Azure ExpressRoute

解決する課題

インターネット経由の VPN では帯域や遅延が安定せず、トラフィックも公衆網を通ります。ExpressRoute は接続プロバイダーの専用回線を介して Azure とオンプレを結び、これらの弱点を解消します。

• 公衆インターネットを経由しないプライベートな専用接続で、機密性と経路の安定性を確保
• VPN より広帯域・低遅延・高信頼で、可用性 SLA も提供
• 基幹システムやハイブリッド構成で求められる予測可能な通信品質を実現

主要概念と用語

• ExpressRoute Circuit（回線）: ExpressRoute 接続の論理単位。プロバイダー・場所・帯域・課金モデルで定義する。物理的には冗長な 2 本のリンクで構成される
• ピアリング: 回線上の論理的な接続経路。Azure のプライベートリソース向けのプライベートピアリングと、パブリック PaaS 向けのMicrosoft ピアリングがある
• Peering Location（ピアリングロケーション）: 物理的に相互接続する拠点。Azure リージョンとは別概念で、地理的に近いロケーションを選ぶ
• 接続モデル: 主に「クラウドエクスチェンジでの併設接続」「ポイントツーポイントのイーサネット接続」「Any-to-Any（IPVPN）」がある
• ExpressRoute Gateway: VNet 側で回線を終端する仮想ネットワークゲートウェイ。種別により帯域上限が異なる
• ExpressRoute Direct: プロバイダーを介さず Microsoft のグローバルネットワークに直接接続する大容量向けの形態
• ExpressRoute Global Reach: 別々のオンプレ拠点同士を、ExpressRoute 回線経由で相互接続する機能
• FastPath: ゲートウェイをバイパスしてデータ経路を最適化し、遅延を下げる機能

仕様・制限・クォータ

• 回線は冗長なペアリンクで提供され、片方の障害でも通信を維持できる設計が前提
• 帯域はメニュー化された複数の選択肢から選ぶ。ExpressRoute Direct はより大きなポート容量に対応
• 1 つの VNet に接続できる回線数や、1 回線に接続できる VNet 数には上限がある（多くはサブスクリプション単位の引き上げ申請が可能）
• ゲートウェイ SKU によりスループット上限が段階的に決まる。要求帯域に対して SKU を選定する
• Peering Location と Azure リージョンの組み合わせには制約があり、設計時に到達可能性を確認する

内部の仕組み

ExpressRoute は OSI の**レイヤ 3（BGP ルーティング）**で Microsoft のエッジと相互接続します。回線を有効化すると、オンプレのエッジルーターと Microsoft Enterprise Edge（MSEE）ルーターの間で BGP セッションが張られ、経路情報を交換します。

• プライベートピアリングは VNet 内のリソース（VM など）へプライベート IP で到達する経路を広告する
• Microsoft ピアリングは Microsoft 365 や Azure PaaS のパブリックエンドポイントへ、専用線経由でアクセスする経路に使う
• データ経路は通常ゲートウェイを通るが、FastPath を使うとゲートウェイをバイパスしてデータプレーンを直接 VNet へ流し、遅延とホップを削減できる
• 物理層はActive/Active の二重化が基本で、両リンクで BGP を確立して可用性を高める

設計パターン / ベストプラクティス

• 冗長化の徹底: 単一の Peering Location 依存を避け、可能なら複数ロケーション・複数回線で地理冗長を確保する
• ExpressRoute + VPN のフェイルオーバー: ExpressRoute を主経路、Site-to-Site VPN をバックアップ経路にして可用性を底上げする
• ハブ＆スポーク連携: ハブ VNet に ExpressRoute Gateway を集約し、スポーク VNet はピアリングで共有する。大規模なら Virtual WAN を検討
• FastPath の活用: 低遅延が重要なワークロードではゲートウェイ経由のボトルネックを避ける
• ルート広告の制御: 広告する経路を必要最小限に絞り、意図しない経路の流入・流出を防ぐ

運用・監視

• ExpressRoute Gateway の指標（ビット/秒、パケット数、CPU 等）と回線の入出力トラフィックを継続監視する
• Connection Monitor / Network Watcher でオンプレと Azure 間の到達性・遅延・パケットロスを計測する
• BGP セッションの状態や広告経路の数を確認し、経路フラップや経路数上限超過を早期に検知する
• 計画メンテナンス時は冗長リンクのうち片方ずつ作業される前提で、両リンクが BGP 確立済みかを平時から確認しておく

コスト

セキュリティ

• 通信はインターネットを経由しないため経路上の露出が小さいが、前述のとおり回線自体は暗号化されない
• 機密データにはIPsec や MACsec を重ねることで、専用線上でも暗号化を担保する
• Microsoft ピアリングで広告する経路は最小化し、不要な PaaS エンドポイントへの到達を避ける
• ルートフィルターや NSG・Azure Firewall を併用し、専用線越しの横展開（ラテラルムーブメント）を制限する

Well-Architected の観点

• 信頼性: 冗長ペアリンク・複数ロケーション・VPN フェイルオーバーで単一障害点を排除する
• セキュリティ: プライベート経路に加えて暗号化と経路広告の最小化を組み合わせる
• パフォーマンス効率: 帯域とゲートウェイ SKU を要求に合わせ、必要なら FastPath で遅延を抑える
• コスト最適化: 送信量の傾向に応じて従量・定額を選び、ゲートウェイの常時課金を踏まえて構成する

試験で問われるポイント

関連サービス・比較

ハンズオン / CLI例

# リソースグループを作成
az group create --name demo-rg --location japaneast

# ExpressRoute 回線を作成（プロバイダー・ロケーション・帯域・課金モデルを指定）
az network express-route create \
  --resource-group demo-rg \
  --name demo-circuit \
  --location japaneast \
  --provider "Equinix" \
  --peering-location "Tokyo" \
  --bandwidth 200 \
  --sku-family MeteredData \
  --sku-tier Standard

# サービスキーと回線の状態を確認（プロバイダーへの開通依頼に使う）
az network express-route show \
  --resource-group demo-rg \
  --name demo-circuit \
  --query "{serviceKey: serviceKey, provisioningState: provisioningState, circuitState: circuits.circuitProvisioningState}"

# プライベートピアリングを構成（VNet 内リソースへの経路）
az network express-route peering create \
  --resource-group demo-rg \
  --circuit-name demo-circuit \
  --peering-type AzurePrivatePeering \
  --peer-asn 65001 \
  --primary-peer-subnet 10.0.0.0/30 \
  --secondary-peer-subnet 10.0.0.4/30 \
  --vlan-id 100