Network Change Validation & Reachability Verificationを理解するための前提
変更完了は「ARM deployment succeeded」ではなく、intended positive flowが成功し、intended negative flowが引き続き拒否され、adjacent critical pathが壊れていないobservable stateで判定する。 pre-change baselineとpost-change testは同一source/destination/protocol/port/DNS conditionで実行する。test条件が違えば差分の意味がなくなる。
Azure Virtual Network Manager Network Verifierはnetwork policy/configurationに基づくstatic reachability analysisを行い、full path/blockerを返すcurrent GA機能。 Network Verifierはsupported Azure resource/policyをcontrol-plane的に評価する。actual traffic behaviorはunsupported service等で結果と異なる可能性があるため、active/data-plane testを置き換えない。
2026-07-29 current docsではNetwork Verifier GA regionが限定列挙されている。利用regionが対象か実装時に再確認する。 change validationは成功testだけでなくnegative/security invariantとrollback triggerを先に定義する。
診断結果をどう読み分けるか
pre-change config/effective state + positive/negative test。
Network Verifier等でpolicy/path intentを評価。
Connection Troubleshoot/Connection Monitor/real clientでdata-plane確認。
flow log/app log + rollback criteria。変更後も一定window監視。
障害が起きたときの調べ方
- change前にexpected behaviorをpositive/negative/adjacent testへ分け、source/destination/tuple/expected resultを表にする。
- effective routes/security、DNS answer、LB/backend health等のpre-change snapshotを保存する。
- Network Verifier利用可能環境ではreachability analysis intentを作り、supported policy上のpath/blockerをpre-change保存する。
- changeを最小scopeで適用し、control-plane provisioning成功だけでcompleteにしない。
- 同一test catalogをpost-change実行する。static reachability→active probe→real application→flow/logの順で証拠を閉じる。
- negative testとadjacent serviceも確認し、security regression/blast radiusがないことを確認する。
- rollback triggerを超えた場合は予定手順で戻し、同じcatalogでbaselineへ復帰したことを確認する。
仕組みと読み方
Network Verifierは2026年に一般提供regionが明示された比較的新しいreachability analysis機能で、NSG/ASG、security admin rules、VNet peering、route tables、service endpoints、private endpoints、Virtual WAN、Azure Firewallのstatic L4等のsupported featuresを評価します。これはchange reviewで「設定上このpathは通る/止まるはず」を機械的に検証するのに有効です。
しかしNetwork Verifier自身も、supported list外のserviceが実traffic behaviorを変え得ると注意しています。そのためApp Gateway/WAF、guest firewall、application listen、DNS cache、session state、physical/provider pathなどはactive/data-plane evidenceで確認します。static + active + historical telemetryの3面を揃えることで、設定だけ/疎通だけの見落としを減らします。
運用設計
| 判断軸 | 運用設計 |
|---|---|
| Test catalog | 変更対象ごとにpositive/negative/adjacent flowをversion管理。 |
| Verifier workspace | AVNM scope/RBAC/region availabilityを事前設計。 |
| Canary | 可能なら一部resource/route/policyから段階展開しblast radiusを制限。 |
| Rollback trigger | latency/error/failed test数などobservable thresholdを事前定義。 |
| Persistence | reload/restart/new connection後も期待状態が維持されるか確認。 |
確認手順 / read-only first
実行前に固定する情報
- subscription / resource group / resource ID / region
- source IP/NIC/subnet と destination FQDN/IP
- protocol / source port / destination port
- UTC time window + JST表示
- expected result と known-good comparison
Evidence to keep
- command/query textとraw JSON/CSV
- Portal screenshotだけでなくresource IDを含む機械可読結果
- 変更前/変更後の同一test vector
- negative test と adjacent critical path
- rollback実施時の復帰確認
# Network Watcher active validation examples
az network watcher test-ip-flow ...
az network watcher show-next-hop ...
az network watcher test-connectivity ...
# Network Verifierはcurrent ARM/Portal/API supportとregionを確認してreachability analysisを実行# pre/postで同じread-only checksとapplication testを再実行し、差分を保存するこの結果で何を証明できるか
| 観測結果 | 証明できること | それだけでは証明できないこと |
|---|---|---|
| Network Verifier: reachable | supported configuration/policy評価上pathが到達可能。 | actual packet/application成功、unsupported service behavior。 |
| Network Verifier: blocker | supported pathでblock resource/policyが特定。 | 修正方法が必ずそのblocker変更であること。desired policyと照合。 |
| Connection Troubleshoot: Reachable | point-in-time active reachability。 | 全client/全backend/継続性。 |
| Positive+negative pass | intended connectivityとsecurity invariantの両方。 | 長期性能/rare path。monitoring windowを継続。 |
| Rollback restores baseline | observable testsがpre-change状態へ復帰。 | root cause分析が完了したこと。 |
よくある切り分けの失敗
| 症状 / 状態 | 疑う層 | 次の証拠 |
|---|---|---|
| deploy成功だが通信失敗 | control-plane only validation | active probe/real journeyを必須化。 |
| positive testのみPASS | security regression見逃し | negative testを必須化。 |
| Verifierと実traffic不一致 | unsupported feature/data-plane difference | Connection Troubleshoot/flow/packet/app logへ。 |
| regionでVerifier不可 | GA region boundary | Network Watcher + effective state + active testsで代替。 |
| rollback後も不安定 | cache/convergence/session | new connection + monitoring windowで再確認。 |
変更時の確認と rollback
- rollback command/previous config artifactをchange開始前に用意する。
- rollbackの判断を主観にせず、failed test/latency/error rate/time limitで定義する。
- rollback後はpositive/negative/adjacent testとeffective stateをpre-change baselineに照合する。
Current notes — 2026-09-11
Azure Virtual Network Manager Network VerifierはMicrosoft Learnの2026-07-29更新でGA regionが明示されています。reachability analysisはsupported Azure policy/resourceのstatic analysisであり、documentation自身がunsupported servicesによりactual traffic behaviorが異なり得ると注意しています。したがって本ページではNetwork Verifierをactive/data-plane validationの代替ではなくpre/post validation layerとして扱います。
Related articles
Official sources
動作、support boundary、preview/GA、retirement、schemaはMicrosoft Learnのcurrent documentationを基準にしています。productionで使う際は対象subscription/region/resource provider/API/CLI versionの最新documentationを再確認してください。