SINET クラウド接続サービスを用いた学内サーバ群のパブリッククラウドへの展開
林 豊洋 1) , 福田 豊 1) ，佐藤 彰洋 1) ，中村 豊 1)
1) 九州工業大学 情報基盤センター
toyohiro@isc.kyutech.ac.jp

Deployment of on premise servers to the public cloud using
SINET cloud connection service
Toyohiro Hayashi1) , Yutaka Fukuda1) , Akihiro Satoh1) , Yutaka Nakamura1)
1) Information Science and Technology Center, Kyushu Institute of Technology

概要
本学では，2013 年より学外のクラウドサービスの利用を開始し，電子メールの SaaS での運用，WWW のパブリッククラウドでの集約化等に活用している．仮想サーバを稼働する IaaS については 2019 年度より大規模な契約を行い，本格的な利活用を進めている．IaaS は学内のサーバリソース不足時に早急にリソースが拡大できることが利点であるが，初期状態では学内のネットワーク体系と分離されている．従って，「学内のセキュリティ機器を通過しない」「既存の学内セグメントとして取り扱えない」「学内とパブリッククラウド間に高信頼の通信路を要する」等の課題が，学内サービスのパブリッククラウドへの移行を妨げる要因となっていた．
本学では，これらの課題への対応として，SINET クラウド接続サービスを用いたパブリッククラウドとの専用線接続を実施した．ネットワーク構成としては，学内の既存セグメントと IaaS 内のネットワーク体系をマッピングし，既存セグメントの延伸として扱える形式とした．本構成により，学内システム上で稼働するサーバ群のクラウド移行を促進する．

初であった．これは，SaaS 型の電子メールシステム

1 クラウド利活用の状況(Yahoo!メール Academic Edition) であった [1]．そ

本学が整備する情報システムは，そのシステムを提の後，SaaS については，Oﬃce365 (電子メール (Ex-供する部局がそれぞれ調達を実施している．基本的change Online)，オンラインストレージ (Onedrive，に，事務系・学務系のシステムについては事務局が調Box)，コラボレーションツール（Teams))[2]，会議シ達し，教育研究系のシステムについては学部や学科がステム (Teams, WebEX, Zoom) など，順次利用を拡整備している．また，LMS や大規模仮想基盤等の管大している．PaaS についても，リスクベース認証に理に高度な専門性を有するシステムについては，学習基づく多要素認証 (Azure AD)[3]，WWW サーバ向け

教育センター，情報基盤センター (以降本センターとのコンテナ (Azure App Service) 等を用いて，セキュ称する) が調達・運用している．これらのシステムにリティ強化やアプリケーションの信頼性向上に活用

ついては，各部局が有する計算機室にて稼働するオンされている．SaaS，PaaS については本学とは異なるプレミス方式が基本となる．

ネットワークに配置されるため，ネットワークの論理対して，情報システムやサービスの多様化・高機能構造，ポリシー，IP アドレスの範囲等が異なる．従っ化や，高度なセキュリティ対策を持続して実施するたて，学内ネットワークとは分離した運用となる (分離めには，クラウドサービスの活用が不可欠となっていされたネットワークで提供可能なサービスのみが利用る．この状況は大学においても同様であり，教職員向可能とも換言できる)．

け，学生向けを問わず，多くのサービスをクラウドに展開している．

IaaS はパブリッククラウド上に仮想マシンを展開し，自前でアプリケーション等をインストールし，本学におけるクラウドサービスの利活用は，2012 年サービスを展開することが可能である．様々な OS の度に開始した卒業生向けの電子メールサービスが最イメージが整備されていること，リソースのサイジ250

ングやスケールアップが容易であること，API を用ためには，VNET に Azure VPN 接続を定義し，対象いたシステムの構築や運用が可能なことから，迅速の学内サブネットと VPN 接続 (IPSec) を確立する必なサービスの展開が可能である．本センターにおいて要がある [5]．

