AzureとAWS VPCのネットワーク設計を比較する｜VNet・NAT・NSGとVPC・SG・IGWの対応関係をazコマンドで実践

この記事のポイント

・Azure VNetはAWS VPCと同じリージョン単位の仮想ネットワークだが設計思想が異なる
・AWSのSecurity GroupはAzureではNSGに対応しDENYルールが使える点が大きく違う
・AWS NAT GatewayとAzure NAT Gatewayは役割は同じだが設定方法と制御の粒度が異なる
・azコマンドでVNet・サブネット・NSGを構築する基本コマンドを実機ログ付きで解説

# VNetのアドレス空間とサブネット一覧を確認
az network vnet show \
  --resource-group rg-compare-demo \
  --name vnet-prod \
  --query "{addressSpace: addressSpace.addressPrefixes, subnets: subnets[].{name:name, prefix:addressPrefix}}" \
  -o json

{
  "addressSpace": ["10.0.0.0/16"],
  "subnets": [
    {"name": "subnet-public", "prefix": "10.0.1.0/24"},
    {"name": "subnet-private", "prefix": "10.0.2.0/24"}
  ]
}

# NAT Gateway用のパブリックIPを作成
az network public-ip create \
  --resource-group rg-compare-demo \
  --name pip-natgw \
  --sku Standard \
  --allocation-method Static

# NAT Gatewayを作成
az network nat gateway create \
  --resource-group rg-compare-demo \
  --name natgw-prod \
  --public-ip-addresses pip-natgw \
  --idle-timeout 10

# プライベートサブネットにNAT Gatewayをアタッチ
az network vnet subnet update \
  --resource-group rg-compare-demo \
  --vnet-name vnet-prod \
  --name subnet-private \
  --nat-gateway natgw-prod

# subnet-privateのVMから外部通信テスト
[azureuser@vm-private ~]$ curl -s https://ifconfig.me
20.xxx.xxx.87

# NSGを作成してSSH（22番）を許可し、その他のインバウンドを拒否する例
az network nsg create \
  --resource-group rg-compare-demo \
  --name nsg-web

# SSH許可（優先度100）
az network nsg rule create \
  --resource-group rg-compare-demo \
  --nsg-name nsg-web \
  --name allow-ssh \
  --priority 100 \
  --direction Inbound \
  --source-address-prefixes '*' \
  --destination-port-ranges 22 \
  --protocol Tcp \
  --access Allow

# HTTP/HTTPS許可（優先度110）
az network nsg rule create \
  --resource-group rg-compare-demo \
  --nsg-name nsg-web \
  --name allow-http-https \
  --priority 110 \
  --direction Inbound \
  --source-address-prefixes '*' \
  --destination-port-ranges 80 443 \
  --protocol Tcp \
  --access Allow

# その他すべて拒否（優先度4000）
az network nsg rule create \
  --resource-group rg-compare-demo \
  --nsg-name nsg-web \
  --name deny-all-inbound \
  --priority 4000 \
  --direction Inbound \
  --source-address-prefixes '*' \
  --destination-port-ranges '*' \
  --protocol '*' \
  --access Deny

# NSGのルール一覧を確認
az network nsg rule list \
  --resource-group rg-compare-demo \
  --nsg-name nsg-web \
  --output table

Name               Priority    Direction    Protocol    Access
-----------------  ----------  -----------  ----------  --------
allow-ssh          100         Inbound      Tcp         Allow
allow-http-https   110         Inbound      Tcp         Allow
deny-all-inbound   4000        Inbound      *           Deny

# リソースグループ作成（AWSのリージョン指定に相当）
az group create \
  --name rg-compare-demo \
  --location japaneast

# VNet作成（AWSでは: aws ec2 create-vpc --cidr-block 10.0.0.0/16）
az network vnet create \
  --resource-group rg-compare-demo \
  --name vnet-prod \
  --address-prefixes 10.0.0.0/16

# パブリックサブネット作成
az network vnet subnet create \
  --resource-group rg-compare-demo \
  --vnet-name vnet-prod \
  --name subnet-public \
  --address-prefixes 10.0.1.0/24

# プライベートサブネット作成
az network vnet subnet create \
  --resource-group rg-compare-demo \
  --vnet-name vnet-prod \
  --name subnet-private \
  --address-prefixes 10.0.2.0/24

# 作成確認
az network vnet show \
  --resource-group rg-compare-demo \
  --name vnet-prod \
  --query "{name:name, addressSpace:addressSpace.addressPrefixes, location:location}" \
  -o json
{
  "addressSpace": ["10.0.0.0/16"],
  "location": "japaneast",
  "name": "vnet-prod"
}

# NSGをサブネットにアタッチ（AWSでは: Network ACLをサブネットに関連付け）
az network vnet subnet update \
  --resource-group rg-compare-demo \
  --vnet-name vnet-prod \
  --name subnet-public \
  --nsg nsg-web

# アタッチ確認
az network vnet subnet show \
  --resource-group rg-compare-demo \
  --vnet-name vnet-prod \
  --name subnet-public \
  --query "networkSecurityGroup.id" \
  -o tsv
/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/rg-compare-demo/providers/Microsoft.Network/networkSecurityGroups/nsg-web