Azure Virtual Networkとは？設定方法からセキュリティ対策まで網羅的に解説

Azure
2025.03.25

「Azure Virtual Networkの仕組みがよくわからない」「設定方法に自信がない」
そう感じている方は多く、はじめての仮想ネットワークに戸惑うのは自然なことです。
本記事では、Azure Virtual Networkの基礎から実践的な活用方法までを丁寧に解説します。
専門用語についてもわかりやすく説明しているため、ネットワーク初心者の方でも安心して学べます。
Azure上でのネットワーク設計に不安がある方は、ぜひ本記事を参考にしてください。

Azure Virtual Network（通称Vnet）とは、一言でいうと「Azure上に構築できるプライベートなネットワーク空間」のことです。

現実の世界で、会社の中に外部からは入れない「社内ネットワーク」を構築するのと同じように、Azureというクラウドの世界の中に、仮想的なネットワーク、つまり「仮想ネットワーク」を構築できるサービスなのです。

このAzure Virtual Networkを利用することで、Azure上に作成した仮想マシン（サーバーのようなもの）やデータベースなどを、まるで自社のデータセンターにあるかのように、安全かつ自由に接続させることができます。インターネットからの不正なアクセスを遮断したり、逆に必要な通信だけを許可したりといった、きめ細やかなセキュリティ設定も可能です。

Azure Virtual Networkは、Azureでシステムを構築する上で、まさに「土台」となる非常に重要なサービスです。これがあるからこそ、私たちは安心してAzureの様々なサービスを利用できるのです。「クラウド上に作る、自分たち専用の安全なネットワーク」、それがAzure Virtual Networkであると、まずは覚えておきましょう。

Azure Virtual Networkの基本機能

Azure Virtual Networkは、単にプライベートなネットワーク空間を作るだけでなく、様々な便利な基本機能を備えています。これらを活用することで、より柔軟で安全なクラウド環境を実現できます。

  1. リソース間の接続: Azure Virtual Network内に作成した仮想マシン（VM）やデータベース、その他のAzureサービスを相互に接続できます。これにより、まるで同じ部屋にあるコンピューター同士が通信するように、安全かつ高速に連携させることが可能です。

  2. インターネット接続: Azure Virtual Network内のリソースからインターネットへ接続したり、逆にインターネットから特定のリソースへの接続を許可したりできます。もちろん、不要なインターネット接続を遮断することも可能です。

  3. オンプレミスネットワークとの接続: Azure Virtual Networkは、皆さんの会社や自宅の既存ネットワーク（オンプレミスネットワーク）と安全に接続する機能も提供します。これにより、クラウドと自社環境を組み合わせた「ハイブリッドクラウド」環境を構築できます。

  4. トラフィックのフィルタリング: Azure Virtual Network内を行き交う通信（トラフィック）を細かく制御できます。例えば、「このサーバーへのアクセスは、特定のコンピューターからのみ許可する」といったルールを設定し、セキュリティを高めることができます。これが後述するネットワークセキュリティグループ（NSG）の役割です。

  5. トラフィックのルーティング: 通信がどの経路を通るかを制御できます。通常はAzureが最適な経路を自動で設定しますが、特定の通信を監視用の仮想アプライアンス（専門的な機能を持つ仮想マシン）を経由させたい場合などに、経路をカスタマイズできます。

  6. 仮想ネットワーク間の接続: 複数のAzure Virtual Networkを作成した場合、それらを相互に接続（ピアリング）できます。これにより、異なる部署やプロジェクトで利用しているネットワーク同士を、安全かつプライベートに連携させることが可能です。

