Azure Virtual NetworkAzure Virtual Network

Microsoft Azure Virtual Network サービスでは、Azure リソースを利用して、仮想ネットワーク内の他のサービスと安全に通信することを可能にしています。The Microsoft Azure Virtual Network service enables Azure resources to securely communicate with other in a virtual network. 仮想ネットワークとは、クラウド内のユーザー独自のネットワークを表したものです。A virtual network is a representation of your own network in the cloud. 仮想ネットワークは、サブスクリプション専用の Azure クラウドを論理的に分離したものです。A virtual network is a logical isolation of the Azure cloud dedicated to your subscription. 他の仮想ネットワークまたはオンプレミス ネットワークに仮想ネットワークを接続できます。You can connect virtual networks to other virtual networks, or to your on-premises network. 次の図は、Azure Virtual Network サービスの機能の一部を示しています。The following picture shows some of the capabilities of the Azure Virtual Network service:

ネットワーク図

次の Azure Virtual Network の機能の詳細については、各機能をクリックしてください。To learn more about the following Azure Virtual Network capabilities, click the capability:

  • 分離: 仮想ネットワークは相互に分離されます。Isolation: Virtual networks are isolated from one another. 同じ CIDR (10.0.0.0/0 など) アドレス ブロックを使用する開発、テスト、運用環境に個別の仮想ネットワークを作成できます。You can create separate virtual networks for development, testing, and production that use the same CIDR (10.0.0.0/0, for example) address blocks. 逆に、異なる CIDR アドレス ブロックを使用する複数の仮想ネットワークを作成し、ネットワークをまとめて接続することもできます。Conversely, you can create multiple virtual networks that use different CIDR address blocks and connect the networks together. 仮想ネットワークは、複数のサブネットに分割できます。You can segment a virtual network into multiple subnets. Azure では、仮想ネットワークにデプロイされた仮想マシンと Azure Cloud Services ロール インスタンスの内部的な名前解決を提供します。Azure provides internal name resolution for virtual machines and Azure Cloud Services role instances deployed in a virtual network. 必要に応じて、Azure の内部名前解決を使用する代わりに、独自の DNS サーバーを使用するよう仮想ネットワークを構成できます。You can optionally configure a virtual network to use your own DNS servers, instead of using Azure internal name resolution.
  • インターネット通信: 仮想ネットワーク内のすべての Azure Virtual Machines および Cloud Services ロール インスタンスは、既定でインターネットにアクセスできます。Internet communication: All Azure Virtual Machines and Cloud Services role instances in a virtual network have access to the Internet, by default. また、必要に応じて、特定のリソースへの着信アクセスを有効にすることもできます。You can also enable inbound access to specific resources, as needed.
  • Azure リソース通信: Cloud Services や仮想マシンなどの Azure リソースは、同じ仮想ネットワークにデプロイできます。Azure resource communication: Azure resources such as Cloud Services and virtual machines can be deployed in the same virtual network. リソースは、異なるサブネットに存在する場合でも、プライベート IP アドレスを使用して相互に通信できます。The resources can communicate with each other using private IP addresses, even if they are in different subnets. Azure では、サブネット、VNet、オンプレミス ネットワークの間に既定のルーティングを提供しているため、ルートの構成と管理は必要ありません。Azure provides default routing between subnets, VNets, and on-premises networks, so you don't have to configure and manage routes. ただし、必要な場合は、Azure のルーティングをカスタマイズできます。You can customize Azure's routing though, if desired.
  • 仮想ネットワークの接続: 仮想ネットワークは、任意の仮想ネットワーク内のリソースが他の仮想ネットワーク内のリソースと通信しすることで、相互に接続できます。Virtual network connectivity: Virtual networks can be connected to each other, enabling resources in any virtual network to communicate with resources in any other virtual network.
  • オンプレミス接続: 仮想ネットワークは、オンプレミス ネットワークにプライベートで接続できます。または、インターネット経由でサイト間 VPN 接続を使用して接続できます。On-premises connectivity: A virtual network can be privately connected to an on-premises network or by using a site-to-site VPN connection over the Internet.
  • トラフィック フィルタリング: 仮想マシン ロール インスタンスと Cloud Services ロール インスタンスのネットワーク トラフィックは、着信、送信方向ともに、送信元の IP アドレスとポート、送信先の IP アドレスとポート、およびプロトコルでフィルター処理できます。Traffic filtering: Virtual machines and Cloud Services role instance network traffic can be filtered inbound and outbound by source IP address and port, destination IP address and port, and protocol.
  • ルーティング: 必要に応じて、独自のルートを構成するかネットワーク ゲートウェイ経由で BGP ルートをプロパゲートすることで、Azure の既定のルーティングを上書きできます。Routing: You can optionally override Azure's default routing by configuring your own routes, or by propagating BGP routes through a network gateway.

