Azure VPN Gateway とは？その仕組みや設定手順、料金体系について解説

Azure VPN Gateway とは

Azure VPN Gateway は、Azure 上の仮想ネットワーク（VNet）とオンプレミスのネットワークを安全に接続し、ハイブリッドクラウド環境を構築するためのサービスです。インターネット回線を利用しながら通信を暗号化することで、オンプレミスのデータセンターやリモートオフィスと Azure のリソース間で安全な接続を実現します。

VPN（仮想プライベートネットワーク）技術を活用することで、公共のネットワークを通じても企業内ネットワークと同等のセキュリティを確保できます。オンプレミス環境で複数拠点を接続する場合と同様に、Azure 環境でも安全なネットワーク接続が可能です。

Azure VPN Gateway の仕組み

では最初に Azure VPN Gateway の仕組みについて、ExpressRouteという主要なサービスと比較しながらご説明します。

Azure VPN Gateway のトンネル

Azure VPN Gateway は、インターネットを経由してオンプレミスネットワークと Azure 仮想ネットワークを安全に接続するサービスです。パブリックインターネットを利用しながらも、データを暗号化することで安全な通信を実現します。

Azure VPN Gateway に限らず、VPN の仕組みのイメージは、しばしば「トンネル」と表現されます。

これは、インターネットなどの公共のネットワークを通じて、暗号化された安全な通信経路を作るという点がトンネルのように見えるためです。

ExpressRoute との違い

ExpressRoute は、パブリックインターネットを介さないプライベート接続を通じて、オンプレミスネットワークを Microsoft クラウドへ拡張するサービスです。インターネットのトラフィックに左右されにくく、安定した接続を構築できます。

ただし、ExpressRoute の通信は既定では暗号化されません。暗号化が必要な場合は、ExpressRoute Direct の MACsec や、ExpressRoute のプライベートピアリング上に構成する IPsec などを検討します。

両者の比較は、以下のとおりです。

しばしば両者のイメージを比較し、Azure VPN Gateway は「トンネル」、ExpressRoute は「専用道路」と表現されます。

両者の違いを踏まえたうえで、どちらを利用するかを検討するとよいでしょう。

【Azure VPN Gateway が適している場合】

• コストを抑えたい
• インターネットを利用した VPN 接続で十分
• 比較的軽いトラフィック量やシンプルなネットワーク接続が必要

【ExpressRoute が適している場合】

• インターネットを使わない、安全で高速な専用回線が必要。
• 大規模なデータ転送や高い可用性、信頼性が求められる。
• ミッションクリティカルなワークロードや、低遅延で安定した接続が必要な場合。

Azure VPN Gateway の接続方法と機能

ここでは、Azure VPN Gateway が対応しているさまざまな接続方法や機能についてご紹介します。

ご紹介する 3 つの接続方法の特徴と利点は以下のとおりです。

サイト間（S2S）VPN 接続

サイト間 VPN は、オンプレミスのデータセンターと Azure VNet を接続する一般的な方法です。

【特徴】

• IPsec トンネルを使って通信を暗号化し、データの安全性を確保します。
• 複数のオンプレミスサイトと Azure VNet を同時に接続できます。
• 接続は常時確立されており、切れにくい安定した接続を提供します。

【利点】

• 安全なハイブリッドクラウドを構築できます。
• 専用線を使わずに、コストを抑えた WAN 接続が可能です。

ポイント対サイト（P2S）VPN 接続

ポイント対サイト VPN は、個々のユーザーがリモートから Azure の仮想ネットワークに安全にアクセスできる方法です。

【特徴】

• リモートユーザーが自分の PC やモバイルデバイスを使って個別に接続することができます。
• Windows、Mac、Linux など、さまざまなデバイスに対応しています。
• 必要に応じて接続するオンデマンド型の接続方式です。