これらの基本機能によって、Azure Virtual Networkは単なる箱ではなく、インフラを支える多機能なネットワーク基盤として機能します。

Azure Virtual Networkを利用するメリット

では、Azure Virtual Networkを利用すると、具体的にどのようなメリットがあるのでしょうか？主な利点をいくつかご紹介します。

  • セキュリティの強化: なんといっても最大のメリットはセキュリティです。Azure Virtual Networkは、デフォルトで閉じたネットワーク空間を提供します。意図的に設定しない限り、外部から内部のリソースへアクセスすることはできません。さらに、ネットワークセキュリティグループ（NSG）を使えば、IPアドレスやポート番号に基づいて、きめ細かなアクセス制御が可能です。これにより、不正アクセスやサイバー攻撃のリスクを大幅に低減できます。
  • 柔軟なネットワーク設計: 自社のネットワークと同じように、IPアドレスの範囲を自由に設計できます。これにより、既存のネットワーク構成との整合性を保ったり、将来的な拡張を見越した設計を行ったりすることが容易になります。DNSサーバーの設定などもカスタマイズ可能です。
  • ハイブリッドクラウドの実現: VPN GatewayやExpressRouteといった機能を使うことで、既存のオンプレミスネットワークとAzure Virtual Networkを安全に接続できます。これにより、機密性の高いデータは社内に置きつつ、処理能力が必要なシステムはAzure上に構築するといった、柔軟なハイブリッドクラウド環境を実現できます。
  • 分離による影響範囲の限定: 複数のAzure Virtual Networkや、その中のサブネットを使い分けることで、システムや環境を論理的に分離できます。万が一、あるシステムでセキュリティ上の問題が発生しても、他のシステムへの影響を最小限に食い止めることができます。
  • Azureサービスのプライベート接続: 通常はインターネット経由でアクセスするAzureのPaaSサービス（データベースなど）も、Private Linkという機能を使えば、Azure Virtual Network内からプライベートかつ安全に接続できるようになります。

このように、Azure Virtual Networkは、Azure利用におけるセキュリティ、柔軟性、接続性の向上に大きく貢献する、不可欠なサービスと言えるでしょう。

Azure Virtual Networkの主要コンポーネント

Azure Virtual Networkは、いくつかの構成要素（コンポーネント）が組み合わさって機能しています。ここでは、特に重要なコンポーネントをいくつか見ていきましょう。

サブネット

サブネットとは、Azure Virtual Networkという大きなネットワーク空間を、さらに小さな区画に分割したものです。

家の中に「リビング」「寝室」「書斎」といった部屋があるように、Azure Virtual Networkの中に「Webサーバー用」「データベース用」「管理用」といった目的別のサブネットを作成できます。

サブネットに分割する主なメリットは、管理のしやすさとセキュリティの向上です。例えば、「Webサーバー用サブネット」にはインターネットからのアクセスを許可し、「データベース用サブネット」へのアクセスは「Webサーバー用サブネット」からのみ許可する、といった細かい制御が可能になります。後述するネットワークセキュリティグループ（NSG）は、このサブネット単位または個々のネットワークインターフェース（NIC）単位で適用できます。

ネットワークインターフェースカード（NIC）

ネットワークインターフェースカード（NIC）は、仮想マシン（VM）などのAzureリソースをAzure Virtual Network（正確にはその中のサブネット）に接続するための「仮想的なネットワークカード」です。

物理的なコンピューターにLANケーブルを挿すためのポート（NIC）があるように、Azureの仮想マシンにも、ネットワークに接続するための仮想的なNICが必要です。このNICには、Azure Virtual Network内のIPアドレス（プライベートIPアドレス）が割り当てられ、他のリソースとの通信が可能になります。必要に応じて、インターネットからアクセスするためのパブリックIPアドレスを紐付けることもできます。

ネットワークセキュリティグループ（NSG）

ネットワークセキュリティグループ（NSG）は、Azure Virtual Network内のリソースに対する通信（ネットワークトラフィック）を制御するためのファイアウォール機能です。「誰が」「どこから」「どのポート（通信の出入り口）を使って」アクセスできるか、といったルール（セキュリティ規則）を定義します。

