシーケンスの例外が許可されます。 フラグを True に設定した後は、Azure サービス側で仮想ネットワーク ACL を設定してから、ネットワーク側のサービス エンドポイントを有効にすることができます。 Azure サービスは、特定の IP ファイアウォールが Azure サービスで構成されている場合に役立つこのフラグを提供します。

ネットワーク側でサービス エンドポイントを有効にすると、送信元 IP がパブリック IPv4 アドレスからプライベート アドレスに変わるため、接続が断たれる可能性があります。 ネットワーク側でサービス エンドポイントを有効にする前に、Azure サービス側で仮想ネットワーク ACL を設定すると、接続の低下を回避できます。

すべてのAzure サービスは、顧客が提供するAzure仮想ネットワークに存在しますか? 仮想ネットワーク サービス エンドポイントは、Azure サービスでどのように機能しますか?

すべてのAzure サービスが顧客の仮想ネットワークに存在するわけではありません。 ほとんどのAzure データ サービス (Azure Storage、Azure SQL、Azure Cosmos DBなど) は、パブリック IP アドレス経由でアクセスできるマルチテナント サービスです。 詳細については、「専用Azure サービスを仮想ネットワークにデプロイするを参照してください。

ネットワーク側で仮想ネットワーク サービス エンドポイントを有効にし、Azure サービス側で適切な仮想ネットワーク ACL を設定すると、Azure サービスへのアクセスは許可された仮想ネットワークとサブネットに制限されます。

仮想ネットワーク サービス エンドポイントではどのようにセキュリティが提供されますか?

仮想ネットワーク サービス エンドポイントは、許可された仮想ネットワークとサブネットへのAzure サービスのアクセスを制限します。 これにより、Azure サービス トラフィックのネットワーク レベルのセキュリティと分離が提供されます。

仮想ネットワーク サービス エンドポイントを使用するすべてのトラフィックは、Microsoft バックボーンを経由して、パブリック インターネットから別の分離層を提供します。 また、Azure サービス リソースへのパブリック インターネット アクセスを完全に削除し、IP ファイアウォールと仮想ネットワーク ACL の組み合わせを介して仮想ネットワークからのトラフィックのみを許可することもできます。 インターネット アクセスを削除すると、Azure サービス リソースが未承認のアクセスから保護されます。

仮想ネットワーク サービス エンドポイントでは、何を保護するのか - 仮想ネットワーク リソースそれともAzure サービス リソース？

仮想ネットワーク サービス エンドポイントは、サービス リソースAzure保護するのに役立ちます。 仮想ネットワーク リソースは、ネットワーク セキュリティ グループを通して保護されます。

仮想ネットワーク サービス エンドポイントを使用するにはコストがかかりますか?

いいえ。 仮想ネットワーク サービス エンドポイントを使用するための追加コストはありません。

仮想ネットワーク と Azure サービス リソースが異なるサブスクリプションに属している場合、仮想ネットワーク サービス エンドポイントを有効にして仮想ネットワーク ACL を設定することはできますか?

はい、できます。 仮想ネットワークとAzure サービス リソースは、同じサブスクリプションまたは異なるサブスクリプション内に存在できます。 唯一の要件は、仮想ネットワークとAzure サービス リソースの両方が同じMicrosoft Entra テナントに存在する必要があるということです。

仮想ネットワーク と Azure サービス リソースが異なるMicrosoft Entra テナントに属している場合、仮想ネットワーク サービス エンドポイントを有効にして仮想ネットワーク ACL を設定できますか?

はい。Azure StorageとAzure Key Vaultにサービス エンドポイントを使用している場合は可能です。 その他のサービスの場合、仮想ネットワーク サービス エンドポイントと仮想ネットワーク ACL は、Microsoft Entra テナント間ではサポートされません。

Azure仮想ネットワーク ゲートウェイ (VPN) または ExpressRoute ゲートウェイ経由で接続されているオンプレミス デバイスの IP アドレスは、仮想ネットワーク サービス エンドポイント経由Azure PaaS サービスにアクセスできますか?