は，2019 年度より Microsoft Azure 上のリソースにつ本センターにおいては，VNET とセンター内のサブいて，定められた月額上限金額まで利用可能な契約をネット間に IPSec による拠点間接続を形成している．

行い，IaaS の利活用を開始した．

VNET 側では，特定の Azure Subnet のルートテーブ

2 IaaS による学内向けサービス提供に関する課題

ルを編集し，学内機器への通信について VPN を経路として設定する．センター側では特定サブネット内にVPN ルータを設置し，VPN ルータに IPSec および本センターでは 2019 年度より，Microsoft Azure 上に仮想サーバを配置し，学内向けサービスの展開を開NAT の定義を行い，Azure 側からの通信をセンター内からの通信として取り扱えるよう設定する．
これにより，特定の Azure Subnet → センター内の始した．
本センターが有するオンプレミス内のシステム構成特定機器が直接通信可能としている．しかし，IPSecと，Azure 上に構築したシステム構成の関係性を図 1を用いることによる通信のオーバーヘッドが生じるに示す．

こと，十分な帯域幅が得られないこと生じることが問

本学の学内ネットワークは，部局やプロジェクトに題となる．また，本センターの VPN 設定では Azure対して，目的ごとに複数のサブネット (VLAN) を割

内 → センター内の特定機器への通信のみを考慮してり当てている．サブネット内の IP アドレスについており，学内全体 - Azure 間の通信は考慮していない．

は，本学に割り当てられたアドレスブロック (グローすなわち，「Azure 内に展開した仮想サーバが本学のバル IP アドレス，クラス B，2 つ) を分割し割り当てネットワーク体系として取り扱えない」状況であり，られる．

学内サービスの IaaS への展開が進まない要因となっほぼ全ての VLAN が，部局ごとに用意された仮想ファイアウォール (VDOM) に集約される．VDOM
は，キャンパス毎に設置されたファイアウォール装置 (Fortigate) 内で稼働する．本センターにおいては，サービスの利用目的に応じて，戸畑・飯塚キャンパス双方に複数のサブネット (VLAN) が割り当てられている．ている．

3 SINET クラウド接続サービスを用いた
IaaS との専用線接続
3.1

IaaS との専用線接続

学内サービスを IaaS 内へ展開するためには，IPSecによる拠点間接続によって生じる通信の安定性の問題

本センターが利用する Microsoft Azure のテナンと，学内 - IaaS 間の双方向について通信可能であるこト上には，本センターのサービス用に作成した仮想とが求められる．Azure には，ExpressRoute と呼ばネットワーク (Azure VNET[4]，以降 VNET と称す

れる，専用線接続サービスが存在する [6]．これは，利る) と，サービスの利用目的毎に仮想サーバ等の設置用者が契約した専用線を Azure と接続し，VNET にを行うためのサブネット (Azure Subnet) を作成して設定するゲートウェイ (ExpressRoute ゲートウェイ)いる．AVNET 内では，プライベート IP アドレスでと経路制御を行い，利用者側のネットワーク - VNET構成されたアドレスブロックを割り当て，VNET と外間の通信について専用線を用いることができる機能で部との境界にて，グローバル IP アドレスとの対応付ある．VNET から外部ネットワークへの全ての通信

けが実行される．

を ExpressRoute と定義することにより，全ての通信

2.1 学内向けサービス提供に関する課題が利用者側のネットワークを経由するため，利用者側学内ネットワークと VNET 上の仮想ネットワークは，異なる別途のネットワークであるため，学内 -Azure 間は外部との通信として扱われる．のネットワーク接続形態やセキュリティポリシーに適合させることが可能となる．

ExpressRoute の活用は有用であると認識していた

従って，VNET に設置した仮想サーバから，学内ものの，専用線は利用者が調達する必要があり，加えネットワークに設置した機器へ通信を行う際 (例：て ExpressRoute とは指定の回線プロバイダーと契約LDAP 認証に要する通信等) は，学内に設置した機器し，マイクロソフト社に指定された拠点までの接続方を外部公開する必要がある．より透過的な通信を行う法を検討する必要がある [7]．

