Microsoft Azure は、プライベート Microsoft Hyper V ハイパーバイザを使用するパブリック クラウド環境です。ASAv は、Hyper V ハイパーバイザの Microsoft Azure 環境でゲストとして実行されます。Microsoft Azure の ASAv では、Standard D3 および Standard D3_v2 インスタンスがサポートされ、4 つの vCPU、14 GB、および 4 つのインターフェイスが使用できます。

次の方法で Microsoft Azure に ASAv を導入できます。

• 標準的な Azure パブリック クラウドおよび Azure Government 環境で、Azure Resource Manager を使用してスタンドアロン ファイアウォールとして導入

• Azure.com でアカウントを作成します。

  Microsoft Azure でアカウントを作成したら、ログインして、Microsoft Azure Marketplace 内で ASAv を選択し、ASAv を導入できます。

• ASAv にライセンスを付与します。

  ASAv にライセンスを付与するまでは、100 の接続と 100 Kbps のスループットのみが許可される縮退モードで実行されます。『Smart Software Licensing for the ASAv』を参照してください。

  （注）	Azure に展開する場合、ASAv にはデフォルトで ASAv30 の権限が付与されています。ASAv5 および ASAv10 の権限付与の使用が許可されています。ただし、ASAv5 または ASAv10 の権限付与を使用できるように、スループット レベルを明示的に設定する必要があります。

• インターフェイスの要件：

  4 つのネットワーク上の 4 つのインターフェイスとともに ASAv を導入する必要があります。

  • 管理インターフェイス

    （注）	エッジ ファイアウォール構成の場合、管理インターフェイスは、「外部」インターフェイスとしても使用されます。

    （注）	Azure では、Azure パブリック IP アドレスを関連付け可能なインターフェイスは、最初に定義されたインターフェイス（常に、管理インターフェイス）のみです。このため、Azure 内の ASAv は管理インターフェイス上でのデータ トラフィックの通過を許可します。そのため、管理インターフェイスの初期設定には、管理専用の設定は含まれていません。

  • 内部および外部インターフェイス

  • 追加のサブネット（DMZ または選択したネットワーク）

• 通信パス：

  • 管理インターフェイス：SSH アクセスと、ASAv を ASDM に接続するために使用されます。

  • 内部インターフェイス（必須）：内部ホストに ASAv を接続するために使用されます。

  • 外部インターフェイス（必須）：ASAv をパブリック ネットワークに接続するために使用されます。

  • DMZ インターフェイス（任意）：Standard_D3 インターフェイスを使用する場合に、ASAv を DMZ ネットワークに接続するために使用されます。

• ASAv ハイパーバイザおよび仮想プラットフォームのサポートについては、『Cisco ASA Compatibility』を参照してください。

サポートされる機能

• Microsoft Azure クラウドからの導入

• インスタンスあたり最大 4 つの vCPU

  （注）	Azure では L2 vSwitch 機能は設定できません。

• ルーテッド ファイアウォール モード（デフォルト）

  （注）	ルーテッド ファイアウォール モードでは、ASAv はネットワーク内の従来のレイヤ 3 境界となります。このモードには、各インターフェイスの IP アドレスが必要です。Azure は VLAN タグ付きインターフェイスをサポートしていないため、IP アドレスはタグなしのトランク以外のインターフェイスで設定する必要があります。

サポートされない機能

• コンソール アクセス（管理は、ネットワーク インターフェイスを介して SSH または ASDM を使用して実行される）

• IPv6

• ユーザ インスタンス インターフェイスの VLAN タギング

• ジャンボ フレーム

• Azure の観点からの、デバイスが所有していない IP アドレスのプロキシ ARP

• インターフェイスのパブリック IP アドレス

  Management 0/0 インターフェイスのみに、パブリック IP アドレスを関連付けできます。

• 無差別モード（スニファなし、またはトランスペアレント モードのファイアウォールのサポート）

  （注）	Azure ポリシーでは、インターフェイスの無差別モードでの動作は許可されていないため、ASAv はトランスペアレント ファイアウォール モードでは動作しません。

• マルチ コンテキスト モード

• クラスタ

• ASAv のネイティブ HA

• VM のインポート/エクスポート

• デフォルトでは、Azureクラウド内で稼働する ASAv の FIPS モードは無効になっています。

  （注）	FIPS モードを有効にする場合は、ssh key-exchange group dh-group14-sha1 コマンドを使用して、Diffie-Helman キー交換グループをより強力なキーに変更する必要があります。Diffie-Helman グループを変更しないと、それ以降 ASAv に SSH 接続できなくなります。そのため、グループの変更が、最初に ASAv を管理する唯一の方法となります。

