VPNのGWポリシーメリデメ

調べもののメモ

 
 🟦 カスタムポリシーの評価（ユーザー視点）

✔ メリット

• Azure がサポートする“強度の高い組み合わせ”を使える → GCM-AES128 + PFS(DH19/20) のような「軽量＋強度」の組み合わせが可能

• 暗号化方式を固定できる

✔ デメリット

• 既存 Gateway のポリシー変更が必要（影響範囲はGateway全体）

• 複数拠点が接続する場合に統一が必要

• 1つの組み合わせに固定される/どこかの拠点で非互換の問題が発生したばあいGatewa全体の変更が必要

✔ Azure の仕様から見たデメリット

• カスタムポリシーは Azure 側の“柔軟なネゴシエーション”の趣旨に沿わない

• FortiGate 側の Proposal 設計を厳密に合わせる必要がある

• 運用保守の負荷が増える

  
  

🟩 デフォルトポリシーの評価（ユーザー視点）

 ✔ メリット

• 複数の暗号化方式でネゴシエーション可能

• 既存 Gateway の設定変更が不要

• 複数拠点・複数ベンダーの機器が混在しても問題が起きにくい 

✔ デメリット

• GCM-AES128 + PFS(DH19/20) のような“強度＋軽量”の組み合わせは使えない

• Azure のデフォルトは互換性重視のため、最強の組み合わせではない 

✔ Azure の仕様から見た追加のメリット

• Azure のデフォルトポリシーはリージョン差なし・テナント差なし・時期差なし

• FortiGate との接続実績が圧倒的に多い（トラブルが起きにくい）

• 将来、別拠点や別ベンダー機器が追加されても柔軟に対応できる
  
  

🧩 なぜ Microsoft は“デフォルトポリシー一覧”を公開しないのか？

✔ デフォルトポリシーは「複数の提案を持つ内部実装」であり

✔ Microsoft が随時アップデートするため固定一覧を公開していない

という設計思想によるものです。そのため、Microsoft Learn では

• カスタムポリシーのサポート一覧（固定）

• デフォルトポリシーは内部実装であり、ネゴシエーションで決まる

という形でしか情報が提供されていません。


その他注意事項:

IKEv2強制
NAT-T強制
Transport モード不可
複数 SA (FGTの場合はmultiple SA allowed の設定)
PFS をデフォルトで使う場合がある
再キーイングタイミングは固定
ローカル/リモートネットワークに制約　例)Gatewayサブネットは/27以上
デフォルトポリシーの接続詳細をユーザーが確認不可
デフォルトポリシーは“随時アップデートされる

Azure VPN Gateway の接続ログ確認

• 接続ステータス（Portal）

• 診断ログ（Azure Monitor / Log Analytics）

• Resource Health

   

🟦 1. Azure Portal の接続ステータス

Azure Portal → VPN Gateway → 接続（Connections）

• 接続状態（Connected / Disconnected）

• 最終接続時刻

• 送受信バイト数

• 再接続回数

✔ 見方

• Connected にならない → Phase1 失敗

• Connected になるがトラフィックが流れない → Phase2 失敗

• Connected → Disconnected を繰り返す → SA ライフタイム不一致 or NAT-T 問題

   

🟦 2. Azure Monitor / Log Analytics

Azure VPN Gateway の「診断ログ」を Log Analytics に送る必要あり

IKE/IPsec の詳細ログ

✔ 見る要素

• IKEDiagnosticLog（Phase1）

• TunnelDiagnosticLog（Phase2）

• RouteDiagnosticLog（ルーティング）

✔ 主なログと意味

① “NO_PROPOSAL_CHOSEN”

② “AUTHENTICATION_FAILED”

• PSK（事前共有鍵）不一致

• FortiGate 側の IKE ID 不一致

③ “INVALID_ID_INFORMATION”

• FortiGate 側の Local-ID / Remote-ID  不一致

• FortiGate はデフォルトで「IP アドレス」を使うので注意・・・IKE IDの明示的な設定が必要

④ “TS_UNACCEPTABLE”

• Phase2 のトラフィックセレクタ 不一致 → Phase2 の local/remote subnet の不一致

⑤ “REKEY_MISMATCH”

• SA ライフタイムが 不一致

• 再キーイング時に切断発生

⑥ “NAT_DETECTED”

• Azure は NAT-T 必須

🟦 3. Resource Health（Azure 側の状態確認）

Azure Portal → Resource Health

Azure 側の VPN Gateway が正常かどうかの表示

• Azure 側が正常 → 対向機器 側の問題

• Azure 側が警告 → Gateway の内部問題

 

✔ ユーザーに Log Analytics を有効化してもらう

これがないと始まらない。