<h2 id="%E6%A7%8B%E6%88%90%E5%9B%B3">
<a class="header-anchor-link" href="#%E6%A7%8B%E6%88%90%E5%9B%B3" aria-hidden="true"></a> 構成図</h2>
<p>NSGを使って特定のサブネットからのアクセスのみを許可するように設定してみます。</p>
<p><img src="https://storage.googleapis.com/zenn-user-upload/0fcac955ccbd-20240305.png" loading="lazy" class="md-img"></p>
<h2 id="%E4%BB%AE%E6%83%B3%E3%83%8D%E3%83%83%E3%83%88%E3%83%AF%E3%83%BC%E3%82%AF(vnet)%E3%81%A8%E3%82%B5%E3%83%96%E3%83%8D%E3%83%83%E3%83%88%E3%82%92%E4%BD%9C%E6%88%90%E3%81%99%E3%82%8B">
<a class="header-anchor-link" href="#%E4%BB%AE%E6%83%B3%E3%83%8D%E3%83%83%E3%83%88%E3%83%AF%E3%83%BC%E3%82%AF(vnet)%E3%81%A8%E3%82%B5%E3%83%96%E3%83%8D%E3%83%83%E3%83%88%E3%82%92%E4%BD%9C%E6%88%90%E3%81%99%E3%82%8B" aria-hidden="true"></a> 仮想ネットワーク(VNet)とサブネットを作成する</h2>
<p>構成図の通り、Azure Portalから下記2つの仮想ネットワークを作成します。</p>
<table>
<thead>
<tr>
<th>VNetA</th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td>仮想ネットワーク名</td>
<td>VNetA</td>
</tr>
<tr>
<td>地域</td>
<td>Japan East</td>
</tr>
<tr>
<td>IPアドレス</td>
<td>10.1.0.0/16</td>
</tr>
<tr>
<td>1つ目のサブネットのIPアドレス(subnetA-1)</td>
<td>10.1.0.0/24</td>
</tr>
<tr>
<td>2つ目のサブネットのIPアドレス(subnetA-2)</td>
<td>10.1.1.0/24</td>
</tr>
</tbody>
</table>
<table>
<thead>
<tr>
<th>VNetB</th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td>仮想ネットワーク名</td>
<td>VNetA</td>
</tr>
<tr>
<td>地域</td>
<td>Japan East</td>
</tr>
<tr>
<td>IPアドレス</td>
<td>10.2.0.0/16</td>
</tr>
<tr>
<td>サブネットのIPアドレス(subnetB-1)</td>
<td>10.2.0.0/24</td>
</tr>
</tbody>
</table>
<h2 id="aci%E3%82%92%E4%BD%9C%E6%88%90%E3%81%99%E3%82%8B">
<a class="header-anchor-link" href="#aci%E3%82%92%E4%BD%9C%E6%88%90%E3%81%99%E3%82%8B" aria-hidden="true"></a> ACIを作成する</h2>
<p>作成した各サブネット内に配置するACIを作成します。</p>
<table>
<thead>
<tr>
<th>コンテナインスタンスA1</th>
<th></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td>コンテナ名</td>
<td>testcontainera001</td>
<td></td>
</tr>
<tr>
<td>地域</td>
<td>Japan East</td>
<td></td>
</tr>
<tr>
<td>イメージのソース</td>
<td>クイックスタート イメージ</td>
<td></td>
</tr>
<tr>
<td>イメージ</td>
<td>mcr.microsoft.com/oss/nginx/nginx:1.9.15-alpine(Linux)</td>
<td></td>
</tr>
<tr>
<td>サイズ</td>
<td>1vcpu,1.5Gibメモリ,0gpu</td>
<td></td>
</tr>
<tr>
<td>ネットワークの種類</td>
<td>プライベート</td>
<td></td>
</tr>
<tr>
<td>仮想ネットワーク</td>
<td>VNetA</td>
<td>先ほど作成した仮想ネットワークA</td>
</tr>
<tr>
<td>サブネット</td>
<td>SubnetA-1(10.1.0.0/24)</td>
<td></td>
</tr>
<tr>
<td>ポート</td>
<td>80 / TCP</td>
<td></td>
</tr>
</tbody>
</table>
<table>
<thead>
<tr>
<th>コンテナインスタンスA2</th>
<th></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td>コンテナ名</td>
<td>testcontainera002</td>
