異なるデプロイモデルの仮想ネットワークを PowerShell を使用して接続する

[アーティクル]
03/12/2024

この記事は、クラシック VNet を Resource Manager VNet に接続し、異なるデプロイモデルにあるリソースを相互に通信できるようにするのに役立ちます。この記事の手順では、PowerShell を使用します。

この記事は、クラシック (レガシ) デプロイモデルを使用して作成された VNet が既にあり、そのクラシック VNet を、最新のデプロイモデルを使用して作成された別の VNet に接続する必要があるお客様を対象としています。レガシ VNet がない場合は、代わりに、VNet 間接続の作成に関する記事を使用してください。

アーキテクチャ

クラシック VNet から Resource Manager VNet への接続は、VNet をオンプレミスサイトの場所に接続することと似ています。どちらの接続タイプでも、VPN ゲートウェイを使用して、IPsec/IKE を使った安全なトンネルが確保されます。別のサブスクリプション、別のリージョンに存在する VNet 間で接続を作成することができます。オンプレミスのネットワークに既に接続されている VNet を接続することもできます。ただし、ゲートウェイは動的またはルートベースである場合に限ります。 VNet 間接続の詳細については、「VNet 間接続に関してよく寄せられる質問」を参照してください。

この構成では、仮想ネットワーク間で IPsec/IKE VPN トンネルを介した VPN Gateway 接続を作成します。 VNet のアドレス範囲が、互いに重複していないこと、または接続先のすべてのローカルネットワークと重複していないことを確認します。

次の表には、VNet の例とローカルサイトの定義方法の例を示します。

Virtual Network	アドレス空間	リージョン	ローカルネットワークサイトへの接続
ClassicVNet	(10.1.0.0/16)	米国西部	RMVNetSite (192.168.0.0/16)
RMVNet	(192.168.0.0/16)	米国東部	ClassicVNetSite (10.1.0.0/16)

前提条件

次の手順では、各 VNet 用に動的またはルートベースのゲートウェイを構成してゲートウェイ間の VPN 接続を作成する際に必要な設定について説明します。この構成では、静的またはポリシーベースのゲートウェイはサポートされていません。

これらの手順は、レガシのクラシック VNet と Resource Manager VNet が既に作成済みであることを前提としています。

これらの VNet のアドレス範囲が互いに重複しておらず、ゲートウェイの接続先になる可能性のある他の接続の範囲と重複していないことを確認します。
この記事では、PowerShell を使用します。 Resource Manager と Service Management の両方の最新 PowerShell コマンドレットをコンピューターにインストールします。

Azure Cloud Shell 環境を使用していくつかの PowerShell コマンドを実行することは可能ですが、接続を適切に作成するには、両方のバージョンのコマンドレットをインストールする必要があります。
- Service Management (クラシック) の PowerShell コマンドレット。 Service Management コマンドレットをインストールする際、クラシックバージョンの Azure モジュールをインストールするために、実行ポリシーの変更が必要になる場合があります。
- Resource Manager の AZ PowerShell コマンドレット
詳細については、「 Azure PowerShell のインストールと構成の方法」を参照してください。

設定例

例をより良く理解するために、次の値を使用できます。

クラシック VNet

VNet Name = ClassicVNet
Resource Group = ClassicRG Location = West US
Virtual Network Address Spaces = 10.1.0.0/16
Subnet1 = 10.1.0.0/24
GatewaySubnet = 10.1.255.0/27
Local Network Name = RMVNetSite
GatewayType = DynamicRouting

Resource Manager の VNet

VNet Name = RMVNet
リソースグループ = RMRG
Virtual Network IP Address Spaces = 192.168.0.0/16
Subnet1 = 192.168.1.0/24
GatewaySubnet = 192.168.255.0/27
Location = East US
Gateway public IP name = rmgwpip
Local Network Gateway = ClassicVNetSite
Virtual Network Gateway name = RMGateway
Gateway IP addressing configuration = gwipconfig

クラシック VNet を構成する

このセクションでは、既存のクラシック VNet を構成します。 VNet に既にゲートウェイがある場合は、ゲートウェイがルートベースであることを確認してから、次のセクションに進みます。ゲートウェイがルートベースでない場合は、次の手順に進む前にゲートウェイを削除します。後で新しいゲートウェイを作成する機会があります。