251

SINET(インターネット接続)

SINET接続ルータ(Azure)SINET接続ルータ(⼾畑)⼾畑キャンパスFW(Fortigate)
ISC⼾畑向けVDOM

他部局
VDOM

飯塚キャンパスFW(Fortigate)
他部局
VDOM

ISC飯塚向け
VDOM

他部局
VDOM

情報基盤センター(⼾畑)NW

情報基盤センター(飯塚)NW

Subnet A (VLAN A)

Subnet D (VLAN D)

Subnet B (VLAN B)

Subnet C (VLAN C)

SaaS : O365 + Azure AD

PaaS : App Service (www), RDB 等に利用

IaaS : Azure VM, VNET
仮想サーバの利用目的に応じて，複数のVNETを構築

他部局
VDOM

Azure VNET (Private)

Azure Subnet A

Azure Subnet B

Subnet E (VLAN E)

Subnet F (VLAN F)

IPアドレスは，学外のパブリックIPアドレス (= 本学のネットワーク接続体系と独立)

Subnet / VLANが複数存在し，情報システムの利用目的に応じて分類

図 1 システム構成の関係性 (オンプレミス，パブリッククラウド)

専用線や ExpressRoute に対応した回線プロバイ

続サービスを接続する本学側の機材と，ExpressRoute

ダーについては調達金額が高額となること，また利用ゲートウェイの経路設定を行うことにより，学内ネッ者側と Azure 間は冗長化を持たせた経路を設定する必トワーク - VNET 間が専用線にて学外に出ることな要があり，設置調整が煩雑であることが課題であった．

く L3 接続される (図 2)．

これらの課題に対しては，SINET 加入機関向けになお，これらのサービスは大学に対しては無償で提整備された 2 つのサービスを組み合わせ活用すること供頂いており，IaaS の利活用に大変有用である*2 ．

により専用線接続が実現する．一点目は，国立情報学

3.2 学内ネットワークと IaaS との接続形態

研究所が運用する SINET5*1 の一機能となる SINETVNET 内に割り当てるネットワークアドレスにクラウド接続サービスであり，前述の「専用線」に相よって，学内ネットワークと VNET 間の接続形態が当する [8]．SINET クラウド接続サービスは，加入機異なる．

関とクラウド提供事業者間の L2VPN 接続が提供されVNET の運用形態として，IaaS 専用のネットワーる．従って，本学が希望する VLAN ID を用いて，本クアドレスを割り当てる方法が考えられる．Azure で学とマイクロソフト社が指定する機材間が L2 で接続

は，VNET に対してグローバル IP アドレス空間のされる．

割り当てが可能であるため，本学が管理する任意のサ二点目は，日本マイクロソフト株式会社が提供するブネット (グローバル IP アドレス) を VNET(および「SINET-Azure 接続サービス」である．これは，前述Azure Subnet) に割り当てることにより，「Express-の回線プロバイダー (本学向けには 1Gpbs の帯域幅Route 上の学内グローバル IP アドレスを持つセグメが割当) および BGP ルータが提供されるサービスとント」が構成できる (図 3)．この方式は，クラウド上なる．SINET-Azure 接続サービスが提供する BGPにサービスを配置するセグメントを新規に設置し，新ルータには，SINET クラウド接続サービス (本学側)

規サービスを配置する，あるいは既存の学内セグメンと，ExpressRoute が接続される．

トに配置されたサービスは順次移行する運用に適して上記のサービスを組み合わせ，SINET クラウド接*1 2021 年度末に切り替え予定の SINET6 においても，継続して提供されるいると考えられる．

*2 Azure の機能である ExpressRoute と ExpressRoute ゲー

トウェイについては，これまで通りの利用料金が生じる

252

MS BGPルータおよびExpressRoute回線
SINET-Azure接続サービスを利用
本学 – MS BGPルータ間
SINET クラウド接続サービスを利用

