ExpressRoute FastPathを理解するための前提
FastPathはExpressRoute data trafficをVNet gateway data pathからbypassするが、route exchangeのためExpressRoute virtual network gateway自体は引き続き必要。 provider circuitとExpressRoute DirectではFastPath support範囲が異なる。IPv6、VNet peering、UDR、Private Link等はDirect側のみ/条件付きの機能がある。
FastPathを利用できるgateway SKU/scale unitに要件があり、単にcircuit側でcheckboxを有効化すれば全構成で動くわけではない。 FastPathが一時的に利用できない場合、trafficはExpressRoute gateway経由へfallbackしてconnectivityを維持する設計になっている。
VNet peeringではsame-region等の制約があり、hub/spoke/remote gateway構成の組み合わせをcurrent support matrixで検証する。 ExpressRoute DirectのPrivate Link FastPathは限定GA/region/service条件があるため、Private Endpointなら必ずFastPathとはみなさない。
Control plane と data plane
Provider / responsibility boundary
ExpressRoute circuit、peering、MSEE側BGP、VNet gateway / FastPath、Azure route propagationを管理する。
customer edgeからMicrosoft edgeまでのL2/L3 service、cross-connect、VLAN等を担当する。provider provisioningはAzure resource stateと別に追う。
CE routerのBGP policy、local preference / AS path、prefix filter、冗長回線を管理する。片系だけ正常でもend-to-end冗長性は成立しない。
仕組み
FastPathの効果判定は「enabled flag」ではなく対象destinationがsupport matrixに入り、data path/metricが実際に期待挙動かを確認する。
gatewayはcontrol plane/routingとfallback pathとして残る。gatewayを小さくしすぎるとfallback/非eligible traffic時のcapacity riskになる。
Provider circuit FastPathは主にhub VNet IPv4等に制約され、ExpressRoute Directはより広い機能を持つ。Direct専用機能をprovider circuitへ横展開しない。
VNet peeringでFastPathを使う場合はgateway transit/remote gatewayのsupport制約を確認し、複数hub gatewayをremoteとして使うような構成を避ける。
Private Endpoint trafficはregion/service/enrollment/maintenance等の条件でgateway経由となり得る。path changeにstateful NVAが絡む場合は非対称を確認する。
Packet / route path
同一prefix/flowを広告元からdestinationまで追い、connection state・BGP table・effective route・実packetを混同しません。
- CEからMSEEまでprivate peeringでpacketが到達する。
- MSEEがdestination routeを解決し、FastPath eligibilityを満たすVNet endpointへAzure dataplane経由で直接転送する。
- gateway data pathはbypassされるが、gatewayはroute exchange/connection controlを維持する。
- 非eligible destination、cross-region、unsupported feature、FastPath unavailable時はgateway pathへfallbackする。
- replyは対応routeに基づきMSEE→CEへ戻る。forward/replyでmiddleboxが異なる場合はstateful inspection影響を確認する。
- maintenance/failure testではFastPath→gateway fallback時にもapplicationが継続できるcapacity/routeを確認する。
BGP / route state の読み方
| 観測点 | 何を確認するか |
|---|---|
| Eligibility | circuit type、gateway SKU、destination type/region、peering/UDRをsupport matrixと照合する。 |
| Route exchange | FastPath有効でもBGP/VNet gateway route exchangeは必要。learned/advertised routeの診断手順を省略しない。 |
| Fallback | FastPath unavailable時のgateway pathを正常系の一部として試験し、gateway capacityを監視する。 |
| Asymmetry | 一部prefixだけFastPath/一部gateway/NVA経由となる環境はreturn routeとstateful device pathをpacket単位で確認する。 |
設計判断
| 判断点 | 推奨 | 理由 |
|---|---|---|
| Circuit type | 必要featureがProvider circuitで対応するか、Direct必須かを先に判定する。 | 後からFastPath目的でcircuit種別を変えるのはprovider/physical designに影響する。 |
| Gateway sizing | FastPath通常時だけでなくfallback/非eligible trafficを処理できる余力を残す。 | FastPathはgateway不要化ではない。 |
| Private Link | Direct + supported region/service/enrollment条件を満たす場合だけ設計に組み込む。 | 限定GAを一般機能として扱わない。 |
| Verification | latency/throughputだけでなくroute/path/fallbackを受入試験する。 | 性能改善だけを見るとresiliency regressionを見逃す。 |
確認手順
Azure Portal / provider / edge
- ExpressRoute connectionでFastPath enabledとgateway SKU/scaleを確認する。
- CircuitがProviderかExpressRoute Directか、target destinationがsupport matrix内かを確認する。
- VNet peering/UDR/Private Endpoint条件を対象resourceごとにinventoryし、eligible/non-eligibleを分ける。
- normal pathとfallback pathでlatency/loss/throughput/applicationを比較し、gateway metricsも採取する。
Verification discipline
- subscription / resource group / resource ID / region / connection名を固定し、同名resourceの取り違えを防ぐ。
- control-planeのProvisioningStateだけで完了判定せず、peer/session/route/metricと実packetの結果を別々に保存する。
- advertised route・learned route・effective routeを混同しない。各段階で「誰が誰へ何を広告し、最終的にどのFIBへ入ったか」を確認する。
- 変更前後で同一source/destination/protocolを再試験し、既存sessionの継続を新規flowの成功と誤認しない。
az network express-route show -g <rg> -n <circuit> -o jsonc
az network vnet-gateway show -g <rg> -n <er-gateway> -o jsonc
az network vpn-connection list -g <rg> -o jsoncGet-AzExpressRouteCircuit -ResourceGroupName <rg> -Name <circuit>
Get-AzVirtualNetworkGateway -ResourceGroupName <rg> -Name <er-gateway>
Get-AzVirtualNetworkGatewayConnection -ResourceGroupName <rg>障害切り分け
| 症状 | 疑う点 | 証拠 | 次の確認 |
|---|---|---|---|
| FastPath enabledだが性能変化なし | target非eligible、gateway fallback、別bottleneck | support matrix + path/metrics | flagだけでFastPath利用中と断定しない |
| 一部Private Endpointだけ遅い | Direct限定GA条件/region/service/fallback | PE location/service + gateway metric | Private Link FastPath条件を個別確認する |
| fallback時にloss増 | gateway capacity不足 | gateway utilization + FastPath event/path | fallback capacityをsizingへ含める |
| peered spokeで接続不安定 | remote gateway/gateway transit制約 | peering flags + support matrix + effective route | unsupported dual-remote-gateway等を除外する |
変更時の確認と rollback
- FastPath変更前にconnection/gateway/circuit、effective routes、性能baselineを保存する。
- enable/disableは代表destination群でeligible/non-eligible両方を試験する。
- rollback後はgateway pathのthroughput/latencyとrouteを再確認し、capacity不足がないかを見る。
- Private Link enrollment等外部条件はrollback/restoreに時間がかかる場合があるためchange windowへ織り込む。
What changed recently
2026-07-16更新のFastPath guidanceではExpressRoute DirectのVNet peering、UDR、Private Link、IPv6等のsupport条件が詳細化されています。Provider circuitとDirectを同じcapabilityとして扱わず、targetごとにcurrent matrixを確認します。