Hybrid Connectivity Decision Matrix

Scope: Microsoft Learn / Azure Architecture Centerの一次資料を2026-09-11時点で確認し、旧来の短い記事を公開運用向けdeep diveへ更新。SKU、region、limits、Preview statusは変わるため、実装直前にOfficial sourcesを再確認してください。

Hybrid Connectivity Decision Matrixを理解するための前提

Site-to-Site VPNはInternet上のIPsecで比較的迅速/低コストに導入できる。 ExpressRouteはprovider接続を使うprivate connectivityで、Internet VPNとは異なるprovider/circuit boundaryを持つ。

Virtual WANはbranch/VNet/VPN/ERをmanaged hubへ集約し、大規模branch connectivityとroutingを簡素化する。 hybrid designは「回線種別」だけでなくBGP ASN/prefix、DNS、egress、inspection、failure domainを合わせて決める。

critical workloadではVPN over InternetをER backupにする等、異なるfailure domainのsecondary pathを検討する。 multi-regionではgateway/hub placementとprovider circuit diversityをregion単位で設計する。

通信や判断の流れを追う

On-premisesVPN / ProviderGateway / HubVNetWorkload

Control plane と data plane

Control planeVPN/ER/vWAN gateway/circuit/hub/connection/BGP policyがcontrol plane。

Data planepacketは選択したtransportとhub/gateway、inspection pointを通る。failover時に別pathへroute convergenceしreturn symmetryを保つ必要がある。

仕組みと設計上の意味

VPNは暗号化されるがInternet path qualityの影響を受ける。

ERはprivate connectivityだがprovider/peering/gateway/route設計が必要で、単に「専用線だから速い」で選ばない。

Virtual WANはmanaged transitの代わりにrouting intent/hub route table等のservice modelへ合わせる。

decision matrixにはrequirementsの数値（bandwidth/RTO/branch数/prefix数）を入れる。

Packet / decision path

source→destinationを1本のflowとして固定し、名前解決・routing・security・NAT/service processing・return pathを必要な範囲で順に確認する。

business/RTO/bandwidth/branch scaleを定量化。
security/inspection/encryption requirementを定義。
BGP/prefix/DNS/egress ownershipを決める。
primary/secondary failure domainを設計。
failure drillとmonitoring ownershipを定義。

設計判断

判断点	推奨	理由
Small/quick hybrid	S2S VPN	短期間・IPsec
Predictable private enterprise link	ExpressRoute	provider/private connectivity
Large branch + managed transit	Virtual WAN	hub/routing運用をmanaged化
Critical HA	diverse primary/backup paths	単一provider/gateway故障を避ける

確認手順

Azure Portal

VPN/ER/vWAN各resourceのgateway/circuit/hub/connection statusを確認。
BGP learned/advertised routesを確認。
primary/backup pathのfailover drill結果を記録。

Evidence contract

Identitysubscription / resource group / resource ID / regionを固定。

Before / After同じsource・destination・protocol・portで比較。

Effective state設定値だけでなくeffective route/security/health/logを取得。

Runtimecontrol-plane Succeededとapplication successを分けて判定。

Azure CLI — read-only first

az network vnet-gateway list -g <rg> -o table
az network express-route list -g <rg> -o table
az network vwan list -g <rg> -o table

PowerShell — read-only first

Get-AzVirtualNetworkGateway -ResourceGroupName <rg>
Get-AzExpressRouteCircuit -ResourceGroupName <rg>
Get-AzVirtualWan -ResourceGroupName <rg>

障害切り分け

症状	疑う点	証拠	次の確認
性能不足	transport/gateway SKU/route path	metrics + throughput test	capacity再設計
failoverしない	BGP preference/secondary path不備	route tables	preference/advertisement修正
branch増加で運用破綻	manual gateway/route管理	change volume	vWAN/automation検討
DNSだけ断	hybrid DNS未設計	query path	Private Resolver等を設計

変更・rollback

migrationはparallel connectivityを作りroute preferenceで段階切替。
provider/gateway changeはrollback pathを物理的に残す。
BGP preferenceを戻すだけでなくsession/route convergenceを確認。
failure drill結果をacceptance evidenceにする。

Hybrid Connectivity Decision Matrix