Fortigate
ExpressRoute用
VDOM
Subnet A(Global)Subnet B(Global)172.16.1.1

Subnet C(Global)172.16.1.11

Vlan ER / VLANID:ERVLANIDはSINETと調整

Azure Vnet 192.168.0.0/16
Azure Subnet A 192.168.1.0/24
学内Subnet Aとマッピング

Expressroute
gateway

Primary subnet

Secondary subnet

MS BGP router

Expressroute
1Gbps，
プライベートピアリング

Vlan C
Vlan B
Vlan AVLANID:A VLANID:B VLANID:C

Azure Subnet B 192.168.2.0/24
学内Subnet Bとマッピング
Azure Subnet C 192.168.3.0/24
学内Subnet Bとマッピング

GatewaySubnet
192.168.255.0/24

VNETの経路情報：
全て(0.0.0.0)のnext hopをExpressRouteに向ける(MS社に BGPルータの経路設定依頼)

図 2 SINET クラウド接続サービスを用いた IaaS との専用線接続(1) 検討案：ExpressRoute用の新規サブネットを作成
ISC向け既存
VDOM

ER
gateway

ER用新規
VDOM

情報基盤センターNW
SubnetSubnet A
A (VLAN(VLAN A)A)

本学 – Azure間 :global IP

IaaS : Azure VM, VNET

Azure VNET
本学割り当てのサブネット体系(Global)

Azure Subnet : 学内新規subnet

別セグメント扱いとなるセンター内VM ⇔ Azure内VMの通信• ER用VDOMによりルーティングされる• 別セグメント扱いとなるため，FWのポリシーを考慮する必要あり
図 3 VNET 内への学内グローバル IP アドレスの割り当て

前述の IaaS 専用のネットワークアドレスを割り当来ることと，本学側のファイアウォール装置を経由でてる方法は，VNET 内が学内のネットワークアドレきる性質を利用し，ファイアウォール装置が持つ機能ス体系であり，学内 - VNET 間の経路の設定も直感を組み合わせることにより，既存セグメントの延伸の的である．しかし，既存セグメント内の一部のサービ形態を実現する (図 4)．

スのみを IaaS 上のセグメントに移設するような状況

Azure 側では，VNET 側にプライベート IP アド

においては，サービスを構成するサーバ群の IP アドレスを割り当て，VNET から外部への通信は全てレスが変更となる点や，別セグメントとの通信に構成ExpressRoute を経由するよう経路を設定する．このが変更される．別セグメントとの通信を考慮するため設定により，IaaS 上に展開された仮想マシン等はプには，ファイアウォール装置によるアクセス許可等のライベート IP アドレスを持ち，通信は本学側のファポリシーを適切に追加・更新する必要がある．本センイアウォール装置 (本学では Fortigate VDOM にて構

ターは既にサービス用の複数のサブネットを有してい築) を経由する．

るため，ポリシーの書き換えは困難な作業となる．

VDOM は ExpressRoute との通信用に新たに作成

従って本センターにおいては，VNET を既存セグメし (以降，ER VDOM と称する)，延伸したいセグメンントの延伸として取り扱える形態を検討した．VNET

ト群の VLAN と ExpressRoute への VLAN(SINETからの外部への全ての通信を ExpressRoute 経由に出

クラウド接続サービス経由で Azure に到達) を収容

253

(2)採用案： IaaS上の仮想マシンと学内のネットワーク体系をマッピング
ISC向け既存
VDOM

ER用新規VDOM・既存VLANを引き込み
・1:1 NATとポリシールート
により，既存セグメントと通信

ERgateway
本学 – Azure間: private IP

情報基盤センターNW

IaaS : Azure VM, VNET

Azure VNET (Private)

SubnetSubnet A
A (VLAN(VLAN A)A)

