Azure VNet（仮想ネットワーク）とは？クラウド基盤設計の基本と重要性を徹底解説

Azure VNet（仮想ネットワーク）とは？クラウド基盤設計の基本と重要性

先生と生徒の会話形式で理解しよう

生徒

「クラウド上に自分専用のネットワークを作るにはどうすればいいんですか？Azure（アジュール）を使いたいのですが。」

先生

「それにはAzure Virtual Network（アジュール・バーチャル・ネットワーク）、略してVNet（ブイネット）というサービスを使います。これはクラウドの中に自分たちだけの専用道路や敷地を作るようなものですよ。」

生徒

「専用の敷地ですか！それはセキュリティも安心そうですね。具体的にどんな仕組みで、何ができるのか詳しく教えてください。」

先生

「もちろんです。VNetはクラウド基盤設計の基本中の基本です。初心者の方でもイメージしやすいように、一つずつ丁寧に見ていきましょう！」

1. Azure VNet（仮想ネットワーク）の基礎知識

Azure Virtual Network（アジュール・バーチャル・ネットワーク）は、Microsoft（マイクロソフト）が提供するクラウドプラットフォーム「Azure」において、論理的に隔離されたプライベートなネットワーク空間を構築するサービスです。略してVNet（ブイネット）と呼ばれます。

通常、インターネットは世界中の誰とでもつながる巨大な網のようなものですが、VNetを使うことで、その中に「自分たちだけの壁」で囲まれた安全な区画を作ることができます。この区画内では、独自のIP（アイピー）アドレスを割り振ったり、サブネット（細分化したネットワーク）を作成したり、ルートテーブルやネットワークゲートウェイを構成したりすることが可能です。

VNetは、クラウド上に仮想マシン（VM）やデータベースなどのリソースを配置する際の「土台」となります。家の建築に例えるなら、土地の区画整理を行う作業に似ています。この土地がなければ、建物を建てることも、電気や水道（通信）を通すこともできません。クラウド活用において、VNetの設計は最も重要かつ基本的なステップなのです。

2. サブネットとIPアドレスの役割

VNetを作成したら、次に「サブネット」という仕組みを使ってネットワークをさらに小さく分割します。サブネットは、役割ごとにネットワーク内のグループ分けを行うためのものです。例えば、外部に公開するウェブサーバー用のサブネットと、重要なデータを保管するデータベース用のサブネットを分けることで、セキュリティを大幅に高めることができます。

それぞれのサブネットには、プライベートIPアドレスの範囲を指定します。これにより、ネットワーク内の機器同士がどの住所（アドレス）を使って通信するかを制御します。Azureでは一般的にRFC 1918で規定されているプライベートIPアドレス範囲（10.0.0.0/8など）を使用します。

ここで、Azureのリソース情報を確認するためのAzure CLI（アジュール・コマンドライン・インターフェース）の実行例を見てみましょう。ネットワークの情報を表示するコマンドです。


az network vnet list --output table
Name         ResourceGroup    Location    AddressPrefixes    Status
-----------  ---------------  ----------  -----------------  ------
MyVNet01     MyRG             japaneast   10.0.0.0/16        Succeeded
TestVNet     TestRG           japanwest   192.168.0.0/16     Succeeded

3. ネットワークセキュリティグループ（NSG）での通信制御

VNetの安全性を守るための強力なツールが、ネットワークセキュリティグループ（NSG）です。これは「防火壁（ファイアウォール）」のような役割を果たし、サブネットや個別の仮想マシンに対して、どのような通信を許可し、あるいは拒否するかをルールとして設定します。

例えば、「インターネットからの80番ポート（HTTP）の通信は許可するが、データベースへの直接のアクセスは禁止する」といった細かい制御が可能です。これにより、悪意のある攻撃者からシステムを保護することができます。