<td></td>
</tr>
<tr>
<td>地域</td>
<td>Japan East</td>
<td></td>
</tr>
<tr>
<td>イメージのソース</td>
<td>クイックスタート イメージ</td>
<td></td>
</tr>
<tr>
<td>イメージ</td>
<td>mcr.microsoft.com/oss/nginx/nginx:1.9.15-alpine(Linux)</td>
<td></td>
</tr>
<tr>
<td>サイズ</td>
<td>1vcpu,1.5Gibメモリ,0gpu</td>
<td></td>
</tr>
<tr>
<td>ネットワークの種類</td>
<td>プライベート</td>
<td></td>
</tr>
<tr>
<td>仮想ネットワーク</td>
<td>VNetA</td>
<td>先ほど作成した仮想ネットワークA</td>
</tr>
<tr>
<td>サブネット</td>
<td>SubnetA-2(10.1.1.0/24)</td>
<td></td>
</tr>
<tr>
<td>ポート</td>
<td>80 / TCP</td>
<td></td>
</tr>
</tbody>
</table>
<table>
<thead>
<tr>
<th>コンテナインスタンスB1</th>
<th></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td>コンテナ名</td>
<td>testcontainerb001</td>
<td></td>
</tr>
<tr>
<td>地域</td>
<td>Japan East</td>
<td></td>
</tr>
<tr>
<td>イメージのソース</td>
<td>クイックスタート イメージ</td>
<td></td>
</tr>
<tr>
<td>イメージ</td>
<td>mcr.microsoft.com/oss/nginx/nginx:1.9.15-alpine(Linux)</td>
<td></td>
</tr>
<tr>
<td>サイズ</td>
<td>1vcpu,1.5Gibメモリ,0gpu</td>
<td></td>
</tr>
<tr>
<td>ネットワークの種類</td>
<td>プライベート</td>
<td></td>
</tr>
<tr>
<td>仮想ネットワーク</td>
<td>VNetB</td>
<td>先ほど作成した仮想ネットワークB</td>
</tr>
<tr>
<td>サブネット</td>
<td>SubnetB-1(10.2.0.0/24)</td>
<td></td>
</tr>
<tr>
<td>ポート</td>
<td>80 / TCP</td>
<td></td>
</tr>
</tbody>
</table>
<h2 id="vneta%E3%81%A8vnetb%E3%82%92%E3%83%94%E3%82%A2%E3%83%AA%E3%83%B3%E3%82%B0%E3%81%99%E3%82%8B">
<a class="header-anchor-link" href="#vneta%E3%81%A8vnetb%E3%82%92%E3%83%94%E3%82%A2%E3%83%AA%E3%83%B3%E3%82%B0%E3%81%99%E3%82%8B" aria-hidden="true"></a> VNetAとVNetBをピアリングする</h2>
<p><span class="embed-block zenn-embedded zenn-embedded-card"><iframe id="zenn-embedded__23c6df691f47b" src="https://embed.zenn.studio/card#zenn-embedded__23c6df691f47b" data-content="https%3A%2F%2Fzenn.dev%2Fshimiyu%2Farticles%2F465a7fd46d0dde" frameborder="0" scrolling="no" loading="lazy"></iframe></span><a href="https://zenn.dev/shimiyu/articles/465a7fd46d0dde" style="display:none" target="_blank">https://zenn.dev/shimiyu/articles/465a7fd46d0dde</a></p>
<p><a href="https://zenn.dev/shimiyu/articles/465a7fd46d0dde" target="_blank">【Azure】VNetピアリングを試してみる</a>をご参照ください。</p>
<h2 id="nsg(%E3%83%8D%E3%83%83%E3%83%88%E3%83%AF%E3%83%BC%E3%82%AF%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%82%B0%E3%83%AB%E3%83%BC%E3%83%97)%E3%82%92%E8%A8%AD%E5%AE%9A%E3%81%99%E3%82%8B">
<a class="header-anchor-link" href="#nsg(%E3%83%8D%E3%83%83%E3%83%88%E3%83%AF%E3%83%BC%E3%82%AF%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%82%B0%E3%83%AB%E3%83%BC%E3%83%97)%E3%82%92%E8%A8%AD%E5%AE%9A%E3%81%99%E3%82%8B" aria-hidden="true"></a> NSG(ネットワークセキュリティグループ)を設定する</h2>