Azure Subnet : Azure内Private subnet

既存セグメントの延伸として扱えるセンター内VM ⇔ Azure内VMの通信• ER用VDOMにより，Azure VMとの通信は1:1NATされる (学内のIPアドレス : Azure VMのIPアドレス)• ER用VDOMにより，Azure VMが属する学内サブネットに応じて経路を振り分ける(ポリシールート)• センター内の既存VLANの延伸として扱うため，FWのポリシー運用は従来と同一
図4VNET への学内既存セグメントの延伸する．ER VDOM において，VNET 内の仮想マシンと，既存セグメント上のグローバル IP アドレスの 1:1マッピング (バーチャル IP，1:1 NAT) を行う．
利用したい既存セグメントが複数存在する場合においても，
1. VNET 内の Azure Subnet を複数作成し，学内 VLAN
A,B,C - Azure Subnet A,B,C のように 1:1 の対応関係とする

2. ER VDOM のポリシールート機能を用いて，Azure
Subnet のソース IP を手掛かりとして，対応する既存セグメント内のゲートウェイへ経路を設定する

学内セグメントA(Subnet A)

グローバルIPアドレス(1.1.1.0/24)
VLAN ID A
ゲートウェイIPアドレス 1.1.1.1

学内セグメントB(Subnet B)

グローバルIPアドレス(1.1.2.0/24)
VLAN ID B
ゲートウェイIPアドレス 1.1.2.1

学内 – MS BGPルータ間

プライベートIPアドレス(/29)
VLAN ID ERMS BGPルータIPアドレス 172.16.1.1

ExpressRoute接続用VDOM

VDOM名 ER VDOM
収容VLAN VLAN ID A,B,ER

Azure VNETのアドレス空間

192.168.0.0/16

Azure Subnet A

プライベートIPアドレス(192.168.1.0/24)
全ての外部への経路をExpressRouteへ向ける
学内セグメントAと対応付け

Azure Subnet B

プライベートIPアドレス(192.168.2.0/24)
全ての外部への経路をExpressRouteへ向ける
学内セグメントBと対応付け

IPアドレス対応付け1

学内セグメントA 1.1.1.10
Azure Subnet A 192.168.1.2

IPアドレス対応付け2

学内セグメントB 1.1.2.10
Azure Subnet B 192.168.2.3

ことにより収容可能となる [9][10]．
本方式により，VNET 上の仮想マシン等は学内の既存セグメントに配置されたものとして振る舞われる．

VNET 内の仮想マシン間においても既存セグメントに割り当てたグローバル IP アドレスを用いて通信可能である*3 ．従って，既存セグメント間のアクセス許図 5 VNET へのセグメント延伸設定例 (パラメータ)

可等のポリシーを維持したまま，IaaS への仮想マシン等の展開が可能となる．

3.3 既存セグメントと Azure Subnet のマッピング設想ファイアウォール (VDOM 機能) 上に設定を行うものとする．

定例
ここでは，図 2 の接続形態を例として，学内の 2 セ

学内セグメント - Azure Subnet の対応付けには，学グメントを VNET 上の 2 つの Azure Subnet に延伸

内セグメント毎のデフォルトゲートウェイの設定，ポする場合の設定例を示す．主要なパラメータは図 5 のリシールートの設定，NAT ポリシーの設定を要する．

通りである．

上記設定後，学内セグメント内の IP アドレス - Azure

なお，設定例にて用いるファイアウォール装置はSubnet 内の仮想マシン等の対応付けには，バーチャルFortinet 社の Fortigate シリーズを想定しており，仮IP の定義，1:1NAT 向けのポリシーの設定を要する．
設定例に基づき，「学内セグメント - Azure Subnetの対応付け」「IP アドレス対応付け 1」「IP アドレス対*3 ただし，VNET と ER VDOM 間を往復する254

応付け 2」を行う際の設定内容を図 6 に示す．

条件となる．また，ExpressRoute の帯域を共有するため，多数のテナントと共有する場合，帯域幅が十分Azure行き，学内セグメント毎のデフォルトゲートウェイ設定

192.168.0.0 gateway 172.16.1.1 dev vlan ER #to Azure
0.0.0.0 gateway 1.1.1.1 dev vlan A #VLAN A
0.0.0.0 gateway 1.1.2.1 dev vlan B # VLAN B

