Azure VMware Solution のネットワーク計画のチェックリスト

[アーティクル]
12/21/2023

Azure VMware Solution は、オンプレミスおよび Azure ベースの環境またはリソースからユーザーやアプリケーションがアクセスできる VMware プライベートクラウド環境を提供します。接続は、Azure ExpressRoute 接続や VPN 接続などのネットワークサービスを通じて提供されます。これらのサービスを有効にするには、特定のネットワークアドレス範囲とファイアウォールポートが必要です。この記事では、Azure VMware Solution で動作するようにネットワークを構成する方法について説明します。

このチュートリアルでは、以下について学習します。

仮想ネットワークと ExpressRoute 回線に関する考慮事項
ルーティングとサブネットの要件
サービスと通信するために必要なネットワークポート
Azure VMware Solution での DHCP と DNS に関する考慮事項

前提条件

ExpressRoute プロバイダーのサービスを含め、すべてのゲートウェイで 4 バイトの自律システム番号 (ASN) がサポートされていることを確認する。 Azure VMware Solution では、4 バイトのパブリック ASN を使用してルートをアドバタイズします。

仮想ネットワークと ExpressRoute 回線に関する考慮事項

サブスクリプション内に仮想ネットワーク接続を作成するときには、ピアリングによって ExpressRoute 回線が確立され、Azure portal で要求した承認キーとピアリング ID が使用されます。ピアリングは、プライベートクラウドと仮想ネットワークの間のプライベートな 1 対 1 の接続です。

Note

ExpressRoute 回線は、プライベートクラウドのデプロイには含まれません。オンプレミスの ExpressRoute 回線については、このドキュメントでは取り扱いません。プライベートクラウドへのオンプレミス接続が必要な場合は、既存の ExpressRoute 回線のいずれかを使用するか、Azure portal で購入します。

プライベートクラウドをデプロイすると、vCenter Server および NSX-T Manager の IP アドレスが提供されます。これらの管理インターフェイスにアクセスするには、サブスクリプションの仮想ネットワークにさらにリソースを作成します。これらのリソースを作成し、ExpressRoute プライベートピアリングを確立する手順については、チュートリアルを参照してください。

プライベートクラウドの論理ネットワークには、事前にプロビジョニングされた NSX-T Data Center の構成が含まれています。 Tier-0 ゲートウェイと Tier-1 ゲートウェイが事前にプロビジョニングされています。セグメントを作成し、それを既存の Tier-1 ゲートウェイにアタッチすることも、自分が定義する新しい Tier-1 ゲートウェイにアタッチすることもできます。 NSX-T データセンター論理ネットワークコンポーネントは、ワークロード間の East-West 接続と、インターネットおよび Azure サービスへの North-South 接続を提供します。

重要

Azure NetApp Files データストアを使用して Azure VMware Solution ホストをスケーリングする予定がある場合は、ExpressRoute 仮想ネットワークゲートウェイを使用して vNet をホストの近くにデプロイすることが重要です。ストレージがホストに近いほど、パフォーマンスが向上します。

ルーティングとサブネットに関する考慮事項

Azure VMware Solution プライベートクラウドは、Azure ExpressRoute 接続を使用して Azure 仮想ネットワークに接続されます。この高い帯域幅と短い待ち時間の接続によって、ご自分のプライベートクラウド環境から、ご自分の Azure サブスクリプションで実行されているサービスにアクセスできます。ルーティングでは Border Gateway Protocol (BGP) が使用され、プライベートクラウドのデプロイごとに既定で自動的にプロビジョニングされて有効になります。

Azure VMware Solution のプライベートクラウドでは、サブネット用に少なくとも /22 の CIDR ネットワークアドレスブロックが必要です。このネットワークによってオンプレミスのネットワークが補完されるため、アドレスブロックは、サブスクリプションの他の仮想ネットワークやオンプレミスネットワークで使用されているアドレスブロックと重複しないようにする必要があります。このアドレスブロック内では、管理、プロビジョニング、vMotion ネットワークが自動的にプロビジョニングされます。

Note

アドレスブロックで許可される範囲は RFC 1918 プライベートアドレス空間 (10.0.0.0/8、172.16.0.0/12、192.168.0.0/16) です。ただし、172.17.0.0/16 を除きます。

