Azure Route Server に関してよく寄せられる質問

この記事では、一般的なサービス情報、ルーティング機能、および現在の制限事項に関して、Azure Route Server に関してよく寄せられる質問に対する回答を示します。

全般

Azure Route Server とは何ですか。

Azure Route Server は、ネットワーク仮想アプライアンス (NVA) と仮想ネットワークの間のルーティングを簡単に管理できる、フル マネージド サービスです。

Azure Route Server は単なる仮想マシンなのですか?

いいえ。 Azure Route Server は、高可用性を使用して設計されたサービスです。 可用性ゾーンをサポートする Azure リージョンにデプロイする場合、ルート サーバーにはゾーン レベルの冗長性 があります。

各 NVA を両方の Azure Route Server インスタンスとピアリングする必要がありますか?

はい。ルート サーバーがルートを正常に受信し、高可用性を構成するには、各 NVA インスタンスを Route Server の両方のインスタンスとピアリングする必要があります。 また、両方のインスタンスに同じルートをアドバタイズする必要もあります。 ルート サーバーの両方のインスタンスと少なくとも 2 つの NVA インスタンスをピアリングすることもお勧めします。

メンテナンスの詳細な通知を受け取ることができますか?

現時点では、Azure Route Server のメンテナンスに関する詳細な通知を受け取ることはできません。

Azure Route Server では、顧客データは保存されますか。

いいえ。 Azure Route Server が行うのは、BGP ルートをネットワーク仮想アプライアンス (NVA) と交換し、それらを仮想ネットワークに伝達することのみです。

Azure Route Server では仮想ネットワーク ピアリングがサポートされていますか。

はい。 Azure Route Server をホストする仮想ネットワークを別の仮想ネットワークにピアリングし、2 つ目 の仮想ネットワークでリモート仮想ネットワークのゲートウェイまたはルート サーバーの使用 を有効にすると、Azure Route Server はピアリングされた仮想ネットワークのアドレス空間を学習し、すべてのピアリングされたネットワーク仮想アプライアンス (NVA) に送信します。 ルート サーバーは、NVA からピアリングされた仮想ネットワーク内の仮想マシンのルート テーブルへのルートもプログラムします。

Azure Route Server に、ポートが開かれたパブリック IP アドレスが必要な理由

これらのパブリック エンドポイントは、Azure の基になるソフトウェア定義ネットワーク (SDN) と管理プラットフォームが Azure Route Server と通信するために必要です。 Route Server は顧客のプライベート ネットワークの一部と見なされるため、コンプライアンス要件により、Azure の基になるプラットフォームは、プライベート エンドポイントを介して Route Server に直接アクセスして管理することはできません。 Route Server のパブリック エンドポイントへの接続は証明書を介して認証され、Azure ではこれらのパブリック エンドポイントの定期的なセキュリティ監査が行われます。 その結果、仮想ネットワークのセキュリティ上の露出は構成されません。

Azure Route Server では IPv6 がサポートされていますか。

いいえ。 IPv6 アドレス空間を持つ仮想ネットワークをデプロイし、後で同じ仮想ネットワークに Azure Route Server をデプロイすると、IPv6 トラフィックの接続が切断されます。

IPv6 アドレス空間を持つ仮想ネットワークをルート サーバーの仮想ネットワークにピアリングすることができ、このピアリングされたデュアルスタック仮想ネットワークとの IPv4 接続は引き続き機能します。 このピアリングされた仮想ネットワークとの IPv6 接続はサポートされていません。

ルーティング

Azure Route Server では NVA と VM の間でデータ トラフィックがルーティングされますか。

いいえ。 Azure Route Server では、ネットワーク仮想アプライアンス (NVA) との間でのみ BGP ルートが交換されます。 データ トラフィックは、NVA と宛先仮想マシン (VM) の間で直接送受信されます。