インフラの構成情報を管理するために、簡易的なデータベーステーブルでセキュリティルールの管理リストをイメージしてみましょう。以下は設定情報を管理するテーブルの例です。


id | rule_name      | priority | direction | access  | port
---+----------------+----------+-----------+---------+------
1  | AllowHTTP      | 100      | Inbound   | Allow   | 80
2  | AllowSSH       | 110      | Inbound   | Allow   | 22
3  | DenyAllInbound | 65000    | Inbound   | Deny    | Any
4  | AllowOutbound  | 100      | Outbound  | Allow   | Any

このデータをSQL（エスキューエル）で操作して、特定の優先度の高いルールだけを抽出するプログラムの例です。


SELECT rule_name, priority, access
FROM security_rules
WHERE priority < 200 AND direction = 'Inbound'
ORDER BY priority ASC;


rule_name | priority | access
----------+----------+--------
AllowHTTP | 100      | Allow
AllowSSH  | 110      | Allow

4. VNet間の通信を実現する「VNetピアリング」

複数のVNetを作成した場合、通常それらは互いに通信できません。しかし、業務システムが増えていくと「VNet Aにあるサーバーから、VNet Bにあるデータベースを使いたい」という場面が出てきます。その際に使われるのがVNetピアリングです。

VNetピアリングを設定すると、異なるVNet同士をMicrosoftの高速なバックボーンネットワーク経由で直接つなぐことができます。これにより、まるで同じネットワーク内にいるかのように、プライベートIPアドレスを使って低遅延で通信が可能になります。異なるリージョン（地域）間でも接続できる「グローバルVNetピアリング」という機能もあります。

この接続状況を管理する際、プログラム側でネットワークの状態を判定するロジックが必要になることがあります。C#（シーシャープ）を使った簡単なステータス判定コードを見てみましょう。


using System;

class Program
{
    static void Main()
    {
        string peeringStatus = "Connected";
        
        // ピアリングの状態を確認するシンプルな条件分岐
        if (peeringStatus == "Connected")
        {
            Console.WriteLine("ネットワーク接続は良好です。通信可能です。");
        }
        else
        {
            Console.WriteLine("接続が切断されているか、設定が未完了です。");
        }
    }
}


ネットワーク接続は良好です。通信可能です。

5. オンプレミスとの接続方法

クラウドだけでなく、会社にある物理的なサーバー（オンプレミス）とAzureを接続したい場合もあります。これを「ハイブリッドクラウド」と呼びます。Azure VNetでは、主に2つの接続方法が用意されています。

VPN Gateway（ブイピーエヌ・ゲートウェイ）: インターネットを介して暗号化したトンネルを作り、安全に接続する方法です。コストを抑えて導入できます。
ExpressRoute（エクスプレスルート）: インターネットを通らない「専用線」を使って接続する方法です。非常に高速で、安定した通信が必要な大規模システムに向いています。

これらの接続設定を自動化するスクリプトを書くこともあります。次は、接続リストを表示するためのBash（バッシュ）コマンドの例です。


az network vpn-connection list --resource-group MyRG
[
  {
    "name": "OnPremToAzure",
    "connectionStatus": "Connected",
    "gatewayCustomBgpIpAddresses": [],
    "location": "japaneast"
  }
]

6. Azure VNetを設計する際の重要ポイント

クラウド基盤（プラットフォーム）を設計する際には、後から変更するのが難しいポイントがいくつかあります。初心者が陥りやすい失敗を防ぐための重要事項を確認しましょう。

第一に、IPアドレスの重複を避けることです。将来的に他のネットワークと接続する可能性がある場合、同じ住所（IP範囲）を使っていると衝突して通信ができません。あらかじめ広い範囲を確保しつつ、計画的に割り当てる必要があります。

第二に、セキュリティの階層化です。すべてのリソースを一つのサブネットに入れるのではなく、ウェブ層、アプリケーション層、データ層といった具合に分割し、それぞれに適切なNSGを適用しましょう。これを「多層防御（たそうぼうぎょ）」と言います。

