昨今のクラウド活用の需要が高まり、パブリッククラウドの利用を検討し始める企業が増えているかと思います。クラウド利用において懸念される事項として、クラウドとの接続方法があげられます。クラウドを安全に利用するための方法にはどんなものがあるのか、今回は拠点とクラウド間を繋ぐネットワーク構成について紹介したいと思います。本記事ではAzureクラウド利用時に安全な通信を実現する手法の紹介と、より多くの恩恵を受けられるExpressRouteについて機能を綴っていきます。提供するExpressRouteとはオンプレとAzureの接続方式をご説明する前に、Microsoft用語の「ExpressRoute」について先に概要をご説明します。Azureへ直接接続する帯域保証型のネットワークサービスです。Azureへ通信が行えます。公共のインターネットを介さない通信のため、高い安全性と信頼性、および安定した帯域速度を享受できるようになります。クラウドを利用しつつもセキュリティを担保したいお客様が選択されるケースが多いです。Azureからオンプレミス・データセンターに向けた通信)に対して課金される従量課金型、もしくは通信量に依存しない月額固定型からご選択頂けます。Azure拠点(リージョン)と接続が可能です。ExpressRouteの特長はこちらAzureとオンプレミスの3つの接続方法Azureクラウドとオンプレミスの安全な通信を確立する手法として次の3つの接続方式がMicrosoftから提供されています。P2S(Point-to-Site)VPNS2S(Site-to-Site)VPNExpressRoute(閉域網)それでは、1から順番に解説していきます。VPNはエンドユーザーのクライアント端末とクラウドをVPNで接続する方式です。Gatewayが持つ自己署名ルート証明書と、クライアント端末にインストールするためのクライアント証明書を用意する必要があります。VPNを利用すると、拠点以外の場所からでもインターネットを介してVPN接続を確立し、セキュアな通信を行えます。「拠点外からAzure上のサーバにアクセスしたいけれど、グローバルIPからのアクセスを許可しておく設定は不安」というシーンならば、NSGを利用せずとも簡単に安全性を確立できる最適な手法になるのではないでしょうか。VPNではSSTPまたはIKEv2プロトコルを使用した通信が可能です。Gatewayあたり同時接続数は128台までとなります。VPNでサポートされるOSは以下の通りです。VPNはオンプレミス拠点とAzure上の仮想ネットワーク(VNet)間、もしくはAzure上でVNet同士を接続する方式です。今回はオンプレミス拠点とVNetの接続について触れます。VPNの接続のためにはオンプレミス拠点側にVPNデバイスを用意する必要があります。Microsoftによって動作が確認されているVPNデバイスと一部のVPNデバイスの設定方法については以下リンクから確認できます。VPNトンネルを介した接続を実現します。Gatewayを構築する必要があります。そのほかにローカルゲートウェイというオンプレミス拠点の情報を設定するリソースをデプロイする必要があります。ローカルゲートウェイに設定する情報は、パブリックIPアドレス、オンプレミスのアドレス空間、※AS番号、etc...です。(※BGP利用時のみ)ローカルゲートウェイを構築する理由は、さらに別の「接続」というリソースを作成する必要があるためです。「接続」はAzure上で2つのゲートウェイを指定して、VPNコネクションを確立するための機能を提供します。この「接続」はSource/Destinationが決まっており、片方向だけ設定しても通信が行えません。Gatewayとローカルゲートウェイを双方向で「接続」する必要があります。して、オンプレミスネットワークをIaaS環境へ拡張することが可能となります。3.ExpressRouteExpressRouteもオンプレミス拠点とAzureをつなぐサービスです。ExpressRouteは接続プロバイダーを経由して構築する必要があります。回線事業者が提供する専用線を使用した通信であるため、事業者からセキュリティと通信品質が保証されています。ExpressRouteではIaaSのほかにPaaSとSaaSにも接続が可能です。VPNではPaaSを利用できないため、安全な通信でPaaSを利用したい場合にはExpressRouteは必須の要素です。ExpressRouteは通信速度のプランを選択できるため、利用用途に応じて必要なだけ帯域速度を確保できます。通信品質は回線事業者によって保証されるため、クリティカルなシステムとの通信を行う場合にも向いています。ExpressRouteを介してAzureのサービスを利用するためには、サービスに応じたピアリングを構成する必要があります。ピアリングにはMicrosoftピアリングとプライベートピアリングの2種類があります。MicrosoftピアリングはPaaSとSaaSを利用するために必要となります。利用したいサービスのエンドポイントの情報がBGPで広報されるよう設定します。Add-Onの有効化と、Microsoftへの利用申請が必要となります。プライベートピアリングはIaaSを利用するために必要となります。オンプレミスのルータは、BGPで接続した仮想ネットワークの経路情報を取得することができます。Add-Onが用意されています。Add-Onでは以下の機能を利用することができます。Add-Onは必須の機能となります。国内の拠点から東日本・西日本リージョンに接続する場合は問題ありませんが、海外のAzureデータセンターとは既定の状態では接続できません。365など、国内のデータセンターのみで通信が完結しない場合に必要となります。回線事業者が提供する接続サービスの費用も負担しなければいけません。こちらは回線事業者や接続プロバイダーによって値段が異なるので個別に確認をする必要があります。Edgeまで)の範囲となります。ExpressRouteを使えばAzureを完全に閉じた環境として利用できると考える人がいるかもしれません。間違った考えではありませんが、ExpressRouteだけでは実現できません。基本的にAzureの環境はパブリックなものになっており、例えば仮想マシンへは外部から22ポートや3389ポートなどに向けてアクセスが可能です。これらのアクセスを制限することは可能ですが、インターネットから完全に隔離した環境を実現しようとすると、利用できないサービスや機能制限が生じてしまうので注意しなければいけません。365テナントを閉域にできるわけではなく、あくまでもExpressRouteを経由しての接続を実現するのみです。サービスとしては通常通り複数のテナントが入っている状態で変わりありませんし、インターネットからのアクセスを制限するようになるわけでもありません。さいごに今回はAzureクラウドとオンプレミス拠点を接続するための方法について紹介しました。VPNや閉域網を利用した安全な通信の確保と、利用形態についてご理解いただけましたか。以下に3つの接続方法の比較をまとめます。VPNでもセキュリティを確保した通信は可能ですが、インターネット回線を利用したベストエフォート通信であるためどうしても通信影響を受ける可能性があります。ExpressRouteならば閉域網によるセキュリティの確保と、安定した通信帯域での接続を実現できます。おけるシングルサインオン構成の方法を紹介!ブログ記事リクエスト受付中!Azureエンジニアに書いてほしい記事があれば、ここからリクエストをしてください。