Azure ExpressRoute Direct

解決する課題

通常の ExpressRoute は接続プロバイダーが用意する回線を介して Microsoft とつなぎますが、超大容量や物理層の専有、独自の暗号化要件が求められる場面ではこの形態が制約になります。ExpressRoute Direct は、ユーザーが Microsoft の Enterprise Edge（MSEE）に対して物理ポートのペアを直接確保し、その上に複数の ExpressRoute 回線を切り出せるようにします。

• プロバイダーを介さず自前の物理ポートで Microsoft に直結し、超大容量と一貫した品質を確保したい
• 1 つのポート容量から複数の回線を自分で切り出して部門やワークロードへ割り当てたい
• 金融や政府など物理層の専有や MACsec 暗号化が求められる規制要件に対応したい

主要概念と用語

• ExpressRoute Direct: 接続プロバイダーを介さず、Microsoft のグローバルネットワークの物理ポートへ直接接続する ExpressRoute の上位形態
• Direct ポートペア: 冗長性のために割り当てられる物理ポートのペア。Active/Active で運用し、片方の障害でも通信を維持する
• ポート帯域（ポートペアの容量）: 確保する物理ポートの総容量。高速プランと低速プランの系列があり、用途に応じて選ぶ
• 回線（Circuit）: ポート容量の中から切り出す論理的な ExpressRoute 接続。1 つの Direct ポートペアに複数の回線を作成できる
• オーバープロビジョニング: 切り出す回線帯域の合計を、物理ポート容量より大きく設定できる考え方。瞬間的なバーストを許容しつつ複数回線を収容する
• MACsec: ポートと顧客機器の間のレイヤー2リンクを暗号化する仕組み。ExpressRoute Direct のポートで構成できる
• MSEE（Microsoft Enterprise Edge）: Microsoft 側で BGP を終端するエッジルータ群。こことユーザー機器が直接対向する
• Letter of Authorization（LOA）: データセンターで物理クロスコネクトを敷設するための認可書類。Direct のポート開通時に用いる

仕様・制限・クォータ

• ポートは必ず冗長なペアで提供され、両系で BGP を確立する Active/Active 構成が前提
• ポート容量には高速系列と低速系列があり、それぞれ選べる帯域の刻みが異なる
• 1 つのポートペアから作成できる回線数や、回線帯域の合計には上限があり、オーバープロビジョニングの範囲も定義されている
• 通常の ExpressRoute より上位の回線帯域を1回線あたりで選択できる
• 物理クロスコネクトの敷設には LOA とデータセンター事業者側の作業が必要で、開通までにリードタイムを見込む
• MACsec はポート単位の設定で、回線ごとではなく物理リンクに対して適用される

内部の仕組み

ExpressRoute Direct でも、Microsoft との相互接続はレイヤー3の BGP ルーティングで成立します。違いは物理層にあり、ユーザーは MSEE のポートに対して自分の機器から直接クロスコネクトを敷設します。プロバイダーの装置が経路上に介在しないぶん、容量と物理構成を自分で管理できます。

• ポートペアの両系でリンクを上げ、それぞれで BGP セッションを張って Active/Active の冗長を確保する
• 確保したポート容量の中で回線を作成し、各回線にプライベートピアリングや Microsoft ピアリングを構成する
• MACsec を有効化すると、ポートと対向機器の間のフレームがレイヤー2で暗号化される。これは BGP より下位の物理リンク保護である
• データ経路は通常 ExpressRoute Gateway を経由するが、FastPath を併用すればゲートウェイをバイパスして遅延を抑えられる

設計パターン / ベストプラクティス

• 回線の論理分割: 1 つの大容量ポートペアから部門・環境・ワークロード単位で回線を切り出し、課金や経路を分離する
• 冗長の確保: ポートペアの両系を必ず使い切り、可能なら複数のピアリングロケーションでロケーション冗長も検討する
• オーバープロビジョニングの活用: 各回線のピーク利用が重ならない前提で帯域合計をポート容量より大きく設計し、利用率を高める
• MACsec の適用範囲を明確化: リンク暗号化が必要な規制要件と、上位層の暗号化要件を切り分けて二重に担保する
• FastPath の併用: 低遅延が重要なワークロードではゲートウェイのボトルネックを避ける

運用・監視

• ポートおよび回線のトラフィック（入出力ビット/秒、ドロップ、エラー）を継続監視し、オーバープロビジョニング時の輻輳を早期に検知する
• BGP セッションの状態と広告経路数を確認し、経路フラップや上限超過を見張る
• MACsec の状態（キー交換の成立、リンクの保護状態）を監視対象に含める
• Connection Monitor / Network Watcher でオンプレと Azure 間の到達性・遅延・パケットロスを計測する
• 計画メンテナンスは冗長ポートのうち片系ずつ実施される前提で、平時から両系が BGP 確立済みかを確認しておく

コスト

セキュリティ

• 物理ポートを専有するため、プロバイダー共用環境に比べ物理層の分離が強い
• MACsec でユーザー機器と Microsoft ポート間のレイヤー2リンクを暗号化し、規制要件に対応する
• MACsec はリンク区間限定のため、機密データにはIPsec や TLS を上位で重ねてエンドツーエンドを担保する
• Microsoft ピアリングで広告する経路は最小化し、不要な PaaS エンドポイントへの到達を避ける
• ルートフィルタや NSG・Azure Firewall を併用し、専用線越しの横展開を制限する

関連サービス・比較

ハンズオン / CLI例

# リソースグループを作成
az group create --name demo-rg --location japaneast

# ExpressRoute Direct のポートを作成（ロケーション・帯域・カプセル化を指定）
az network express-route port create \
  --resource-group demo-rg \
  --name demo-erdirect \
  --location japaneast \
  --peering-location "Tokyo" \
  --bandwidth 100 \
  --encapsulation Dot1Q

# 作成したポートの状態と LOA 用の情報を確認
az network express-route port show \
  --resource-group demo-rg \
  --name demo-erdirect \
  --query "{state: provisioningState, bandwidth: bandwidthInGbps, links: links[].adminState}"

# ポート容量から ExpressRoute 回線を切り出す
az network express-route create \
  --resource-group demo-rg \
  --name demo-circuit \
  --location japaneast \
  --express-route-port demo-erdirect \
  --bandwidth 5 \
  --sku-family MeteredData \
  --sku-tier Standard