NSGは、サブネット全体、または個々のNICに対して適用できます。例えば、「サブネットAへのHTTP（Webアクセス）通信は許可するが、それ以外の通信は拒否する」「仮想マシンBへのSSH（リモート接続）通信は、特定のIPアドレスからのみ許可する」といった設定が可能です。Azure Virtual Networkのセキュリティを確保する上で、NSGは非常に重要なコンポーネントです。

ルートテーブル

ルートテーブルは、Azure Virtual Network内の通信が、次にどこへ向かうべきかの経路情報（ルート）を定義するものです。通常、Azureは最適な経路を自動的に設定してくれますが（システムルート）、特定の通信を経路変更したい場合にカスタムルートを定義できます。

例えば、Azure Virtual Network内の全てのインターネット向け通信を、セキュリティ監視用の仮想アプライアンス（NVA: Network Virtual Appliance）を経由させたい場合などにルートテーブルを使用します。これにより、トラフィックの流れをより細かく制御できます。

仮想ネットワークピアリング

仮想ネットワークピアリングは、二つの異なるAzure Virtual Networkを直接接続する機能です。ピアリングされたネットワークは、あたかも一つの大きなネットワークであるかのように、相互にプライベートIPアドレスを使って通信できます。

例えば、部署ごとに異なるAzure Virtual Networkを運用している場合に、それらをピアリングすることで、部署間での安全なリソース共有が可能になります。通信はAzureのバックボーンネットワークを経由するため、低遅延かつ安全です。同じAzureリージョン内のVNet同士を接続する「仮想ネットワークピアリング」と、異なるリージョン間のVNetを接続する「グローバル仮想ネットワークピアリング」があります。

Azure Virtual Networkの利用料金　料金を構成する要素

「こんなに便利なAzure Virtual Networkだけど、料金は高いんじゃない？」と心配になるかもしれません。

実は、Azure Virtual Networkを作成すること自体には、基本的に料金はかかりません。無料で作成し、利用を開始できます。

ただし、Azure Virtual Networkに関連する以下の機能やリソースを利用する場合には、料金が発生します。

  • パブリックIPアドレス: 仮想マシンなどに固定のパブリックIPアドレス（インターネットからアクセスできるIPアドレス）を割り当てる場合、料金がかかります。動的に割り当てられるパブリックIPアドレスも、一定の条件下で料金が発生することがあります。
  • VPN Gateway: オンプレミスネットワークとAzure Virtual NetworkをVPN接続するためのゲートウェイです。稼働時間と、送受信したデータ量に応じて料金が発生します。
  • ExpressRoute: オンプレミスネットワークとAzureを専用線で接続するサービスです。ポート速度に応じた月額料金と、送信データ量に応じた料金が発生します（プランによります）。
  • 仮想ネットワークピアリングのデータ転送: 同じリージョン内のピアリングでは受信・送信ともに無料ですが、異なるリージョン間（グローバルピアリング）の場合、リージョン間で転送されるデータ量に応じて料金が発生します。
  • Network Watcher: NSGフローログなど、ネットワーク監視機能の一部は、保存されるログの量に応じて料金が発生します。
  • その他のサービス: Azure FirewallやNetwork Virtual Appliance (NVA)、Private Linkなど、Azure Virtual Networkと組み合わせて利用する他のAzureサービスには、それぞれ独自の料金体系があります。

つまり、Azure Virtual Networkの基本的な枠組みは無料ですが、より高度な接続（オンプレミス接続、グローバルピアリング）や、関連する付加サービスを利用すると料金が発生するという仕組みです。利用したい機能に合わせて、料金体系を確認することが重要です。

Azure Virtual Networkに似ているAzureサービスとの違い

Azureには多くのネットワーク関連サービスがあり、初心者の方には違いが分かりにくいかもしれません。Azure Virtual Networkと混同しやすいサービスとの違いを簡単に解説します。

