参照：
https://docs.microsoft.com/en-us/azure/architecture/reference-architectures/dmz/nva-ha?tabs=cli

参照：
https://docs.microsoft.com/en-us/azure/application-gateway/url-route-overview
トピック 1、Contoso
ケーススタディを開始するには
このケーススタディの最初の質問を表示するには、「次へ」ボタンをクリックします。質問に答える前に、左側のペインのボタンを使用してケーススタディの内容を調べてください。これらのボタンをクリックすると、ビジネス要件、既存の環境、問題の説明などの情報が表示されます。ケーススタディに [すべての情報] タブがある場合。表示される情報は、後続のタブに表示される情報と同じであることに注意してください。質問に答える準備ができたら、「質問」ボタンをクリックして質問に戻ります。
既存の環境:
Azure ネットワーク インフラストラクチャ
Contoso には、contoso.com という名前の Azure Active Directory (Azure AD) テナントがあります。
Azure サブスクリプションには、次の表に示す仮想ネットワークが含まれています。

Vnet1 には、GW1 という名前の仮想ネットワーク ゲートウェイが含まれています。
Azure仮想マシン
Azure サブスクリプションには、次の表に示すように、Windows Server 2019 を実行する仮想マシンが含まれています。

NSG は、仮想マシン上のネットワーク インターフェイスに関連付けられます。各 NSG には、インターネットからの RDP 接続を許可するカスタム セキュリティ ルールが 1 つあります。各仮想マシンのファイアウォールは ICMP トラフィックを許可します。
ASG1 という名前のアプリケーション セキュリティ グループは、VM1 のネットワーク インターフェイスに関連付けられています。
Azure プライベート DNS ゾーン
Azure サブスクリプションには、次の表に示す Azure プライベート DNS ゾーンが含まれています。

Zone1.contoso.com には、次の表に示す仮想ネットワーク リンクがあります。

その他の Azure リソース
Azure サブスクリプションには、次の表に示す追加のリソースが含まれています。

要件：
仮想ネットワークの要件
Contoso には次の仮想ネットワーク要件があります。
* 次のリソースと構成を含む Vnet6 という名前の仮想ネットワークを米国西部に作成します。
Vnet6 に接続する 2 つのコンテナー グループ
Vnet6 に接続する 3 台の仮想マシン
Vnet6 への VPN 接続の確立を許可する
Vnet6 のリソースが Microsoft バックボーン ネットワーク経由で KeyVault1、DB1、および Vnet1 にアクセスできるようにします。
* Vnet4 および Vnet5 の仮想マシンは、Microsoft バックボーン ネットワーク経由で通信できる必要があります。
* VM-Analyze という名前の仮想マシンが Subnet1 にデプロイされます。VM-Analyze は、Subnet2 からインターネットへの送信ネットワーク トラフィックを検査する必要があります。
ネットワークセキュリティ要件
Contoso には次のネットワーク セキュリティ要件があります。
* ポイント対サイト (P2S) VPN ユーザーに対して Azure Active Directory (Azure AD) 認証を構成します。
* NSG3 および NSG4 の NSG フロー ログを有効にします。
* Vnet1/Subnet1 に関連付けられ、次の表に示すカスタム受信セキュリティ ルールを持つ NSG10 という名前の NSG を作成します。

* Vnet1/Subnet2 に関連付けられ、次の表に示すカスタム送信セキュリティ ルールを持つ NSG11 という名前の NSG を作成します。

トピック 1、リトウェア。株式会社
既存の環境:
ハイブリッド環境
オンプレミス ネットワークには、Azure AD Connect を使用して litwareinc.com という名前の Azure Active Directory (Azure AD) テナントと同期する litwareinc.com という名前の Active Directory フォレストが含まれています。
すべてのオフィスは、サイト間 VPN 接続を使用して、Vnetl という名前の仮想ネットワークに接続します。
Azure環境
Litware には、litwareinc.com Azure AD テナントにリンクされた Sub1 という名前の Azure サブスクリプションがあります。次の表に示すように、Sub1 には米国東部 Azure リージョンのリソースが含まれています。

Vnet1 と Vnet2 の間には双方向ピアリングがあります。Vnet1 と Vnet3 の間には双方向ピアリングがあります。現在、Vnet2 と Vnet3 は直接通信できません。
要件：
ビジネス要件
Litware は、他のすべての要件が満たされている限り、可能な限りコストを最小限に抑えたいと考えています。
仮想ネットワークの要件
Litware は、次の仮想ネットワーク要件を特定します。
* Vnet2 および Vnet3 のデフォルト ルート 0.0.0.0/0 を、ExpressRoute 回線経由でボストン データセンターに送信します。
*cloud.litwareinc.com ゾーン内のレコードがオンプレミスの場所から解決できることを確認してください。
* Azure 仮想マシンの DNS 名をcloud.litwareinc.com ゾーンに自動的に登録します。
* プラットフォーム管理サービスに割り当てられるサブネットのサイズを最小限に抑えます。
* TCP ポート 443 でのみ VMScaleSet1 から VMScaleSet2 へのトラフィックを許可します。
ハイブリッド ネットワークの要件
Litware では、次のハイブリッド ネットワーク要件を特定しています。
* ユーザーは、リモートで作業する場合、ポイント対サイト (P2S) VPN を使用して Vnet1 に接続できる必要があります。接続は Azure AD によって認証される必要があります。
* ボストン データセンターとすべての仮想ネットワーク間のトラフィックの遅延は最小限に抑える必要があります。
* ボストン データセンターは、ExpressRoute FastPath 接続を使用して Azure 仮想ネットワークに接続する必要があります。
* Vnet2 と Vnet3 の間のトラフィックは、Vnet1 経由でルーティングされる必要があります。
PaaS ネットワーク要件
Litware では、サービスとしてのプラットフォーム (PaaS) の次のネットワーク要件を特定しています。
* storage1 アカウントは、storage1 のパブリック エンドポイントを公開することなく、オンプレミスのすべての場所からアクセスできる必要があります。
* storage2 アカウントは、storage2 のパブリック エンドポイントを公開せずに、Vnet2 および Vnet3 からアクセスできる必要があります。

説明

参照：
https://docs.microsoft.com/en-us/azure/virtual-wan/virtual-wan-about

説明
https://docs.microsoft.com/en-us/azure/application-gateway/rewrite-http-headers-url#limitations