Azure Application Gatewayを構築してみた

2019-05-262020-07-12

Azure Portalを使ったApplication Gateway(V1) の構築を実施してみました。
Application Gateway用のサブネット作成、ネットワークセキュリティグループ設定と言った事前準備作業からApplication Gateway作成まで一連の流れをAzure Portalを利用してやってみました。
インターネットからHTTPを受信するという一番基本的な構成を想定し作成しています。

1. Application Gateway(アプリケーションゲートウェイ)の構成要素
2. Application Gateway用のネットワークセキュリティグループ(NSG)とサブネットを作成
3. Application Gatewayを作成
4. Application　Gatewayの追加設定

Application Gateway(アプリケーションゲートウェイ)の構成要素

アプリケーションゲートウェイは複数の要素で構成されます。

- フロントエンド IP アドレス
  - アプリケーションゲートウェイが受信するIPアドレスになります。パブリックIPアドレスの場合はインターネットに公開するアドレスになります。
- リスナー
  - リスナーはアプリケーションゲートウェイがアクセスを受け付ける為の設定になります。プロトコル、ポート、ホスト、IP アドレスの組み合わせで設定します。httpsを受付ると言った設定やマルチドメイン設定を行います。
- HTTP設定
  - バックエンドに転送する為の設定になります。バックエンドにHTTP、HTTPSどちらで転送するのかと言った設定を行います。自分で作成した正常性プローブを利用した設定も出来ます。
- ルール(ルーティング規則)
  - HTTP設定、リスナー、バックエンドプールを結びつける設定になります。パスベースで転送するバックエンドプール(サーバやApp Service等)を変更すると言った設定が可能です。
- バックエンドプール
  - 転送先のWEBサーバを指定する設定になります。複数のWEBサーバを設定すると負荷分散(ラウンドロビン)したトラフィックの転送が出来ます。仮想マシンだけではなくApp Service等を指定する事が可能です。
- 正常性プローブ
  - バックエンドプールに指定したWEBサーバの死活監視を行う設定になります。バックエンドにHTTP(S)で確認を行いHTTPの正常な応答(200-299)があったWEBサーバのみに転送すると言ったような設定を行う項目です。

※これ以外にもWAF(Web アプリケーションファイアウォール)があります。

Application Gateway用のネットワークセキュリティグループ(NSG)とサブネットを作成

Application Gatewayでは専用のサブネットを準備する必要があります。併せてそのサブネットに適用するネットワークセキュリティグループを作成します。

ネットワークセキュリティグループの作成

ネットワークセキュリティグループの作成を行います。

１)ネットワークセキュリティグループの画面で追加を選択します。

２)ネットワークセキュリティグループの作成画面が表示されますので、名前を入力し、リソースグループや地域(ロケーション)を選択します。確認および作成をクリックすると確認画面が表示されますので、そのまま作成を行います。

３)デプロイが完了したら下記画面が表示されますので、リソースの移動をクリックします。

作成したネットワークセキュリティグループへ移動しますので受信規則の作成を行います。

アプリケーションゲートウェイで必要となる受信規則を作成する

アプリケーションゲートウェイで必要となる受信規則を作成します。

１)ネットワークセキュリティの画面で受信規則を選択します。下記画面が表されますので、追加をクリックします。

２)受信規則の設定を行います。ルール1はアプリケーションゲートウェイでは必須の設定になります。2と3は特定のIPからの許可のみする為の設定となっています。特定のIPからの許可とする為に、許可IP以外のアクセスを遮断する設定となっています。(1だけあればアプリケーションゲートウェイは動作します。)

ルール１

- 優先順位：100
- 宛先ポート： 65503-65534
- プロトコル：Any(or TCP)
- ソース：Any
- 宛先：Any
- アクション：許可

ルール２

- 優先順位：101
- 宛先ポート：*
- プロトコル：TCP
- ソース： AzureLoadBalancer (Service Tag)
- 宛先：Any
- アクション：許可

ルール３

- 優先順位：102
- 宛先ポート：80,443
- プロトコル：TCP
- ソース：接続許可するIPアドレス　 (IPアドレス)
- 宛先：Any
- アクション：許可

ルール４

- 優先順位：104
- 宛先ポート：*
- プロトコル：*
- ソース： InterNet(Service Tag)
- 宛先：Any
- アクション：拒否

実際に設定が完了すると、下記のようになります。APGW01のプロトコルはAnyで作成との記載があったりもしますのでAnyで作成すべきかと思われます。

※送信規則は、InterNetへのアクセスが許可されている必要があります。

これでネットワークセキュリティグループの設定は完了です。

Application Gateway用のサブネットを作成

Application Gateway用のサブネットを作成します。Application GatewayのサブネットにはAzure VM等は設置できません。個別で専用に作成する必要があります。

１)仮想ネットワークの画面でサブネットを選択します。以下の画面が表示されますので、サブネットを追加します。

２)サブネットの追加を行います。名前やアドレス範囲のサブネット適時入力します。ネットワークセキュリティグループには先ほど作成したネットワークセキュリティグループを指定します。なおサブネットは/27以上のIP範囲(32個以上のIP)である必要があります。またアプリケーションゲートウェイ専用である必要があります。

※V2を利用する場合は/24以上が強く推奨されています。

これで、サブネットの追加作業は完了です。

Application Gatewayを作成

事前準備が出来ましたのでApplication Gatewayを作成します。今回は試験用なので最小規模(インスタンス数1)で作成しています。インスタンス数は2以上が推奨なので実際の利用時は注意して下さい。以前はバラバラの作成だったのですが、2020年7月12日現在では一元的に作成するようになっています。

作成は以下の通りの流れで進みます。

- - 基本情報の設定
  - フロントエンドの作成(パブリックIPの作成も行います)
  - バックエンドプールの作成
  - ルーティング規則の作成

ルーティング規則の作成では、以下の内容を作成します。

- - リスナーの作成
  - HTTP設定の作成

アプリケーションゲートウェイの基本情報設定

１)Azure Portalでアプリケーションゲートウェイのメニューを開きます。追加をクリックします。

２)アプリケーションゲートウェイの作成画面が表示されますので、設定を進めていきます。

今回、設定値は下記の通り指定います。環境に合わせて適時修正頂ければと思います。

設定項目	設定値	備考
名前	APGW	適時命名してください。
レベル	Standard
インスタンス数	１
SKUサイズ	Ｓ
リソースグループ	適時環境に合わせて選択します
場所	適時環境に合わせて選択します
仮想ネットワーク	Application Gateway用のサブネットがある仮想ネットワークを指定
サブネット	Application Gateway用のサブネットを指定