Microsoft Azureーインターネット接続や仮想マシンについて
Microsoft Azureへオフィスからの接続回線
VPN Gateway
VPN Gatewayは、Azure上の仮想ネットワークと他のネットワークを、インターネット経由で安全に接続するためのAzureのサービスの1つです。
VPN Gatewayを経由してAzure内のリソースにアクセスするために、以下の3つの方法があります。
●S2S(サイト対サイト)ーパブリックIPを設定されたオンプレミスのネットワークと、AzureのVPN Gatewayを接続する方法です。インターネットVPNでの接続を選択した場合、社内のオンプレミスネットワークをAzure上の仮想ネットワークに接続することが出来ます。また、オンプレミスネットワーク上にあるオンプレミスサーバから接続することも出来ます。
●P2S(ポイント対サイト)ーPC等の個々のクライアント端末とAzureのVPN Gatewayを接続する方法です。従業員の自宅等、オフィスのオンプレミスネットワークに接続していない遠隔地から、Azure上の仮想ネットワークに接続する時に使用されます。
●V2V(VNet間)ーAzure内の別々のリージョンに設置した、複数の自社のAzure上の仮想ネットワーク間を接続する際に使用されます。
VNetとインターネットの接続
Azure上の仮想ネットワーク内のリソースは、設定を行うことでインターネットに接続出来ます。その場合、内向きトラフィックと外向きトラフィックの両方の通信セキュリティに考慮した設計が必要です。
※内向きトラフィック(リモートコンピュータがローカルコンピュータとの接続を確立する為の通信のこと、外向きは、その逆方向)
Microsoft Azureの仮想ネットワークについて
Azure Virtual Network(VNet)
Azure Virtual Network(VNet)は、Azure内に自社のプライベートネットワークを構築出来るサービスです。作成したVNet上に仮想マシンやサーバアプリケーションをデプロイ(配置)して、Azure上のシステム構築や運用を行います。複数のシステムをAzure上で運用する場合、運用フェーズでシステムごとの調整が必要になる場合が多いので、VNetを複数用意されていることが望ましいです。
VNet内のサブネットへの分割
VNetの中には、最低1つのサブネットを指定します。また、オンプレミス環境でのネットワーク設計と同様に、アドレス空間を複数のサブネットに分割することも出来ます。
各サブネットへは、「IPアドレスを毎回指定してアクセスする方法」と「DNSサービスで、ドメイン名を指定して名前解決することでのアクセス方法」があります。
VNet内にVM(仮想マシン)を設定
VM(仮想マシン)とは、仮想化技術によって物理なコンピュータを論理的に分割し、それぞれ互いに独立したサーバOSをインストールして動作させる、論理的なコンピュータを指します。
この技術は、オンプレミスの物理サーバでも活用されています。
Azure上にVNetを作成したら、次に仮想マシンをデプロイします。この時、複数の仮想マシンをデプロイすることが出来たり、更には、Azureでサポートされている「入れ子型VM」を用いれば、余剰なリソースを入れ子型VMに割り振ることが出来るので無駄がありません。
※「入れ子型VM」とは、Hypervisorという仮想化OSを実行することで、仮想マシンの中に、更に新しい仮想マシンを入れ込む機能のこと。いわばマトリョーシカのような物。
Azure内の他リソースと接続する方法
VNet経由で接続
VNet内にAzureの一部サービスをデプロイする事で、他サービスとの接続を行う事が出来ます。前に述べた「VNet内にVM(仮想マシン)を設定」というのも、この接続方法に当てはまります。
仮想マシンの他は、Application Gateway、Azure Active Directory Domain Services等のAzureのサービスと接続が可能です。
仮想ネットワーク サービス エンドポイント経由で接続
VNetからAzureの他のサービスに、それぞれで用意されているエンドポイントを使用して直接接続します。
AzureストレージやAzure SQL Database等のPaaSとの接続が可能です。これにより、VNet内の仮想マシンとPaaSのサービスを連携させることが出来ます。
VNetピアリング
VPN Gatewayを使用せず、Azure内のVNet同士を任意に選んで接続する方法です。この方法で接続されたVNetは、Azureデータセンター間を結ぶMicrosoftのバックボーンを通して、1つのネットワークように機能させることが出来ます。
利点として、インターネット通信や暗号化が不要、異なるリージョン間でも高速通信が可能、ピアリング作成時や作成後にVNetにダウンタイムが発生しないという点があります。
まとめ
仮想ネットワークは、Azureのリージョンごとに独立していますので、異なるリージョンをまたいで1つの仮想ネットワークを構築することは出来ません。そして仮想マシンは、直接インターネットに接続しているわけではなく、仮想ネットワーク環境に存在しています。そのような理由から、異なる仮想ネットワーク内にある仮想マシン同士で接続させる為には、VPN Gateway等で接続させる必要があるのです。
参考文献:
https://business.ntt-east.co.jp/content/cloudsolution/column-49.html