重要

NSX-T Data Center の使用のために予約されている次の IP スキーマは使用しないでください。

169.254.0.0/24 - 内部転送ネットワークに使用
169.254.2.0/23 - VRF 間転送ネットワークに使用
100.64.0.0/16 - T1 および T0 ゲートウェイを内部的に接続するために使用

/22 CIDR ネットワークアドレスブロックの例: 10.10.0.0/22

サブネット:

ネットワークの使用法	説明	Subnet	例
プライベートクラウドの管理	管理ネットワーク (vCenter、NSX-T など)	`/26`	`10.10.0.0/26`
HCX 管理の移行	HCX アプライアンスのローカル接続 (ダウンリンク)	`/26`	`10.10.0.64/26`
予約済み Global Reach	ExpressRoute の送信インターフェイス	`/26`	`10.10.0.128/26`
NSX-T データセンター DNS サービス	組み込みの NSX-T DNS サービス	`/32`	`10.10.0.192/32`
予約済み	予約済み	`/32`	`10.10.0.193/32`
予約済み	予約済み	`/32`	`10.10.0.194/32`
予約済み	予約済み	`/32`	`10.10.0.195/32`
予約済み	予約済み	`/30`	`10.10.0.196/30`
予約済み	予約済み	`/29`	`10.10.0.200/29`
予約済み	予約済み	`/28`	`10.10.0.208/28`
ExpressRoute ピアリング	ExpressRoute ピアリング	`/27`	`10.10.0.224/27`
ESXi の管理	ESXi 管理 VMkernel インターフェイス	`/25`	`10.10.1.0/25`
vMotion ネットワーク	vMotion VMkernel インターフェイス	`/25`	`10.10.1.128/25`
レプリケーションネットワーク	vSphere レプリケーションインターフェイス	`/25`	`10.10.2.0/25`
vSAN	vSAN VMkernel インターフェイスとノード通信	`/25`	`10.10.2.128/25`
HCX アップリンク	HCX IX および NE アプライアンスのリモートピアへのアップリンク	`/26`	`10.10.3.0/26`
予約済み	予約済み	`/26`	`10.10.3.64/26`
予約済み	予約済み	`/26`	`10.10.3.128/26`
予約済み	予約済み	`/26`	`10.10.3.192/26`

