ここまでで、1つのVNetの中を設計できるようになりました。今回は視点を一段上げて、「VNet同士」「VNetとオンプレ（社内ネットワーク）」をどう繋ぐかを扱います。VNetは単一リージョン・単一サブスクに閉じるものでしたから、またぐには明示的な接続が必要——その具体的な手段が、VNetピアリング・ハブ＆スポーク・VPN Gateway / ExpressRouteです。
「ハブ＆スポーク」って言葉はよく聞くけど、なぜわざわざそんな形にするの？普通に全部のVNetを繋げばよくない？
この記事では、次の4つを順番に整理します。読み終えたときに、これらを自分の言葉で説明できるようになることをゴールにしています。
- VNetピアリングでVNet間を接続できる
- ピアリングのゲートウェイ転送 / リモートゲートウェイ使用を理解している
- ハブ＆スポーク構成の考え方を理解している
- VPN Gateway / ExpressRoute でのオンプレ接続の概要を理解している
VNetピアリングでVNet間を接続する
VNetピアリングとは、2つのVNetを直接つなぎ、双方のリソースがプライベートIPのまま相互通信できるようにする機能です。まるで1つのネットワークのように、内線同士で会話できるようになります。
ピアリングには2種類あり、繋ぐVNetの場所で呼び名が変わります。
- リージョナルピアリング：同じリージョン内のVNet同士をつなぐ
- グローバルピアリング：異なるリージョンのVNet同士をつなぐ（東日本↔西日本など）
ここで初学者が必ず引っかかるポイントが2つあります。1つ目は「ピアリングは”両側”で設定が要る」こと。VNet-AからVNet-Bへ、VNet-BからVNet-Aへ、と双方向で接続を作って初めて通信できます（CLIでも2回コマンドを打ちます）。2つ目は「ピアリングは連鎖（推移）しない」こと。A↔B、B↔Cを繋いでも、AとCは自動では繋がりません（Bを経由してくれない）。この2点が、次のハブ＆スポークを理解する伏線になります。
# A → B の向き
az network vnet peering create -g rg-network \
-n A-to-B --vnet-name vnetA \
--remote-vnet vnetB --allow-vnet-access
# B → A の向き（★逆向きも必要）
az network vnet peering create -g rg-network \
-n B-to-A --vnet-name vnetB \
--remote-vnet vnetA --allow-vnet-access【ここが説明できればOK①】
「VNetピアリングは2つのVNetをつなぎ、プライベートIPで相互通信させる機能。両側で設定が必要で、推移（連鎖）はしない」——これを言えれば、1つ目のチェックはクリアです。
ゲートウェイ転送 / リモートゲートウェイ使用
ピアリングを設定するとき出てくるのが、この「ゲートウェイ転送（Gateway Transit）」と「リモートゲートウェイの使用（Use Remote Gateway）」という一対のオプションです。名前が難しそうですが、狙いは1つ——「1つのゲートウェイを、複数のVNetで共有する」ことです。
VPN GatewayやExpressRouteのゲートウェイは高価です。オンプレに繋ぎたいVNetが5個あるからといって、ゲートウェイを5個作るのは無駄。そこでゲートウェイは1つのVNet（ハブ）にだけ置き、他のVNet（スポーク）はそれを借りる——これを実現するのが、このペアのオプションです。
ハブVNet（ゲートウェイを持つ側）
→ ピアリング設定で「ゲートウェイ転送を許可」をON
＝「うちのゲートウェイを貸すよ」
スポークVNet（借りる側）
→ ピアリング設定で「リモートゲートウェイを使用」をON
＝「ハブのゲートウェイを使わせてもらうよ」この一対をセットで有効にすると、スポークVNetは自分でゲートウェイを持たなくても、ハブのゲートウェイ経由でオンプレと通信できるようになります。「貸す側＝ゲートウェイ転送」「借りる側＝リモートゲートウェイ使用」とペアで覚えるのがコツです。
「高価なゲートウェイを1個だけ置いて、みんなで共有する」ための仕組み。だから次のハブ＆スポークと相性抜群なんだ！
【ここが説明できればOK②】
「ゲートウェイ転送（貸す側）とリモートゲートウェイ使用（借りる側）をペアで設定すると、1つのゲートウェイを複数VNetで共有できる」——これを説明できれば、2つ目のチェックはクリアです。
