Azure ExpressRoute 完全ガイド｜専用線接続の設計・実装・運用ベストプラクティス

Azure ExpressRoute は、企業のオンプレネットワークと Azure を専用線で接続するサービスで、エンタープライズグレードの SLA・帯域・レイテンシを実現する Azure の根幹インフラ機能です。 本記事では、ExpressRoute の構成要素・SKU 選定・暗号化オプション・導入手順・コスト構造を、設計担当者が即実務に活用できる形で網羅的に整理します。

ExpressRoute vs VPN Gateway

Circuit と Connection の階層構造

ExpressRoute は Circuit → Peering → Connection の 3 階層構造を持ちます。

• Circuit: キャリアと契約する『物理回線』を Azure 上で表現するリソース。サービスプロバイダ・帯域・SKU・課金タイプを持つ。
• Peering: Circuit 内のルーティングドメイン。Private Peering (VNet 接続用)・Microsoft Peering (Microsoft 365 / Azure PaaS 接続用) の 2 種類。
• Connection: Circuit と VNet を接続するリソース。1 つの Circuit に複数の Connection (複数 VNet 接続) が可能。

Standard SKU では 1 Circuit あたり最大 10 Connection、Premium SKU では 100 Connection まで対応します。

SKU 選定: Local / Standard / Premium

日本国内ワークロードなら Standard で十分、グローバル企業や Disaster Recovery で異リージョン接続が必要なら Premium 必須です。

Global Reach

Global Reach は、2 つの ExpressRoute Circuit を Microsoft バックボーン経由で相互接続する機能です。

例: 東京オフィスと東京 Azure を ExpressRoute で接続、ロンドンオフィスとロンドン Azure を別 ExpressRoute で接続、両者を Global Reach で繋ぐと、東京オフィスとロンドンオフィス間が Microsoft バックボーン経由で高速通信可能に。 従来のキャリア専用線 (例: 各拠点間の IP-VPN) の代替として、Microsoft バックボーンを WAN として活用する構成。 Premium SKU + Global Reach 課金 (月数万円) で利用可能、多拠点企業のグローバル WAN コスト削減ソリューションとして注目されています。

ExpressRoute Direct

通常 ExpressRoute はサービスプロバイダ (NTT Communications・SoftBank・KDDI・Equinix・Megaport など) を介してキャリア回線経由で Microsoft Edge に接続。ExpressRoute Direct は、Microsoft Edge ルーターのポート (10 Gbps または 100 Gbps) を顧客が直接購入し、自社所有の専用線で Microsoft に直結する構成。

サービスプロバイダを介さず、超大容量 (100 Gbps × 2 = 200 Gbps) と Layer 2 アクセスを実現。料金は高額 (月数百万-1,000 万円以上) で、超大規模エンタープライズ (金融機関・大手 SI のコアシステム) や、サービスプロバイダ自身が使う構成。 MACsec 暗号化は ExpressRoute Direct でのみ利用可能です。

暗号化オプション

ExpressRoute は標準では暗号化されません。専用線接続のため『物理的に分離されているから暗号化不要』という考え方が伝統的でしたが、近年のゼロトラストアプローチでは暗号化が推奨されます。

• MACsec (Media Access Control Security): ExpressRoute Direct のみ対応、L2 レイヤ暗号化、AES-128-GCM / AES-256-GCM。
• IPsec over ExpressRoute: VPN Gateway を ExpressRoute 上に重ね、ExpressRoute Private Peering の上で IPsec トンネルを構成。最も一般的な End-to-End 暗号化パターン。
• Customer-managed encryption: アプリケーションレイヤで暗号化 (HTTPS / TLS)。

コンプライアンス要件 (GDPR・HIPAA・PCI DSS) で End-to-End 暗号化が必須の場合は IPsec over ExpressRoute が定番パターンです。

導入手順

標準的な導入手順は以下の通り、全工程で 2-4 ヶ月かかります。

1. サービスプロバイダ選定 (NTT Com・SoftBank・KDDI・Equinix・Megaport など、Azure リージョンと地理的に最も近い接続ポイントを選ぶ)
2. サービスプロバイダとキャリア回線契約 (リードタイム 4-12 週間、これが最大のボトルネック)
3. Azure Portal で ExpressRoute Circuit リソース作成 (Service Key 発行)
4. サービスプロバイダに Service Key を渡して回線開通
5. Circuit の Peering 設定 (Private Peering: VNet 接続・Microsoft Peering: M365 / Azure PaaS 接続)
6. ExpressRoute Gateway を Hub VNet の GatewaySubnet に展開
7. Circuit と Gateway を Connection で接続
8. ルーティング動作確認とフェイルオーバーテスト

コスト構造

ExpressRoute のコストは以下の要素から構成されます (1 Circuit・1 Gbps・Standard SKU・東京リージョン参考)。

高可用性 (HA) 設計

本番環境では ExpressRoute の高可用性設計が必須です。

• Dual Circuit: 異なるサービスプロバイダ経由で 2 つの Circuit を構成、片方障害時もう片方で継続。
• Geo-Redundant Pair: 異リージョンの 2 つの Circuit (例: 東京 + 大阪) で地理的冗長化。
• VPN Failover: ExpressRoute をプライマリ + VPN Gateway をバックアップ。コスト削減型 HA。
• BGP メトリック調整: AS Path Prepending や Local Preference でルート優先度を制御。

関連認定試験

ExpressRoute 関連知識を体系的に学ぶには Microsoft 認定が最も効率的です。

• AZ-700 (Network Engineer Associate): ExpressRoute が深く問われ、Peering / Routing / Connection / SKU 選定 / FastPath などの設計判断が頻出。
• AZ-104 (Administrator): ドメイン 4 で ExpressRoute 基礎。
• AZ-305 (Solutions Architect Expert): アーキテクト視点での選定 (VPN vs ExpressRoute vs Virtual WAN)。

詳細は Azure ネットワークエンジニア キャリアロードマップ を参照してください。

よくある質問

本記事の技術情報は Azure ExpressRoute Documentation に基づいています。 本記事は Microsoft Corporation の公式商品ではなく、いかなる提携・後援関係もありません。 Microsoft、Azure は Microsoft group of companies の商標です。 情報は 2026 年 5 月 24 日時点の公式公開資料に基づきます。最新情報は必ず公式ページをご確認ください。