1.ネットワーク構成ファイルをダウンロードする

管理特権を使って PowerShell コンソールで Azure アカウントにサインインします。次のコマンドレットでは、Azure アカウントのサインイン資格情報が求められます。ログイン後にアカウント設定がダウンロードされ、Azure PowerShell で使用できるようになります。このセクションでは、クラシック Service Management (SM) Azure PowerShell コマンドレットが使用されます。
```
Add-AzureAccount
```
Azure サブスクリプションを取得します。
```
Get-AzureSubscription
```
複数のサブスクリプションがある場合は、使用するサブスクリプションを選択します。
```
Select-AzureSubscription -SubscriptionName "Name of subscription"
```
コンピューター上にディレクトリを作成します。この例では、AzureNet を作成しました。
次のコマンドを実行して、Azure のネットワーク構成ファイルをエクスポートします。必要に応じて、ファイルの場所を変更して別の場所にエクスポートすることもできます。
```
Get-AzureVNetConfig -ExportToFile C:\AzureNet\NetworkConfig.xml
```
ダウンロードした .xml ファイルを開き、編集します。ネットワーク構成ファイルの例については、ネットワークの構成スキーマに関するページを参照してください。
VirtualNetworkSite name= の値を書き留めておきます。ポータルを使用してクラシック VNet を作成した場合、名前は、ポータルの "ClassicVNet" ではなく、"Group ClassicRG ClassicVNet" に似た形式に従います。

2.ゲートウェイサブネットを確認する

VirtualNetworkSites 要素で、ゲートウェイサブネットが作成されていない場合は、VNet に追加します。ゲートウェイサブネットの名前は "GatewaySubnet" である必要があります。それ以外の場合、Azure ではそれを認識してゲートウェイサブネットとして使用できません。

重要

ゲートウェイサブネットを使う場合は、ゲートウェイサブネットにネットワークセキュリティグループ (NSG) を関連付けないようにしてください。ネットワークセキュリティグループをこのサブネットに関連付けると、仮想ネットワークゲートウェイ (VPN と ExpressRoute ゲートウェイ) が想定どおりに機能しなくなる可能性があります。ネットワークセキュリティグループの詳細については、ネットワークセキュリティグループの概要に関するページを参照してください。

例:

<VirtualNetworkSites>
  <VirtualNetworkSite name="ClassicVNet" Location="West US">
    <AddressSpace>
      <AddressPrefix>10.1.0.0/16</AddressPrefix>
    </AddressSpace>
    <Subnets>
      <Subnet name="Subnet1">
        <AddressPrefix>10.1.0.0/24</AddressPrefix>
      </Subnet>
      <Subnet name="GatewaySubnet">
        <AddressPrefix>10.1.255.0/27</AddressPrefix>
      </Subnet>
    </Subnets>
  </VirtualNetworkSite>
</VirtualNetworkSites>

3.ローカルネットワークサイトを追加する

追加するローカルネットワークサイトは、接続先の RM VNet を表します。まだ存在していない場合は、LocalNetworkSites 要素をファイルに追加します。構成のこの時点では、Resource Manager の VNet のゲートウェイをまだ作成していないため、VPNGatewayAddress は任意の有効なパブリック IP アドレスにすることができます。 RM ゲートウェイを作成したら、このプレースホルダー IP アドレスを、RM ゲートウェイに割り当てられている正しいパブリック IP アドレスに置き換えます。

<LocalNetworkSites>
  <LocalNetworkSite name="RMVNetSite">
    <AddressSpace>
      <AddressPrefix>192.168.0.0/16</AddressPrefix>
    </AddressSpace>
    <VPNGatewayAddress>5.4.3.2</VPNGatewayAddress>
  </LocalNetworkSite>
</LocalNetworkSites>

4.VNet をローカルネットワークサイトに関連付ける

このセクションでは、VNet の接続先のローカルネットワークサイトを指定します。ここでは、先ほど参照した Resource Manager の VNet が該当します。名前が一致することを確認します。この手順では、ゲートウェイは作成しません。ゲートウェイの接続先となるローカルネットワークを指定します。

