Azure VPN Gateway の動的 NAT でサポートされる変換先アドレスプールサイズについて

Azure VPN Gateway は、インターネット経由で Azure 仮想ネットワーク (VNet) とオンプレミスネットワーク間で暗号化されたトラフィックを通信、または Azure VNet 間で暗号化されたトラフィックを通信するための仮想ネットワークゲートウェイです。

Azure VPN Gateway には、IPsec/IKE クロスプレミス接続でのみとなりますが、NAT サポートされており、多少の機能の違いはあるものの、静的 NAT も動的 NAT も利用することができるようになっています。

変換元アドレスプール (Azure 側) と変換先アドレスプール (オンプレミス側) が同じサイズの場合には、静的 NAT を用いて 1 対 1 のマッピングを定義、構成しますが、変換元アドレスプールよりも変換先アドレスプールのサイズが小さい場合には動的 NAT を用いてその差を吸収します。

この動的 NAT でサポートされる変換先アドレスプールのサイズについて、確認してみました。

以下ドキュメントにも記載されていますが、動的 NAT でサポートされる変換先アドレスプールの最大サイズは、/26 となっています。

仮想ネットワークの最小サブネットサイズと合わせると、変換先アドレスプールの範囲は /29 ～ /26 となります。

実際に /26 よりも大きなサブネット (/25 など) で設定した結果は以下となり、ドキュメントどおりになっていることを確認しました。

設定直後に、通知領域に以下のメッセージが表示され、エラーとなります。

コマンド実行後、エラーコード “DynamicGatewayNATRuleMaxExternalSubnetSize” で失敗します。

コマンド実行後、コード “DynamicGatewayNATRuleMaxExternalSubnetSize” で失敗します。

まとめ

Azure VPN Gateway の動的 NAT でサポートされる変換先アドレスプールサイズは /29 ～ /26 となり、それよりも大きなサイズで作成しようとすると、エラーとなり作成することができなくなるので、デプロイ前に既存の環境と合わせて確認しておきましょう。

よっぽど複雑なネットワーク構成でない限り、静的 NAT の利用をお勧めします。
※動的 NAT は、Azure ⇒ オンプレへの一方向トラフィック制限があることも含めて