変更要約: AZ-305 第4章を深掘り（比較表・シナリオ・FAQ・ひっかけ・深掘り段落を各節に追加、図を日本語版に対応）
4.3ネットワークの設計
ネットワーク設計——VNet/サブネット/NSG、ピアリング/ハブ&スポーク、VPN Gateway/ExpressRoute、Front Door/App Gateway/Load Balancer、Private Link——を理解します。安全で拡張可能な接続を設計します。
ネットワークは分離・接続・保護を設計します。VNet を基盤に、ハブ&スポークやプライベート接続で安全に拡張します。
4.3.1ネットワークの構成
- VNet/サブネット/NSG：仮想ネットワークで分離し、NSG でサブネット/NIC のトラフィックを制御。
- ハブ&スポーク：共有サービスをハブ VNet に集約し、スポークをピアリング（または Virtual WAN）。
- VPN Gateway/ExpressRoute：オンプレ接続。VPN=暗号化（S2S/P2S）、ExpressRoute=専用線（低遅延/安定）。
- Private Link：PaaS（Storage/SQL 等）へプライベート IPで接続し、公開を避ける。
「サブネット/NIC のトラフィック制御＝NSG」「多数 VNet の集約＝ハブ&スポーク/Virtual WAN」「オンプレ暗号化接続＝VPN Gateway、専用線＝ExpressRoute」「PaaS のプライベート接続＝Private Link/プライベートエンドポイント」「L7 グローバル＝Front Door、L7 地域＝App Gateway、L4＝Load Balancer」 は AZ-305 で頻出です。
AZ-305 のネットワーク設計は「分離・接続・保護・公開制御を、要件に合うトポロジとサービスで組む」ことを問います。基盤の VNet/サブネットを NSG（サブネット/NIC 単位の許可/拒否）と ASG（アプリケーションセキュリティグループでロール単位にまとめる）で分離し、送信制御や検査が要るなら Azure Firewall（FQDN フィルタ/IDPS/DNAT）や NVA をハブに置きます。大規模では ハブ&スポーク（共有サービスをハブに集約しスポークをピアリング）か、運用を簡素化する Virtual WAN（マネージドなハブ間接続）を選びます。オンプレ接続は、VPN Gateway（インターネット上の暗号化トンネル・S2S/P2S・安価だが帯域/遅延は回線依存）と ExpressRoute（専用線・低遅延/安定/高帯域・SLA、両者併用で冗長化）を要件で選択。負荷分散とエッジは層と範囲で、Load Balancer（L4）、Application Gateway（L7・WAF/パスベース）、Front Door（グローバル L7＋CDN＋WAF＋即時フェイルオーバー）、Traffic Manager（DNS ルーティング）を組み合わせます。PaaS の公開を絞るには、Private Link/プライベートエンドポイント（PaaS を VNet 内のプライベート IP で公開・インターネット非経由）と、より緩いサービスエンドポイント（VNet からの最適経路だがパブリック IP は残る）を使い分けます。設計の要は、最小公開（プライベート接続）・最小権限（NSG/Firewall）・冗長な接続（VPN＋ExpressRoute、ゾーン冗長）を満たすトポロジを選ぶことです。
| 目的 | サービス | 要点 |
|---|---|---|
| サブネット/NIC のトラフィック制御 | NSG / ASG | 許可/拒否ルール・ロール単位グループ |
| 多数 VNet の接続集約 | ハブ&スポーク / Virtual WAN | 共有サービス集約・運用簡素化 |
| オンプレ接続 | VPN Gateway / ExpressRoute | 暗号化トンネル / 専用線・SLA |
| PaaS の公開を絞る | Private Link / サービスエンドポイント | プライベート IP公開 / 最適経路（公開 IP 残） |
シナリオ：複数部門の VNet を統制しつつ、オンプレと低遅延で安定接続し、Storage/SQL はインターネットに公開したくない。→ 共有のファイアウォール/ゲートウェイを置くハブ&スポーク（または Virtual WAN）でトポロジを集約し、オンプレは ExpressRoute を主、VPN Gateway をバックアップにして冗長化。Storage/SQL は プライベートエンドポイント（Private Link）で VNet 内のプライベート IP からのみアクセスさせ、パブリックアクセスを無効化します。サブネット間は NSG/Azure Firewall で最小許可にします。
FAQ：Private Link（プライベートエンドポイント）とサービスエンドポイントの違いは？ プライベートエンドポイントは PaaS をVNet 内のプライベート IP として公開し、トラフィックは Microsoft バックボーンを通りパブリック経路を使いません（最も厳格・オンプレからも到達可）。サービスエンドポイントは VNet からの最適経路を提供しますが、リソースのパブリックエンドポイントは残ります。公開を完全に断ちたいならプライベートエンドポイントを選びます。
ひっかけ：「PaaS をインターネットから完全に隠したい」のにサービスエンドポイントを選ぶのは不十分——サービスエンドポイントは経路を最適化するだけでパブリックエンドポイントは残るため、プライベートエンドポイント（Private Link）が正解です。また NSG は L3/L4 のフィルタで、FQDN ベースの送信制御や IDPS が要るなら Azure Firewall を使う点も混同しないこと。
4.3.2この節のまとめ
- 基盤＝VNet/サブネット/NSG＋ハブ&スポーク
- オンプレ＝VPN/ExpressRoute／PaaS 私的接続＝Private Link
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 多数の VNet で共有サービス（ファイアウォール/DNS 等）を中央集約し、各 VNet から利用させたい。どの設計ですか?
Q2. オンプレと Azure を、低遅延で安定した専用線で接続したい。何を使いますか?
Q3. Storage や SQL などの PaaS へ、インターネットを経由せずプライベート IP で接続したい。何を使いますか?