Azure Fundamentals · レッスン

ハブアンドスポークネットワークトポロジ

Q: 「ハブアンドスポーク ネットワーク トポロジ」レッスンは無料ですか？

はい。「ハブアンドスポーク ネットワーク トポロジ」の完全なテキストはこのウェブで無料で読めます。インタラクティブに演習し（組み込みコードエディタと24時間対応のAIチューター）、Azure Fundamentalsコースの残りをアンロックするには、CoddyKit PROにアップグレードしてください。 Azure Fundamentalsコースには全4レッスンが含まれています。

ファイアウォール、DNS、VPN 用の共有ハブと、VNet ピアリングで接続された個々のワークロード用スポーク VNet を備えたハブアンドスポーク VNet トポロジを設計します。

「ハブアンドスポークネットワークトポロジ」はCoddyKit上の無料Azure Fundamentalsレッスンです。これはレッスン3/4です。下記で完全なレッスンを無料で読むことができます。その後、ブラウザ内の組み込みコードエディタと24時間対応のAIチューターでハンズオン演習できます。これはAzure Fundamentals学習パスの一部であり、ウェブとCoddyKitアプリ全体で進捗が同期されます。 Azure Fundamentalsコースには全4レッスンが含まれています。

ハブアンドスポークの概要

ハブアンドスポーク ネットワークトポロジは、エンタープライズ環境で推奨される Azure ネットワークアーキテクチャです。共有ネットワークサービスをホストする中央のハブ VNetと、個々のワークロードをホストする複数のスポーク VNetで構成されます。スポークは VNet ピアリングを介してハブに接続します。このトポロジにより、セキュリティ制御を一元化し、ネットワークの複雑さを軽減しながら、新しいワークロードの追加に合わせて効率的に拡張できます。

ハブ VNet

ハブ VNetは、すべてのスポーク VNet が接続する中央ネットワークです。通常、次のものが含まれます。

Azure Firewall — インターネットへの送信トラフィックおよび東西トラフィックを一元的に検査します
VPN Gateway または ExpressRoute Gateway — オンプレミスへの接続を提供します
Azure Bastion — パブリック IP を使用せずに VM へ安全に RDP/SSH 接続できます
Azure DNS プライベートゾーン — プライベート DNS の名前解決を一元化します
ネットワーク監視リソース — 接続モニターとフローログを提供します

# Create the hub VNet:
az network vnet create \
  --resource-group hubRG \
  --name hubVNet \
  --address-prefix 10.0.0.0/16 \
  --subnet-name AzureFirewallSubnet \
  --subnet-prefix 10.0.1.0/26

スポーク VNet とワークロード

各スポーク VNetは、1 つのワークロード、または密接に関連するワークロードのセットをホストします。たとえば、スポーク 1 は運用環境の Web アプリケーション、スポーク 2 はデータ分析プラットフォーム、スポーク 3 は開発/テスト環境です。ワークロードを別々のスポークに分離すると、ワークロード間にネットワーク境界を設けられます。1 つのワークロードが侵害された場合でも、攻撃者はハブのファイアウォールを経由せずに別のワークロードの VNet へ直接横展開することはできません。

# Create a spoke VNet:
az network vnet create \
  --resource-group spoke1RG \
  --name spoke1VNet \
  --address-prefix 10.1.0.0/24 \
  --subnet-name webSubnet \
  --subnet-prefix 10.1.0.0/25

ハブとスポーク間の VNet ピアリング

ハブ VNet とスポーク VNet はVNet ピアリングで接続します。これにより、パブリックインターネットを経由せず、プライベートで低遅延の接続を利用できます。ピアリングは双方向に作成する必要があります。つまり、ハブからスポークへのピアリングと、スポークからハブへのピアリングを作成します。スポーク間のトラフィックは直接ルーティングされず、ハブを経由します。そのため、ハブのファイアウォールでスポーク間通信を検査および制御できます。

# Create hub-to-spoke peering:
az network vnet peering create \
  --resource-group hubRG \
  --name hub-to-spoke1 \
  --vnet-name hubVNet \
  --remote-vnet spoke1VNet \
  --allow-gateway-transit true

# Create spoke-to-hub peering:
az network vnet peering create \
  --resource-group spoke1RG \
  --name spoke1-to-hub \
  --vnet-name spoke1VNet \
  --remote-vnet hubVNet \
  --use-remote-gateways true

ハブファイアウォール経由のルーティング

既定では、VNet ピアリングによって Azure Firewall 経由の通信が強制されることはなく、VNet 間で直接ルーティングされます。スポーク間およびスポークからインターネットへのトラフィックをハブファイアウォール経由で検査するには、各スポークサブネットにユーザー定義ルート (UDR)を構成し、既定のゲートウェイ (0.0.0.0/0) がファイアウォールのプライベート IP アドレスを指すようにする必要があります。これにより、スポークからの送信トラフィックがすべて一元化されたファイアウォールでフィルター処理されます。

# Create a route table that forces traffic through the hub firewall:
az network route-table create \
  --resource-group spoke1RG \
  --name spoke1RouteTable