ポリシールートの設定# VNET内の仮想マシン同士で，学内IPを用いて通信するための折り返し設定
In vlan ER, src 192.168.0.0/16, dst 192.168.0.0/16-> out vlan ER, gw 0.0.0.0(Azure Subnet毎にデフォルトゲートウェイを振り分け)であるか留意する必要がある．

# Azure Subnet Aから学内への通信時，vlan Aを経由し，vlan Aの gwに転送
In vlan ER, src 192.168.1.0/24 -> out vlan A, gw 0.0.0.0# Azure Subnet Bから学内への通信時，vlan Bを経由し，vlan Bの gwに転送
In vlan ER, src 192.168.2.0/24 -> out vlan B, gw 0.0.0.0

NATポリシーの設定(Azure → 学内セグメント通過の際に，学内IPアドレスに付け替え)

IPアドレス対応付け1
学内セグメントA 1.1.1.10
Azure Subnet A 192.168.1.2(学内 1.1.1.10 ⇔ Azure 192.168.1.2)

IPアドレス対応付け2
学内セグメントB 1.1.2.10Azure Subnet B 192.168.2.3(学内 1.1.2.10 ⇔ Azure 192.168.2.3)# Azureから vlan Aに向かう際に，学内IPにNAT
From vlan ER, To vlan A, srcip all, dstip all, nat on

4 まとめ
本稿では，学内サービスの IaaS への展開に際して，検討すべき事項と本学における解決策について言及し# Azureから vlan Bに向かう際に，学内IPにNAT
From vlan ER, To vlan B, srcip all, dstip all, nat on

た．IaaS 上に仮想サーバ等を展開した場合，ネット[バーチャルIP]
名称：VIP:VIP1 / 1.1.1.10 と 192.168.1.2をマッピング

ワーク構成が学内と独立したものとなるため，通信が[NATポリシー]# バーチャルIPを用いて，Azure内仮想マシンに転送
From vlan A, To vlan ER, srcip all, dst VIP:VIP1, nat OFF

学内のセキュリティ機器を経由しないことや，学内セ# Azure内から着信した際，学内IPに付け替えて転送
From vlan ER, To vlan A, srcip all, dst VIP:VIP1, nat ONグメントとして取り扱えないことが課題となる．本学[バーチャルIP]
名称：VIP:VIP2 / 1.1.2.10 と 192.168.2.3をマッピング

では，SINET クラウド接続サービスと専用線接続機[NATポリシー]# バーチャルIPを用いて，Azure内仮想マシンに転送
From vlan B, To vlan ER, srcip all, dst VIP:VIP2, nat OFF

能 (Azure ExpresRoute) を活用し，学内とパブリッ# Azure内から着信した際，学内IPに付け替えて転送
From vlan ER, To vlan B, srcip all, dst VIP:VIP2, nat ON

ククラウド (Microsoft Azure) 間を直接通信できる構成とした．更に，IaaS 上の仮想ネットワーク (AzureVNET) を既存の学内セグメントの延伸として取り扱

図6

VNET へのセグメント延伸設定例 (VDOMへの機能設定)るよう，ネットワーク及びファイアウォール装置を構成した．加えて，ExpressRoute の持つ回線共有機能を活用し，他部局のテナントを同一の回線で学内に収

3.4 他部局テナントとの専用線接続の共有
ExpressRoute は Azure のテナントに関連付くため，同一テナント内の VNET に対しては，Express-Route ゲートウェイを作成・回線をリンクすることに容した．本稿では，本学が採用したネットワーク構成やファイアウォール装置の設定例を掲載しており，これらのノウハウが大学における IaaS 利活用の一助になれば幸いである．

より利用可能となる [11]．
本稿で言及する Azure テナントは，本センターのみが利用しており，他部局の仮想マシン等は別テナントに存在している．
別テナントが学内と ExpressRoute による専用線接続を行う際，別途 SINET クラウド接続サービスと SINET-Azure サービスを契約し，他部局向けのVDOM を構築する方法が挙げられる．別途構築す