【利点】

• リモートワーカーやモバイルユーザーが、Azure の仮想ネットワークに簡単で安全にアクセスすることができます。
• 設定や展開が容易で、管理がシンプルです。

VNet 間（VNet-to-VNet）VPN 接続

VNet 間の VPN 接続は、Azure 上の異なる仮想ネットワーク同士を安全に接続する方法です。

【特徴】

• 異なる Azure リージョンにある仮想ネットワークをつなぐことができます。
• 複数の VNet 間で安全な通信を確立することができます。
• すべての中間VNet-to-VNet接続でBGPを有効にすることで、VPN Gatewayを介したトランジットルーティングを構成できます。

【利点】

• 地理的に分散したリソースを統合し、効率的に管理することができます。
• マルチリージョンに展開されたシステムをシンプルに接続できます。
• 異なる Azure リージョン間で、データを安全に複製（レプリケーション）することができます。

BGP ルーティングのサポート

Azure VPN Gatewayでは、BGP（Border Gateway Protocol）を利用した動的ルーティングを構成できます。BGPを有効にすると、Azure VPN GatewayとオンプレミスのVPNデバイスなどのBGPピア間で、ネットワークの経路情報と到達可能性に関する情報を動的に交換できます。

複数のトンネルを構成している場合、いずれかのトンネルが切断されると該当する経路がBGPによって撤回され、利用可能な別のトンネルへトラフィックを切り替えられます。これにより、ネットワークの変更や拡張に応じた経路管理が可能になります。

VPN Gateway の SKU

次に、Azure VPN Gateway のプラン（SKU）についてご説明します。

Basic SKUとAZ対応SKUの比較

Azure VPN Gatewayで新規デプロイに使用できる主なSKUは、BasicおよびVpnGw1AZ～VpnGw5AZです。Microsoftは、新規デプロイでは可用性ゾーンに対応するAZ SKUを推奨しています。

Basic SKUは廃止予定ではありません。ただし、開発・テストや概念実証向けのSKUであり、本番環境での利用は推奨されていません。ルートベースVPNでは、S2SまたはVNet-to-VNet接続を最大10本、P2SのSSTP接続を最大128件利用できます。一方、P2SのIKEv2/OpenVPN、BGP、アクティブ/アクティブ、可用性ゾーンには対応していません。

また、Basic SKUはAzureポータルから作成できず、Azure PowerShellまたはAzure CLIを使用します。

本番環境では、要件に応じてVpnGw1AZ～VpnGw5AZを選択します。非AZ SKUのVpnGw1～VpnGw5は、2025年11月1日から新規作成が停止され、2026年9月30日の廃止に向けてAZ SKUへの移行が進められています。そのため、本番環境を新規構築する場合はAZ SKUを選択します。

ゾーン冗長 SKU（AZ）の特徴

ゾーン冗長 SKU(AZ)とは、高性能 SKU の中でも高可用性を提供する特別な SKU（プラン）です。

SKU の名前に「AZ」が付いているプランがこれに該当します。（例：VpnGw1AZ、VpnGw2AZ など）。

このプランでは、Azure の可用性ゾーンを利用して、複数の物理的なデータセンターにゲートウェイを分散させ、障害に強い構成を実現します。

主な特徴は以下のとおりです。

• 回復力が強い：複数の可用性ゾーンに配置されるので、1 つのゾーンに障害が起きても他のゾーンでサービスを継続できます。
• 安定したパフォーマンス：帯域幅や接続数は従来の SKU と同じで、可用性ゾーンのサポートにより、さらに安定した環境を作ることができます。

Azure VPN Gateway の設定手順

Azure VPN Gateway の設定手順についてご説明します。

【前提準備】

以下を用意する必要があります。※ Gateway 用のサブネットは本手順で作成します。

• Azure アカウント、サブスクリプション、リソースグループ
• Azure Virtual Network (VNet)
• パブリック IP アドレス（仮想ネットワークゲートウェイの作成画面で新規作成するか、要件に合う既存のStandard SKUパブリックIPアドレスを選択します）