# Add a default route pointing to the Azure Firewall private IP:
az network route-table route create \
  --resource-group spoke1RG \
  --route-table-name spoke1RouteTable \
  --name defaultRoute \
  --address-prefix 0.0.0.0/0 \
  --next-hop-type VirtualAppliance \
  --next-hop-ip-address 10.0.1.4  # Azure Firewall private IP

ハブ内の Azure Firewall

ハブ VNet 内のAzure Firewallは、すべてのスポークに対して一元化されたネットワークセキュリティを提供します。次の機能をサポートしています。

ネットワーク規則 — IP、ポート、プロトコルに基づいて許可または拒否します
アプリケーション規則 — FQDN と HTTP カテゴリに基づいて許可または拒否します
DNAT 規則 — 受信したパブリック IP をプライベートなバックエンド IP に変換します
脅威インテリジェンス — 既知の悪意のある IP やドメインとの間のトラフィックをブロックします

1 つの Azure Firewall ですべてのスポーク VNet に対応できるため、スポークごとに個別のファイアウォールをデプロイする場合と比べて、コストと管理の負担を軽減できます。

ハブアンドスポークトポロジでの DNS

ハブアンドスポークアーキテクチャでは、DNS の一元化が重要です。ハブ VNet にリンクしたAzure DNS プライベートゾーンをデプロイし、スポーク VNet がハブの DNS サーバーを使用するように構成します（または、自動登録を有効にした Azure 提供の DNS を使用します）。これにより、すべてのスポーク内の VM が、プライベートエンドポイントを介して他のスポークの名前や Azure PaaS サービスの名前を、一貫した DNS 構成で解決できるようになります。

# Create a private DNS zone and link to hub VNet:
az network private-dns zone create \
  --resource-group hubRG \
  --name privatelink.blob.core.windows.net

az network private-dns link vnet create \
  --resource-group hubRG \
  --zone-name privatelink.blob.core.windows.net \
  --name hub-dns-link \
  --virtual-network hubVNet \
  --registration-enabled false

ハブ経由のオンプレミス接続

ハブアンドスポークの大きな利点は、オンプレミス接続をハブに一元化できることです。ハブ VNet 内の 1 つのVPN GatewayまたはExpressRoute Gatewayによって、すべてのスポークワークロードからオンプレミスシステムへ接続できます。スポークワークロードごとに独自のゲートウェイを用意する必要はありません。ピアリングを介してハブのゲートウェイからオンプレミスリソースにアクセスできるため、コストと複雑さを大幅に軽減できます。

トポロジのスケーリング

ハブアンドスポークは自然に拡張できます。新しいワークロードを追加するには、新しいスポーク VNet を作成してハブにピアリングし、ハブファイアウォール経由でルーティングする UDR を適用します。ハブのサービス（ファイアウォール、ゲートウェイ、DNS、Bastion）はすべてのスポークで共有されます。Azure Virtual WANは Microsoft が提供するマネージドハブアンドスポークサービスで、多数のスポーク VNet を持つ大規模なデプロイにおけるピアリング、ルーティング、ゲートウェイ管理を自動化します。

ハブアンドスポークとフラットネットワークの比較

フラットネットワーク（すべてをサブネットに配置した単一の大規模 VNet）は、開始時はより単純ですが、規模が大きくなると管理とセキュリティ保護が難しくなります。フラットネットワークでは、NSG だけで分離されたすべてのワークロードが同じアドレス空間を共有します。ハブアンドスポークでは、より強力な分離（VNet の境界は NSG の規則よりも越えることが困難です）、一元化されたセキュリティ制御、より明確なガバナンスを実現できます。また、各スポークを個別に管理できます。

ハブアンドスポークのコスト

ワークロードのリソース以外にかかるハブアンドスポークの主なコストは次のとおりです。

Azure Firewall — デプロイ時間に応じた料金に加え、データ処理料金がかかります
VPN/ExpressRoute Gateway — ゲートウェイ時間に応じた料金に加え、帯域幅の料金がかかります
VNet ピアリング — ピアリングリンクを介して転送したデータ 1 GB あたりの料金がかかります

これらのコストが発生しても、通常は各スポークに個別のファイアウォール、ゲートウェイ、DNS サーバーをデプロイするより、サービスをハブに一元化する方が安価です。

簡単な確認

このレッスンで学んだ Microsoft Azure Fundamentals (AZ-900) の概念について、理解度を確認しましょう。

レッスンのまとめ

このレッスンでは、ハブアンドスポーク トポロジによって、共有ネットワークサービス（ファイアウォール、ゲートウェイ、DNS）をハブ VNet に一元化し、ワークロードを別々のスポーク VNet に配置すること、VNet ピアリングによってスポークをハブに接続し、UDR によってトラフィックをハブファイアウォール経由でルーティングすることを学びました。また、プラットフォームサービスをすべてのスポークで共有することで、効率的にスケーリングできることも学びました。次は、RBAC と Privileged Identity Management を使用したエンタープライズの ID とアクセスの設計について説明します。

よくある質問