<p>さて、VNetAとVNetBがピアリング済みですので、現段階ではVNetAのACI1およびACI2からVNetBのACI1への通信は可能です。</p>
<p>ここで、サブネットBに特定のIPアドレスからのアクセスのみを許可するNSGを設定します。</p>
<p><img src="https://storage.googleapis.com/zenn-user-upload/f3b4d5cd177d-20240305.png" loading="lazy" class="md-img"></p>
<p>これによって、VNetBのACI1にはVNetAのACI1からのみ通信が可能となります。</p>
<h3 id="nsg%E3%82%92%E4%BD%9C%E6%88%90%E3%81%99%E3%82%8B">
<a class="header-anchor-link" href="#nsg%E3%82%92%E4%BD%9C%E6%88%90%E3%81%99%E3%82%8B" aria-hidden="true"></a> NSGを作成する</h3>
<p>VNetAのSubnetA-1のIPアドレスのみ通信を許可するNSGを作成します。</p>
<table>
<thead>
<tr>
<th>基本</th>
<th></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td>名前</td>
<td>subnetb001-nsg</td>
<td></td>
</tr>
<tr>
<td>場所</td>
<td>Japan East</td>
<td></td>
</tr>
</tbody>
</table>
<p><img src="https://storage.googleapis.com/zenn-user-upload/e0e58f0a16d5-20240305.png" loading="lazy" class="md-img"></p>
<p>デフォルトの受信(インバウンド)ルールとして、</p>
<ul>
<li>同一VNetからのアクセスを許可(AllowVnetInBound)</li>
<li>Azureロードバランサからのアクセスを許可(AllowAzureLoadBalancerInBound)</li>
<li>上記以外のアクセスを拒否</li>
</ul>
<p>というルールが設定されています。</p>
<h3 id="%E5%8F%97%E4%BF%A1%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E8%A6%8F%E5%89%87%E3%82%92%E8%BF%BD%E5%8A%A0%E3%81%99%E3%82%8B">
<a class="header-anchor-link" href="#%E5%8F%97%E4%BF%A1%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E8%A6%8F%E5%89%87%E3%82%92%E8%BF%BD%E5%8A%A0%E3%81%99%E3%82%8B" aria-hidden="true"></a> 受信セキュリティ規則を追加する</h3>
<p>VNetAのACI1が属するサブネットのIPアドレス範囲からの受信を許可するルールを追加します。</p>
<table>
<thead>
<tr>
<th>受信セキュリティ規則の追加</th>
<th></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td>ソース</td>
<td>IP Addresses</td>
<td></td>
</tr>
<tr>
<td>ソース IP アドレス/CIDR 範囲</td>
<td>10.1.0.0/24</td>
<td>受信を許可したいIPアドレスの範囲</td>
</tr>
<tr>
<td>ソースポート範囲</td>
<td>*</td>
<td></td>
</tr>
<tr>
<td>宛先</td>
<td>Any</td>
<td>他にサービスタグ、アプリケーションセキュリティグループ等を選択可能。受信側でこのルールが適用される範囲を指定できる。今回は丸っとサブネット全体にルールを適用するのでAny</td>
</tr>
<tr>
<td>サービス</td>
<td>HTTP</td>
<td></td>
</tr>
<tr>
<td>宛先ポート範囲</td>
<td>80</td>
<td>自動で選択される</td>
</tr>
<tr>
<td>プロトコル</td>
<td>TCP</td>
<td>自動で選択される</td>
</tr>
<tr>
<td>アクション</td>
<td>許可</td>
<td></td>
</tr>
<tr>
<td>優先度</td>
<td>100</td>
<td></td>
</tr>
<tr>
<td>名前</td>
<td>AllowCidrBlockHTTPInbound</td>
<td></td>
</tr>
</tbody>
</table>
<p><img src="https://storage.googleapis.com/zenn-user-upload/0c94cf969637-20240305.png" loading="lazy" class="md-img"></p>
<p>また、デフォルトで設定されている<code>AllowVnetInBound</code>により同一およびピアリングされたVNetからのアクセスは許可されています。</p>
<p>このため、上記で設定したIPアドレス範囲以外からのHTTPアクセスを拒否するルールも追加する必要があります。</p>