既定では、仮想ネットワークに対してセキュリティで保護されたAzure サービス リソースは、オンプレミス ネットワークから到達できません。 オンプレミスからのトラフィックを許可したい場合は、オンプレミスまたは ExpressRoute からのパブリック IP アドレス (通常は NAT) も許可する必要があります。 これらの IP アドレスは、Azure サービス リソースの IP ファイアウォール構成を使用して追加できます。

または、サポートされているサービス のプライベート エンドポイントを 実装することもできます。

仮想ネットワーク サービス エンドポイントを使用して、Azure サービスを 1 つの仮想ネットワーク内または複数の仮想ネットワーク間の複数のサブネットにセキュリティで保護することはできますか。

Azureサービスを仮想ネットワーク内または複数の仮想ネットワーク間の複数のサブネットにセキュリティで保護するには、各サブネットのネットワーク側でサービス エンドポイントを個別に有効にします。 次に、Azure サービス側で適切な仮想ネットワーク ACL を設定して、Azureサービス リソースをすべてのサブネットにセキュリティで保護します。

仮想ネットワークからAzure サービスへの送信トラフィックをフィルター処理し、サービス エンドポイントを引き続き使用するにはどうすればよいですか?

仮想ネットワークから Azure サービス宛てのトラフィックを検査またはフィルター処理する場合は、仮想ネットワーク内にネットワーク仮想アプライアンスをデプロイできます。 その後、ネットワーク仮想アプライアンスがデプロイされているサブネットにサービス エンドポイントを適用し、仮想ネットワーク ACL を介してこのサブネットにのみサービス リソースAzureセキュリティで保護できます。

このシナリオは、ネットワーク仮想アプライアンスのフィルター処理を使用して、仮想ネットワークからのサービス アクセスAzure特定のAzure リソースのみに制限する場合にも役立ちます。 詳細については、「 高可用性 NVA のデプロイ」を参照してください。

仮想ネットワークの外部から仮想ネットワーク ACL が有効になっているAzure サービス アカウントに誰かがアクセスするとどうなりますか。

サービスからは HTTP 403 または HTTP 404 エラーが返されます。

異なるリージョンに作成された仮想ネットワークのサブネットは、別のリージョンの Azure サービス アカウントにアクセスできますか?

はい。 Azure サービスのほとんどでは、異なるリージョンで作成された仮想ネットワークは、仮想ネットワーク サービス エンドポイントを介して別のリージョンのAzure サービスにアクセスできます。 たとえば、Azure Cosmos DB アカウントが米国西部または米国東部リージョンにあり、仮想ネットワークが複数のリージョンにある場合、仮想ネットワークはAzure Cosmos DBにアクセスできます。

Azure SQLは例外であり、本質的に地域的です。 仮想ネットワークとAzure サービスの両方が同じリージョンに存在する必要があります。

Azure サービスは、仮想ネットワーク ACL と IP ファイアウォールの両方を持つことができますか?

はい。 仮想ネットワーク ACL と IP ファイアウォールは共存できます。 これらの機能は相互に補完して、分離とセキュリティを確実にします。

Azure サービスのサービス エンドポイントが有効になっている仮想ネットワークまたはサブネットを削除するとどうなりますか。

仮想ネットワークの削除とサブネットの削除は、独立した操作です。 これらは、Azure サービスのサービス エンドポイントを有効にした場合でもサポートされます。

Azure サービスの仮想ネットワーク ACL を設定した場合、仮想ネットワーク サービス エンドポイントが有効になっている仮想ネットワークまたはサブネットを削除すると、それらのAzure サービスに関連付けられている ACL 情報は無効になります。

仮想ネットワーク サービス エンドポイントが有効になっているAzure サービス アカウントを削除するとどうなりますか?

Azure サービス アカウントの削除は独立した操作です。 これは、ネットワーク側でサービス エンドポイントを有効にし、Azure サービス側で仮想ネットワーク ACL を設定した場合でもサポートされます。

仮想ネットワーク サービス エンドポイントが有効にされているリソース (サブネット内の VM など) の送信元 IP アドレスはどうなりますか?