必要なネットワークポート

source	宛先	Protocol	Port	説明
プライベートクラウドの DNS サーバー	オンプレミスの DNS サーバー	UDP	53	DNS クライアント - オンプレミスの DNS クエリに対するプライベートクラウド vCenter Server からの要求を転送します (「DNS」セクションを参照)。
オンプレミスの DNS サーバー	プライベートクラウドの DNS サーバー	UDP	53	DNS クライアント - オンプレミスサービスからプライベートクラウド DNS サーバーへの要求の転送 (DNS セクションを参照)
オンプレミスネットワーク	プライベートクラウドの vCenter Server	TCP (HTTP)	80	vCenter Server では、直接 HTTP 接続用にポート 80 が必要です。ポート 80 から HTTPS ポート 443 に要求がリダイレクトされます。このリダイレクトは、`https://server` の代わりに `http://server` を使用する場合に役立ちます。
プライベートクラウドの管理ネットワーク	オンプレミスの Active Directory	TCP	389/636	Azure VMware Solutions vCenter Server がオンプレミスの Active Directory/LDAP サーバーと通信できるようにします。プライベートクラウドの vCenter 上でオンプレミス AD を ID ソースとして構成する場合はオプションです。セキュリティ上の目的でポート 636 がお勧めです。
プライベートクラウドの管理ネットワーク	オンプレミスの Active Directory のグローバルカタログ	TCP	3268/3269	Azure VMware Solutions vCenter Server がオンプレミスの Active Directory/LDAP グローバルカタログサーバーと通信できるようにします。プライベートクラウドの vCenter Server 上でオンプレミス AD を ID ソースとして構成する場合はオプションです。セキュリティを強化するにはポート 3269 を使用します。
オンプレミスネットワーク	プライベートクラウドの vCenter Server	TCP (HTTPS)	443	オンプレミスネットワークから vCenter Server にアクセスします。 vSphere クライアント接続をリッスンする vCenter Server の既定のポート。 vCenter Server システムが vSphere クライアントからデータを受信できるようにするには、ファイアウォールでポート 443 を開きます。また、vCenter Server システムは、ポート 443 を使用して、SDK クライアントからのデータ転送を監視します。
オンプレミスネットワーク	HCX クラウドマネージャー	TCP (HTTPS)	9443	HCX のシステム構成用の HCX クラウドマネージャー仮想アプライアンス管理インターフェイス。
オンプレミス管理ネットワーク	HCX クラウドマネージャー	SSH	22	HCX クラウドマネージャー仮想アプライアンスへの管理者 SSH アクセス。
HCX Manager	相互接続 (HCX-IX)	TCP (HTTPS)	8123	HCX 一括移行の制御。
HCX Manager	相互接続 (HCX-IX)、ネットワーク拡張機能 (HCX-NE)	TCP (HTTPS)	9443	REST API を使用して、ローカル HCX 相互接続に管理指示を送信します。
相互接続 (HCX-IX)	L2C	TCP (HTTPS)	443	L2C で相互接続と同じパスを使用する場合、相互接続から L2C に管理指示を送信します。
HCX Manager、相互接続 (HCX-IX)	ESXi ホスト	TCP	80、443、902	管理と OVF のデプロイ。
ソースの相互接続 (HCX-IX)、ネットワーク拡張機能 (HCX-NE)	宛先の相互接続 (HCX-IX)、ネットワーク拡張機能 (HCX-NE)	UDP	4500	IPsec に必要双方向トンネルのワークロードをカプセル化するためのインターネットキー交換 (IKEv2)。ネットワークアドレス変換トラバーサル (NAT-T) がサポートされています。
オンプレミス相互接続 (HCX-IX)	クラウド相互接続 (HCX-IX)	UDP	500	IPsec に必要双方向トンネルのためのインターネットキー交換 (ISAKMP)。
オンプレミスの vCenter Server ネットワーク	プライベートクラウドの管理ネットワーク	TCP	8000	オンプレミスの vCenter Server からプライベートクラウドの vCenter Server への VM の vMotion
HCX コネクタ	connect.hcx.vmware.com hybridity.depot.vmware.com	TCP	443	`connect` はライセンスキーを検証するために必要です。 `hybridity` は更新に必要です。

この表は、一般的なシナリオ向けの一般的なファイアウォール規則を示しています。ただし、ファイアウォール規則を構成するときに、さらに多くの項目を考慮する必要がある場合があります。ソースと宛先に "オンプレミス" と表示されている場合、この情報は、データセンターにフローを検査するファイアウォールがある場合にのみ関連します。オンプレミスのコンポーネントに検査用のファイアウォールがない場合は、これらの規則を無視できます。

詳細については、VMware HCX ポート要件の全一覧を参照してください。

DHCP と DNS の解決に関する考慮事項

プライベートクラウド環境で実行されるアプリケーションとワークロードには、ルックアップと IP アドレスの割り当てのための名前解決と DHCP サービスが必要です。これらのサービスを提供するために、DHCP と DNS の適切なインフラストラクチャが必要です。仮想マシンを構成して、ご自分のプライベートクラウド環境でこれらのサービスを提供することができます。

ブロードキャスト DHCP トラフィックを WAN 経由でオンプレミスにルーティングして戻すのではなく、NSX-T Data Center に組み込まれている DHCP サービスを使用するか、プライベートクラウドのローカル DHCP サーバーを使用します。

重要

Azure VMware Solution に既定のルートをアドバタイズする場合は、DNS フォワーダーが構成された DNS サーバーに到達できるよう許可し、またそれらでパブリック名前解決がサポートされている必要があります。

次の手順

このチュートリアルでは、Azure VMware Solution プライベートクラウドをデプロイするための考慮事項と要件について説明しました。適切なネットワークを準備できたら、次のチュートリアルに進んで Azure VMware Solution のプライベートクラウドを作成します。

Azure VMware Solution のプライベートクラウドを作成する