Azure Route Server ではどのようなルーティング プロトコルがサポートされていますか。

Azure Route Server では、Border Gateway Protocol (BGP) のみがサポートされます。 仮想ネットワーク内の専用サブネットに Route Server をデプロイする必要があるため、ネットワーク仮想アプライアンス (NVA) ではマルチホップの外部 BGP をサポートする必要があります。 NVA で BGP を構成する場合、選択する ASN はルート サーバー ASN とは異なる必要があります。

Azure Route Server は、受信したルートの BGP AS パスを保持しますか。

はい。Azure Route Server は、BGP AS パスをそのまま使用してルートを伝達します。

NVAでルート サーバーに向けてASパス プレフィックスが構成されている場合、ExpressRouteサーキットはそのASパスの前置情報をオンプレミスに渡しますか?

ExpressRoute は、オンプレミスへのルートをアドバタイズすると、プライベート BGP ASN 情報を削除します。 オンプレミスは、AS 12076 のプレフィックスを受け取ります。

Azure Route Server は、受信したルートの BGP コミュニティを保持しますか。

はい。Azure Route Server は、BGP コミュニティをそのまま使用してルートを伝達します。

Azure Route Server の BGP タイマーはどのように設定されていますか。

Azure Route Server のキープアライブ タイマーは 60 秒で、保留タイマーは 180 秒です。

Azure Route Server を使用して、NVA からルートをフィルター処理できますか?

Azure Route Server では、BGP コミュニティ NO_ADVERTISE サポートされています。 ネットワーク仮想アプライアンス (NVA) が、このコミュニティ文字列を含むルートをルート サーバーにアドバタイズする場合、ルート サーバーは ExpressRoute ゲートウェイを含む他のピアにルートをアドバタイズしません。 この機能は、Azure Route Server から ExpressRoute に送信されるルートの数を減らすのに役立ちます。

ハブ仮想ネットワークとスポーク仮想ネットワークの間に仮想ネットワーク ピアリングが作成されると、Azure Route Server とそのピアリングされた NVA の間で BGP ソフト リセットが発生しますか?

はい。 ハブ仮想ネットワークとスポーク仮想ネットワークの間に仮想ネットワーク ピアリングが作成された場合、Azure Route Server は、すべてのピアリングされた NVA にルート更新要求を送信することで BGP ソフト リセットを実行します。 NVA が BGP ルート更新をサポートしていない場合、Azure Route Server はピアリングされた NVA で BGP ハード リセットを実行します。これにより、NVA を通過するトラフィックの接続が中断される可能性があります。

NVA と Azure Route Server の間の BGP ピアリング セッションで 4000 ルートの制限はどのように計算されますか?

現在、ルート サーバーは、1 つの BGP ピアから最大 4,000 個のルートを受け入れることができます。 ルート サーバーが BGP ルートの更新を処理する場合、この制限は、BGP ピアから学習された現在のルートの数と、BGP ルートの更新に含まれるルートの数として計算されます。 たとえば、NVA が最初に 2001 ルートをルート サーバーにアドバタイズし、後で BGP ルート更新でこれらの 2001 ルートを読み取る場合、ルート サーバーはこれを 4,002 ルートとして計算し、BGP セッションを破棄します。

どの自律システム番号 (ASN) を使用できますか。

ネットワーク仮想アプライアンス (NVA) で、独自のパブリック ASN またはプライベート ASN を使用できます。 Azure または インターネット割り当て番号機関 (IANA) によって予約された ASN を使用することはできません。

Azure によって予約された ASN:

• パブリック ASN: 8074、8075、12076
• プライベート ASN: 65515、65517、65518、65519、65520

IANA によって予約されている ASN:

