「Azureで何かを作ろう」と学習を始めると、VMでもApp ServiceでもDBでも、必ず土台に出てくるのが VNet（Virtual Network／仮想ネットワーク） です。ところが「VNetって結局なに？」「アドレス空間？サブネット？CIDR？」と聞かれると、言葉は知っていても自分の言葉で説明できずに詰まる方は多いはずです。
VNetは作ったことあるけど、「10.0.0.0/16」みたいな数字を何となく入れてるだけで、意味はふわっとしたまま…
この記事は、Azureネットワークシリーズの第1回として、VNetの「概要」だけに絞って次の4つを順番に整理します。読み終えたときに、この4つを自分の言葉で説明できるようになることをゴールにしています。
- VNetが何か（Azure内のプライベートネットワーク）を説明できる
- アドレス空間（CIDR）とサブネット分割の考え方を理解している
- プライベートIP / パブリックIP の違いを理解している
- VNetがリージョン内・サブスクリプション内に閉じる範囲を理解している
サブネットの細かい設計やNSG、ルーティング、閉域接続は後続の記事に譲り、ここでは「そもそもVNetとは何者なのか」という土台を固めます。各セクションの最後に「これが説明できればOK」という自己チェックの目安を置いていますので、学習の到達度確認にも使ってください。
VNetとは？（Azure内のプライベートネットワーク）
Azure Virtual Network（VNet）とは、Azure上に作る「自分専用のプライベートネットワーク」です。VM・データベース・App Serviceなどのリソースを、論理的に分離された安全なネットワークの中で相互に通信させるための土台になります。
身近な例で言うと、VNetは「自社専用に借り切ったオフィスビル1棟」のようなものです。ビルの中（VNet内）では、社員同士（＝VMなどのリソース）が内線電話や社内LANで自由に連絡を取り合えます。一方、ビルの外（＝インターネットや他社）とは、正面玄関の受付（＝ゲートウェイやファイアウォール）を通さないと行き来できません。この「内側は自由・外との境界は自分で管理する」という感覚がVNetの本質です。
もう少しAzureらしいポイントでVNetを整理すると、次のようになります。
- 論理的に分離されている：他のテナントやサブスクリプションのネットワークから隔離され、自分のVNet内の通信は他人に見えない。
- リソースを配置する「箱」：VMのNIC、Private Endpoint、App Serviceの統合先などが、このVNet（正確にはその中のサブネット）に置かれる。
- 境界の制御は自分の責任：外部への公開、他VNetやオンプレとの接続、通信の許可・拒否を、NSGやルーティングで自分で設計する。
つまりVNetは、「Azure上のリソースが安全に会話するための、自分専用の内線ネットワーク」だと捉えると腑に落ちます。VMを1台作るだけでも、その裏では必ずVNetとサブネットが土台として存在しているのです。
【ここが説明できればOK①】
「VNetは、Azure内でリソースが通信するための、論理的に分離されたプライベートネットワークである」——これを自分の言葉で言えれば、1つ目のチェックはクリアです。
アドレス空間（CIDR）とサブネット分割の考え方
VNetを作るとき、必ず入力するのが 10.0.0.0/16 のような数字です。これが アドレス空間（CIDR） で、VNet理解の最初の山場です。
アドレス空間（CIDR）とは、そのVNetが使えるIPアドレスの「範囲」の指定です。
/16や/24といった数字（プレフィックス）が、範囲の大きさを表します。
数字が小さいほど範囲は広く、大きいほど狭くなります。ざっくりしたイメージは次のとおりです。
10.0.0.0/16… 約65,536個のIP（広い＝ビル全体の住所）10.0.1.0/24… 256個のIP（狭い＝1フロア分の住所）
そして、この広いアドレス空間を用途ごとに小さく区切ったものがサブネットです。VNet＝ビル全体、サブネット＝各フロア、という関係で図にするとこうなります。
VNet: myVnet (10.0.0.0/16) ← ビル全体の住所範囲
│
├─ subnet-app 10.0.1.0/24 ← アプリ用フロア（256個）
├─ subnet-db 10.0.2.0/24 ← DB用フロア
├─ subnet-pe 10.0.3.0/24 ← Private Endpoint用フロア
└─ subnet-bastion 10.0.4.0/26 ← Bastion用フロア（用途で命名・サイズが決まる）ポイントは「VNetという大きな住所範囲を、用途別のサブネットに割り当てていく」という考え方です。アプリ用・DB用・Private Endpoint用…と分けておくことで、あとでNSG（通信ルール）を用途別に当てられるようになります。サブネット同士のCIDRは重複してはいけない（同じフロア番号を二重に振れない）という点も、この段階で押さえておきましょう。
