Scope: 設計・運用で誤りやすい点を優先して整理。SKU/region/limitsは変更されるため、実装時はリンク先のcurrent Microsoft Learnを再確認してください。
Overview
Azure network policy/configurationを解析し、resource間reachability pathとblocking controlを確認する。
Key technical points
- actual packet generatorではなくconfiguration/policy analysisとして位置付ける。
- NSG/route/VNM policyの設計reviewに有効。
- runtime application issueはConnection Troubleshoot/Packet Capture等で補完する。
Design guidance
- design diagramと同時にtraffic matrix、route matrix、failure matrix、ownership matrixを作る。
- platform teamのcentral policyとworkload teamのself-service範囲をresource scope/RBACへ落とす。
- at-scale変更はstaged deployment、canary region/group、rollbackを前提にする。
Operations checklist
- scope/region/subscription/network groupを明示する。
- traffic matrixとfailure testをacceptance criteriaにする。
- IaC/Policyとruntime stateのdriftを確認する。
Common pitfalls
- diagramだけ作りtraffic/failure/ownershipを定義しない。
- central policyを一括deployし、blast radiusを大きくする。
Verification pattern
Control plane
resource state、association、policy、route/BGP configが期待通りかを確認。
resource state、association、policy、route/BGP configが期待通りかを確認。
Data plane
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
Observability
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
Rollback
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。