  • Azure Load Balancer: 複数の仮想マシンなどにトラフィックを分散させる「負荷分散装置」です。Azure Virtual Networkがネットワークの「道」を作るのに対し、Load Balancerはその道を通る交通を整理する「交通整理員」のような役割です。Load Balancerは通常、Azure Virtual Network内で利用されます。
  • Azure Application Gateway: Webアプリケーションに特化した高機能な負荷分散装置（L7ロードバランサー）です。SSLオフロードやWeb Application Firewall (WAF)といった機能を提供します。これもAzure Virtual Network内で利用されることが多いサービスです。
  • Azure Firewall: Azure Virtual Networkを保護するための、インテリジェントなネットワークファイアウォールサービスです。NSGよりも高度な脅威保護や、アプリケーションレベルでのフィルタリング機能を提供します。Azure Virtual Networkに配置して利用します。
  • Azure Private Link: Azure PaaSサービス（Azure SQL Databaseなど）や、自社またはパートナーのサービスへ、Azure Virtual Networkからプライベートかつ安全に接続するためのサービスです。インターネットを経由せずに接続できる点が特徴です。

簡単にまとめると、Azure Virtual Networkはネットワークの基盤（道路網）であり、他の多くのネットワークサービス（交通整理員、検問所、専用トンネルなど）はこの基盤の上で機能する、というイメージを持つと分かりやすいでしょう。

Azure Virtual Networkをデプロイする手順を解説

ここでは、Azure Virtual Networkを実際に作成（デプロイ）する基本的な手順と、関連する接続設定について解説します。最も分かりやすいAzure Portalを使った手順を想定しています。

デプロイ手順

  1. Azure Portalにサインイン: まずはAzureの管理画面であるAzure Portalにアクセスし、ご自身のアカウントでサインインします。
  2. リソースの作成: ポータルの左上にある「リソースの作成」をクリックし、検索ボックスに「Virtual Network」または「仮想ネットワーク」と入力して検索します。
  3. 仮想ネットワークの選択: 検索結果から「仮想ネットワーク」を選択し、「作成」ボタンをクリックします。
  4. 基本情報の入力:
    • サブスクリプション: 利用するAzureの契約を選択します。
    • リソースグループ: VNetを管理するためのグループを選択または新規作成します。（リソースグループは、関連するリソースをまとめるためのフォルダのようなものです。）
    • 名前: 作成するAzure Virtual Networkの名前を入力します。（例: MyVNet）
    • リージョン: VNetを作成する地域を選択します。（例: 東日本）
  5. IPアドレス空間の定義:
    • 「IP アドレス」タブに移動します。
    • IPv4 アドレス空間: このAzure Virtual Networkで使用するプライベートIPアドレスの範囲をCIDR形式（例: 10.0.0.0/16）で指定します。この範囲から、後で作成するサブネットやリソースにIPアドレスが割り当てられます。
    • サブネットの追加: 最初に使用するサブネットを少なくとも一つ定義します。「+ サブネットの追加」をクリックし、サブネット名（例: default）とサブネットのアドレス範囲（例: 10.0.0.0/24）を指定します。アドレス範囲は、VNetのアドレス空間内に収まるように設定します。
  6. セキュリティ設定（オプション）:
    • 「セキュリティ」タブでは、Azure Bastion（ブラウザ経由で安全にVMに接続する機能）、DDoS保護、Azure Firewallの有効化などを設定できます。最初はデフォルトのままでも構いません。
  7. 確認と作成:
    • 「確認および作成」タブで設定内容を確認し、問題がなければ「作成」ボタンをクリックします。
    • デプロイが開始され、数分程度でAzure Virtual Networkが作成されます。

これで、基本的なAzure Virtual Networkとその中に一つのサブネットが作成されました。このVNet内に仮想マシンなどをデプロイすれば、プライベートネットワーク内で通信を開始できます。

