ピアリングされた Azure VNet に専用の VPN ゲートウェイは必要か

新しいスポーク VNet が現れ、ハブにはすでに動作中のサイト間ゲートウェイがあり、明白な疑問は二つ目のゲートウェイに料金を払う必要があるかどうかである。通常は不要で、ゲートウェイ トランジットを使えばスポークはピアリング経由でハブのゲートウェイを利用できる。これが機能するかは三つの条件で決まり、そのどれもピアリングの状態バッジには表示されない。ピアリングの接続性と他人のゲートウェイを使う許可は別々の設定なので、すでに相互に ping できる二台の VM は VPN 経路について何も証明しない。

第一の条件：ゲートウェイと、スポーク側にそれが無いこと

Azure は Basic 以外の VPN Gateway SKU でゲートウェイ トランジットをサポートし、リージョン ピアリングとグローバル ピアリングのどちらでも運べる。スポークは自分が所有しないゲートウェイを消費するため独自のゲートウェイを持つことはできず、スポークにすでにゲートウェイがある場合やリモート ゲートウェイ オプションがすでに選択されている場合、望むトランジット設定は利用できないか効果を発揮しない。何かをデバッグする前にこれを確認すること。無効化されたチェックボックスは症状であって障害ではなく、まず SKU と既存のゲートウェイを読み、その後にピアリング設定を見る。

何がそれに依存しているかを知るまでは、既存のスポーク ゲートウェイを削除してオプションを表示させないこと。移行の順序はチェックボックスより重要である。

第二の条件：ピアリングの各方向に一つの設定

ピアリングは二つのオブジェクトで、各 VNet に一つずつあり、トランジット設定はそのペアの異なる側に存在する。ハブからスポークへのピアリングは、ハブのゲートウェイがスポークにサービスを提供することを許可する必要があり、スポークからハブへのピアリングは、ハブのゲートウェイを受け入れる必要がある。Microsoft のゲートウェイ トランジット ガイドは方向ごとにそれらを命名しており、正しく保つ唯一の方法がこれである：

remote というラベルの付いたコントロールは、どの VNet のピアリングを編集しているかで意味が変わる。だから言葉ではなく方向を読み、両側を設定して保存し、両方の場所でピアリングが接続済みと報告されることを確認する。

第三の条件：アドレス空間とアクセス許可の境界

トランジットは同じ宛先プレフィックスを二つのネットワークとして扱わせることはできず、そのためハブ、スポーク、オンプレミスの範囲はこれが機能する前に重複しないようにする必要がある。VNet は異なるサブスクリプションや異なるテナントに置かれることもあるが、それは禁止ではなく、各ピアリングを作成または更新する ID にはそのネットワーク上で必要なアクセス許可が要る。サブスクリプションをまたぐ変更はアクセス許可で失敗することが多く、そのエラーをトポロジの問題と誤読しやすい。

変更前に範囲と所有者を書き留める。どちらかを推測すると、接続はするが何もルーティングしないピアリングができる。

ピアリングの状態ではなく、有効なルートで検証する

スポークのワークロードのネットワーク インターフェイスで有効なルートを見て、実際のオンプレミス プレフィックスを見つける。サブネットのルート テーブルと、ユーザー定義ルートや検査アプライアンスがピアリングのフラグの示す経路を上書きしうるためにゲートウェイ ルートの伝播が無効になっていないかを確認する。次に、オンプレミスが学習したアドバタイズか、明示的なルートと顧客デバイス上の対応する保護ネットワーク エントリのいずれかで、サイト間接続を通じてスポークのプレフィックスに到達する方法を知っているかを逆方向に確認する。どちらかの側でプレフィックスが欠けているなら、変更すべきはピアリングのフラグではない。

スポークのワークロードから一つのサービスをテストし、応答を追う。VPN ゲートウェイやハブの VM からのテストは、別の送信元プレフィックスと別の経路を使う。

トポロジがポイント対サイトのクライアントにもサービスを提供しているなら、それらのインストール済みルートを別途検証する。トポロジ変更後は Windows クライアント パッケージの再生成が必要になることがある、そしてそれはクライアント側のルーティング作業であり、ゲートウェイ共有が失敗した証拠ではない。

ゲートウェイを共有しても得られないもの

ゲートウェイ トランジットはルーティングの便宜であり、承認ではない。ネットワーク セキュリティ グループ、オンプレミスのフィルタ、サービス レベルの規則は依然としてスポークのワークロードが何に到達できるかを決めるので、共有トンネルが背後にあるすべてを許可すると仮定せず、特定の送信元から宛先へのサービスを有効にすること。

ピアリングは人々が期待するほど推移的ではない。さらにスポークやプライベート エンドポイントを追加すると、既存のトランジット設定ではカバーされない独自のルーティングとアクセスの要件が生じる。