1. Azure ポータルにアクセスし、Azure アカウントでサインインします。
2. VPN Gateway を作成する Virtual Net において「設定」→「サブネット」をクリックします。

サブネット選択画面

3. 「サブネット」画面より、「サブネット」をクリックします。

サブネット画面

4. 「サブネット追加」画面より、「サブネットの目的」を"Virtual Network Gateway"とします。

それ以外に適切な設定をします。

「追加」をクリックします。

サブネットの追加画面

5. 対象のサブネットが作成されていることを確認します。

サブネット確認画面

6. Azure ポータル画面の「リソースの作成」で「vpn gateway」で検索し、「仮想ネットワークゲートウェイ」をクリックします。

仮想ネットワークゲートウェイ選択画面

7. 「仮想ネットワークゲートウェイの作成」画面の「基本」タブで、用途に合うAZ SKUなどを設定します。たとえば、Microsoftの現行チュートリアルではVpnGw2AZ、Generation 2、Standard SKUの静的パブリックIPアドレスを使用しています。設定後、「確認および作成」をクリックします。

仮想ネットワークゲートウェイの基本設定画面

8. 「確認および作成」タブで設定に問題がないことを確認し、「作成」をクリックします。

仮想ネットワークゲートウェイの設定確認画面

9. Azureポータル上部の検索欄で「local network gateway」を検索し、「ローカルネットワークゲートウェイ」を選択します。

ローカルネットワークゲートウェイの選択画面

10. 「ローカルネットワークゲートウェイの作成」画面で、名前、リージョン、オンプレミスVPNデバイスのパブリックIPアドレスまたはFQDN、オンプレミス側のアドレス空間を設定します。必要に応じてBGPを設定し、「確認および作成」をクリックします。

ローカルネットワークゲートウェイの基本設定画面

11. 「確認と作成」タブで設定を確認します。

「作成」をクリックします。

ローカルネットワークゲートウェイの設定確認画面

ローカルネットワークゲートウェイの作成後は、作成済みの仮想ネットワークゲートウェイで「接続」を開き、サイト対サイト（IPsec）接続を追加します。ローカルネットワークゲートウェイ、共有キー、IKEプロトコルなどを設定し、オンプレミス側のVPNデバイスにも対応する設定を行います。

双方の設定が完了したら、Azureポータルの接続画面で状態が「接続済み」と表示されることを確認してください。

Azure VPN Gateway のセキュリティと認証機能

Azure VPN Gateway は、高いセキュリティ機能でネットワーク間の通信を安全なものにします。ここでは、主要なセキュリティ機能と認証機能ついてご説明します。

IPsec と IKE プロトコルによる暗号化

Azure VPN Gateway は、IPsec（インターネットプロトコルセキュリティ）と IKE（インターネットキーエクスチェンジ）という 2 つのプロトコルを使って、通信を暗号化します。

主な特徴と暗号化の流れは以下のとおりです。

• IKE（Internet Key Exchange：インターネットキー交換）

VPN トンネルを開始するとき認証や暗号化キーの交換を行います。つまり、最初に安全な通信のための設定を決める部分です。

• - IPsec（Internet Protocol Security インターネットプロトコルセキュリティ）

IPsec は、IKE で確立された設定を使って、データそのものを暗号化し、トンネル内で安全に送受信します。

【流れ】

1. IKE：認証と鍵の交換を行い、通信を開始します。
2. IPsec：データの暗号化を行い、安全な通信トンネルを確立します。

つまり、IKE が VPN の最初の鍵交換を担当し、その後 IPsec がデータの暗号化と保護を行うという協力体制によって、VPN の安全な通信が実現されます。

事前共有キー（PSK）認証

事前共有キー（Pre-Shared Key: PSK）は、接続を行う双方（例えば、クライアントとサーバー）があらかじめ共有する秘密のキーを使って通信を安全に行う方法です。

設定がシンプルで手軽に導入できますが、次のようなセキュリティ上の注意点も考慮する必要があります。

• 安全な方法でのキー共有

PSK は、第三者に漏れないように安全な方法で共有しましょう。

• 定期的なキーローテーション

定期的にキーを変更し、セキュリティリスクを減らすことが重要です。

• 強力な PSK の使用

複雑で長いキーを使用することで、推測されにくくなり、セキュリティが向上します。

カスタム IPsec/IKE ポリシーの設定

Azure VPN Gateway では、セキュリティを強化するために、以下の項目に関してカスタム IPsec/IKE ポリシーを設定することができます。

【カスタマイズ可能な項目】

• 暗号化アルゴリズム: データを暗号化する方式（AES-256、AES-192、AES-128）
• 整合性アルゴリズム: データの改ざん防止（SHA-256、SHA-384）
• Diffie-Hellman グループ: 安全な鍵交換を行う方式
• SA（Security Association）ライフタイム: トンネルが有効である時間

