はじめに
Virtual WAN のドキュメントにユーザー VPN クライアント用にグローバルまたはハブベースのプロファイルをダウンロードするという記事を見つけました。このドキュメントによると Virtual WAN の P2S VPN には「すべての Hub に存在する P2S Gateway に接続できるプロファイル」と「特定の Hub に存在する P2S Gateway にのみ接続できるプロファイル」があるとのことです。「知らんかった・・・」ということで動作確認しました。
なお、今回の動作確認では Japan East の Hub と East US の Hub をもつ Virtual WAN を利用しました。
検証で利用した Virtual WAN の構成
ハブベースプロファイル
特定の Hub に存在する P2S Gateway にのみ接続できるプロファイルをハブベースプロファイルと呼びます。ハブプロファイルは Virtual Wan > Connectivity > Hubs > 接続したい Hub > Connectivity > User VPN (Point to Site) からダウンロードできます。
ハブベースプロファイルのダウンロード場所
今回ダウンロードしたプロファイルに記載されている接続先は次の通りです。
- Japan East: hub0.q6ldgvdd6hwhux2qizybdc6fc.vpn.azure.com
- East US: hub1.q6ldgvdd6hwhux2qizybdc6fc.vpn.azure.com
これら接続先を Global DNS Lookingglass で調べた結果が次の通りです。どこから接続しても必ず特定の Hub に存在する P2S Gateway に接続するわけですから、名前解決する場所に関係なく同じ IP アドレスが返ってきます。
| Country | Result of Hub0 | Result of Hub1 |
|---|---|---|
| Germany | 20.46.187.24 | 52.150.38.112 |
| France | 20.46.187.24 | 52.150.38.112 |
| GLOBAL | 20.46.187.24 | 52.150.38.112 |
| Korea | 20.46.187.24 | 52.150.38.112 |
| Netherlands | 20.46.187.24 | 52.150.38.112 |
| Saudi Arabia | 20.46.187.24 | 52.150.38.112 |
グローバルプロファイル
すべての Hub に存在する P2S Gateway に接続できるプロファイルをグローバルプロファイルと呼びます。グローバルプロファイルは Virtual WAN > Connectivity > User VPN configuration からダウンロードできます。
グローバルプロファイルのダウンロード場所
ダウンロードしたプロファイルに記載されている接続先は wan.q6ldgvdd6hwhux2qizybdc6fc.vpn.azure.com です。これら接続先を Global DNS Lookingglass で調べた結果が次の通りです。
| Country | Result |
|---|---|
| Germany | 52.150.38.112 |
| France | 52.150.38.112 |
| GLOBAL | 52.150.38.112 |
| Korea | 20.46.187.24 |
| Netherlands | 52.150.38.112 |
| Saudi Arabia | 20.46.187.24 |
名前解決する場所によって返ってくる IP アドレスが違います。東日本に近い韓国やサウジアラビアからの名前解決には Japan East の Hub に存在する P2S Gateway の 20.46.187.24 が返ってきます。一方で、East US に近いドイツやフランス、オランダからの名前解決には East US の Hub に存在する P2S Gateway の 52.150.38.112 が返ってきます。グローバルプロファイルの接続先である wan.q6ldgvdd6hwhux2qizybdc6fc.vpn.azure.com は CNAME が Traffic Manager を向いているので、トTraffic Manager の地理的ルーティングを使ってユーザに最も近い Hub の P2S Gateway の IP アドレスを返していると推測できます。
;; QUESTION SECTION:
;hub0.q6ldgvdd6hwhux2qizybdc6fc.vpn.azure.com. IN A
;; ANSWER SECTION:
hub0.q6ldgvdd6hwhux2qizybdc6fc.vpn.azure.com. 900 IN CNAME hubtm-c622d2f2-0fb1-4b0f-8cb1-bfbe1b79960d.trafficmanager.net.
hubtm-c622d2f2-0fb1-4b0f-8cb1-bfbe1b79960d.trafficmanager.net. 60 IN A 20.46.187.24
Virtual WAN のグローバルプロファイルを利用すれば、地理的に分散されたリモートアクセス VPN を簡単に構築できます。CNAME に設定されている Traffic Manager が生きている P2S Gateway に振ってくれるので、クライアントに設定されている VPN プロファイルは常に1つです。特定のリージョンの P2S Gateway で障害が発生した際に ユーザが VPN の接続先を切り替える必要はありません。素敵！