• 23456、64496-64511、65535-65551

32 ビット (4 バイト) の ASN を使用できますか。

いいえ。Azure Route Server でサポートされる ASN は、16 ビット (2 バイト) のみです。

Azure Route Server が複数の NVA から同じルートを受け取る場合、どのように処理されますか。

ルートの AS パスの長さが同じ場合、Azure Route Server は、それぞれ異なる次ホップを持つルートの複数のコピーを、仮想ネットワーク内の仮想マシン (VM) にプログラムします。 VM によってこのルートの宛先にトラフィックが送信されると、VM ホストによって等コスト マルチパス (ECMP) ルーティングが使用されます。 ただし、1 つの NVA が他の NVA よりも短い AS パス長でルートを送信する場合、Azure Route Server では、次ホップがこの NVA に設定されているルートのみが仮想ネットワーク内の VM にプログラムされます。

Azure Route Server の作成は、既存の仮想ネットワーク ゲートウェイ (VPN または ExpressRoute) の操作に影響しますか?

はい。 仮想ネットワーク ゲートウェイ (ExpressRoute または VPN) を含む仮想ネットワーク内にルート サーバーを作成または削除する場合、ダウンタイムは 10 分間続くと予想されます。 実際のルート サーバーの展開が完了するまでに 30 分から 60 分かかる場合があるため、デプロイのメンテナンス期間を 60 分に設定することをお勧めします。 ルート サーバーを作成または削除する仮想ネットワークに ExpressRoute 回線が接続されている場合、ダウンタイムはその ExpressRoute 回線の他の仮想ネットワークへの接続には影響しません。

Azure Route Server は、NVA と仮想ネットワーク ゲートウェイ (VPN または ExpressRoute) の間で既定でルートを交換しますか?

いいえ。 既定では、Azure Route Server は NVA と仮想ネットワーク ゲートウェイから受信したルートを相互に伝達しません。 Route Server は、ブランチ間を有効にした後、これらのルートを交換します。

NVA でアドバタイズされたルートは、ExpressRoute MSEE を介してあるルート サーバーから別のルート サーバーに伝達されますか?

いいえ。 ブランチ間が有効になっている場合、NVA によって広告されたルートは ExpressRoute に接続されたオンプレミス環境へ広告されます。 ただし、NVA でアドバタイズされたルートは、2 番目のルート サーバーによって削除されます。 これを示すために、次の図は SDWAN NVA への SDWAN オンプレミス アドバタイズ 10.3.0.0/16 を示しています。 このルートは最初のルート サーバーによって学習されるため、VNet 1 (または VNet 1 にピアリング) 内のすべてのワークロードでもこのルートが学習されます。 さらに、ExpressRoute に接続されたオンプレミスでは、拠点間が有効になっている場合、10.3.0.0/16 ルートを学習します。 ただし、2 番目のルート サーバー (VNet 2 の場合) は 10.3.0.0/16 ルートを学習しないため、このルートは VNet 2 のワークロードでは学習されません。 その結果、10.3.0.0/16 オンプレミス ネットワークは、VNet 2 内のすべてのワークロードから到達不能になり、VNet 2 にピアリングされます。

ExpressRoute、VPN、または SD-WAN 経由で同じルートを学習する場合、どのネットワークが推奨されますか?

既定では、ExpressRoute 経由で学習されたルートは、VPN または SD-WAN 経由で学習されたルートよりも優先されます。 Route Server のルート選択に影響を与えるルーティング優先設定を構成できます。 詳細については、「ルーティングの優先順位」を参照してください。

Azure VPN ゲートウェイが Azure Route Server と連携するための要件は何ですか?

Azure VPN ゲートウェイは、アクティブ/アクティブ モードで構成し、ASN が 65515 に設定されている必要があります。

VPN ゲートウェイで BGP を有効にする必要がありますか?

いいえ。 Route Server と通信するために VPN ゲートウェイで BGP を有効にする必要はありません。

2 つのピアリングされた仮想ネットワーク内の 2 つの Azure Route Server をピアリングし、Route Server に接続されている NVA が互いに通信可能となるようにできますか?

