ポイント対サイトにルートベースの Azure VPN ゲートウェイが必要な理由

ポリシーベースのゲートウェイは、トラフィックセレクターで選択される IPsec トンネルを構築し、クライアントルートを渡すインターフェースを持ちません。ポイント対サイトはルーティング機能であり、ゲートウェイはクライアントアドレスのプールを所有し、仮想ネットワーク内のそれらのクライアントへのルートをインストールします。この不一致が、ポータルに追加オプションが表示されない理由です。既存のゲートウェイでインターフェースを生成するように切り替えられるものは何もないため、変更は構成の編集ではなく置き換えです。

個々の手順よりも順序が重要です。順序を誤ると、サイト間の停止がメンテナンスウィンドウを超えて続きます。

ポリシーベースのゲートウェイが実際に行うこと

ポリシーベースのゲートウェイは、パケットを接続に構成されたトラフィックセレクターと照合し、一致したものを一つのトンネルへ送ります。アドレスを持つトンネルインターフェースは存在せず、仮想ネットワークのどこにもクライアントごとのルートは現れません。ルートテーブルはゲートウェイを指すオンプレミスのプレフィックスを取得するだけです。このモデルは、二つの固定アドレス空間間のサイト間接続には十分です。

ルートベースのゲートウェイは逆に動作し、トンネルインターフェースを提示して、何がそこに入るかをルートが決めます。ポイント対サイトや、ピアの集合が変わる設計は、そのインターフェースの存在に依存します。

クライアントプールにそのインターフェースが必要な理由

ノート PC が接続すると、ゲートウェイはポイント対サイトプールからアドレスを割り当てます。次に仮想ネットワークは、このアドレスがゲートウェイ経由で到達可能であることを示すルートを必要とします。トンネルインターフェースがなければ、そのルートを接続する先がありません。

プールは指定した範囲から取得され、ゲートウェイはそこから割り当てます。その範囲がオンプレミスネットワークやピアリングされた仮想ネットワークと重複すると、競合はクライアントが接続した後にしか現れず、発見するには遅すぎるタイミングです。移行を始める前にプールを予約してください。

種類も接続ごとの設定ではありません。一つのゲートウェイには一つの種類があり、それが保持するすべての接続はそれに従って動作するため、混在した設計には二つ目の接続ではなく二つ目のゲートウェイが必要です。

種類は作成時に固定される

Microsoft は、仮想ネットワークゲートウェイをデプロイ後にポリシーベースとルートベースの間で変更できないと述べています。変換コマンドもポータルの切り替えもありません。同じサブネットに二つ目のゲートウェイを作成することも、Azure が仮想ネットワークごとに一つのゲートウェイしか許可しないため、回避策ではありません。したがって移行は、削除、再構築、再接続です。

これは SKU の決定も同じ構築に含めます。後でより大きな SKU に移行することは、別の停止を伴う別のゲートウェイ置き換えです。

一つのゲートウェイ、一つの GatewaySubnet

ゲートウェイは GatewaySubnet という名前のサブネットに存在し、そこを占有するゲートウェイは一つだけです。そのサブネットのサイズ設定は準備の一部であり、より大きな SKU にはより多くのアドレスが必要で、サブネットは後から縮小できないからです。何かに触れる前に、現在のサイト間設定、共有キー、ローカルネットワークゲートウェイ、有効なルートを記録してください。その後、新しい接続が構成されるまでサイト間トンネルがダウンしたままなので、ウィンドウを停止として扱います。

停止を限定的に保つ再構築の順序は、ルートベースのゲートウェイを作成し、同じローカルネットワークゲートウェイへのサイト間接続を再作成し、トンネルと一つのホスト間要求を確認し、その後にだけポイント対サイトを追加して新しいクライアントパッケージを生成します。

置き換えで直らないもの

二つ目の制約は Azure ではなくピア側にあります。ポリシーベースのオンプレミス機器は接続先の仮想ネットワークにしか到達できず、同じゲートウェイを経由して他のオンプレミスネットワークや他の仮想ネットワークへ通過することはできません。Azure 側を置き換えても、ピアが選択できるものは変わりません。

要件が本当にサイト間の通過であれば、答えはルートベースのピア機器か、各宛先が個別に終端するトポロジーです。ゲートウェイの置き換えだけでは実現しないため、日付を約束する前にこれを決めてください。

操作と確認の順序

各機能を個別に確認します。まずサイト間トンネルの状態と一つのホスト間要求、次にポイント対サイト接続と一つのプライベートリソース、次に設計が主張する通過経路です。緑のゲートウェイ状態はセキュリティアソシエーションが確立したことだけを証明し、それ以上ではありません。確認をこの順序に保つことで、失敗がそれを導入した段階を指し示します。

トポロジーを変更した後はクライアントパッケージを再生成し、プールをすべてのオンプレミスおよびピアリングされた範囲から遠ざけてください。制約と SKU の違いは Azure VPN Gateway の設定リファレンス にまとめられています。