<table>
<thead>
<tr>
<th>受信セキュリティ規則の追加</th>
<th></th>
<th></th>
</tr>
</thead>
<tbody>
<tr>
<td>ソース</td>
<td>Any</td>
<td></td>
</tr>
<tr>
<td>ソースポート範囲</td>
<td>*</td>
<td></td>
</tr>
<tr>
<td>宛先</td>
<td>Any</td>
<td></td>
</tr>
<tr>
<td>サービス</td>
<td>HTTP</td>
<td></td>
</tr>
<tr>
<td>宛先ポート範囲</td>
<td>80</td>
<td>自動で選択される</td>
</tr>
<tr>
<td>プロトコル</td>
<td>TCP</td>
<td>自動で選択される</td>
</tr>
<tr>
<td>アクション</td>
<td>拒否</td>
<td></td>
</tr>
<tr>
<td>優先度</td>
<td>110</td>
<td></td>
</tr>
<tr>
<td>名前</td>
<td>DenyAnyHTTPInbound</td>
<td></td>
</tr>
</tbody>
</table>
<p>この規則を追加すると下記の警告が出ますが、今回テストするにあたっては考慮不要と思われるため無視します。</p>
<p><img src="https://storage.googleapis.com/zenn-user-upload/2946623afecb-20240305.png" loading="lazy" class="md-img"></p>
<h3 id="%E3%82%B5%E3%83%96%E3%83%8D%E3%83%83%E3%83%88%E3%81%ABnsg%E3%82%92%E7%B4%90%E4%BB%98%E3%81%91%E3%82%8B">
<a class="header-anchor-link" href="#%E3%82%B5%E3%83%96%E3%83%8D%E3%83%83%E3%83%88%E3%81%ABnsg%E3%82%92%E7%B4%90%E4%BB%98%E3%81%91%E3%82%8B" aria-hidden="true"></a> サブネットにNSGを紐付ける</h3>
<p>VNetB &gt; SubnetB-1 を開きます。</p>
<p>ネットワークセキュリティグループで先ほど作成した<code>subnetb001-nsg</code>を選択し、保存します。</p>
<p><img src="https://storage.googleapis.com/zenn-user-upload/d7dd111f76fe-20240305.png" loading="lazy" class="md-img"></p>
<h2 id="%E5%8B%95%E4%BD%9C%E3%82%92%E3%83%86%E3%82%B9%E3%83%88%E3%81%99%E3%82%8B">
<a class="header-anchor-link" href="#%E5%8B%95%E4%BD%9C%E3%82%92%E3%83%86%E3%82%B9%E3%83%88%E3%81%99%E3%82%8B" aria-hidden="true"></a> 動作をテストする</h2>
<h3 id="vneta%E3%81%AEaci1%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A-%E2%86%92-vnetb%E3%81%AEaci1%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A">
<a class="header-anchor-link" href="#vneta%E3%81%AEaci1%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A-%E2%86%92-vnetb%E3%81%AEaci1%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A" aria-hidden="true"></a> VNetAのACI1コンテナ → VNetBのACI1コンテナ</h3>
<p>まず、NSGでアクセス許可した<code>10.1.0.0/24</code>のアドレス範囲に属するVNetAのACI1からVNetBへの通信を行います。</p>
<p><img src="https://storage.googleapis.com/zenn-user-upload/c4273a282d59-20240305.png" loading="lazy" class="md-img"></p>
<p>VNetAのACI1のIPアドレスは<code>10.1.0.4</code>です。</p>
<p>NSGでアクセス許可した<code>10.1.0.0/24</code>の範囲内のため、通信が成功することが期待されます。</p>
<div class="code-block-container"><pre class="language-bash"><code class="language-bash">az login
<span class="token comment"># VNetAのコンテナA1に入る</span>
az container <span class="token builtin class-name">exec</span> --resource-group AZ104-test-rg <span class="token parameter variable">--name</span> testcontainera001 --exec-command <span class="token string">"/bin/sh"</span>
