Azure VPN Gateway 完全ガイド｜SKU 選定・Site-to-Site/Point-to-Site・BGP・Active-Active

Azure VPN Gateway は、VNet とオンプレ環境または別 VNet を IPsec/IKE トンネル経由で接続する暗号化 VPN サービス。Site-to-Site (S2S、オンプレ → Azure)・Point-to-Site (P2S、個別 PC → Azure)・VNet-to-VNet (Azure VNet 間) の 3 タイプ。コスト安・展開速い (数時間)・SLA 99.9-99.95% の特徴で、ExpressRoute (専用線) より敷居が低い。SKU は VpnGw1-5・VpnGw1AZ-5AZ (Zone Redundant 対応)・Basic (廃止予定)。展開時は GatewaySubnet (/27 以上必須・Azure 予約名) に Gateway を配置、Public IP と Local Network Gateway リソースが必要です。

S2S 帯域とトンネル数で選定: VpnGw1 (650 Mbps・30 トンネル・月 1.5 万円)・VpnGw2 (1 Gbps・30 トンネル・月 4 万円)・VpnGw3 (1.25 Gbps・30 トンネル・月 10 万円)・VpnGw4 (5 Gbps・100 トンネル・月 18 万円)・VpnGw5 (10 Gbps・100 トンネル・月 35 万円)。AZ Suffix (VpnGw1AZ など) は Zone Redundant 対応、コスト約 30% 増加で SLA 99.95% (非 AZ は 99.9%)。新規本番環境は VpnGw2AZ 以上推奨、Basic SKU は機能制約多 (BGP 非対応・Static Routing のみ) で廃止予定のため新規利用なし。中規模オンプレ拠点接続 (1-3 拠点・帯域 1 Gbps 以下) なら VpnGw2 で十分、グローバル多拠点なら VpnGw4-5 や Virtual WAN への移行を検討。

Site-to-Site (S2S): オンプレネットワーク全体 (CIDR 単位) を Azure VNet に接続、オンプレファイアウォール/VPN 機器とトンネル確立、IKEv1/IKEv2 サポート。常時接続、複数拠点対応 (Multi-Site)、本番ハイブリッド環境向け。Point-to-Site (P2S): 個別 PC (Windows・Mac・Linux) を Azure VNet に接続、ユーザーが VPN クライアントで個別接続、IKEv2 (Native VPN)・OpenVPN (SSL/TLS)・SSTP (Windows Only) プロトコル対応。リモートワーク・出張先からの管理アクセス向け。両者は併用可能で、本番運用では S2S (オフィス → Azure) + P2S (リモート PC → Azure) の組み合わせが標準パターンです。

用語の混乱が多い領域です。Virtual Network Gateway は Azure 上の VPN/ExpressRoute ゲートウェイリソースの総称で、Type プロパティで VPN または ExpressRoute を選択。VPN Type の Virtual Network Gateway を一般的に『VPN Gateway』と呼びます。一方、VPN Gateway のリソース種別は Microsoft.Network/virtualNetworkGateways で、Bicep/ARM テンプレートでは両者共通。混同しないポイントは: 同一 VNet に VPN Gateway と ExpressRoute Gateway を共存可能 (Coexistence 構成)、ただし両方が同じ GatewaySubnet を共有する必要あり (/27 では狭い、/26 推奨)。Azure Virtual WAN を使う場合は Virtual Hub 内に統合された Gateway を使うため、独立 VPN Gateway は不要です。

強く推奨。BGP (Border Gateway Protocol) を有効化すると、オンプレと Azure 間のルーティングを動的交換、Static Route 管理が不要に。本番環境では BGP 必須レベル。ASN (Autonomous System Number) を割り当て (Azure 側: 65515 デフォルト・オンプレ側: 65010 など、Private ASN 64512-65534 から選定)、Local Network Gateway で BGP Peer 設定。利点: 1) オンプレネットワーク追加時に Azure 側設定不要、2) 複数拠点接続でルート広告自動化、3) Failover シナリオで自動経路切り替え。注意: Basic SKU は BGP 非対応、VpnGw1 以上が必要。BGP 有効化には オンプレ VPN 機器側の BGP サポートも必要で、Cisco・Juniper・Fortinet・SonicWall・Sophos などの主要ベンダはほぼ対応しています。

Active-Standby (デフォルト): 2 つの Gateway インスタンスのうち 1 つがアクティブ、1 つが Standby、Failover 時に切り替え。SLA 99.9-99.95%。Active-Active: 両方のインスタンスが同時アクティブ、2 つのトンネルでロードバランシング、最大帯域 2 倍・SLA 99.95-99.99%、両方の Public IP に別々の Tunnel 確立。本番ミッションクリティカルは Active-Active 推奨。設定: Azure Portal の Gateway 設定で『Active-active mode』Enable + 2 つ目の Public IP 追加。オンプレファイアウォールも 2 つのトンネル受け入れに対応必要 (Cisco ASA・Fortinet FortiGate の場合は ECMP Routing 設定)。コスト増加は Public IP 1 つ分のみで、可用性向上の費用対効果は高い構成です。

重要な施策: 1) 本番は Active-Active + BGP の組み合わせ、2) Zone Redundant SKU (VpnGw1AZ-5AZ) で AZ 障害対応、3) GatewaySubnet は /26 推奨 (将来の ExpressRoute Coexistence や FastPath 対応のため)、4) Public IP は Standard SKU 必須 (Basic は Zone 非対応)、5) Diagnostic Logs を Log Analytics に送信して KQL 監視、6) Azure Monitor for VPN Gateway で Tunnel Health 監視、7) Connection Status の定期チェック (Connected / NotConnected の頻度確認)、8) IKE Policy のカスタマイズ (デフォルトは緩いため、AES-256 + SHA-256 強化)、9) 事前共有キー (PSK) のローテーション、10) オンプレ機器のファームウェア最新化。本番運用ではこれらの組み合わせが標準で、可用性とセキュリティを両立します。

AZ-700 (Network Engineer Associate) で VPN Gateway が深く問われ、SKU 選定・S2S/P2S/VNet-to-VNet・BGP・Active-Active・トラブルシューティングが頻出。AZ-104 (Administrator) のドメイン 4 で基礎、AZ-305 (Solutions Architect Expert) でアーキテクト視点での選定 (VPN vs ExpressRoute)、AZ-800 / AZ-801 (Windows Server Hybrid) でハイブリッドネットワーク文脈、SC-100 (Cybersecurity Architect Expert) でゼロトラストネットワーク。Azure ネットワークエンジニアにとって VPN Gateway は ExpressRoute と並ぶハイブリッド接続の中核技術です。