仮想ネットワーク サービス エンドポイントを有効にすると、仮想ネットワークのサブネット内のリソースのソース IP アドレスが、パブリック IPv4 アドレスの使用から、Azure サービスへのトラフィックにAzure仮想ネットワークのプライベート IP アドレスの使用に切り替わります。 このスイッチにより、Azure サービスで以前にパブリック IPv4 アドレスに設定された特定の IP ファイアウォールが失敗する可能性があります。

サービス エンドポイントのルートは常に優先されますか。

サービス エンドポイントでは、Border Gateway Protocol (BGP) ルートより優先されるシステム ルートが追加され、サービス エンドポイントのトラフィックに最適なルーティングが提供されます。 サービス エンドポイントは常に、仮想ネットワークから Microsoft Azure バックボーン ネットワーク上のサービスにサービス トラフィックを直接受け取ります。

ルートAzure選択する方法の詳細については、「仮想ネットワーク トラフィック ルーティング」を参照してください。

サービス エンドポイントは ICMP で機能しますか。

いいえ。 サービス エンドポイントが有効になっているサブネットから送信される ICMP トラフィックは、目的のエンドポイントへのサービス トンネル パスを使用しません。 サービス エンドポイントでは TCP トラフィックのみが処理されます。 サービス エンドポイント経由でエンドポイントへの待ち時間または接続をテストする場合、ping や tracert などのツールでは、サブネット内のリソースが使用する実際のパスは示されません。

サービス エンドポイントではサブネット上の NSG はどのように動作しますか?

Azure サービスに到達するには、NSG が送信接続を許可する必要があります。 NSG がすべてのインターネット送信トラフィックに対して開かれている場合、サービス エンドポイントのトラフィックは動作するはずです。 サービス タグを使用して、サービス IP アドレスのみに送信トラフィックを制限することもできます。

サービス エンドポイントを設定するにはどのようなアクセス許可が必要ですか。

仮想ネットワークへの書き込みアクセス権限がある場合は、そのネットワーク上のサービス エンドポイントを個別に構成できます。

Azure サービスリソースを仮想ネットワークにセキュリティで保護するには、追加するサブネットに対して Microsoft.Network/virtualNetworks/subnets/joinViaServiceEndpoint/action のアクセス許可が必要です。 このアクセス許可は、組み込みのサービス管理者の役割に既定で含まれ、カスタム ロールを作成して変更できます。

組み込みロールとカスタム ロールへの特定のアクセス許可の割り当ての詳細については、「Azureカスタム ロールを参照してください。

サービス エンドポイント経由でAzure サービスへの仮想ネットワーク トラフィックをフィルター処理できますか。

仮想ネットワーク サービス エンドポイント ポリシーを使用して、Azure サービスへの仮想ネットワーク トラフィックをフィルター処理し、サービス エンドポイント経由の特定のAzure サービス リソースのみを許可できます。 エンドポイント ポリシーは、仮想ネットワーク トラフィックからAzure サービスへのきめ細かいアクセス制御を提供します。

詳細については、「Azure Storage の Virtual ネットワーク サービス エンドポイント ポリシー」を参照してください。

Microsoft Entra IDは仮想ネットワーク サービス エンドポイントをサポートしていますか?

Microsoft Entra IDは、サービス エンドポイントをネイティブにサポートしていません。 仮想ネットワーク サービス エンドポイントをサポートするAzure サービスの完全な一覧については、「Virtual ネットワーク サービス エンドポイント」を参照してください。

その一覧の、サービス エンドポイントをサポートするサービスの下に一覧表示されている Microsoft AzureActiveDirectory タグは、Azure Data Lake Storage Gen1 のサービス エンドポイントをサポートするために使用されます。 Data Lake Storage Gen1は、仮想ネットワークとMicrosoft Entra IDの間の仮想ネットワーク サービス エンドポイント セキュリティを利用して、アクセス トークンに追加のセキュリティ要求を生成します。 これらの要求は、Data Lake Storage Gen1 アカウントに対して仮想ネットワークを認証し、アクセスを許可するために使用されます。

仮想ネットワークから設定できるサービス エンドポイントの数に制限はありますか?

仮想ネットワーク内のサービス エンドポイントの合計数に制限はありません。 Azure サービス リソース (Azure Storage アカウントなど) の場合、サービスでは、リソースのセキュリティ保護に使用するサブネットの数に制限が適用される場合があります。 制限の例を次の表に示します。

クラシック ネットワーク リソースをResource Managerに移行する

Azure Service Managerとは何ですか。"クラシック" という用語は何を意味しますか?

