Instiq
第2章 · ハイブリッドネットワークの設計・実装・管理·v2.0.0·更新 2026/6/3·読了目安 約9分

変更要約: AZ-700 第2章を深掘り（図ja化・比較表/シナリオ/FAQ/ひっかけ/深掘り段落を全節に追加）

2.1VPN Gateway によるサイト間/P2S 接続

この節の要点

オンプレミスや個々のクライアントを Azure に暗号化トンネルで接続する VPN Gateway を理解します。サイト間（S2S）・ポイント対サイト（P2S）・VNet 間の接続方式が AZ-700 のハイブリッドネットワークの基礎です。

オンプレと Azure をインターネット経由で安全に結ぶには、暗号化された VPN トンネルを張ります。これを担うのが VPN Gateway です。

2.1.1VPN 接続の種類

Azure の VNet に置いた VPN Gateway が、オンプレミスのデータセンターとサイト間（S2S・IPsec トンネル・ローカルネットワークゲートウェイ経由）で接続し、個々のリモートクライアントとポイント対サイト（P2S）で接続し、別の VNet とも VNet 間で接続する様子を示し、すべて暗号化トンネルである旨を添えた図。
VPN Gateway の接続種別
  • サイト間（S2S）：オンプレの拠点全体を IPsec トンネルで Azure に接続する（ローカルネットワークゲートウェイでオンプレ側を表現）。
  • ポイント対サイト（P2S）：個々のクライアント PC から VNet へ接続する（在宅勤務など）。
  • VNet 間：2 つの VNet を VPN Gateway 経由で接続する（ピアリングの代替/補完）。
  • SKU と性能：ゲートウェイ SKU により帯域・トンネル数・冗長性（Active-Active）が変わる。
試験ポイント

「拠点全体を暗号化接続＝サイト間（S2S）」「個々の PC から接続＝ポイント対サイト（P2S）」「オンプレ側の表現＝ローカルネットワークゲートウェイ」「冗長性＝Active-Active」 は AZ-700 で頻出です。VPN はインターネット経由の暗号化トンネル、専用線は ExpressRoute（次節）と区別しましょう。

補足

VPN Gateway は専用のゲートウェイサブネット（GatewaySubnet）に配置します。サブネット設計時に確保しておきましょう。

VPN Gateway は VNet 側を表す 仮想ネットワークゲートウェイ（種類＝VPN、GatewaySubnet に配置）と、オンプレ側を表す ローカルネットワークゲートウェイ（拠点のアドレス空間と VPN デバイスの公開 IP）、両者を結ぶ 接続（Connection）（共有キー＝PSK）で構成します。SKU（VpnGw1〜5、AZ 付きはゾーン冗長）で帯域・トンネル数・BGP 対応・SLA が変わり、冗長構成には Active-Active（ゲートウェイに公開 IP を 2 つ）があります。S2S は ルートベース（複数トンネルや P2S と併用可・推奨）と ポリシーベース（単一トンネル・静的）に分かれ、BGP を有効にすると経路を動的に交換できます（オンプレ ASN と Azure 既定 ASN 65515）。P2S のプロトコルは OpenVPN／IKEv2／SSTP、認証は 証明書／Entra ID／RADIUS から選びます。VNet 間接続はピアリングでも可能ですが、別テナントや BGP/トンネル要件があるときに VPN を使います。

方式接続元特徴
サイト間（S2S）拠点全体（VPN デバイス）IPsec・ルート/ポリシーベース・BGP 可
ポイント対サイト（P2S）個々のクライアント PCOpenVPN/IKEv2/SSTP・証明書/Entra/RADIUS
VNet 間2 つの VNet別テナントや BGP 要件で VPN を選択
補足

シナリオ： 本社拠点を Azure に常時接続しつつ、在宅勤務者も個別に VNet へ接続させたい。→ ルートベースの VPN Gateway を作り、本社はサイト間（S2S・ローカルネットワークゲートウェイで表現）、在宅者はポイント対サイト（P2S・Entra ID 認証）で接続します。ルートベースなら S2S と P2S を 1 つのゲートウェイで併用できます。

補足

FAQ： Q. ルートベースとポリシーベース、どちらを選ぶ？ → A. 基本はルートベース（複数トンネル・P2S 併用・BGP 可）。ポリシーベースは単一トンネルの古い機器向けの静的方式です。Q. VNet 間はピアリングと VPN どちらが良い？ → A. 低遅延・高帯域ならピアリング。別テナントや BGP/暗号トンネルが要るときは VPN を使います。

注意

ひっかけ： 「ポリシーベース VPN でも P2S や複数 S2S トンネルを併用できる」は誤りです。それらはルートベースの機能。また「ローカルネットワークゲートウェイは Azure 側のゲートウェイ」も誤り（Azure 側は仮想ネットワークゲートウェイ、ローカルはオンプレ側の表現）。VPN はインターネット経由＝ExpressRoute（専用線）とは別物です。

2.1.2この節のまとめ

  • VPN Gateway＝暗号化トンネル（S2S＝拠点・P2S＝クライアント・VNet 間）
  • オンプレ側＝ローカルネットワークゲートウェイ、冗長＝Active-Active

進捗の記録にはログインが必要です。

理解度チェック

（軽い確認用）

Q1. オンプレミスの拠点全体を IPsec トンネルで Azure に接続する VPN の方式はどれですか？

Q2. 在宅勤務の個々のクライアント PC から VNet へ VPN 接続したい。どの方式ですか？

Q3. サイト間 VPN でオンプレミス側のネットワーク（アドレス空間とVPNデバイスの公開IP）を Azure 上で表現するものはどれですか？

理解度を確認第2章「ハイブリッドネットワークの設計・実装・管理」の問題を解く