ピアリング接続

異なる二つのAzure Virtual Network（例えば VNet-A と VNet-B）を接続（ピアリング）する手順の概要です。

  1. VNet-Aの設定: Azure Portalで VNet-A の設定画面を開き、メニューから「ピアリング」を選択します。
  2. ピアリングの追加: 「+ 追加」をクリックします。
  3. ピアリングリンク名の設定: このピアリング接続の名前を設定します（例: VNet-A-to-VNet-B）。
  4. リモート仮想ネットワークの指定: 接続先のAzure Virtual Networkとして VNet-B を選択します。
  5. 構成オプション: 必要に応じて、ゲートウェイ転送の許可などを設定します。
  6. 追加: 「追加」ボタンをクリックします。
  7. VNet-Bの設定: 同様の手順をVNet-B側でも行い、VNet-Aへのピアリングリンク（例: VNet-B-to-VNet-A）を作成します。

両方のAzure Virtual Networkで相互にピアリング設定を行うことで、接続が確立されます。

オンプレミスネットワークとの接続

会社のネットワーク（オンプレミス）とAzure Virtual Networkを接続するには、主に二つの方法があります。

  1. サイト間VPN接続 (VPN Gateway):
    • Azure側: Azure Virtual Network内に「仮想ネットワークゲートウェイ」を作成します。
    • オンプレミス側: VPN接続に対応したルーターなどのネットワーク機器が必要です。
    • Azure Portalとオンプレミス機器の両方で、相互に接続するための設定（共有キーなど）を行います。
    • インターネット経由で暗号化されたVPNトンネルが確立され、安全に通信できるようになります。
  2. ExpressRoute接続:
    • 通信事業者（キャリア）が提供する閉域網サービスを利用して、オンプレミスネットワークとAzureのデータセンターを専用線で接続します。
    • VPN Gatewayよりも高速で安定した、信頼性の高い接続が必要な場合に選択されます。
    • 設定はVPN Gatewayよりも複雑で、通信事業者との契約も必要になります。

どちらの方法を選択するかは、必要な帯域幅、信頼性、予算などによって決まります。いずれの場合も、Azure Virtual Network側に仮想ネットワークゲートウェイの作成と設定が必要になります。

Azure Virtual Networkのトラフィック監視

Azure Virtual Networkを運用していく上で、ネットワーク内でどのような通信が行われているかを監視することは非常に重要です。監視によって、セキュリティの問題を発見したり、パフォーマンスのボトルネックを特定したり、接続の問題をトラブルシューティングしたりできます。Azureでは、以下のような監視ツールが提供されています。

  • Network Watcher: Azureネットワークの監視、診断、ログ収集のための統合的なサービスです。
    • トポロジ表示: Azure Virtual Network内のリソース構成と接続関係を視覚的に表示します。
    • IPフロー検証: 指定した仮想マシン間で通信が可能かどうか（NSGルールによってブロックされていないかなど）を確認できます。
    • 次ホップ: 通信が特定の宛先に向かう際に、次に経由するルーターやゲートウェイを特定します。ルーティングの問題特定に役立ちます。
    • 接続モニター: リソース間の接続性や遅延を継続的に監視します。
    • パケットキャプチャ: 仮想マシンで送受信される実際のネットワークパケットを取得し、詳細な分析を可能にします。
    • NSGフローログ: ネットワークセキュリティグループ（NSG）を通過した通信（許可/拒否）の詳細なログを記録します。どのIPアドレスからどのポートへのアクセスがあったかなどを把握でき、セキュリティ監査やトラフィック分析に不可欠です。
  • Azure Monitor (Network Insights): Azure Monitorの機能の一部で、ネットワーク全体の正常性、パフォーマンス、依存関係などをダッシュボード形式で分かりやすく表示します。Network Watcherの機能も統合的に利用できます。