Azure Service Managerは、リソースの作成、管理、削除を担当していたAzureの古いデプロイ モデルです。 ネットワーク サービスの classic という単語は、Azure Service Manager モデルによって管理されるリソースを指します。 詳細については、 デプロイ モデルの比較を参照してください。

Azure Resource Managerとは

Azure Resource Managerは、Azure サブスクリプション内のリソースの作成、管理、削除を担当する、Azureの最新のデプロイと管理モデルです。 詳細については、「Azure Resource Managerとは

リソースがResource Managerにコミットされた後、移行を元に戻すことができますか?

リソースがまた準備状態にある場合は、移行をキャンセルすることができます。 コミット操作によってリソースを正常に移行した後で、以前のデプロイ モデルにロールバックすることはサポートされていません。

コミット操作が失敗した場合に移行を元に戻すことはできますか。

コミット操作が失敗した場合、移行を元に戻すことはできません。 コミット操作を含むすべての移行操作は、開始した後は変更できません。 しばらくしてから操作をもう一度試すことをお勧めします。 操作が引き続き失敗する場合は、サポート要求を送信します。

サブスクリプションまたはリソースを検証し、移行が可能かどうかを確認できますか?

はい。 移行の準備の最初のステップは、リソースが移行可能であることの検証です。 検証が失敗した場合、移行を完了できないすべての理由についてのメッセージを受け取ります。

Application Gateway リソースは、クラシックからResource Managerへの仮想ネットワーク移行の一環として移行されますか?

Azure Application Gatewayリソースは、仮想ネットワーク移行プロセスの一環として自動的に移行されません。 仮想ネットワーク内に存在するものがある場合、移行は成功しません。 Application Gateway リソースをResource Managerに移行するには、移行の完了後に Application Gateway インスタンスを削除して再作成する必要があります。

VPN Gateway リソースは、クラシックからResource Managerへの仮想ネットワークの移行の一環として移行されますか?

Azure VPN Gatewayリソースは、仮想ネットワーク移行プロセスの一環として移行されます。 その他の要件はありませんが、移行は一度に1つの仮想ネットワークで完了します。 移行手順は、VPN ゲートウェイのない仮想ネットワークを移行する場合と同じです。

サービスの中断は、クラシック VPN ゲートウェイのResource Managerへの移行に関連していますか?

Resource Managerに移行するときに、VPN 接続でサービスの中断が発生することはありません。 既存のワークロードは、移行中もオンプレミスに完全に接続して機能し続けます。

VPN ゲートウェイを Resource Manager に移行した後、オンプレミス デバイスを再構成する必要がありますか?

VPN ゲートウェイに関連付けられているパブリック IP アドレスは、移行後も同じままです。 オンプレミスのルーターを再構成する必要はありません。

クラシックからResource Managerへの VPN ゲートウェイの移行でサポートされているシナリオは何ですか?

クラシックからResource Managerへの移行では、一般的な VPN 接続シナリオの大部分が対象となります。 次のようなシナリオがサポートされます。

• ポイントからサイトへの接続。

• オンプレミスの場所に接続された VPN ゲートウェイを使用するサイト間接続。

• VPN ゲートウェイを使用する 2 つの仮想ネットワーク間のネットワーク間接続。

• 同じオンプレミスの場所に接続された複数の仮想ネットワーク。

• 複数サイト接続。

• 強制トンネリングが有効になっている仮想ネットワーク。

クラシックからResource Managerへの VPN ゲートウェイの移行でサポートされていないシナリオはどれですか?

サポートされていないシナリオは次のとおりです。

• ExpressRoute ゲートウェイと VPN ゲートウェイの両方を含む仮想ネットワーク。

• 異なるサブスクリプションの回線に接続された ExpressRoute ゲートウェイを使用する仮想ネットワーク。

• VM 拡張機能がオンプレミスのサーバーに接続している場合のトランジット シナリオ。

クラシックからResource Managerへの移行に関する詳細情報はどこで確認できますか?

クラシックからAzure Resource Managerへの移行に関してよく寄せられる質問を参照してください。

削除されたパブリック IP アドレスを回復できますか?

いいえ。 Azureパブリック IP アドレスが削除されると、そのパブリック IP アドレスは復旧できません。 詳細については、「 パブリック IP アドレスの表示、設定の変更、または削除」を参照してください。

問題を報告するにはどうすればよいですか?

移行の問題に関する質問は、Microsoft Q&A ページに投稿できます。 すべての質問はこのフォーラムに投稿することをお勧めします。 サポート契約をお持ちの場合は、サポートリクエストを申請することもできます。