変更要約: AZ-700 第2章を深掘り（図ja化・比較表/シナリオ/FAQ/ひっかけ/深掘り段落を全節に追加）
2.3Virtual WAN による大規模ネットワーク
多数の拠点・VNet・リモートユーザーを Microsoft のバックボーンで束ねて一元管理する Azure Virtual WAN を理解します。ハブ＆スポークを大規模に運用するためのマネージドサービスです。
拠点や VNet が増えると、個別の接続管理は煩雑になります。Virtual WAN はマネージドなハブを中心に、VPN・ExpressRoute・VNet 接続を一元管理します。
2.3.1Virtual WAN の構成
- Virtual WAN ハブ：マネージドなハブ。VPN・ExpressRoute・VNet 接続を集約し、Microsoft バックボーンで結ぶ。
- 一元管理：多数の拠点・VNet・リモートユーザーをまとめて構成・運用できる。
- スケール：手組みのハブ＆スポークより、大規模・グローバルな接続に向く。
- セキュアハブ：ハブに Azure Firewall を組み込んだ Secured Virtual Hub で集中検査も可能。
「多数の拠点/VNet/ユーザーをマネージドハブで一元管理＝Virtual WAN」「大規模・グローバルなハブ＆スポーク＝Virtual WAN」「ハブに Firewall を組み込み集中検査＝Secured Virtual Hub」 は AZ-700 で頻出です。小規模なら手組みのハブ＆スポーク、大規模なら Virtual WAN と判断します。
Virtual WAN には Basic と Standard の 2 SKU があり、Basic は S2S VPN のみ、Standard は ExpressRoute・P2S・ハブ間接続・Secured Hub などフル機能を提供します。ハブ内の経路制御は ハブルートテーブル と 接続のラベル で行い、どの接続（VNet/VPN/ER）がどの経路を学習・伝播するかを制御します。手組みのハブ＆スポークと違い、ハブ内のルーターやゲートウェイはマネージドで、スポーク VNet を「VNet 接続」として登録するだけで相互到達できます（ハブが中継するため非推移の問題を回避）。Secured Virtual Hub はハブに Azure Firewall または対応するサードパーティ NVA を組み込み、Firewall Manager で複数ハブのポリシーを一元管理して East-West（VNet 間）と North-South（インターネット）の両方向を集中検査します。グローバルに複数ハブを置き、ハブ間は Microsoft バックボーンで自動的にメッシュ接続されるため、地理的に分散した拠点でも一貫した接続を保てます。
| 観点 | 手組みハブ＆スポーク | Virtual WAN |
|---|---|---|
| ハブの管理 | 自分で VNet・ゲートウェイ・UDR を構築 | マネージド（ハブごと自動構成） |
| 規模 | 小〜中規模に向く | 大規模・グローバルに向く |
| 集中セキュリティ | ハブに Firewall を手動配置 | Secured Hub＋Firewall Manager |
シナリオ： 世界中の 50 拠点と多数の VNet を接続し、全トラフィックを集中検査したい。→ Standard SKU の Virtual WAN を採用し、各地域にハブを置いて拠点（S2S）・リモートユーザー（P2S）・VNet・ExpressRoute を接続、各ハブを Secured Virtual Hub にして Firewall Manager でポリシーを一元適用します。手組みより運用負荷が大幅に下がります。
FAQ： Q. Virtual WAN ならスポーク VNet 同士は非推移の問題なく通信できますか？ → A. はい。ハブが中継するため、ハブに接続したスポーク同士はルート設定に従って相互到達できます。Q. Basic と Standard の違いは？ → A. Basic は S2S VPN のみ。ExpressRoute・P2S・ハブ間・Secured Hub には Standard が必要です。
ひっかけ： 「Virtual WAN の Basic SKU でも ExpressRoute や Secured Hub が使える」は誤りです。それらは Standard SKU の機能。また「Virtual WAN は小規模な単一 VNet 接続に最適」も誤り（小規模は手組みハブ＆スポークで十分で、Virtual WAN は大規模・多拠点向け）。
2.3.2この節のまとめ
- Virtual WAN＝マネージドハブで接続を一元管理（大規模・グローバル）
- Secured Virtual Hub＝Firewall 内蔵で集中検査
進捗の記録にはログインが必要です。
理解度チェック
（軽い確認用）Q1. 多数の拠点・VNet・リモートユーザーをマネージドなハブで一元管理する Azure のサービスはどれですか？
Q2. Virtual WAN のハブに Azure Firewall を組み込み、トラフィックを集中検査する構成はどれですか？
Q3. 小規模な手組みハブ＆スポークと比べ、Virtual WAN が特に向くのはどんな場合ですか？