ネットワークの分離とセグメント化Network isolation and segmentation

各 Azure サブスクリプションと Azure リージョン内に複数の仮想ネットワークを実装できます。You can implement multiple virtual networks within each Azure subscription and Azure region. 各仮想ネットワークは、他の仮想ネットワークから分離されています。Each virtual network is isolated from other virtual networks. 各仮想ネットワークに対して、次の操作を実行できます。For each virtual network you can:

  • パブリックおよびプライベート (RFC 1918) アドレスを使用して、カスタム プライベート IP アドレス空間を指定する。Specify a custom private IP address space using public and private (RFC 1918) addresses. Azure は、ユーザー自身が割り当てるアドレス空間のプライベート IP アドレスに、仮想ネットワーク内のリソースを割り当てる。Azure assigns resources in a virtual network a private IP address from the address space you assign.
  • 仮想ネットワークを 1 つ以上のサブネットに分割し、各サブネットに仮想ネットワークのアドレス空間の一部を割り当てる。Segment the virtual network into one or more subnets and allocate a portion of the virtual network's address space to each subnet.
  • Azure で提供される名前解決を使用するか、仮想ネットワーク内のリソースで使用する独自の DNS サーバーを指定する。Use Azure-provided name resolution or specify your own DNS server for use by resources in a virtual network. 仮想ネットワークでの名前解決の詳細については、VM と Cloud Services の名前解決に関する記事をご覧ください。To learn more about name resolution in virtual networks, see Name resolution for VMs and Cloud Services article.

インターネット通信Internet communication

仮想ネットワーク内のすべてのリソースでは、既定で、インターネットへ送信するための通信が可能です。All resources in a virtual network can communicate outbound to the Internet, by default. リソースのプライベート IP アドレスは、Azure インフラストラクチャによって選択されたパブリック IP アドレスへの送信元ネットワーク アドレス変換 (SNAT) が行われています。The private IP address of the resource is source network address translated (SNAT) to a public IP address selected by the Azure infrastructure. インターネットへの送信接続の詳細については、「Azure の送信用接続の詳細」を参照してください。To learn more about outbound Internet connectivity, read the Understanding outbound connections in Azure article. インターネットへの送信接続を回避するために、カスタム ルートまたはトラフィック フィルターを実装できます。To prevent outbound Internet connectivity, you can implement custom routes or traffic filtering.

インターネットから Azure リソースへの着信接続、または SNAT なしでインターネットへの送信接続を行うには、リソースにパブリック IP アドレスを割り当てる必要があります。To communicate inbound to Azure resources from the Internet, or to communicate outbound to the Internet without SNAT, a resource must be assigned a public IP address. パブリック IP アドレスの詳細については、「パブリック IP アドレス」を参照してください。To learn more about public IP addresses, read the Public IP addresses article.

Azure リソース間の安全な通信Secure communication between Azure resources

仮想ネットワーク内に仮想マシンをデプロイできます。You can deploy virtual machines within a virtual network. 仮想マシンは、ネットワーク インターフェイス経由で仮想ネットワークの他のリソースと通信します。Virtual machines communicate with other resources in a virtual network through a network interface. ネットワーク インターフェイスの詳細については、「ネットワーク インターフェイス」をご覧ください。To learn more about network interfaces, see Network interfaces.

Azure 仮想マシン、Azure Cloud Services、Azure App Service 環境、および Azure Virtual Machine Scale Sets などの仮想ネットワークに、他のいくつかの種類の Azure リソースをデプロイすることもできます。You can also deploy several other types of Azure resources to a virtual network, such as Azure Virtual Machines, Azure Cloud Services, Azure App Service Environments, and Azure Virtual Machine Scale Sets. 仮想ネットワークにデプロイできる Azure リソースの詳細な一覧については、Azure サービスの仮想ネットワーク サービスの統合に関するページをご覧ください。For a complete list of Azure resources you can deploy into a virtual network, see Virtual network service integration for Azure services.