カスタムポリシーを定めることによって、企業の特定のセキュリティニーズに合わせた設定にしていきましょう。

Azure VPN Gateway の高可用性・冗長性オプション

ここでは、高可用性と冗長性を確保するための Azure VPN Gateway の設定についてご説明します。

アクティブ/パッシブ構成

Azure VPN Gatewayは、既定では2つのゲートウェイVMインスタンスによるアクティブ/パッシブ構成で動作します。アクティブなインスタンスで計画メンテナンスや障害が発生すると、スタンバイ側へ自動的にフェイルオーバーします。

Microsoftの公式情報では、計画メンテナンス時の接続回復は10～15秒、計画外の問題では最悪の場合1～3分程度とされています。S2SおよびVNet-to-VNet接続では切り替え時に一時的な中断が発生し、P2S接続ではクライアント側で再接続が必要です。

アクティブ/アクティブ構成

アクティブ/アクティブ構成では、2つのゲートウェイVMインスタンスがそれぞれ固有のパブリックIPアドレスを持ち、オンプレミスのVPNデバイスとの間にS2S VPNトンネルを確立します。両方のトンネルが同時に利用され、一方のインスタンスで問題が発生した場合は、利用可能なもう一方のトンネルへトラフィックが切り替わります。

この構成の主な目的は高可用性の向上です。トラフィック分散によってスループットが向上する場合はありますが、通信条件によって異なるため、性能向上を一律には保証できません。

構成には、ルートベースVPN、Basic以外のSKU、静的割り当てのStandard SKUパブリックIPアドレス2つ、および2本のトンネルに対応するオンプレミスVPNデバイスが必要です。BGPはすべてのアクティブ/アクティブ構成で必須ではなく、トポロジーや経路制御の要件に応じて設定します。

ゾーン冗長ゲートウェイ

AZ SKUを利用するゾーン冗長ゲートウェイでは、2つのゲートウェイVMインスタンスが複数の可用性ゾーンへ分散されます。これにより、単一ゾーンの障害を単一障害点とせず、リージョン内での自動フェイルオーバーや、ゾーンのメンテナンス・障害時の接続維持を図れます。

ゾーン冗長性とSLAの数値は同一の概念ではありません。適用されるSLAについては、Microsoftの最新のSLA文書をご確認ください。

Azure VPN Gateway のパフォーマンスと最適化

ここでは、Azure VPN Gateway のパフォーマンスに焦点を当ててご説明します。

スループットとトンネル数の制限

Azure VPN Gateway の性能を決める重要な要素が、スループットとトンネル数です。

スループットとは、ネットワークが一定時間内に処理できるデータの量を指します。スループットが高いほど、より多くのデータを短時間で送受信できます。

トンネル数とは、VPN 接続で同時に作成できる仮想的な接続の数を指します。基本的にトンネル数が多いほど、多くの拠点間で VPN 接続を同時に確立できるようになります。

Azure VPN Gatewayのスループット値は、単一トンネルの保証値ではなく、複数のS2S接続とP2S接続を組み合わせて測定した集約スループットのベンチマークです。インターネットの通信状態やアプリケーションの特性によって実際の性能は変動します。