第三に、名前付け規則（ネーミングコンベンション）の統一です。誰が見ても何のリソースか分かるように、「vnet-prod-tokyo-01」のように一貫性のある名前を付けることが運用の効率化につながります。プロジェクト管理用のデータテーブルをイメージしてみましょう。


id | resource_name       | type          | environment | owner
---+---------------------+---------------+-------------+----------
1  | vnet-web-prod-001   | VirtualNetwork| Production  | InfraTeam
2  | snet-db-prod-001    | Subnet        | Production  | DBAdmin
3  | nsg-secure-ssh-01   | NSG           | Shared      | Security
4  | vnet-dev-sandbox    | VirtualNetwork| Development | DevGroup

7. 仮想ネットワーク内での名前解決（DNS）

ネットワーク内では、数字の羅列であるIPアドレスではなく、「webserver01」といった名前で通信を行いたいものです。これを実現するのがDNS（ドメイン・ネーム・システム）です。Azure VNetには、標準で提供されるAzure提供の名前解決サービスがあります。

より高度な設定が必要な場合は、「Azure Private DNS」というサービスを使い、自分たちで決めた独自のドメイン名（例：internal.example.com）をVNet内で運用することもできます。これにより、サーバーのIPアドレスが変わっても、名前を使って通信を維持できるため、システムの保守性が向上します。

最後に、サーバー一覧から特定の条件で名前を検索するC#の簡単な配列操作プログラムを紹介します。


using System;
using System.Collections.Generic;
using System.Linq;

class Program
{
    static void Main()
    {
        string[] servers = { "web-01", "web-02", "db-01", "app-01", "db-02" };
        
        // 名前の中に "db" が含まれるサーバーを抽出する
        var dbServers = servers.Where(s => s.Contains("db")).ToList();
        
        Console.WriteLine("データベースサーバー一覧:");
        foreach (var server in dbServers)
        {
            Console.WriteLine("- " + server);
        }
    }
}


データベースサーバー一覧:
- db-01
- db-02

まとめ

これまでに学んできた内容を振り返ってみましょう。Azure VNet（アジュール・バーチャル・ネットワーク）は、マイクロソフトのクラウド上で安全なプライベート空間を確保するための非常に重要な基盤サービスです。VNetを導入することで、インターネットという広大なネットワークから論理的に切り離された、自分たち専用の「仮想的な土地」を手に入れることができます。この土地があるからこそ、仮想マシンやデータベースなどのリソースを安心して配置し、運用することが可能になります。

クラウドネットワーク構築の全体像

VNetの設計において欠かせないのが、サブネットによる細分化とIPアドレスの適切な管理です。ウェブサーバー、アプリケーションサーバー、データベースといった役割ごとにサブネットを分けることは、セキュリティの基本である「多層防御」を実現するための第一歩となります。また、ネットワークセキュリティグループ（NSG）を利用して、どのポートを空け、どの通信を遮断するかを精密にコントロールすることが、サイバー攻撃からシステムを守る鍵となります。

さらに、拡張性の面ではVNetピアリングが大きな役割を果たします。異なるネットワーク同士を高速なバックボーンで接続することで、複雑なインフラ構成も柔軟に管理できるようになります。オンプレミス環境とのハイブリッド接続が必要な場合には、コスト重視のVPN Gatewayや、速度と安定性を追求したExpressRouteを選択することで、既存の資産とクラウドをシームレスに融合させることができます。

運用管理と自動化の重要性

実際の運用現場では、手動での設定だけでなく、Azure CLIやプログラムを用いた自動化や状況確認が頻繁に行われます。例えば、接続されているVNetの一覧を定期的に取得したり、特定のセキュリティルールが正しく適用されているかを確認したりする作業です。ここで、管理しているリソースのステータスを確認するための簡単なデータ管理の例を見てみましょう。