一部のリソースは仮想ネットワークにデプロイできませんが、リソースからの通信を仮想ネットワーク内だけに制限することは可能です。Some resources can't be deployed into a virtual network, but enable you to restrict communication from resources within a virtual network only. リソースへのアクセスを制限する方法の詳細については、仮想ネットワークのサービス エンドポイントに関するページをご覧ください。To learn more about how to restrict access to resources, see Virtual network service endpoints.

仮想ネットワークを接続するConnect virtual networks

いずれかの仮想ネットワーク内のリソースが仮想ネットワークのピアリングを使用して相互に通信することで、仮想ネットワークを相互に接続できます。You can connect virtual networks to each other, enabling resources in either virtual network to communicate with each other using virtual network peering. 異なる仮想ネットワークにあるリソース間の通信の帯域幅と待機時間は、リソースが同じ仮想ネットワーク内にある場合と同じです。The bandwidth and latency of communication between resources in different virtual networks is the same as if the resources were in the same virtual network. ピアリングの詳細については、「仮想ネットワーク ピアリング」を参照してください。To learn more about peering, read the Virtual network peering article.

オンプレミス ネットワークに接続するConnect to an on-premises network

オンプレミス ネットワークを仮想ネットワークに接続するには、次のオプションを組み合わせて使用します。You can connect your on-premises network to a virtual network using any combination of the following options:

  • ポイント対サイト仮想プライベート ネットワーク (VPN): ネットワーク内の仮想ネットワークと 1 台の PC の間で確立されます。Point-to-site virtual private network (VPN): Established between a virtual network and a single PC in your network. 仮想ネットワークとの接続を確立する各 PC では、個別に接続を構成する必要があります。Each PC that wants to establish connectivity with a virtual network must configure their connections independently. この接続の種類は、既存のネットワークへの変更をほとんどまたはまったく必要としないため、Azure を使い始めたばかりのユーザーまたは開発者に適しています。This connection type is great if you're just getting started with Azure, or for developers, because it requires little or no changes to your existing network. 接続は、SSTP プロトコルを使用して、PC と仮想ネットワーク間にインターネット経由の暗号化された通信を提供します。The connection uses the SSTP protocol to provide encrypted communication over the Internet between the PC and a virtual network. トラフィックがインターネットを経由するため、ポイント対サイト VPN の待ち時間は予測できません。The latency for a point-to-site VPN is unpredictable, since the traffic traverses the Internet.
  • サイト間 VPN: 仮想ネットワークにデプロイされた VPN デバイスと Azure VPN Gateway の間で確立されます。Site-to-site VPN: Established between your VPN device and an Azure VPN Gateway deployed in a virtual network. この接続の種類を使用すると、承認した任意のオンプレミス リソースが仮想ネットワークにアクセスできます。This connection type enables any on-premises resource you authorize to access a virtual network. この接続は IPSec/IKE VPN で、オンプレミスのデバイスと Azure VPN ゲートウェイの間にインターケット経由の暗号化された通信を提供します。The connection is an IPSec/IKE VPN that provides encrypted communication over the Internet between your on-premises device and the Azure VPN gateway. トラフィックがインターネットを経由するため、サイト間接続の待ち時間は予測できません。The latency for a site-to-site connection is unpredictable, since the traffic traverses the Internet.
  • Azure ExpressRoute: ExpressRoute のパートナーを介して、ネットワークと Azure の間で確立されます。Azure ExpressRoute: Established between your network and Azure, through an ExpressRoute partner. この接続はプライベート接続です。This connection is private. トラフィックはインターネットを経由しません。Traffic does not traverse the Internet. トラフィックがインターネットを経由しないため、ExpressRoute 接続の待ち時間は予測可能です。The latency for an ExpressRoute connection is predictable, since traffic doesn't traverse the Internet.

ここまでに説明したすべての接続オプションの詳細については、「接続トポロジの図」を参照してください。To learn more about all the previous connection options, read the Connection topology diagrams article.