<span class="token comment"># ピアリングしたVNetBのコンテナB("10.2.0.4")に対して、httpリクエストを実施</span>
<span class="token function">wget</span> -qO- http://10.2.0.4
<span class="token operator">&lt;</span><span class="token operator">!</span>DOCTYPE html<span class="token operator">&gt;</span>
<span class="token operator">&lt;</span>html<span class="token operator">&gt;</span>
<span class="token operator">&lt;</span>head<span class="token operator">&gt;</span>
<span class="token operator">&lt;</span>title<span class="token operator">&gt;</span>Welcome to nginx<span class="token operator">!</span><span class="token operator">&lt;</span>/title<span class="token operator">&gt;</span>
<span class="token comment"># ...以下略</span>
</code></pre></div><p>期待通り、nginxのデフォルトのWelcomeページが返却されました。</p>
<h3 id="vneta%E3%81%AEaci2%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A-%E2%86%92-vnetb%E3%81%AEaci1%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A">
<a class="header-anchor-link" href="#vneta%E3%81%AEaci2%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A-%E2%86%92-vnetb%E3%81%AEaci1%E3%82%B3%E3%83%B3%E3%83%86%E3%83%8A" aria-hidden="true"></a> VNetAのACI2コンテナ → VNetBのACI1コンテナ</h3>
<p>続いて、NSGでアクセス許可されていないアドレス範囲のVNetAのACI2から通信を行います。</p>
<p><img src="https://storage.googleapis.com/zenn-user-upload/2386356d3b3e-20240305.png" loading="lazy" class="md-img"></p>
<p>VNetAのACI2のIPアドレスは、<code>10.1.1.4</code>です。</p>
<p><code>10.1.0.0/24</code>の範囲外のため、通信は失敗するはずです。</p>
<div class="code-block-container"><pre class="language-bash"><code class="language-bash">az login
<span class="token comment"># VNetAのコンテナA2に入る</span>
az container <span class="token builtin class-name">exec</span> --resource-group AZ104-test-rg <span class="token parameter variable">--name</span> testcontainera002 --exec-command <span class="token string">"/bin/sh"</span>
<span class="token comment"># ピアリングしたVNetBのコンテナB("10.2.0.4")に対して、httpリクエストを実施</span>
<span class="token function">wget</span> -qO- http://10.2.0.4
wget: can't connect to remote <span class="token function">host</span> <span class="token punctuation">(</span><span class="token number">10.2</span>.0.4<span class="token punctuation">)</span>: Operation timed out
</code></pre></div><p>期待通り、通信が通らずタイムアウトになりました。</p>


【Azure】NSG(ネットワークセキュリティグループ)を使ってみる

仮想ネットワーク(VNet)とサブネットを作成する

受信セキュリティ規則を追加する

NSG(ネットワークセキュリティグループ)を設定する

VNetAのACI1コンテナ → VNetBのACI1コンテナ

VNetAのACI2コンテナ → VNetBのACI1コンテナ

Discussion