AzureのVNetピアリングを設定する方法｜ハブアンドスポーク構成とazコマンドによる実践手順

この記事のポイント

・VNetピアリングはVPN不要でVNet間をAzureバックボーンで直結できる低コスト構成
・ピアリングは双方向（A側とB側の両方）を設定しないと通信が通らない
・az network vnet peering create コマンドでピアリングを追加できる
・ハブアンドスポーク構成で複数VNetをセキュアに一元管理できる

# リソースグループを作成
az group create \
  --name rg-hub-spoke \
  --location japaneast

# ハブVNetとサブネットを作成
az network vnet create \
  --name hub-vnet \
  --resource-group rg-hub-spoke \
  --address-prefix 10.0.0.0/16 \
  --subnet-name hub-subnet \
  --subnet-prefix 10.0.0.0/24

{
  "newVNet": {
    "addressSpace": {
      "addressPrefixes": ["10.0.0.0/16"]
    },
    "location": "japaneast",
    "name": "hub-vnet",
    "provisioningState": "Succeeded",
    "subnets": [
      {
        "addressPrefix": "10.0.0.0/24",
        "name": "hub-subnet",
        "provisioningState": "Succeeded"
      }
    ]
  }
}

# スポークVNetとサブネットを作成
az network vnet create \
  --name spoke-vnet \
  --resource-group rg-hub-spoke \
  --address-prefix 10.1.0.0/16 \
  --subnet-name spoke-subnet \
  --subnet-prefix 10.1.0.0/24

# ハブ側：ジャンプサーバー（パブリックIPあり）
az vm create \
  --resource-group rg-hub-spoke \
  --name hub-vm \
  --image Ubuntu2404 \
  --vnet-name hub-vnet \
  --subnet hub-subnet \
  --admin-username azureuser \
  --generate-ssh-keys \
  --size Standard_B1s

# スポーク側：Webサーバー（パブリックIPなし）
az vm create \
  --resource-group rg-hub-spoke \
  --name spoke-vm \
  --image Ubuntu2404 \
  --vnet-name spoke-vnet \
  --subnet spoke-subnet \
  --admin-username azureuser \
  --generate-ssh-keys \
  --public-ip-address "" \
  --size Standard_B1s

# スポークVNetのリソースIDを取得
SPOKE_ID=$(az network vnet show \
  --resource-group rg-hub-spoke \
  --name spoke-vnet \
  --query id -o tsv)

# ハブ側からスポーク方向のピアリングを作成
az network vnet peering create \
  --name hub-to-spoke \
  --resource-group rg-hub-spoke \
  --vnet-name hub-vnet \
  --remote-vnet $SPOKE_ID \
  --allow-vnet-access

# ハブVNetのリソースIDを取得
HUB_ID=$(az network vnet show \
  --resource-group rg-hub-spoke \
  --name hub-vnet \
  --query id -o tsv)

# スポーク側からハブ方向のピアリングを作成
az network vnet peering create \
  --name spoke-to-hub \
  --resource-group rg-hub-spoke \
  --vnet-name spoke-vnet \
  --remote-vnet $HUB_ID \
  --allow-vnet-access

# ハブ側のピアリング状態を確認
az network vnet peering list \
  --resource-group rg-hub-spoke \
  --vnet-name hub-vnet \
  -o table

Name          PeeringState    ProvisioningState    AllowVnetAccess
------------  --------------  -------------------  -----------------
hub-to-spoke  Connected       Succeeded            True

az network vnet peering list \
  --resource-group rg-hub-spoke \
  --vnet-name spoke-vnet \
  -o table

Name          PeeringState    ProvisioningState    AllowVnetAccess
------------  --------------  -------------------  -----------------
spoke-to-hub  Connected       Succeeded            True

# hub-vmのパブリックIPを確認
az vm show \
  --resource-group rg-hub-spoke \
  --name hub-vm \
  --show-details \
  --query publicIps -o tsv

20.xxx.xxx.145

# spoke-vmのプライベートIPを確認
az vm show \
  --resource-group rg-hub-spoke \
  --name spoke-vm \
  --show-details \
  --query privateIps -o tsv

10.1.0.4

# 自分のPCからhub-vmにSSH（エージェント転送を有効化）
ssh -A azureuser@20.xxx.xxx.145

# hub-vmからspoke-vmにSSH（プライベートIPで接続）
azureuser@hub-vm:~$ ssh azureuser@10.1.0.4

Welcome to Ubuntu 24.04.2 LTS (GNU/Linux 6.8.0-1021-azure x86_64)

 * Documentation:  https://help.ubuntu.com

Last login: Thu Jul  3 09:12:33 2026 from 10.0.0.4
azureuser@spoke-vm:~$

# spoke-vmに紐づくNSGを確認
az network nsg list \
  --resource-group rg-hub-spoke \
  -o table

Location    Name           ProvisioningState
----------  -------------  -------------------
japaneast   spoke-vmNSG    Succeeded

# VNetからのSSH（22番ポート）を許可するルールを追加
az network nsg rule create \
  --resource-group rg-hub-spoke \
  --nsg-name spoke-vmNSG \
  --name allow-ssh-from-vnet \
  --priority 300 \
  --direction Inbound \
  --access Allow \
  --protocol Tcp \
  --source-address-prefix VirtualNetwork \
  --destination-port-range 22

# 両方向の状態を確認する
az network vnet peering list \
  --resource-group rg-hub-spoke \
  --vnet-name hub-vnet \
  --query "[].{name:name,state:peeringState}" \
  -o table

az network vnet peering list \
  --resource-group rg-hub-spoke \
  --vnet-name spoke-vnet \
  --query "[].{name:name,state:peeringState}" \
  -o table

(VNetPeeringAddressSpaceOverlap) The peering could not be added.
The address space of 'spoke-vnet' overlaps with 'hub-vnet'.