以下のテーブルは、複数の拠点に配置されたVNetの稼働状況を管理するリストです。


id | vnet_name         | region       | address_space   | status
---+-------------------+--------------+-----------------+---------
1  | vnet-tokyo-prod   | japaneast    | 10.1.0.0/16     | Active
2  | vnet-osaka-prod   | japanwest    | 10.2.0.0/16     | Active
3  | vnet-stg-test     | japaneast    | 192.168.0.0/24  | Inactive
4  | vnet-global-hub   | eastus       | 10.0.0.0/16     | Active
5  | vnet-backup-dr    | centralus    | 172.16.0.0/12   | Active

このデータベースから、現在稼働中（Active）のネットワークのみを抽出して、エンジニアが確認しやすくするためのSQLクエリを実行します。


SELECT vnet_name, region, address_space
FROM vnet_management
WHERE status = 'Active'
ORDER BY region DESC;

実行結果は以下のようになります。


vnet_name       | region       | address_space
----------------+--------------+---------------
vnet-osaka-prod | japanwest    | 10.2.0.0/16
vnet-tokyo-prod | japaneast    | 10.1.0.0/16
vnet-global-hub | eastus       | 10.0.0.0/16
vnet-backup-dr  | centralus    | 172.16.0.0/12

このように、ネットワーク情報を整理して把握することは、トラブルシューティングや将来の拡張計画を立てる上で非常に役立ちます。また、プログラム側で特定のリージョンにあるリソースを自動で選別する処理を実装することもあります。C#を利用した、リージョン名によるフィルタリング処理の例を確認してみましょう。


using System;
using System.Collections.Generic;
using System.Linq;

class VNetManager
{
    static void Main()
    {
        // 管理対象のネットワーク名のリスト
        List<string> vnetList = new List<string> 
        { 
            "vnet-tokyo-01", 
            "vnet-osaka-02", 
            "vnet-tokyo-03", 
            "vnet-us-04" 
        };

        Console.WriteLine("東京リージョンのリソースを抽出します...");

        // "tokyo" という文字列を含むネットワークを検索
        var tokyoVnets = vnetList.Where(v => v.Contains("tokyo")).ToList();

        if (tokyoVnets.Count > 0)
        {
            foreach (var name in tokyoVnets)
            {
                Console.WriteLine("対象発見: " + name);
            }
        }
        else
        {
            Console.WriteLine("該当するリソースは見つかりませんでした。");
        }
    }
}

実行結果は以下のようになります。


東京リージョンのリソースを抽出します...
対象発見: vnet-tokyo-01
対象発見: vnet-tokyo-03

Azure VNetは単なるネットワークの器ではなく、クラウド全体のセキュリティ、性能、可用性を左右する土台そのものです。まずは小さな環境から構築を始め、徐々に複雑な構成へとステップアップしていくことが、クラウドマスターへの近道です。今回の内容をしっかり理解して、実際のAzureポータルやCLIでの操作に挑戦してみてください。

先生と生徒の振り返り会話

生徒

「先生、ありがとうございました。Azure VNetについて、ようやく全体像が見えてきました。クラウドの中に自分たちの専用の敷地を作るというイメージが、とても分かりやすかったです。」

先生

「それは良かったです。VNetはまさにクラウドインフラの心臓部ですからね。特にどの部分が印象に残りましたか？」

生徒

「サブネットとNSGの関係です。ただ土地を区切るだけでなく、門番を置いて通信を細かくチェックするのが、現実のセキュリティ対策とそっくりだなと感じました。SQLやC#のサンプルコードを見て、設定情報をデータとして管理するイメージも湧きました。」

先生

「素晴らしい着眼点です！現実世界のセキュリティ意識をクラウドに持ち込むのはとても大切です。ちなみに、IPアドレスの重複には気をつけてくださいね。後で他のVNetとつなげたくなった時に、住所が同じだと通信が混乱してしまいますから。」

生徒

「はい、設計の最初が肝心ということですね。VNetピアリングやVPNの話も、将来的に会社全体のネットワークとつなぐ時に役立ちそうです。最初は難しそうだと思っていましたが、一つずつ整理すれば理解できるものですね。」

先生