<Gateway>
  <ConnectionsToLocalNetwork>
    <LocalNetworkSiteRef name="RMVNetSite">
      <Connection type="IPsec" />
    </LocalNetworkSiteRef>
  </ConnectionsToLocalNetwork>
</Gateway>

5.ファイルを保存してアップロードする

ファイルを保存してから、次のコマンドを実行して Azure にインポートします。必要に応じて、ファイルパスを環境に合わせて変更してください。

Set-AzureVNetConfig -ConfigurationPath C:\AzureNet\NetworkConfig.xml

インポートが成功したことを示す同様の結果が表示されます。

OperationDescription        OperationId                      OperationStatus                                                
--------------------        -----------                      ---------------                                                
Set-AzureVNetConfig        e0ee6e66-9167-cfa7-a746-7casb9    Succeeded

6.ゲートウェイを作成する

このサンプルを実行する前に、ダウンロードしたネットワーク構成ファイルで、Azure が期待する正確な名前を確認します。ネットワーク構成ファイルには、クラシック仮想ネットワークの値が含まれています。ポータルを使用してクラシック VNet を作成した場合、ネットワーク構成ファイル内の仮想ネットワーク名は異なります。たとえば、Azure Portal を使って、"Classic VNet" という名前のクラシック VNet を、"ClassicRG" という名前のリソースグループに作成した場合、ネットワーク構成ファイルでは "Group ClassicRG Classic VNet" という名前に変換されます。 PowerShell を使用する場合は、ネットワーク構成ファイルに含まれる名前を常に使用します。スペースを含む VNet の名前を指定する場合は、値を引用符で囲みます。

次の例を使用して、動的ルーティングゲートウェイを作成します。

New-AzureVNetGateway -VNetName ClassicVNet -GatewayType DynamicRouting

Get-AzureVNetGateway コマンドレットを使用すると、ゲートウェイの状態を確認できます。

RM VNet ゲートウェイを構成する

前提条件では、既に RM VNet を作成済みであると仮定しています。この手順では、RM VNet の VPN ゲートウェイを作成します。クラシック VNet のゲートウェイのパブリック IP アドレスを取得するまで、手順を開始しないでください。

PowerShell コンソールでお使いの Azure アカウントにサインインします。次のコマンドレットでは、Azure アカウントのサインイン資格情報が求められます。サインイン後にアカウント設定がダウンロードされ、Azure PowerShell で使用できるようになります。必要に応じて、"試してみる" 機能を使用して、ブラウザーで Azure Cloud Shell を起動できます。

Azure Cloud Shell を使用している場合は、次のコマンドレットをスキップします。
```
Connect-AzAccount
```
適切なサブスクリプションを使用していることを確認するには、次のコマンドレットを実行します。
```
Get-AzSubscription
```
複数のサブスクリプションがある場合は、使用するサブスクリプションを指定します。
```
Select-AzSubscription -SubscriptionName "Name of subscription"
```
ローカルネットワークゲートウェイを作成します。仮想ネットワークでは、ローカルネットワークゲートウェイは通常、オンプレミスの場所を指します。ここでは、ローカルネットワークゲートウェイはクラシック VNet を意味します。 Azure で参照できる名前を付けて、アドレス空間のプレフィックスも指定します。指定した IP アドレスプレフィックスは、Azure がオンプレミスの場所に送信するトラフィックを特定するときに使用されます。ここの情報を後で調整する必要がある場合は、ゲートウェイを作成する前に、値を変更してサンプルをもう一度実行することができます。

-Name は、ローカルネットワークゲートウェイを参照するために割り当てる名前です。
-AddressPrefix は、クラシック VNet のアドレス空間です。
-GatewayIpAddress は、クラシック VNet のゲートウェイのパブリック IP アドレスです。適切な IP アドレスを反映するように、必ず次のサンプルテキストの "n.n.n.n" を変更してください。
```
New-AzLocalNetworkGateway -Name ClassicVNetSite `
-Location "West US" -AddressPrefix "10.1.0.0/16" `
-GatewayIpAddress "n.n.n.n" -ResourceGroupName RMRG
```
Resource Manager VNet の仮想ネットワークゲートウェイに割り当てるパブリック IP アドレスを要求します。使用する IP アドレスを指定することはできません。 IP アドレスは仮想ネットワークゲートウェイに動的に割り当てられます。ただし、これは IP アドレスが変更されるという意味ではありません。仮想ネットワークゲートウェイの IP アドレスが変更されるのは、ゲートウェイが削除され、再度作成されたときのみです。ゲートウェイのサイズ変更、リセット、その他の内部メンテナンス/アップグレードの際には変更されません。