「VNet＝広い住所範囲、サブネット＝用途別に区切ったフロア」。この親子関係さえ掴めば、CIDRの数字にビビらなくなるよ！
【ここが説明できればOK②】
「VNetにはCIDRでアドレス空間を決め、それを用途別のサブネットに（重複しないように）分割して割り当てる」——これを説明できれば、2つ目のチェックはクリアです。
プライベートIP / パブリックIP の違い
VNetの中でリソースに割り当てられるIPには、大きく2種類あります。この違いが分かると、「なぜVNet内では通信できるのに、外からは繋がらないのか」がクリアになります。
プライベートIP … VNet内部の通信用（例: 10.0.1.4）
└ ビルの「内線番号」。外部からは直接ダイヤルできない
パブリックIP … インターネットからの到達用（例: 20.x.x.x）
└ ビルの「代表電話・外線番号」。外部に公開するとき使うプライベートIPは、VNet内でリソース同士が会話するための内線番号です。VMを作れば自動的にサブネットの範囲から1つ割り当てられ、同じVNet（やピアリング先）のリソースとはこのIPで通信します。インターネットからは直接届きません。
パブリックIPは、リソースをインターネットに公開したいときに別途割り当てる外線番号です。Webサーバーを外部公開する、VMにインターネット経由でSSH/RDPする、といった場面で使います。逆に言えば、「外部に公開する必要がなければパブリックIPは付けない」のがセキュリティの基本です。
実務では、「内部通信はプライベートIP、外部公開だけパブリックIP、公開先の入口はできるだけ絞る」という設計が定石になります。閉域化（Private Endpointなど）の話も、突き詰めれば「パブリックIPをなくして、プライベートIPだけで完結させる」という発想が根っこにあります。
【ここが説明できればOK③】
「プライベートIPはVNet内部の通信用（外部から直接届かない）、パブリックIPはインターネットへの公開用」——この違いを言えれば、3つ目のチェックはクリアです。
VNetが閉じる範囲（リージョン内・サブスクリプション内）
最後に、VNetを設計するうえで意外と見落としやすい「VNetが及ぶ範囲」を押さえます。VNetには2つの重要な境界があります。
- 1つのリージョンに属する：VNetは「Japan East」「East US」など単一リージョン内のリソースです。別リージョンのVNetとは、そのままでは繋がりません（繋ぐには後述のピアリング等が必要）。
- 1つのサブスクリプションに属する：VNetは特定のサブスクリプション（と、その中のリソースグループ）に作られます。別サブスクのVNetとの接続にも、明示的な設定が要ります。
なぜこれが大事かというと、「東日本と西日本にリソースを分けたい」「本番と検証でサブスクを分けたい」といった構成では、VNetが自動的にまたがってくれるわけではなく、複数のVNetを作って明示的に接続する設計が必要になるからです。「1つのVNetで全リージョン・全サブスクをカバーできる」と誤解していると、設計を大きく間違えます。
裏を返せば、「リージョンやサブスクをまたぐ通信が出てきたら、VNetピアリングやゲートウェイの出番」という判断軸が得られます。この「またぐときは明示的に繋ぐ」という感覚は、後続のハブ＆スポークやオンプレ接続の回で効いてきます。
【ここが説明できればOK④】
「VNetは単一リージョン・単一サブスクリプションに閉じる。またぐ通信にはピアリングやゲートウェイなどの明示的な接続が要る」——これを説明できれば、4つ目のチェックはクリアです。
まとめ
今回のポイントを振り返りましょう。この4つを自分の言葉で説明できれば、VNetの「概要」はバッチリです。
- VNet は、Azure内でリソースが通信するための論理的に分離されたプライベートネットワーク
- アドレス空間（CIDR） を決め、それを用途別のサブネットに重複なく分割して使う
- プライベートIP＝VNet内部の通信用、パブリックIP＝インターネット公開用
- VNetは単一リージョン・単一サブスクリプションに閉じる。またぐには明示的な接続が必要
概要がつかめたら、次は実際に VNetとサブネットを作成し、用途別に設計する手順 に進みましょう。Azureが予約する5つのIPや、GatewaySubnetのような特殊サブネットなど、「作るときに知らないとハマるポイント」を次の記事で整理します。手を動かすと、今回のCIDRとサブネットの関係が一気に「腑に落ちる」はずです。