参考文献[1] 林 豊洋，本学における生涯メールサービスの提供について，九州工業大学情報科学センター広報第 26 号，
2014．
[2] 林 豊洋，甲斐 郷子，九州工業大学における生涯メールサービスの移行，大学 ICT 推進協議会 2017 年度年次大会，2017．
[3] 林 豊洋，福田 豊，佐藤 彰洋，大橋 健，Oﬃce365 をる際，新たに回線契約を実施する必要があることや，用いたメールサービスに対するセキュリティ向上対策

ExpressRoute の利用料金が同様に発生することから，- ログ監視，認証基盤の強化 -，学術情報処理研究，24
巻 1 号 （頁 104 〜 115），2020．
[4] Microsoft，Microsoft Azure - Virtual Network，
https://docs.microsoft.com/ja-jp/azure/virtual-network/[5] Microsoft，Azure Portal でサイト間接続を作成する，
https://docs.microsoft.com/ja-jp/azure/vpn-gateway/tutorial-site-to-site-portal[6] Microsoft，Azure ExpressRoute とは，
https://docs.microsoft.com/ja-jp/azure/expressroute/expressroute-introduction[7] Microsoft，ExpressRoute パートナーとピアリングの構築期間，設備，費用面等の課題がある．
対して，ExpressRoute には，回線を共有し，別テナントの VNET に接続する機能を有している．回線所有者 (本センター) が承認キーを作成し，回線ユーザー (別部局) と共有することにより，別テナントのExpress ゲートウェイへ接続可能となる (図 7)．本学
においては回線を共有する方式で，事務職員向けのWVD(仮想デスクトップ) 接続を ExpressRoute 経由としている．
節で述べたセグメントの延伸を行う際は，VNET 内の IP アドレスに応じてポリシールートを行うため，別テナントの VNET に割り当てられたネットワーク
アドレスが重複していないことが，回線を共有可能な

255

場所，

https://docs.microsoft.com/
ja-jp/azure/expressroute/expressroute-locations-providers#
global-commercial-azure情報基盤センターNW

ERgateway
本学 – MS BGPルータ間
SINET クラウド接続サービス

SubnetSubnet A
A (VLAN(VLAN A)A)

Azure VNET (Private)

Expressroute(主回線)1Gbps，
プライベートピアリング

ISC向け
既存VDOM

他部局向け
既存VDOM

SubnetSubnet A
D (VLAN(VLAN A)D)

ER用VDOM
・既存VLANを引き込み
・1:1 NATとポリシールート
により，既存セグメントと通信

IaaS : Azure VM, VNET

Azure Subnet : Azure内Private subnet

MS
BGP router

情報基盤センター契約の AzureMS BGPルータおよびExpressRoute回線
SINET-Azure接続サービス
ER用VDOMに他部局VLANを引き込み同様に1:1NATを実施

他部局NWExpressroute(回線共有)
1Gbps，
プライベートピアリング

ERgateway
Azure VNET (Private)

Azure Subnet : Azure内Private subnet
ExpressRouteの回線共有を用いて，他部局のAzure VNETを学内に引き込み

他部局契約の Azure

図7

他部局テナントとの ExpressRoute 回線の共有[8] 国立情報学研究所，SINET クラウド接続サービス，
https://www.sinet.ad.jp/connect_service/service/cloud_connection[9] Fortinet，Technical Note : Configuration example
of Policy Based Routing and VIP for SMTP
services in Dual Wan scenario，
https://kb.fortinet.com/kb/viewContent.do?
externalId=FD31240[10] Fortinet，Technical Note: How to access natted
server internally with Public IP address : Loopback
policy，
https://kb.fortinet.com/kb/viewContent.do?
externalId=FD36657[11] Microsoft，VNet を回線に接続する - 異なるサブスク
リプション，

https://docs.microsoft.com/
ja-jp/azure/expressroute/expressroute-howto-linkvnet-portal-resource-manager

256