FIXER Tech Blog - Azure

AGWの扱いづらさを解消、Azure Private Application Gatewayを作成する

　本記事はFIXERが提供する「cloud.config Tech Blog」に掲載された「Azure Private Application Gatewayを作成する。」を再編集したものです。

1. はじめに

　従来のAzure Application Gateway (以下AGW)のデプロイにはリスナーへのPublic IP Addressの付与とGateway Managerからのアクセス許可、AGWの所属するサブネットにUDRから0.0.0.0/0のNextHopを設定するのはサポート外などオンプレミス環境からクラウド環境のアプリケーションにプライベートで接続したいユースケースなどには完全に対応しきれない仕様となっていました。

　今回はそんなAGWでプライベートに使えるPrivate Application Gatewayがこの記事を書いている半年ほど前(2025/08/08)にGAされていたのでその作成と検証を行っていこうと思います。

2. できること

・フロント構成をプライベートIPアドレスのみにする。
・NSG(Network Security Group)周り
　・InBound通信でService TagのGatewayManagerからの通信許可が不要
　・OutBound通信のDeny Allが可能
　・ただしバックエンドへの疎通はとれるようにすること
・ルートテーブル周り
　・強制トンネリングのサポート
　　・BGPで0.0.0.0/0のルートを学習できる
・UDRで0.0.0.0/0のNext Hopを仮想アプライアンスに設定可能

　作成して使ってみた感想ですが、機能が制限されている感は特になくむしろ使い勝手が良くなったなという印象でした。

3. 作成方法

3-1. 前提

　実際の作成に関してはPrivate AGW以外は作成した状態で行います。

　SKUに関しては今回はWAF V2を使用しますが、Standard V2でも作成できました。

BasicSKUのものに関しては今回検証しておりません。

　オンプレミス環境とクラウド環境のS2SのVPNを組む構成を再現した環境で行っています。

　検証に使用した構成は画像の通りです。

3-2. 作成

3-2-1.手順

　作成にはプレビュー機能EnableApplicationGatewayNetworkIsolationの有効化が必要となります。

　有効化方法については3-3.Private Application Gatewayの有効化セクションを確認してください。

　今回検証のために作成したAGWのパラメーターとNSGのルールは3-2-3. リソースのパラメーターセクションに記載してあります。

1．Azure Portalの上部検索バーにApplication Gatewayと入力しApplication Gatewaysを押下する

2．CreateからApplication Gatewayを押下する

3．パラメーターを入力し作成する。この時 Private AGWにするのに必須な項目は下記に記載する。

1．IP アドレスの種類：IPv4のみ
2．フロントエンドIPの種類：プライベート
3．プライベートIPv4アドレス：10.16.10.4

3-2-2. 動作

　動作確認用のVMからcurlを叩いてみる

　UDRでデフォルトルートをFirewallに向けた際のPrivateのバックエンドとパブリックのバックエンドの正常性の様子(Firewallでパブリックへの通信を許可した状態)

　UDRでデフォルトルートをFirewallに向けた際のPrivateのバックエンドとパブリックのバックエンドの正常性の様子(Firewallでパブリックへの通信を拒否した状態)

3-2-3. リソースのパラメーター

　一部設定値に関してはマスクしてあります。

　AGWのパラメーターについては基本とフロントエンドのタブのみ記載します。

　それ以外の設定値については基本のAGWと相違ありません。

　Private AGWに必須の設定以外は環境に合わせて設定してください。

Private AGWのリソース設定値

NSGのInBoundルール

優先度	名前	ポート	プロトコル	ソース	宛先	アクション
100	AllowOtherVnetInbound	80.443	Any	10.100.0.0/16,172.20.0.0/16	10.16.10.0/24	Allow
110	AllowAzureLoadbalancerInbound	Any	Any	AzureLoadBalancer	10.16.10.0/24	Allow
120	DenyInternetInbound	Any	Any	Any	Any	Deny

NSGのOutBoundルール

　仮想アプライアンスを使用したInternetへのアウトバウンド通信を行いたい場合は許可すること

3-3. Private Application Gatewayの有効化

1．Private AGWを作成したいサブスクリプションの -> 設定 -> プレビュー機能を開く

2．プレビュー機能の検索バーにEnableApplicationGatewayNetworkIsolationと入力し出てきた機能のチェックボックスを選択する

3．上部の登録ボタンを押下する

4．該当機能の状態カラムが「登録済み」になっていることを確認する。

参考

・Microsoft Learn - Private Application Gateway deployment
・Azure の更新情報 - Generally Available: Private Application Gateway on Azure Application Gateway
・オンプレミス環境とクラウド環境をVPNでつなぐ構成の検証環境をAzure上に建てる
　・Azure 環境内で S2S VPN with BGP 環境を構築する (GUI / Azure Portal 編) #駆け出しアーキテクト - Qiita

左古 夏月／FIXER

2024年4月入社の左古夏月(さこ かづき)です。

ネットワークエンジニア始めようとしてます

最近おうちのネットワークだったりコンピューティングリソースを監視しています

どうぞよろしくお願いします

■関連サイト

• cloud.config Tech Blogのエントリー
• cloud.config Tech Blog
• FIXER