Azure の GatewaySubnet を設定する: ゲートウェイの前に領域を予約する

ポータルで仮想ネットワークを開き、サブネットのブレードに触れる前にアドレス空間を確認します。その /24 がすでにワークロード用サブネットに分割されていて空きがなければ、/27 の予約に使える余地はありません。結局は再分割か VNet の拡張になり、どちらも別のレビューが必要な別の変更です。まず空間を確定し、そのあとでサブネットを作成します。

この順序が重要なのは、ゲートウェイ サブネットが特別な名前の付いたワークロード用サブネットではないからです。管理されたゲートウェイ インスタンスのためのアドレス予約であり、予約が誤っていれば Azure はゲートウェイを拒否します。

アドレス空間から始める

何も入力する前に、VNet のプレフィックス、ワークロード用サブネット、ゲートウェイの予約を 一行に書き出します。10.60.0.0/16 の VNet には余裕があります。ワークロードの増加が連続するよう、末尾に範囲を選びます。

たとえば 10.60.255.192/26 なら、ワークロードが 10.60.0.0/20 に収まったまま、ゲートウェイ用に 64 個のアドレスを残せます。これはアドレス設計の例であり、サイズの約束ではありません。Microsoft は現在、Basic 以外の VPN ゲートウェイに /27 以上を要求しており、大きいほどアドレスが増えます。/26 なら 64 個、/28 なら 16 個です。アドレス計画が動いているうちは、切り上げてください。決して切り下げません。

正確な名前でサブネットを作成する

ポータルでサブネットを追加し、名前を GatewaySubnet と正確に入力します。G は大文字、S も大文字で、空白も接尾辞も付けません。Azure はこの文字列を照合するため、Gateway-Subnet や gateway ではゲートウェイ サービスが使わないサブネットになります。

同じ手順を CLI で行うと、レビューに書き残しやすくなります。

az network vnet subnet create --resource-group rg-hub --vnet-name vnet-hub --name GatewaySubnet --address-prefixes 10.60.255.192/26

サブネットは空のままにします。VM も、プライベート エンドポイントも、サービス委任も置きません。すでに何かが存在していると展開は失敗し、エラーが邪魔をしているリソースを名指しすることはほとんどありません。始める前にサブネットのリソース一覧を確認してください。

管理されたサブネットにワークロードの規則を持ち込まない

このサブネットにネットワーク セキュリティ グループを関連付けないでください。Microsoft は非サポートとしています。既定ルートが 0.0.0.0/0 をどこかへ送るルート テーブルも関連付けないでください。ゲートウェイの動作を壊すことがあります。ゲートウェイのルート伝播は有効のままにします。

本当に必要だったアクセス制限は、ワークロード用サブネットか検査境界に置きます。GatewaySubnet を通常のサブネットのように扱うのが、きれいに展開できてから一切トラフィックを通さないゲートウェイを生む誤りです。

強制トンネリングには独自の文書化された設計があります。ゲートウェイ サブネット上の場当たり的な既定ルートはそれではありません。

ポータルが表示しない依存関係を確認する

作成を押す前に一覧をたどります。正確な名前、VNet 空間内のプレフィックス、オンプレミス範囲との重複がないこと、内部にワークロード リソースがないこと、NSG がないこと、既定ルート付きのルート テーブルがないこと。どれも実際の展開を壊してきました。そのうえで広い設計を確認します。オンプレミス側のローカル ネットワーク ゲートウェイ、ルーティングを想定するアドレス空間、アクティブ-アクティブか共存かを計画しているかどうか。これらの選択はサイズの議論を変えますし、今決めたほうがはるかに安上がりです。

サブネットに VM を置けない理由を尋ねられたときに引用するのは、Azure ゲートウェイ設定のリファレンスです。

ゲートウェイがすでにある場合

ゲートウェイ サブネットのサイズ変更や置き換えはマスクの編集ではありません。まずゲートウェイの SKU と世代についてサポートされる変更手順を確認し、依存するオブジェクトを洗い出します。接続、パブリック IP、ルーティング、および復旧要件です。

手順がゲートウェイの再作成を求めるなら、時間枠とロールバックを伴うサービス移行として計画します。選んだ予約、そのサイズの理由、意図的に関連付けなかった規則を記録しておけば、次のレビュアーが NSG を足して空のサブネットを「修正」することはありません。