概要
Azureのルーティングを設定して、外部への通信をAzureFW経由にしていたのだが、これをすると外部通信の際の接続元グローバルIPアドレスがAzureFWに紐づけたグローバルIPアドレスからランダムに選出され、固定ができないという問題に直面したので解決メモ。
外部に接続する際、グローバルIPアドレスを固定できないと、外部サービス連携時のIPアドレス制限ができない（設定が大変）なこともあり、これを固定したかったお話。
前提
- 仮想ネットワークのルーティングでデフォルトルートをAzureFWに向けている
やりたいこと
- Azure仮想マシンが外部に接続する際のグローバルIPアドレスを固定したい
- でも外部から仮想マシンへの接続にはAzureFWを噛ませたい
方法
以下の2点を設定すればOK
- AzureネットワークのデフォルトルートをInternetに向ける
- 独自にルーティング設定をしていなければ、基本的にはこの設定になってます。
- 仮想マシンのNICにパブリックIPアドレスを紐づける
ざっと調べてみた感じ、Azure仮想マシンの送信元グローバルIPアドレスの選出は以下のようになっている模様。
| 仮想マシンへのPIP付与 | デフォルトルート | 送信元PIP |
|---|---|---|
| なし | Internet | ランダムで決定(再起動するまでは固定) |
| あり | Internet | 仮想マシンのPIPで固定 |
| なし | AzureFW | AzureF/WのPIPからランダム決定 |
| あり | AzureFW | AzureF/WのPIPからランダム決定 |
※ PIP -> パブリックIPアドレス
固定したい場合はデフォルトルート->Internet + 仮想マシンへのPIP付与
デフォルトルートがインターネットを向いていれば、仮想マシンにPIPを付与することで、外部に接続する際のグローバルIPアドレスもそれに固定が可能。
ただし、この場合は外部への通信フィルタリングがNSG依存になるため、正しくNSGを設定しましょう。初期設定では仮想マシン->Internetへの接続は全OPENになっています。
必要な通信のみをOPENにしたい場合、既定ルールのAllowInternetOutBondを別のルールで上書きして拒否するように設定する必要があります。
AzureFW経由にすると現実的に固定できない
デフォルトルートをAzureFWに向けている場合、仮想マシンに付与されたPIPは無視され、AzureFWでSNAT変換が行われる。その際に選出されるグローバルIPアドレスは、AzureFWに紐づけられたPIPからランダムで選出されます。
AzureFWに紐づけられたPIPが1つの場合は疑似的に固定できるが、外部からのDNAT設定のため複数紐づけが必要な場合が多いため、そうなるとランダム選出になってしまう。また、ランダムになってしまうことで、どの仮想マシンからの通信か？が判別できなくなってしまいます。
逆に言えば、Azureネットワークから出る通信も含めてすべてAzureF/Wで管理したい、ということになると送信元グローバルIPアドレスの固定や、特定ができなくなってしまいます。
終わり
わかってしまえば簡単な話ですが、できればAzureF/Wを経由する状態でも特定のIPアドレスでSNATできるようにしてほしい･･･ MSさんなんとかなりませんかね！