この手順では、後の手順で使用する変数も設定します。
```
$ipaddress = New-AzPublicIpAddress -Name rmgwpip `
-ResourceGroupName RMRG -Location 'EastUS' `
-AllocationMethod Dynamic
```
仮想ネットワークにゲートウェイサブネットがあることを確認します。ゲートウェイサブネットが存在しない場合は追加します。ゲートウェイサブネットには、必ず GatewaySubnetという名前を付けてください。
```
$vnet = Get-AzVirtualNetwork -ResourceGroupName RMRG -Name RMVNet
Add-AzVirtualNetworkSubnetConfig -Name 'GatewaySubnet' -AddressPrefix 192.168.255.0/27 -VirtualNetwork $vnet
Set-AzVirtualNetwork -VirtualNetwork $vnet
```
次のコマンドを実行して、ゲートウェイに使用されているサブネットを取得します。この手順では、次の手順で使用する変数も設定します。

-Name は、Resource Manager の VNet の名前です。
-ResourceGroupName は、VNet が関連付けられているリソースグループです。ゲートウェイサブネットが正常に動作するには、ゲートウェイサブネットがこの VNet に対して既に存在し、 GatewaySubnet という名前が付けられている必要があります。
```
$subnet = Get-AzVirtualNetworkSubnetConfig -Name GatewaySubnet `
-VirtualNetwork (Get-AzVirtualNetwork -Name RMVNet -ResourceGroupName RMRG)
```
ゲートウェイ IP アドレス指定の構成を作成します。ゲートウェイの構成で、使用するサブネットとパブリック IP アドレスを定義します。次のサンプルを使用して、ゲートウェイの構成を作成します。

この手順では、-SubnetId と -PublicIpAddressId パラメーターに、それぞれサブネットと IP アドレスオブジェクトから ID プロパティを渡す必要があります。単純な文字列を使用することはできません。これらの変数は、パブリック IP を要求する手順とサブネットを取得する手順で設定されます。
```
$gwipconfig = New-AzVirtualNetworkGatewayIpConfig `
-Name gwipconfig -SubnetId $subnet.id `
-PublicIpAddressId $ipaddress.id
```
Resource Manager の仮想ネットワークゲートウェイを作成します。 -VpnType は、 RouteBasedである必要があります。ゲートウェイの作成には 45 分以上かかる場合があります。
```
New-AzVirtualNetworkGateway -Name RMGateway -ResourceGroupName RMRG `
-Location "EastUS" -GatewaySKU Standard -GatewayType Vpn `
-IpConfigurations $gwipconfig `
-EnableBgp $false -VpnType RouteBased
```
VPN ゲートウェイを作成したら、パブリック IP アドレスをコピーします。このアドレスは、クラシック VNet のローカルネットワーク設定を構成するときに使用します。次のコマンドレットを使用して、パブリック IP アドレスを取得できます。パブリック IP アドレスは、 IpAddressとして戻り値に表示されます。
```
Get-AzPublicIpAddress -Name rmgwpip -ResourceGroupName RMRG
```

クラシック VNet ローカルサイトの設定を変更する

このセクションでは、クラシック VNet を使います。 Resource Manager VNet ゲートウェイに接続するために使われるローカルサイトの設定を指定するときに使ったプレースホルダー IP アドレスを置き換えます。クラシック VNet を操作しているので、Azure Cloud Shell の試用機能ではなく、お使いのコンピューターにローカルにインストールされている PowerShell を使用してください。

ネットワーク構成ファイルをエクスポートします。
```
Get-AzureVNetConfig -ExportToFile C:\AzureNet\NetworkConfig.xml
```
テキストエディターを使って、VPNGatewayAddress の値を変更します。プレースホルダー IP アドレスを Resource Manager ゲートウェイのパブリック IP アドレスに置き換えた後、変更を保存します。
```
<VPNGatewayAddress>13.68.210.16</VPNGatewayAddress>
```
変更したネットワーク構成ファイルを Azure にインポートします。
```
Set-AzureVNetConfig -ConfigurationPath C:\AzureNet\NetworkConfig.xml
```

