Scope: 設計・運用で誤りやすい点を優先して整理。SKU/region/limitsは変更されるため、実装時はリンク先のcurrent Microsoft Learnを再確認してください。
Overview
後からのVNet peering、オンプレ接続、M&Aやmulti-region展開で破綻しないよう、CIDRを先に階層設計する。
Key technical points
- VNet間peeringやhybrid接続ではaddress overlapが大きな制約になる。
- region・environment・workload・future growthの単位で予約ブロックを持ち、IPAMで払い出す。
- Azure Virtual Network ManagerのIPAMは重複しないaddress allocationを組織的に管理できる。
Design guidance
- address overlapとfuture growthを最初に潰す。VNet/Subnetは後から変更できても、接続済み環境のrenumberingは高コスト。
- resourceをpublic IPへ直接出すより、managed ingress/egress serviceを境界として設計する。
- subnetへ付くNSG/UDR/NAT/delegation/service endpointを一覧化し、1つのsubnetに役割を詰め込み過ぎない。
Operations checklist
- VNet/Subnet address rangeと関連resourceをinventoryする。
- NIC effective routes/NSGを代表VMで確認する。
- public exposureとexplicit outbound methodを確認する。
Common pitfalls
- CIDR overlapを後工程で発見する。
- subnetを小さく切り過ぎ、managed serviceのscale-out余地がなくなる。
Verification pattern
Control plane
resource state、association、policy、route/BGP configが期待通りかを確認。
resource state、association、policy、route/BGP configが期待通りかを確認。
Data plane
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
Observability
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
Rollback
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。