Scope: 設計・運用で誤りやすい点を優先して整理。SKU/region/limitsは変更されるため、実装時はリンク先のcurrent Microsoft Learnを再確認してください。
Overview
private subnetからInternetへの大量outboundを安定してSNATするmanaged service。
Key technical points
- NAT Gatewayはsubnetに関連付けるだけでoutboundを提供し、通常UDR追加を要求しない。
- unsolicited inbound connectionは受けず、outbound flowへのreturn trafficだけを通す。
- StandardV2はzone-redundant、IPv6、higher throughput、flow logsなどを提供する。
Design guidance
- address overlapとfuture growthを最初に潰す。VNet/Subnetは後から変更できても、接続済み環境のrenumberingは高コスト。
- resourceをpublic IPへ直接出すより、managed ingress/egress serviceを境界として設計する。
- subnetへ付くNSG/UDR/NAT/delegation/service endpointを一覧化し、1つのsubnetに役割を詰め込み過ぎない。
Operations checklist
- VNet/Subnet address rangeと関連resourceをinventoryする。
- NIC effective routes/NSGを代表VMで確認する。
- public exposureとexplicit outbound methodを確認する。
Common pitfalls
- CIDR overlapを後工程で発見する。
- subnetを小さく切り過ぎ、managed serviceのscale-out余地がなくなる。
Verification pattern
Control plane
resource state、association、policy、route/BGP configが期待通りかを確認。
resource state、association、policy、route/BGP configが期待通りかを確認。
Data plane
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
Observability
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
Rollback
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。