Azure Hub-Spoke vs Virtual WAN 完全比較｜大規模ネットワーク設計の選定

Azure の大規模ネットワーク設計には 2 つの代表的なアーキテクチャパターンがあります。Hub-Spoke (DIY 型) と Virtual WAN (マネージド型) で、両者は設計思想・コスト・運用負荷・適用シーンが大きく異なります。 本記事では、両者の構成・選定基準・移行戦略を多角的に比較し、自社環境での最適パターンを判断する材料を提供します。

2 つのアーキテクチャの全体比較

Hub-Spoke アーキテクチャ

Hub-Spoke は『中央の Hub VNet + 複数の Spoke VNet』の論理構成で、エンタープライズ Azure 環境の標準パターンとして広く採用されています。

構成要素

• Hub VNet: 共有サービス (Azure Firewall・VPN Gateway・ExpressRoute Gateway・DNS Server・Bastion) を配置
• Spoke VNet: 業務システム別 (Dev / Stage / Prod や事業部別) に分離
• VNet Peering: Hub と各 Spoke を接続。Spoke 同士は直接接続しない
• Spoke-to-Spoke Transit: Spoke 間通信は Hub の Azure Firewall 経由でルーティング
• UDR (User Defined Route): Spoke の Subnet に Next Hop = Hub Firewall を設定

メリットとデメリット

• メリット: 中央集約による統制、Spoke の独立性、Azure Firewall や NVA の選択肢が広い、設計の柔軟性が高い
• デメリット: Peering ・UDR・ルーティング設計が複雑、多リージョン展開で Hub-to-Hub 接続が必要、運用負荷が大きい

Virtual WAN アーキテクチャ

Virtual WAN は Microsoft マネージドのSD-WAN サービスで、世界中の Microsoft バックボーンを活用した自動メッシュ構成を提供します。

構成要素

• Virtual WAN: 親リソース、複数 Hub を統合管理
• Virtual Hub: リージョンごとに配置するマネージド Hub、Microsoft が運用
• Connection: VNet Connection・VPN Site (S2S)・User VPN (P2S)・ExpressRoute Circuit
• Routing Intent: トラフィックフローを宣言的に定義 (Private Traffic / Internet Traffic)
• Secured Virtual Hub: Azure Firewall または SaaS Firewall を統合した Hub

メリットとデメリット

• メリット: 多拠点接続が自動構成、グローバルスケール、Azure Firewall Manager 統合、運用負荷が低い
• デメリット: 一部 NVA (Palo Alto・Check Point は対応) は制約あり、設計の自由度が Hub-Spoke より低い、Microsoft のマネージドサービスの仕様変更影響を受ける

Secured Virtual Hub

Secured Virtual Hub は、Virtual WAN の Virtual Hub に Azure Firewall または互換 SaaS Firewall (Check Point Cloud Guard・Palo Alto Cloud NGFW など) を統合した構成。 Virtual Hub 自体がファイアウォール機能を持ち、Spoke VNet 間トラフィック・Branch-to-Cloud トラフィック・Cloud-to-Internet トラフィックを横断的にフィルタリング可能。

Azure Firewall Manager 経由でセキュリティポリシーを集中管理でき、エンタープライズスケールでのセキュリティ統制を効率化。Virtual WAN の最大の差別化機能の 1 つで、Azure Firewall を組織横断で適用したい場合の標準パターンです。

選定フローチャート

簡易判断フロー:

1. ブランチオフィスは何拠点? → 10+ なら Virtual WAN、3 以下なら Hub-Spoke。
2. リージョンは何個? → 5+ なら Virtual WAN、3 以下なら Hub-Spoke。
3. 既存 SD-WAN ベンダがある? → ある場合は Virtual WAN (CPE 統合)、ない場合は Hub-Spoke も可。
4. 高度な NVA (Palo Alto・Check Point) を Hub に置きたい? → 必要なら Hub-Spoke (Virtual WAN は対応 SaaS Firewall のみ)、不要なら Virtual WAN OK。
5. 全社で Azure Firewall を統一適用したい? → どちらも対応可能だが Virtual WAN の Firewall Manager 統合が便利。

判断に迷う場合は、まず Hub-Spoke で始めて成長に応じて Virtual WAN 移行を検討するのが現実的なアプローチです。

Hub-Spoke から Virtual WAN への移行

既存 Hub-Spoke から Virtual WAN への移行は可能ですが、計画的な移行が必要です。基本的な手順:

1. Virtual WAN を新規作成し Virtual Hub を構成
2. Azure Firewall を Virtual Hub 内に Secured Hub として再展開
3. 既存 Spoke VNet を Virtual Hub に Connect (VNet Peering の置き換え、ダウンタイム最小)
4. 既存 Hub-Spoke の VPN/ExpressRoute Gateway を Virtual Hub の Gateway に置き換え
5. ルーティング動作を Virtual Hub の Routing Intent でカスタマイズ
6. 旧 Hub VNet を削除

重要な注意点として、Virtual WAN への移行は事前検証で 1-2 ヶ月の PoC を推奨。Microsoft 提供の移行ガイドと、Azure サポートチケットでの相談が安全です。

コスト比較の詳細

実際のコストは規模によって大きく変動しますが、参考レンジは以下の通りです (1 リージョン構成、Standard SKU 想定)。

基本的にコスト差は小さく、規模が大きくなると Virtual WAN のほうがスケール経済が効きやすい傾向。10 Branch 以上で Virtual WAN がコスト面でも優位になることが多いです。

関連認定試験

Hub-Spoke と Virtual WAN の知識を体系的に学ぶには Microsoft 認定が最も効率的です。

• AZ-700 (Network Engineer Associate): 両アーキテクチャが深く問われ、設計判断問題が頻出。
• AZ-305 (Solutions Architect Expert): ドメイン 4 でアーキテクト視点での選定判断。
• AZ-104 (Administrator): ドメイン 4 で VNet Peering 基礎。

詳細は Azure ネットワークエンジニア キャリアロードマップ を参照してください。

よくある質問

本記事の技術情報は Azure Virtual WAN Documentation およびHub-Spoke Reference Architecture に基づいています。 本記事は Microsoft Corporation の公式商品ではなく、いかなる提携・後援関係もありません。 Microsoft、Azure は Microsoft group of companies の商標です。 情報は 2026 年 5 月 24 日時点の公式公開資料に基づきます。最新情報は必ず公式ページをご確認ください。