Azure Route Server

解決する課題

VNet 内に SD-WAN アプライアンスやファイアウォールなどの NVA（ネットワーク仮想アプライアンス）を置くと、その NVA が学習・広告する経路を Azure 側へ反映させるために、ユーザー定義ルート（UDR）を手作業で書き換える運用が発生します。拠点や経路が増えるほどこの更新は煩雑になり、設定ミスや経路の取りこぼしを招きます。Azure Route Server は NVA と Azure のネットワーク基盤の間に BGP のピアリングを成立させ、この同期を自動化します。

• NVA が学習した経路を手動の UDR 更新なしで VNet 側へ反映したい
• VNet 内のサブネットやアドレス情報をNVA へ自動で伝え、双方向の経路同期を保ちたい
• SD-WAN・ファイアウォール・ルータ系 NVA を Azure に統合する際の経路運用を簡素化したい
• ExpressRoute と VPN を併用する構成で、経路の伝播を意図どおりに制御したい

主要概念と用語

• Route Server（ルートサーバー）: VNet 内の専用サブネットに配置するマネージドな BGP の終端点。NVA と BGP ピアを張り、経路を交換・伝播する
• RouteServerSubnet: Route Server を配置するための専用サブネット。この名前が必須で、ほかの用途には使わない
• NVA（ネットワーク仮想アプライアンス）: VNet 内で動く SD-WAN やファイアウォール、ルータなどのサードパーティ製品。Route Server と BGP ピアを組む相手
• BGP ピアリング: Route Server と NVA の間に張る経路交換セッション。NVA 側の ASN とピア IP を Route Server に登録して確立する
• ASN（自律システム番号）: Route Server 側は固定の番号を使い、NVA 側は任意の番号を割り当てる。両者を一致させない構成が前提
• ブランチ to ブランチ（branch-to-branch）: ExpressRoute と VPN ゲートウェイの間で経路を相互に伝播させる設定。既定では無効で、必要に応じて有効化する
• 経路伝播（route propagation）: Route Server が受け取った経路を VNet の仮想ネットワークプログラミングに反映し、VM などの実トラフィックに効かせる仕組み

仕様・制限・クォータ

• Route Server は**専用サブネット（RouteServerSubnet）**が必須で、一定以上のサイズが求められる。既存サブネットへの相乗りはできない
• 1つの Route Server が学習・広告できる経路数や、組める BGP ピア数には上限がある。大量経路を扱う設計では上限を事前に確認する
• Route Server は高可用性のためにペアで配置され、NVA 側も冗長に BGP を張ることが推奨される
• VNet ごとに配置でき、ピアリング先 VNet やゲートウェイとの経路伝播には個別の設定が要る
• 具体的な経路数・ピア数の上限値は変動しうるため、設計時は最新の公式ドキュメントで確認する

内部の仕組み

Route Server は OSI のレイヤー 3 で BGP を話す制御プレーンです。NVA との間で BGP セッションを確立すると、NVA が広告する経路を受け取り、それを VNet のネットワーク基盤へプログラムします。これにより VM などの実トラフィックが、UDR を手で書かなくても NVA 経由の経路へ流れるようになります。

• Route Server は冗長な 2 インスタンスで構成され、NVA は両方とピアを張って可用性を確保する
• 受け取った経路は VNet の**有効ルート（effective routes）**に反映され、サブネット内の VM に効く
• Route Server 自身はデータ経路を持たない。あくまで経路情報をやり取りする制御役で、パケットそのものは NVA や VNet のデータプレーンを通る
• ExpressRoute・VPN ゲートウェイとの間でも経路を学習・伝播でき、branch-to-branch を有効化すると両ゲートウェイ間の経路が相互に伝わる

設計パターン / ベストプラクティス

• NVA 側の冗長化: Route Server は 2 インスタンスで提供されるため、NVA も複数台で両インスタンスと BGP を張り、片系障害でも経路を維持する
• 経路広告の最小化: NVA から広告する経路は必要最小限に絞り、上限超過や意図しない経路の流入を防ぐ
• branch-to-branch の意図的な有効化: ExpressRoute と VPN の経路を相互伝播させたい場合のみ有効化し、不要なら無効のままにして経路の混線を避ける
• ASN 設計の整理: Route Server 側の固定 ASN と NVA 側の ASN を取り違えないよう、構成図で明確化する
• UDR との役割分担: Route Server で動的に伝播する経路と、明示的に固定したい UDR を区別し、両者が競合しない設計にする

運用・監視

• BGP ピアの状態（確立済みか、フラップしていないか）を継続的に確認し、NVA 側の障害を早期に検知する
• 学習経路数・広告経路数を監視し、上限に近づいていないか、想定外の経路が混じっていないかを点検する
• VNet の有効ルートを確認し、Route Server 経由で期待どおりの経路が反映されているか検証する
• NVA のメンテナンス時は、もう一方のピアで経路が維持されることを平時から確認しておく
• 経路の伝播が反映されない場合は、サブネット名・ASN・ピア IP・branch-to-branch 設定を順に切り分ける

コスト

セキュリティ

• Route Server は経路情報を扱うため、広告される経路を最小化し、意図しない宛先への到達経路を作らないようにする
• BGP ピアを組む NVA は信頼できる正しい経路だけを広告する前提で、NVA 側の設定と権限を厳格に管理する
• branch-to-branch を不用意に有効化すると、ExpressRoute と VPN の経路が相互に伝わり、想定外の経路露出につながりうるため要件に応じて制御する
• NSG や Azure Firewall・NVA のポリシーと組み合わせ、経路が通っても通信そのものは別途フィルタする設計にする

関連サービス・比較

経路運用の自動化という点で、手動の UDR と対比すると位置づけが明確になります。

ハンズオン / CLI例

# リソースグループを作成
az group create --name demo-rg --location japaneast

# Route Server 用の専用サブネットを VNet に作成（名前は RouteServerSubnet 固定）
az network vnet subnet create \
  --resource-group demo-rg \
  --vnet-name demo-vnet \
  --name RouteServerSubnet \
  --address-prefixes 10.0.1.0/27

# 専用サブネットに Route Server を作成
az network routeserver create \
  --resource-group demo-rg \
  --name demo-routeserver \
  --hosted-subnet /subscriptions/<sub-id>/resourceGroups/demo-rg/providers/Microsoft.Network/virtualNetworks/demo-vnet/subnets/RouteServerSubnet

# NVA と BGP ピアを構成（NVA の ASN とピア IP を登録）
az network routeserver peering create \
  --resource-group demo-rg \
  --routeserver demo-routeserver \
  --name nva-peer \
  --peer-asn 65001 \
  --peer-ip 10.0.0.4

# 学習した経路を確認
az network routeserver peering list-learned-routes \
  --resource-group demo-rg \
  --routeserver demo-routeserver \
  --name nva-peer