ネットワーク トラフィックをフィルター処理するFilter network traffic

次のオプションのいずれかまたは両方を使用して、サブネット間のネットワーク トラフィックをフィルター処理できます。You can filter network traffic between subnets using either or both of the following options:

  • ネットワーク セキュリティ グループ: 各ネットワーク セキュリティ グループには、送信元と送信先の IP アドレス、ポート、およびプロトコルでトラフィックをフィルター処理できるようにする受信と送信のセキュリティ規則を複数含めることができます。Network security groups: A network security group can contain multiple inbound and outbound security rules that enable you to filter traffic by source and destination IP address, port, and protocol. ネットワーク セキュリティ グループは、仮想マシン内の各ネットワーク インターフェイスに適用できます。You can apply a network security group to each network interface in a virtual machine. また、ネットワーク セキュリティ グループは、ネットワーク インターフェイスや他の Azure リソースが含まれているサブネットにも適用できます。You can also apply a network security group to the subnet a network interface, or other Azure resource, is in. ネットワーク セキュリティ グループの詳細については、ネットワーク セキュリティ グループに関するページをご覧ください。To learn more about network security groups, see Network security groups.
  • ネットワーク仮想アプライアンス: ネットワーク仮想アプライアンスとは、ファイアウォールなどのネットワーク機能を実行するソフトウェアが動作している仮想マシンです。Network virtual appliances: A network virtual appliance is a virtual machine running software that performs a network function, such as a firewall. 利用可能なネットワーク仮想アプライアンスの一覧については、Azure Marketplace で確認してください。View a list of available network virtual appliances in the Azure Marketplace. WAN の最適化やその他のネットワーク トラフィック機能を提供するネットワーク仮想アプライアンスも入手できます。Network virtual appliances are also available that provide WAN optimization and other network traffic functions. 通常、ネットワーク仮想アプライアンスは、ユーザー定義ルートまたは BGP ルートで使用されます。Network virtual appliances are typically used with user-defined or BGP routes. また、ネットワーク仮想アプライアンスを使用して、仮想ネットワーク間のトラフィックをフィルター処理することもできます。You can also use a network virtual appliance to filter traffic between virtual networks.

ネットワーク トラフィックをルーティングするRoute network traffic

Azure では、仮想ネットワーク内の任意のサブネットに接続されている複数のリソースの相互通信を可能にするルート テーブルが、既定で作成されます。Azure creates route tables that enable resources connected to any subnet in any virtual network to communicate with each other, by default. 次のオプションのいずれかまたは両方を実装して、Azure によって作成される既定のルートを上書きできます。You can implement either or both of the following options to override the default routes Azure creates:

  • ユーザー定義ルート: サブネットごとにトラフィックのルーティング先を制御するルートを含むカスタム ルート テーブルを作成できます。User-defined routes: You can create custom route tables with routes that control where traffic is routed to for each subnet. ユーザー定義ルートの詳細については、ユーザー定義ルートに関するページをご覧ください。To learn more about user-defined routes, see User-defined routes.
  • BGP のルート: Azure VPN ゲートウェイまたは ExpressRoute 接続を使用して仮想ネットワークをオンプレミス ネットワークに接続する場合、BGP ルートを仮想ネットワークに伝達できます。BGP routes: If you connect your virtual network to your on-premises network using an Azure VPN Gateway or ExpressRoute connection, you can propagate BGP routes to your virtual networks.

価格Pricing

仮想ネットワーク、サブネット、ルート テーブル、ネットワーク セキュリティ グループには料金がかかりません。There is no charge for virtual networks, subnets, route tables, or network security groups. 送信インターネット帯域幅の使用量、パブリック IP アドレス、仮想ネットワーク ピアリング、VPN ゲートウェイ、ExpressRoute それぞれには、独自の料金体系が用意されています。Outbound Internet bandwidth usage, public IP addresses, virtual network peering, VPN Gateways, and ExpressRoute each have their own pricing structures. 詳細については、Virtual NetworkVPN GatewayExpressRoute の価格に関するページを参照してください。View the Virtual network, VPN Gateway, and ExpressRoute pricing pages for more information.

FAQFAQ

Azure Virtual Network についてよく寄せられる質問を確認するには、Virtual Network の FAQ に関する記事を参照してください。To review frequently asked questions about Azure Virtual Network, see the Virtual network FAQ article.

次のステップNext steps