変更要約: AZ-700 第2章を深掘り（図ja化・比較表/シナリオ/FAQ/ひっかけ/深掘り段落を全節に追加）
2.2ExpressRoute によるプライベート接続
インターネットを介さず、専用のプライベート接続でオンプレと Azure を結ぶ ExpressRoute を理解します。高帯域・低遅延・安定が必要な企業接続で VPN と使い分けます。
VPN はインターネット経由のため遅延や帯域が安定しにくいことがあります。ExpressRoute は接続プロバイダー経由の専用プライベート接続で、安定した高帯域・低遅延を提供します。
2.2.1ExpressRoute の要素
- プライベート接続：インターネットを介さない専用接続。高帯域・低遅延・安定。
- プライベートピアリング：VNet 内のリソースへプライベートに接続する。
- Microsoft ピアリング：Microsoft 365 など公開サービスへの接続に使う。
- 冗長性と SKU：既定で冗長な 2 接続。ExpressRoute Gateway で VNet に着地。Global Reach で拠点間も接続可能。
「インターネットを介さない専用プライベート接続＝ExpressRoute」「VNet へのプライベート接続＝プライベートピアリング」「Microsoft 365 など公開サービス＝Microsoft ピアリング」「拠点間を ExpressRoute 経由で接続＝Global Reach」 は AZ-700 で頻出です。安定/高帯域なら ExpressRoute、コスト重視/小規模なら VPN と使い分けます。
ExpressRoute と VPN を併用し、VPN を ExpressRoute の障害時フェイルオーバーとして構成する設計もよく問われます。
ExpressRoute 回線は 接続モデル により、CloudExchange コロケーション・ポイント対ポイントイーサネット・Any-to-Any（IPVPN）に分かれ、帯域は 50 Mbps〜100 Gbps を選べます。課金は 従量制（Metered） と 無制限（Unlimited） の 2 種で、egress（送信）が多いなら Unlimited が有利です。経路交換はすべて BGP で行い、プライベートピアリングで VNet のプレフィックスを、Microsoft ピアリングで公開サービスのプレフィックスを広告します。可用性のため、回線は既定で冗長ペアになり、SLA を満たすには 2 経路を維持します。複数 VNet で 1 回線を共有するには ExpressRoute Gateway を各 VNet に置くか、Virtual WAN のハブに集約します。離れた拠点同士を ExpressRoute 回線経由で結ぶ Global Reach、より高い暗号化要件には MACsec（レイヤー2 暗号化）や ExpressRoute 上の IPsec/VPN を併用します。VPN との比較では、ExpressRoute は専用・安定・高帯域だが導入リードタイムとコストが大きく、VPN は即時・安価だがインターネット品質に依存します。
| 観点 | VPN Gateway | ExpressRoute |
|---|---|---|
| 経路 | インターネット経由（暗号化） | 専用・インターネット非経由 |
| 帯域/遅延 | 中程度・変動あり | 高帯域・低遅延・安定 |
| 導入/コスト | 即時・安価 | プロバイダー手配・高コスト |
| 暗号化 | 既定で IPsec 暗号化 | 既定は非暗号（MACsec/IPsec を追加可） |
シナリオ： 基幹システムの安定した高帯域接続が必須だが、回線障害時も最低限の接続を維持したい。→ 主回線を ExpressRoute（プライベートピアリング）にし、サイト間 VPN をバックアップ経路として併用します。BGP のメトリックで通常は ExpressRoute を優先し、障害時に VPN へフェイルオーバーします。
FAQ： Q. ExpressRoute はデータを暗号化しますか？ → A. 専用回線ですが既定では暗号化しません。要件があれば MACsec や IPsec/VPN over ExpressRoute を併用します。Q. プライベートピアリングと Microsoft ピアリングの違いは？ → A. 前者は VNet 内リソースへのプライベート接続、後者は Microsoft 365 などの公開サービス向けです。
ひっかけ： 「ExpressRoute は専用線なので通信が自動的に暗号化される」は誤りです。専用＝隔離ですが既定では暗号化されない（MACsec/IPsec を追加）。また「ExpressRoute はインターネット経由」も誤り（インターネットを介さない点が VPN との決定的な違い）。
2.2.2この節のまとめ
- ExpressRoute＝専用プライベート接続（インターネット非経由・高帯域/低遅延）
- ピアリング＝プライベート（VNet）／Microsoft（公開サービス）
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. インターネットを介さず、専用のプライベート接続でオンプレと Azure を高帯域・低遅延に結びたい。何を使いますか？
Q2. ExpressRoute で VNet 内のリソースへプライベートに接続するピアリングはどれですか？
Q3. VPN と ExpressRoute の違いとして正しいものはどれですか？