AzureとAWS VPCのネットワーク設計を比較する｜VNet・NAT・NSGとVPC・SG・IGWの対応関係をazコマンドで実践

この記事のポイント

・Azure VNetはAWS VPCと同じリージョン単位の仮想ネットワークだが設計思想が異なる
・AWSのSecurity GroupはAzureではNSGに対応しDENYルールが使える点が大きく違う
・AWS NAT GatewayとAzure NAT Gatewayは役割は同じだが設定方法と制御の粒度が異なる
・AzureはIPv6 CIDRを自由に指定できるがAWSはAmazonプールからの自動割り当てになる

# VNetのアドレス空間とサブネット一覧を確認
az network vnet show   --resource-group rg-compare-demo   --name vnet-prod   --query "{addressSpace: addressSpace.addressPrefixes, subnets: subnets[].{name:name, prefix:addressPrefix}}"   -o json

{
  "addressSpace": ["10.0.0.0/16"],
  "subnets": [
    {"name": "subnet-public", "prefix": "10.0.1.0/24"},
    {"name": "subnet-private", "prefix": "10.0.2.0/24"}
  ]
}

# NAT Gateway用のパブリックIPを作成
az network public-ip create   --resource-group rg-compare-demo   --name pip-natgw   --sku Standard   --allocation-method Static

# NAT Gatewayを作成
az network nat gateway create   --resource-group rg-compare-demo   --name natgw-prod   --public-ip-addresses pip-natgw   --idle-timeout 10

# プライベートサブネットにNAT Gatewayをアタッチ
az network vnet subnet update   --resource-group rg-compare-demo   --vnet-name vnet-prod   --name subnet-private   --nat-gateway natgw-prod

# subnet-privateのVMから外部通信テスト
[azureuser@vm-private ~]$ curl -s https://ifconfig.me
20.xxx.xxx.87

# NSGを作成してSSH（22番）を許可し、その他のインバウンドを拒否する例
az network nsg create   --resource-group rg-compare-demo   --name nsg-web

# SSH許可（優先度100）
az network nsg rule create   --resource-group rg-compare-demo   --nsg-name nsg-web   --name allow-ssh   --priority 100   --direction Inbound   --source-address-prefixes '*'   --destination-port-ranges 22   --protocol Tcp   --access Allow

# HTTP/HTTPS許可（優先度110）
az network nsg rule create   --resource-group rg-compare-demo   --nsg-name nsg-web   --name allow-http-https   --priority 110   --direction Inbound   --source-address-prefixes '*'   --destination-port-ranges 80 443   --protocol Tcp   --access Allow

# その他すべて拒否（優先度4000）
az network nsg rule create   --resource-group rg-compare-demo   --nsg-name nsg-web   --name deny-all-inbound   --priority 4000   --direction Inbound   --source-address-prefixes '*'   --destination-port-ranges '*'   --protocol '*'   --access Deny

# NSGのルール一覧を確認
az network nsg rule list   --resource-group rg-compare-demo   --nsg-name nsg-web   --output table

Name               Priority    Direction    Protocol    Access
-----------------  ----------  -----------  ----------  --------
allow-ssh          100         Inbound      Tcp         Allow
allow-http-https   110         Inbound      Tcp         Allow
deny-all-inbound   4000        Inbound      *           Deny

# リソースグループ作成（AWSのリージョン指定に相当）
az group create   --name rg-compare-demo   --location japaneast

# VNet作成（AWSでは: aws ec2 create-vpc --cidr-block 10.0.0.0/16）
az network vnet create   --resource-group rg-compare-demo   --name vnet-prod   --address-prefixes 10.0.0.0/16

# パブリックサブネット作成
az network vnet subnet create   --resource-group rg-compare-demo   --vnet-name vnet-prod   --name subnet-public   --address-prefixes 10.0.1.0/24

# プライベートサブネット作成
az network vnet subnet create   --resource-group rg-compare-demo   --vnet-name vnet-prod   --name subnet-private   --address-prefixes 10.0.2.0/24

# 作成確認
az network vnet show   --resource-group rg-compare-demo   --name vnet-prod   --query "{name:name, addressSpace:addressSpace.addressPrefixes, location:location}"   -o json
{
  "addressSpace": ["10.0.0.0/16"],
  "location": "japaneast",
  "name": "vnet-prod"
}

# NSGをサブネットにアタッチ（AWSでは: Network ACLをサブネットに関連付け）
az network vnet subnet update   --resource-group rg-compare-demo   --vnet-name vnet-prod   --name subnet-public   --nsg nsg-web

# アタッチ確認
az network vnet subnet show   --resource-group rg-compare-demo   --vnet-name vnet-prod   --name subnet-public   --query "networkSecurityGroup.id"   -o tsv
/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/rg-compare-demo/providers/Microsoft.Network/networkSecurityGroups/nsg-web

# IPv4（10.0.0.0/16）とIPv6（fd00::/48）のアドレス空間を持つVNetを作成
az network vnet create   --resource-group rg-compare-demo   --name vnet-dualstack   --address-prefixes "10.0.0.0/16" "fd00::/48"

# IPv4 /24 と IPv6 /64 の両方を持つデュアルスタックサブネットを作成
az network vnet subnet create   --resource-group rg-compare-demo   --vnet-name vnet-dualstack   --name subnet-dualstack   --address-prefixes "10.0.1.0/24" "fd00::/64"

# サブネットのIPv4・IPv6両方のCIDRを確認
az network vnet subnet show   --resource-group rg-compare-demo   --vnet-name vnet-dualstack   --name subnet-dualstack   --query "{ipv4:addressPrefix,ipv6:ipv6AddressPrefix}"   -o table

Ipv4           Ipv6
------------   --------
10.0.1.0/24    fd00::/64

# IPv6パブリックIP（Standard SKU・静的割り当て）を作成
az network public-ip create   --resource-group rg-compare-demo   --name pip-v6   --sku Standard   --allocation-method Static   --version IPv6

# NICにIPv6用IPコンフィグを追加
az network nic ip-config create   --resource-group rg-compare-demo   --nic-name nic-vm   --name ipv6config   --public-ip-address pip-v6   --private-ip-address-version IPv6

# NICのIPコンフィグ一覧でIPv4・IPv6の両方を確認
az network nic show   --resource-group rg-compare-demo   --name nic-vm   --query "ipConfigurations[].{name:name,version:privateIPAddressVersion,privateIP:privateIPAddress}"   -o table

Name         Version    PrivateIP
-----------  ---------  ----------
ipconfig1    IPv4       10.0.1.4
ipv6config   IPv6       fd00::4