Skip to content

MS_VPNGateway

Jump to bottom
nishi_74322014 edited this page Aug 3, 2026 · 1 revision

VPN Gateway

  • 戻る（VPN、Azureの仮想ネットワーク（MS_AzureVirtualNetwork.md））

概要

Azure の VPN Gateway を作成して、

  • Microsoft ネットワークを経由して Azure の仮想ネットワーク間で暗号化されたトラフィックを送信
  • Azure の仮想ネットワークとオンプレミスのサイトとの間で暗号化されたネットワーク トラフィックを送信

構成

  • Azure の仮想ネットワークには VPN Gateway を 1 つだけ作成できる。
  • VPN Gateway は、GatewaySubnet サブネットの VM として作成される。
  • GatewaySubnet サブネットには、VPN Gateway の VM に加え、踏み台となる VM が必要になる。
  • この VM は、ゲートウェイ固有のルーティング テーブルとゲートウェイ サービスを含む。
  • VPN Gateway の
    • 部分である VM を直接構成することはできない。
    • GatewaySubnet サブネットに、その他のリソースをデプロイしない。

移行メモ: 「踏み台となる VM が必要」は、GatewaySubnet に踏み台を置くという意味ではない。 GatewaySubnet にはゲートウェイ以外のリソースを置いてはいけない（直後に自ら記述のとおり）。 検証用の VM は別サブネットに配置する。

※ GatewaySubnet というサブネット名は固定（変更不可）。
サイズは /27 以上が推奨（機能追加時に不足しないよう /26 を推奨する記述もある）。

SKU

# SKU S2S/VNet間トンネル P2S接続 合計スループット ベンチマーク
1 VpnGw1 最大 30 最大 128 650 Mbps
2 VpnGw2 最大 30 最大 128 1 Gbps
3 VpnGw3 最大 30 最大 128 1.25 Gbps
4 Basic 最大 10 最大 128 100 Mbps
# ワークロード SKU
1 運用環境のワークロード VpnGw1、VpnGw2、VpnGw3
2 開発テスト環境のワークロード Basic

機能セット

SKU 機能
Basic ルート ベースの VPN：10 個のトンネルと P2S、RADIUS 認証なし、IKEv2 なし
ポリシーベース VPN（IKEv1）：1 トンネル。P2S なし
VpnGw1〜3 ルートベース VPN：最大 30 トンネル、P2S、BGP、アクティブ/アクティブ、カスタム IPsec/IKE ポリシー、ExpressRoute/VPN 共存

補足（最新化）: 現在は VpnGw1〜5 と、 可用性ゾーン対応の VpnGw1AZ〜5AZ が提供されている。 Basic SKU は非推奨（新規作成・機能追加の対象外）で、 2026年に廃止予定とアナウンスされているため、検証用途でも VpnGw1 以上を選ぶ。

接続方法

Site-to-Site VPN (S2S) と Point-to-Site VPN (P2S) は、
両者の構成要件がすべて両立する場合に、同じ VPN Gateway を使って組み合わせて使用できる。

Site-to-Site VPN (S2S)

  • 拠点間接続とも言う。サイト間とマルチサイト（IPsec/IKE VPN トンネル）
  • サイト間
    VPN Gateway から1つ VPN 接続を作成し、1つのオンプレミスのサイトに接続する。
    • IPsec/IKE（IKEv1 または IKEv2）VPN トンネルを介した接続。
    • オンプレミスの VPN デバイスが必要。
      • パブリック IP アドレスを割り当てられている。
      • NAT の内側に配置されていない。
    • クロスプレミスおよびハイブリッド構成に使用できる。
  • マルチサイト
    VPN Gateway から複数の VPN 接続を作成し、複数のオンプレミスのサイトに接続する。
    • RouteBased という VPN の種類を使用する。
    • 各仮想ネットワークに配置できる VPN Gateway は 1 つのみ。
    • VPN Gateway を経由するすべての接続は、使用可能な帯域幅を共有する。

Point-to-Site VPN (P2S)

  • 拠点対端末接続とも言う。ポイント対サイト（VPN over IKEv2 または SSTP）
  • 概要
    • 個々のクライアント コンピューターから仮想ネットワークへ VPN 接続する。
    • クライアント コンピューターから接続を開始することによって確立される。
    • オンプレミスの公開 IP アドレスまたは VPN デバイスは必要ない。
  • 用途
    • 在宅勤務など、リモートの場所から VNET に接続する場合。
    • VNET への接続が必要なクライアントがごく少ない場合。
  • プロトコル
プロトコル 特徴
IKEv2 標準の IPsec VPN ソリューション。Mac デバイスから接続する際に使用
SSTP SSL ベースの VPN トンネル。Windows クライアント プラットフォームでのみサポート
  • クライアント認証
    • ネイティブ Azure 証明書認証
    • AD DS + RADIUS サーバ

補足（最新化）: 現在は OpenVPN プロトコルも選択でき、 Microsoft Entra ID 認証（旧 Azure AD 認証）と組み合わせられる。 証明書配布が不要になるため、実務ではこの構成が扱いやすい。

VNet-to-VNet VPN (V2V)

  • VNET 間接続（IPsec/IKE VPN トンネル）
  • Site-to-Site VPN (S2S) とほぼ同様。

※ 同一リージョン／テナント内で単に VNET を繋ぐだけなら、
仮想ネットワーク ピアリングの方が安価・低遅延・高帯域。
V2V は暗号化が要件の場合や、ピアリングが使えない構成で選ぶ。

構成手順（P2S / SSTP の例）

  1. VPN Gateway の作成
    • サブネッティング可能な仮想ネットワークの作成
    • ゲートウェイ サブネットの追加
    • DNS サーバーの指定（省略可能）
    • 仮想ネットワーク ゲートウェイの作成（[VPN の種類]：[ルート ベース]、[SKU]：[Basic]）
  2. 証明書の生成
    • ルート証明書の *.cer ファイルの取得
    • クライアント証明書を生成
  3. クライアント アドレス プールの追加
    オンプレミス／仮想ネットワークと重複しないプライベート IP アドレス範囲
  4. 証明書の設定
    • ルート証明書の公開証明書データを Azure にアップロード
    • エクスポートしたクライアント証明書をクライアント端末にインストール
  5. P2S VPN 接続の確立
    • Azure で、VPN クライアント構成パッケージを生成
    • VPN クライアント構成パッケージをクライアント端末にインストール
    • [設定] > [ネットワークとインターネット] > [VPN] から接続
  6. Azure への接続
    • GatewaySubnet が存在する仮想ネットワークにサブネットを追加する。
    • そこに VM を追加して、プライベート IP アドレスでアクセスする。

課金

  • Windows か Linux のインスタンスが1つ動いているので、一時利用の場合は少々高くつく。
  • Linux で OpenVPN を使用したりすることで廉価に構築できる可能性はある。
  • VPN Gateway は VM と違って、停止がなく、削除するしかない。
  • なお、削除後、再作成した時には IP アドレスが変わるので、クライアントの設定変更が必要。

※ IP アドレスの変更を避けたい場合は、静的（Standard SKU）パブリック IP を割り当てる。

参考

Tags: インフラストラクチャ, クラウド, セキュリティ, 通信技術, Azure

このWikiは「Open棟梁Project」,「OSSコンソーシアム 開発基盤部会」によって運営されています。

NetDevInfraWiki

マイクロソフト系技術情報 Wiki
Open 棟梁 Wiki

（未着手）

開発基盤部会 Wiki

移行管理: DONE ／ TODO

Clone this wiki locally