Azure仮想ネットワークゲートウェイのBGPルーティングを設定する｜Terraformで経路広報を自動化

この記事のポイント

・BGPを有効にするにはVpnGw1以上のSKUが必要（BasicはBGP非対応）
・az network vnet-gateway createの--enable-bgpフラグでBGPを有効にできる
・Terraformはenable_bgp=trueとbgp_settingsブロックでASNとピアIPを管理
・BGP学習経路はaz network vpn-connection list-learned-routesで確認する

# リソースグループとVNetを作成する
RG=rg-vpngw-demo
VNET=vnet-demo
LOCATION=japaneast

az group create --name $RG --location $LOCATION

az network vnet create \
  --name $VNET \
  --resource-group $RG \
  --location $LOCATION \
  --address-prefix 10.1.0.0/16

# GatewaySubnetを追加する（名前は必ずGatewaySubnet）
az network vnet subnet create \
  --vnet-name $VNET \
  --resource-group $RG \
  --name GatewaySubnet \
  --address-prefix 10.1.255.0/27

# Standard SKUの静的パブリックIPを作成する
az network public-ip create \
  --name pip-vpngw-demo \
  --resource-group $RG \
  --location $LOCATION \
  --sku Standard \
  --allocation-method Static

# BGP有効でVPN Gatewayを作成する（--no-waitで非同期実行）
az network vnet-gateway create \
  --name vpngw-demo \
  --resource-group $RG \
  --location $LOCATION \
  --public-ip-address pip-vpngw-demo \
  --vnet $VNET \
  --gateway-type Vpn \
  --vpn-type RouteBased \
  --sku VpnGw1 \
  --enable-bgp true \
  --asn 65515 \
  --no-wait

# 作成状況を確認する（Succeeded になるまで待つ）
az network vnet-gateway show \
  --name vpngw-demo \
  --resource-group $RG \
  --query "provisioningState" \
  --output tsv

# BGP設定を確認する（bgpSettings.bgpPeeringAddressがピアIPアドレス）
az network vnet-gateway show \
  --name vpngw-demo \
  --resource-group $RG \
  --query "bgpSettings"

{
  "asn": 65515,
  "bgpPeeringAddress": "10.1.255.254",
  "bgpPeeringAddresses": null,
  "peerWeight": 0
}

# オンプレミス側のパブリックIPとBGP設定でLNGを作成する
az network local-gateway create \
  --name lng-onprem-demo \
  --resource-group $RG \
  --location $LOCATION \
  --gateway-ip-address "203.0.113.1" \
  --asn 65000 \
  --bgp-peering-address "192.168.100.1" \
  --peer-weight 0

# 設定を確認する
az network local-gateway show \
  --name lng-onprem-demo \
  --resource-group $RG \
  --query "{asn:bgpSettings.asn, peerIp:bgpSettings.bgpPeeringAddress, gwIp:gatewayIpAddress}"

# BGP有効の接続リソースを作成する
az network vpn-connection create \
  --name conn-to-onprem \
  --resource-group $RG \
  --location $LOCATION \
  --vnet-gateway1 vpngw-demo \
  --local-gateway2 lng-onprem-demo \
  --shared-key "YourSharedKey" \
  --enable-bgp true

# variables.tf
variable "resource_group_name" {
  default = "rg-vpngw-tf"
}

variable "location" {
  default = "japaneast"
}

variable "azure_asn" {
  default = 65515
}

variable "onprem_asn" {
  default = 65000
}

variable "onprem_bgp_peering_address" {
  default = "192.168.100.1"
}

variable "onprem_gateway_ip" {
  default = "203.0.113.1"
}

# main.tf（VNet Gateway部分）
resource "azurerm_virtual_network_gateway" "this" {
  name                = "vpngw-tf-demo"
  resource_group_name = var.resource_group_name
  location            = var.location

  type     = "Vpn"
  vpn_type = "RouteBased"
  sku      = "VpnGw1"

  enable_bgp = true

  bgp_settings {
    asn = var.azure_asn
  }

  ip_configuration {
    name                          = "ipconfig1"
    public_ip_address_id          = azurerm_public_ip.this.id
    private_ip_address_allocation = "Dynamic"
    subnet_id                     = azurerm_subnet.gateway.id
  }
}

# main.tf（Local Network Gateway部分）
resource "azurerm_local_network_gateway" "this" {
  name                = "lng-onprem-tf"
  resource_group_name = var.resource_group_name
  location            = var.location
  gateway_address     = var.onprem_gateway_ip

  bgp_settings {
    asn                 = var.onprem_asn
    bgp_peering_address = var.onprem_bgp_peering_address
    peer_weight         = 0
  }
}

# main.tf（接続リソース部分）
resource "azurerm_virtual_network_gateway_connection" "this" {
  name                = "conn-onprem-tf"
  resource_group_name = var.resource_group_name
  location            = var.location

  type                       = "IPsec"
  virtual_network_gateway_id = azurerm_virtual_network_gateway.this.id
  local_network_gateway_id   = azurerm_local_network_gateway.this.id

  shared_key = "YourSharedKey"
  enable_bgp = true
}

# 接続状態を確認する（Connected になっていることを確認）
az network vpn-connection show \
  --name conn-to-onprem \
  --resource-group $RG \
  --query "{status:connectionStatus, bgpEnabled:enableBgp}"

{
  "bgpEnabled": true,
  "status": "Connected"
}

# BGPで学習した経路一覧を表示する
az network vpn-connection list-learned-routes \
  --name conn-to-onprem \
  --resource-group $RG \
  --vnet-gateway vpngw-demo

[
  {
    "asPath": "65000",
    "localAddress": "10.1.255.254",
    "network": "192.168.0.0/24",
    "nextHop": "192.168.100.1",
    "origin": "EBgp",
    "sourcePeer": "192.168.100.1",
    "weight": 0
  }
]

# VMのNICに適用されている有効ルートを確認する
az network nic show-effective-route-table \
  --name nic-vm-name \
  --resource-group $RG \
  --output table