Scope: 設計・運用で誤りやすい点を優先して整理。SKU/region/limitsは変更されるため、実装時はリンク先のcurrent Microsoft Learnを再確認してください。
Overview
UDR→Firewall policy→DNAT/SNAT→DNS/FQDN→backend route→return pathの順でpacket walkする。
Key technical points
- rule collection hit logで「ruleに当たったか」を先に確認する。
- application ruleではDNS/SNI/TLS、network ruleではIP/port/protocolを分けて診断する。
- asymmetric routingとSNAT有無を往復で確認する。
Design guidance
- 最初にtime window、subscription、resource ID、5-tuple、source/destinationを固定する。
- Portal表示だけでなくCLI/API、Network Watcher、diagnostic logsで再現可能なevidenceを取る。
- 変更前後のdiffとobservable flowを保存し、復旧後もroot causeを確定する。
Operations checklist
- UTC/JST両方でincident time windowを固定する。
- read-only snapshotをJSON/CSVで保存する。
- change完了後に同じtest vectorを再実行して証跡を残す。
Common pitfalls
- Portal screenshotだけで再現条件を残さない。
- ログを見始める前にtime range/resource IDを固定しない。
Verification pattern
Control plane
resource state、association、policy、route/BGP configが期待通りかを確認。
resource state、association、policy、route/BGP configが期待通りかを確認。
Data plane
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
Observability
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
Rollback
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。