これらのツールを活用することで、Azure Virtual Networkの健全性を維持し、問題発生時に迅速に対応することが可能になります。特にNSGフローログは、セキュリティインシデントの調査や、意図しない通信の発見に非常に役立ちます。

Azure Virtual Networkを使用する際の注意点

Azure Virtual Networkは非常に便利で強力なサービスですが、利用する上でいくつか注意しておきたい点があります。

  • IPアドレス空間の計画: Azure Virtual Networkを作成する際に指定するIPアドレス空間は、後から変更するのが非常に困難です。将来的なリソースの増加や、オンプレミスネットワークとの接続、他のAzure Virtual Networkとのピアリングなどを考慮して、十分な大きさの、かつ重複しないアドレス空間を慎重に計画する必要があります。特に、オンプレミスや他のVNetと接続する場合、アドレス範囲が重複していると通信できません。

  • リージョンの選択: Azure Virtual Networkは特定のAzureリージョン内に作成されます。VNet内のリソース（VMなど）も、原則として同じリージョンに作成する必要があります。異なるリージョンのリソースを接続するには、グローバルVNetピアリングやVPN Gatewayなどが必要になり、追加のコストや遅延が発生する可能性があります。

  • サブネットの設計: サブネットは、セキュリティ境界やルーティング制御の単位となります。Webサーバー、アプリケーションサーバー、データベースサーバーなど、役割に応じてサブネットを分割し、それぞれに適切なNSGルールを適用することが推奨されます。

  • NSGのルール: NSGのルールは「許可」と「拒否」を組み合わせて設定します。設定ミスは、必要な通信をブロックしてしまったり、逆に不要なアクセスを許可してしまったりする原因になります。最小権限の原則に基づき、必要な通信のみを許可するように設定し、定期的に見直すことが重要です。デフォルトのルールも理解しておきましょう。

  • 命名規則: VNet、サブネット、NIC、NSGなどのリソースには、分かりやすく一貫性のある命名規則を適用しましょう。リソースが増えてきたときに、管理が格段にしやすくなります。

  • コスト意識: 前述の通り、Azure Virtual Network自体は無料ですが、関連するサービス（VPN Gateway, Public IP, Peering転送など）にはコストがかかります。必要な機能を見極め、コストを意識した設計・運用を心がけましょう。

  • 制限事項: Azureサブスクリプションごとに作成できるAzure Virtual Networkの数などには上限があります。大規模な環境を構築する場合は、これらの制限事項も考慮に入れる必要があります。

これらの注意点を踏まえて計画・設計・運用することで、Azure Virtual Networkのメリットを最大限に活かすことができます。

まとめ

今回は、Azureのネットワークサービスの根幹をなす「Azure Virtual Network（VNet）」について、その概要から基本機能、メリット、主要コンポーネント、料金、デプロイ手順、監視、注意点まで、初心者の方にも分かりやすく解説してきました。

Azure Virtual Networkは、Azure上に安全で独立したプライベートネットワーク空間を構築するためのサービスです。これを利用することで、仮想マシンやデータベースなどのリソースを安全に接続し、オンプレミスネットワークとの連携や、きめ細かなセキュリティ制御を実現できます。

サブネット、NIC、NSG、ルートテーブル、ピアリングといったコンポーネントが連携し、柔軟なネットワーク構成を可能にします。基本的なAzure Virtual Networkの利用は無料ですが、VPN GatewayやExpressRoute、グローバルピアリングなどの高度な機能には料金が発生します。

Azureでシステムを構築する上で、Azure Virtual Networkの理解は避けて通れません。まさにクラウドインフラの「土台」であり、セキュリティと接続性の要となります。

この記事が、皆さんのAzure Virtual Networkに対する理解を深める一助となれば幸いです。ぜひ、実際にAzure PortalでAzure Virtual Networkを作成し、その機能に触れてみてください。

コメント

タイトルとURLをコピーしました