【Azure×BGP】VNet A/Bの両方にGatewayを置くと何が起きる？AS Pathループ検出による通信全断の罠
Azureでネットワーク設計を行っていると、以下のような構成を検討するケースがあります。
「ピアリング接続した VNet A と VNet B の両方に Gateway（ExpressRoute / VPN）を置き、同じオンプレミスネットワークに接続して冗長化したい」
一見するとマルチアクティブ構成で障害に強そうに見えますが、実際の現場では「BGPの伝搬不備で通信できない」「片方のVNetの通信が100%遮断された」というトラブルが多発します。
この原因の多くは、BGPプロトコルの標準機能である「AS Pathループ検出（AS Path Loop Detection）」にあります。
本記事では、この構成で発生する2つの具体的なトラブルパターン（迂回ルートの無効化／本命ルートの誤破棄による全断）のメカニズムを分かりやすく解説します。
1. 基礎知識：AS Pathループ検出とは？
BGP（Border Gateway Protocol）は、経路情報と一緒に「これまで通過してきたAS番号のリスト（AS Path属性）」をやり取りします。
ルータが新しい経路情報を受け取った際、そのリストの中に「自分自身のAS番号」や「すでに通過したAS番号の重複」が含まれていると、「ルーティングループ（無限循環）が発生している！」と判定し、危険を避けるためにその経路を自動破棄（ドロップ）します。
これが AS Path Loop Detection です。
今回は、以下の環境を例にして解説します。
-
オンプレミスルータのAS番号：
65001 -
Azure Gateway A / B のAS番号：
65515（Azureデフォルト） -
VNet B のアドレス空間：
10.20.0.0/16
[ VNet A ] (10.10.0.0/16) ── [ Gateway A ] (65515) ──┐
│ (VNet Peering) │ (ExpressRoute/VPN)
[ VNet B ] (10.20.0.0/16) ── [ Gateway B ] (65515) ──┴── [ オンプレミス ] (65001)
【パターン1】迂回（バックアップ）ルートが自動破棄される
まず起きるのが、「予備ルートとして期待していた経路がドロップされる」現象です。
発生ステップ
-
迂回ルートの自動広報
VNet A と VNet B はピアリング接続されているため、Gateway A は「自分を通っても VNet B へ行ける」と判断し、迂回ルートをオンプレミス側へ広報します。 -
AS番号の重複（スタック）
この迂回ルートには、Gateway B と Gateway A の双方を通過した証として、Azureの内部AS番号が重複して記録（65515, 65515）されます。 -
オンプレミス側での判定と破棄
オンプレミスルータはこの経路を受信した際、AS番号の重複を見て「ルーティングループの危険がある経路」と判定し、自動的に破棄（ドロップ）します。
影響
Gateway B が障害等でダウンした際、「Gateway A 経由で VNet B へ迂回する」というバックアップ機能が一切動作しなくなります。
【パターン2】本命ルートまでもが誤破棄されて「通信全断」する
さらに恐ろしいのが、タイミングやBGP設定によって「メインの通信ルートそのものがループ判定されて消去され、通信が100%全断する」パターンです。
発生ステップ
-
ステップ1：GW A 経由で経路がオンプレに届く
回線確立のタイミング等により、Gateway A 経由で VNet B（10.20.0.0/16）の経路がオンプレミスに届きます。 -
学習経路: 10.20.0.0/16 -
AS Path: [ 65515 ] -
ステップ2：オンプレミスが GW B へ経路を広報してしまう
オンプレミスルータは、マルチホーム接続の標準動作として「GW A から学んだ経路」をもう一方の Gateway B へ教えようとします。この際、自身のAS番号（65001）を付与します。 -
GW Bへ送信される経路: 10.20.0.0/16 -
AS Path: [ 65001, 65515 ] -
ステップ3：GW B がオンプレ経由のルートを採用・再広報する
Gateway B がこのオンプレ側からの経路を誤って最良経路（ベストパス）として採用すると、自身のAS（65515）を付け直して再びオンプレミスへ送り返して（逆流させて）しまいます。 -
オンプレへ逆流する経路: 10.20.0.0/16 -
AS Path: [ 65515, 65001, 65515 ] -
ステップ4：オンプレミスルータが自AS番号を発見し、本命ルートを消去
GW B から届いた経路を見たオンプレミスルータは、通過リストの中に「自分自身のAS番号（65001）」を発見します。
🤖 オンプレミスルータの判定:
「過去に自分が送り出した経路が戻ってきた！ これは危険な**循環障害（ループ）**だ！
VNet B（10.20.0.0/16）への経路情報をルーティングテーブルから即座に消去（ドロップ）する！」
影響
オンプレミスルータから VNet B への正常な直接ルートまでもが「毒されたルート」として破棄され、オンプレミス ⇄ VNet B 間の通信が100%遮断（全断）します。
2. まとめと推奨構成
今回紹介した2つのトラブルは、ルータやプロトコルのバグではなく、「BGPルータがネットワークの事故を防ぐための防衛機能が正常に働いた結果」発生します。
そのため、ルータ側の設定変更で無理に回避しようとすると、本当のループ事故を防げなくなる運用リスクが残ります。
ベストプラクティス：Hub-Spoke構成への集約
この問題を根本から解決するには、Azureの設計をHub-Spoke（ハブ＆スポーク）アーキテクチャへ変更するのが唯一にして最高の解決策です。
OnPremises
|
ExpressRoute
|
Hub VNet
ER Gateway
|
+----------+----------+
| |
Spoke A Spoke B
(Use Remote GW) (Use Remote GW)
- VNet B 側の Gateway を撤去し、Hub（VNet A）の Gateway 1台に集約する。
- Spoke（VNet B）はピアリングの
Use Remote Gateway（リモートゲートウェイの使用）を有効化して共有する。
この構成にすることで、BGPの重複広報や経路の逆流（循環）が構造的に発生しなくなり、安全でシンプルなネットワークを構築することができます。