代表的な現行SKUの上限は、以下のとおりです。

VpnGw2AZとVpnGw3AZにはGeneration 1もあり、スループットのベンチマークが異なります。利用する世代を明記したうえで数値を確認しましょう。

パフォーマンス最適化のベストプラクティス

パフォーマンスを最適に保つために、以下のポイントを押さえておきましょう。

• 適切な SKU の選択：将来のデータ量や接続数を考えて SKU を選びましょう。
• ネットワーク設計の最適化：不要なトラフィックを除くことでパフォーマンスを向上できます。
• アクティブ/アクティブ構成の利用：高可用性が必要な場合は、2つのゲートウェイVMインスタンスがそれぞれ確立するトンネルを利用するアクティブ/アクティブ構成を検討します。実際のスループットは通信条件によって異なります。
• MTU（最大転送単位）の調整：MTU とは、1 回で送信できるデータの最大サイズのことです。MTU サイズが大きすぎると、データが 1 回で送れずに断片化（フラグメンテーション）が起き、データの処理が遅くなります。適切な MTU サイズに設定することが大切です。
• 暗号化アルゴリズムの選択：オンプレミスVPNデバイスとの互換性とセキュリティ要件を満たす組み合わせを選択します。使用するアルゴリズムによって実測スループットが変わるため、Microsoftの性能表とVPNデバイス側の仕様をあわせて確認します。

VPN Gateway のモニタリング

Azure VPN Gateway を最適に運用するためには、以下のような方法で、VPN 接続の状態をリアルタイムで把握し、潜在的な問題を早期に発見することが大切です。

• Azure Monitor の活用

Azure Monitor を使えば、VPN のスループット（データの送受信速度）や接続状態をリアルタイムで監視することができます。

• Log Analytics の使用

Azure Monitorと連携して使用する「Log Analytics」は、VPN 接続に関する詳細なログを収集し、分析するためのツールで、VPN の異常な動作や問題の原因を深く掘り下げて特定することができます。

• Network Watcher ツールの利用

Network Watcher は、Azure 上でのネットワークの問題を診断するためのツールです。このツールを使うと、接続問題やトラフィックの詳細を確認でき、ネットワークのボトルネックや通信エラーを特定できます。問題発生時のトラブルシューティングに非常に効果的です。

• アラートの設定

Azure Monitor のアラート機能を使うと、VPN のパフォーマンスが低下したり、エラーが発生した場合に自動で通知を受け取ることができます。

• 定期的なパフォーマンステスト

定期的にスループットテストやフェイルオーバーテストを実施して、VPN の性能が正しく発揮されているかを確認しましょう。

Azure VPN Gateway の料金体系

ここでは、Azure VPN Gateway の料金体系についてご説明します。

【主な SKU と料金】

Azure VPN Gatewayで新規デプロイに使用できる主なSKUは、BasicおよびVpnGw1AZ～VpnGw5AZです。Basicは開発・テストや概念実証向けで、本番環境では要件に応じてAZ対応SKUを選択します。

VPN Gatewayの料金は、選択したSKUとゲートウェイが利用可能な時間に基づいて計算されます。

料金はリージョン、通貨、契約形態、為替レートなどによって変動するため、導入時点の金額をAzure VPN Gatewayの公式料金ページまたはAzure料金計算ツールでご確認ください。

【主な課金項目】

Azure VPN Gatewayでは、ゲートウェイの利用料金に加えて、構成や通信量に応じて次の料金が発生します。

導入コストを見積もる際は、ゲートウェイ本体の料金だけでなく、必要なトンネル数や同時P2S接続数、データ転送量、パブリックIPアドレスの利用料金も含めて確認する必要があります。

実際の構成をAzure料金計算ツールに入力することで、想定するリージョンや利用条件に基づく月額費用の目安を確認できます。

まとめ

本記事では、Azure VPN Gateway の概要から高度な機能、設定と管理、そしてパフォーマンス最適化まで、包括的に解説しました。また、Azure VPN Gateway がハイブリッドネットワーキングの重要な要素であり、セキュアで高性能な接続を提供し、組織のクラウド戦略を強化するかもご紹介しました。

ぜひ適切に設計・実装・管理することでデジタルトランスフォーメーションを加速し、柔軟で拡張性のある IT 環境を構築してください。

東京エレクトロンデバイスでは、 Azure に関する無料相談を承っております。Azure の導入をご検討中、ご利用中でお悩みのあるご担当者様や企業様は、お気軽にご相談ください。

お問い合わせはこちら