トポロジ: NVA1 -> RouteServer1 -> (仮想ネットワーク ピアリング経由) -> RouteServer2 -> NVA2

いいえ。Azure Route Server では、データ トラフィックは転送されません。 NVA を介したトランジット接続を有効にするには、NVA 間の直接接続 (IPsec トンネルなど) を設定し、動的なルート伝達に Route Server を使用します。

Azure Route Server を使用して、同じ仮想ネットワーク内のサブネット間でトラフィックを送信して、サブネット間のトラフィックを NVA 経由でフローさせることはできますか。

いいえ。 Azure Route Server は BGP を使用してルートをアドバタイズします。 仮想ネットワーク、仮想ネットワークのピアリング、または仮想ネットワーク サービス エンドポイントに関連したトラフィックに使用されるシステム ルートは、BGP のルートの方が具体的であったとしても、優先されるルートとなります。 ユーザー定義ルート (UDR) を引き続き使用してシステム ルートをオーバーライドする必要があります。BGP を使用してこれらのルートをすばやくフェールオーバーすることはできません。 フェールオーバーの場合には、サードパーティのソリューションを使用して、API 経由で UDR を更新するか、HA ポート モードで Azure Load Balancer を使用してトラフィックを送信する必要があります。

Azure Route Server を使用して、異なる仮想ネットワーク内のサブネット間のトラフィックを、NVA を使用してフローするように誘導できます。 可能な設計は、"スポーク" 仮想ネットワークごとに 1 つのサブネットであり、すべての "スポーク" 仮想ネットワークが "ハブ" 仮想ネットワークにピアリングされます。 この設計には非常に制限があり、スケーリングに関する考慮事項と仮想ネットワークとサブネット上の Azure の上限を考慮する必要があります。

ブランチ対ブランチ設定を有効にすると、Azure Route Server は ExpressRoute とポイント対サイト (P2S) VPN ゲートウェイ接続の間のトランジットを提供できますか?

いいえ。Azure Route Server では、 ブランチ対ブランチ 設定を有効にすると、ExpressRoute とサイト間 (S2S) VPN ゲートウェイ接続間の転送のみが提供されます。

Virtual WAN ハブに接続するスポーク仮想ネットワークに Azure Route Server を作成できますか?

いいえ。 スポーク仮想ネットワークが Virtual WAN ハブに接続されている場合、ルート サーバーを持つことはありません。

制限事項

仮想ネットワークにはいくつの Azure Route Server を作成できますか。

仮想ネットワーク内に作成できる Route Server は 1 つだけです。 RouteServerSubnet という専用サブネットにルート サーバーをデプロイする必要があります。

UDR を RouteServerSubnet に関連付けることができますか?

いいえ。Azure Route Server では、 RouteServerSubnet サブネットでのユーザー定義ルート (UDR) の構成はサポートされていません。 Azure Route Server は、ネットワーク仮想アプライアンス (NVA) と仮想マシン (VM) の間でデータ トラフィックをルーティングしません。

ネットワーク セキュリティ グループ (NSG) を RouteServerSubnet に関連付けることができますか?

いいえ。Azure Route Server では、 RouteServerSubnet サブネットへのネットワーク セキュリティ グループの関連付けはサポートされていません。

Azure Route Server の制限

Azure Route Server には、(デプロイごとに) 次の制限があります。

¹ NVA によって制限より多くのルートが公開された場合、BGP セッションは削除されます。

仮想マシンでのルーティングの問題のトラブルシューティングについては、「Azure 仮想マシンのルーティングの問題を診断する」を参照してください。

ルート サーバー リソースに対する操作を実行するための無効なスコープと認可に関するエラーが表示されるのはなぜですか?

次の形式のエラーが表示される場合は、次のアクセス許可が構成されていることを確認します: ルート サーバーの役割とアクセス許可。

エラー メッセージの形式:"オブジェクト ID {}を持つクライアントは、スコープ {}に対してアクション {}を実行する権限を持っていないか、スコープが無効です。 必要なアクセス許可の詳細については、{} を参照してください。 アクセスが許可されたのが最近である場合は、資格情報を更新してください。"

次のステップ

Azure Route Server を構成する方法を確認します。