ハブ＆スポーク構成の考え方
ここまでの伏線が回収されます。ハブ＆スポークは、Azureネットワーク設計の王道アーキテクチャです。
ハブ＆スポークとは、共有サービス（ゲートウェイ・ファイアウォール・共通DNSなど）を中心の「ハブVNet」に集約し、各業務システムを「スポークVNet」として周りに配置し、ピアリングで放射状につなぐ構成です。
┌─────────────┐
│ ハブ VNet │ ← 共有: Firewall / Gateway / DNS
│ (共有サービス) │
└──────┬──────┘
ピアリング │ │ │ ピアリング
┌────────┘ │ └────────┐
┌────▼───┐ ┌────▼───┐ ┌───▼────┐
│スポークA│ │スポークB│ │スポークC│
│(業務系1)│ │(業務系2)│ │(検証系) │
└────────┘ └────────┘ └────────┘冒頭の「なぜ全VNetを直接繋がないのか」への答えがこれです。VNetが10個あるとき、全部を相互に繋ぐと接続数は膨大になり管理が破綻します。一方ハブ＆スポークなら、各スポークはハブと1本繋ぐだけ。共有サービス（ファイアウォールやゲートウェイ）もハブに1つ置けば全スポークで使い回せます。前回の「0.0.0.0/0をFirewallに向けるUDR」と、今回の「ゲートウェイ共有」が、ここでガッチリ噛み合うわけです。
なお、ピアリングは推移しないのでスポークA↔スポークCは直接通信できません。スポーク間を通信させたい場合は、ハブのファイアウォール経由でルーティングする（UDRでハブへ向ける）といった設計を追加します。この「あえて中央を経由させる」ことが、通信を検査・制御できるというセキュリティ上のメリットにもなっています。
【ここが説明できればOK③】
「ハブ＆スポークは、共有サービスをハブVNetに集約し、業務システムをスポークとして放射状にピアリングする構成。管理性と共有・検査集約に優れる」——これを図示して説明できれば、3つ目のチェックはクリアです。
VPN Gateway / ExpressRoute でのオンプレ接続
最後は、Azureとオンプレミス（社内データセンター）をつなぐ2つの手段です。ハブ＆スポークのハブに置く「ゲートウェイ」の正体が、この2つです。
VPN Gateway … インターネット経由の暗号化トンネル（IPsec）
・比較的安価・すぐ始められる
・帯域や品質はインターネット依存
・小〜中規模、検証、バックアップ回線向き
ExpressRoute … 専用線でAzureとオンプレをつなぐPrivate接続
・インターネットを経由しない（高セキュリティ）
・高帯域・低遅延・安定
・高価。大企業・基幹システム・厳格要件向き使い分けの軸はシンプルです。VPN Gatewayは「インターネットの上に暗号化した秘密のトンネルを掘る」イメージ。手軽で安価な一方、通信品質はインターネット任せです。ExpressRouteは「Azureまで専用の私道を1本引く」イメージ。インターネットを一切通らないので高セキュリティ・高品質ですが、その分コストがかかります。
実務では、「基幹はExpressRoute、その障害時のバックアップにVPN」と両方を併用する構成もよく採られます。いずれにせよ、これらのゲートウェイをハブVNetに1つ置き、スポークから共有する（前述のゲートウェイ転送）のが定石、というところまで繋がって、VNetの全体像が完成します。
【ここが説明できればOK④】
「VPN Gatewayはインターネット経由のIPsecトンネル（安価・手軽）、ExpressRouteは専用線のPrivate接続（高品質・高価）。要件で使い分け、バックアップ併用もある」——これを説明できれば、4つ目のチェックはクリアです。
まとめ
- VNetピアリング：VNet同士をプライベートIPで直結。両側設定が必要・推移しない
- ゲートウェイ転送 / リモートゲートウェイ：ゲートウェイを1つに集約し複数VNetで共有
- ハブ＆スポーク：共有サービスをハブに集約する王道構成。管理性・検査集約に強い
- VPN Gateway（安価・IPsec） と ExpressRoute（専用線・高品質）でオンプレ接続
VNet同士・オンプレとの接続まで見えたら、最後は「PaaSサービス（Storage / SQL等）へ、いかに安全＝閉域で繋ぐか」と運用・セキュリティの仕上げです。Private Endpoint、サービスタグ、Bastion、フローログなどを次の最終回で扱います。オーナー的にも伸ばしどころの「閉域ネットワーク設計」の核心です。