ゲートウェイ間の接続を作成する

ゲートウェイ間の接続を作成するには PowerShell が必要です。従来のバージョンの PowerShell コマンドレットを使って、Azure アカウントを追加する必要が生じる場合もあります。それには、Add-azureaccount を使用します。

PowerShell コンソールで、共有キーを設定します。コマンドレットを実行する前に、ダウンロードしたネットワーク構成ファイルで、Azure が期待する正確な名前を確認します。スペースを含む VNet の名前を指定するときは、単一引用符を使って値を囲みます。

次の例では、-VNetName はクラシック VNet の名前で、-LocalNetworkSiteName はローカルネットワークサイトに対して指定した名前です。前にダウンロードしたネットワーク構成ファイル内で両方の名前を確認します。

-SharedKey は、生成および指定する値です。この例では "abc123" を使いましたが、さらに複雑な値を生成して使うことができます。重要なのは、ここで指定する値は、次の手順で接続を作成するときに指定するものと同じ値でなければならないということです。戻り値が Status: Successful を示している必要があります。
```
Set-AzureVNetGatewayKey -VNetName ClassicVNet `
-LocalNetworkSiteName RMVNetSite -SharedKey abc123
```

次のコマンドを実行して、VPN 接続を作成します。

変数を設定します。

$vnet01gateway = Get-AzLocalNetworkGateway -Name ClassicVNetSite -ResourceGroupName RMRG
$vnet02gateway = Get-AzVirtualNetworkGateway -Name RMGateway -ResourceGroupName RMRG

接続を作成します。 -ConnectionType が IPsec であり、Vnet2Vnet ではないことに注意してください。

New-AzVirtualNetworkGatewayConnection -Name RM-Classic -ResourceGroupName RMRG `
-Location "East US" -VirtualNetworkGateway1 `
$vnet02gateway -LocalNetworkGateway2 `
$vnet01gateway -ConnectionType IPsec -RoutingWeight 10 -SharedKey 'abc123'

接続の確認

クラシック VNet から RM VNet

接続が成功したことを確認するには、"Get-AzureVNetConnection" コマンドレットを使用します。このコマンドレットは、コンピューター上でローカルに実行する必要があります。

次のコマンドレットを使用します。値は実際の値に置き換えてください。仮想ネットワークの名前にスペースが含まれる場合は、名前を引用符で囲む必要があります。ネットワーク構成ファイル内にある仮想ネットワークの名前を使用します。
```
Get-AzureVNetConnection "ClassicVNet"
```

コマンドレットの実行後、値を確認します。以下の例では、接続状態は 'Connected' と表示され、受信バイトと送信バイトを確認できます。

ConnectivityState         : Connected
EgressBytesTransferred    : 0
IngressBytesTransferred   : 0
LastConnectionEstablished : 4/25/2022 4:24:34 PM
LastEventID               : 24401
LastEventMessage          : The connectivity state for the local network site 'RMVNetSite' changed from Not Connected to Connected.
LastEventTimeStamp        : 4/25/2022 4:24:34 PM
LocalNetworkSiteName      : RMVNetSite
OperationDescription      :
OperationId               :
OperationStatus           :

RM VNet からクラシック VNet

"Get-AzVirtualNetworkGatewayConnection" コマンドレットを使用して、接続が成功したことを確認できます。"-Debug" は指定しても指定しなくてもかまいません。

次のコマンドレットを使用します。値は実際の値に置き換えてください。プロンプトが表示されたら、"A" を選択して "すべて" (All) を実行します。この例では、テストする接続の名前が "-Name" で示されています。
```
Get-AzVirtualNetworkGatewayConnection -Name VNet1toSite1 -ResourceGroupName TestRG1
```
コマンドレットの実行後、値を確認します。以下の例では、接続状態は 'Connected' と表示され、受信バイトと送信バイトを確認できます。
```
"connectionStatus": "Connected",
"ingressBytesTransferred": 33509044,
"egressBytesTransferred": 4142431
```

次のステップ

VNet 間接続の詳細については、「VPN Gateway に関する FAQ」を参照してください。

異なるデプロイ モデルの仮想ネットワークを PowerShell を使用して接続する