Scope: 設計・運用で誤りやすい点を優先して整理。SKU/region/limitsは変更されるため、実装時はリンク先のcurrent Microsoft Learnを再確認してください。
Overview
Azure VNetとon-premises、VNet同士、remote userをIPsec/IKE等で接続するmanaged VPN gateway。
Key technical points
- S2S、P2S、VNet-to-VNetで用途を分ける。
- 複数connectionは同一gateway bandwidthを共有する。
- route-based gateway + BGPを標準候補としてdynamic routing/failoverを設計する。
Design guidance
- carrier/CPE/Microsoft edge/gateway/VNet routeを別failure domainとして扱う。
- BGP prefixとlocal UDRの相互作用をeffective routeで確認する。
- failoverは「tunnel/circuit up」ではなくapplication flowが継続するかで受け入れる。
Operations checklist
- gateway/circuit/tunnel control-plane stateを確認する。
- BGP advertised/learned routeとeffective routeを比較する。
- 実application flowでfailover/recoveryを確認する。
Common pitfalls
- tunnel/circuit stateだけでend-to-end疎通を判断する。
- prefix advertisement増加でroute limit/意図しないtransitを招く。
Azure CLI quick check
read-only確認を優先し、実環境のsubscription/resource名へ置換してください。
az network vnet-gateway list -o tableVerification pattern
Control plane
resource state、association、policy、route/BGP configが期待通りかを確認。
resource state、association、policy、route/BGP configが期待通りかを確認。
Data plane
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
Observability
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
Rollback
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。