Azure に ASAv を導入すると、次のリソースが作成されます。

• ASAv 仮想マシン（VM）

• リソース グループ（既存のリソース グループを選択していない場合）

  ASAv リソース グループは、仮想ネットワークとストレージ アカウントが使用するリソース グループと同じである必要があります。

• vm name-Nic0、vm name-Nic1、vm name-Nic2、vm name-Nic3 という名前の 4 つの NIC

  これらの NIC は、それぞれ ASAv インターフェイスの Management 0/0、GigabitEthernet 0/0、GigabitEthernet 0/1、および GigabitEthernet 0/2 にマッピングされます。

• VM 名-SSH-SecurityGroup という名前のセキュリティ グループ

  セキュリティ グループは、ASAv Management 0/0 にマッピングされる VM の Nic0 にアタッチされます。

  セキュリティ グループには、VPN 目的で SSH、UDP ポート 500、および UDP 4500 を許可するルールが含まれます。導入後に、これらの値を変更できます。

• パブリック IP アドレス（導入時に選択した値に従って命名）

  パブリック IP アドレスは、Management 0/0 にマッピングされる VM の Nic0 に関連付けられます。Azure では、パブリック IP アドレスを最初の NIC のみに関連付けることができます。

  （注）	パブリック IP アドレスを選択する必要があります（新規または既存）。[None] オプションはサポートされていません。

• 4 つのサブネットを備えた仮想ネットワーク（既存のネットワークを選択していない場合）

• サブネットごとのルーティング テーブル（既存の場合は最新のもの）

  このテーブルの名前は、サブネット名-ASAv-RouteTable です。

  各ルーティング テーブルには、ASAv IP アドレスを持つ他の 3 つのサブネットへのルートがネクスト ホップとして含まれています。トラフィックを他のサブネットまたはインターネットに到達させる必要がある場合は、デフォルト ルートを追加することもできます。

• 選択したストレージ アカウントの起動時診断ファイル

  起動時診断ファイルは、ブロブ（サイズの大きいバイナリ オブジェクト）内に配置されます。

• 選択したストレージ アカウントのブロブおよびコンテナ VHD にある 2 つのファイル（名前は、vm name-disk.vhd および vm name-<uuid>.status）

• ストレージ アカウント（既存のストレージ アカウントが選択されていない場合）

  （注）	VM を削除すると、保持を希望する任意のリソースを除き、これらの各リソースを個別に削除する必要があります。

Azure 仮想ネットワークでのルーティングは、仮想ネットワークの有効なルーティング テーブルによって決まります。有効なルーティング テーブルは、既存のシステム ルーティング テーブルとユーザ定義のルーティング テーブルの組み合わせです。

（注）	ASAv は、Azure クラウド ルーティングの特性により、EIGRP や OSPF などのダイナミックな内部ルーティング プロトコルを使用できません。有効なルーティング テーブルは、仮想クライアントにスタティック/ダイナミック ルートが設定されているかどうかに関係なく、ネクスト ホップを決定します。 現在、有効なルーティング テーブルまたはシステム ルーティング テーブルはどちらも表示できません。

ユーザ定義のルーティング テーブルは表示および編集できます。システム テーブルとユーザ定義のテーブルを組み合わせて有効なルーティング テーブルを形成した場合、最も限定的なルート（同位のものを含め）がユーザ定義のルーティング テーブルに含められます。システム ルーティング テーブルには、Azure の仮想ネットワーク インターネット ゲートウェイを指すデフォルト ルート（0.0.0.0/0）が含まれます。また、システム ルーティング テーブルには、Azure の仮想ネットワーク インフラストラクチャ ゲートウェイを指すネクスト ホップとともに、他の定義済みのサブネットへの限定的なルートが含まれます。

ASAv を介してトラフィックをルーティングするために、ASAv 導入プロセスで、ASAv をネクスト ホップとして使用する他の 3 つのサブネットへのルートが、各サブネットに追加されます。サブネット上の ASAv インターフェイスを指すデフォルト ルート（0.0.0.0/0）を追加することもできます。これは、サブネットからのすべてのトラフィックを ASAv を介して送信します。そのトラフィックを処理する前に、ASAv ポリシーを設定する必要が生じる場合があります（通常は、NAT/PAT を使用）。

システム ルーティング テーブル内の既存の限定的なルートのために、ユーザ定義のルーティング テーブルに、ネクストホップとして ASAv を指す限定的なルートを追加する必要があります。追加しないと、ユーザ定義のテーブル内のデフォルト ルートではなく、システム ルーティング テーブル内のより限定的なルートが選択され、トラフィックが ASAv をバイパスしてしまいます。

Azure 仮想ネットワーク内のルーティングは、クライアントの特定なゲートウェイ設定ではなく、有効なルーティング テーブルに依存します。仮想ネットワーク内で稼働するクライアントは、DHCPによって、それぞれのサブネット上の 1 アドレスとなるルートを指定されることがあります。これはプレースホルダで、仮想ネットワークのインフラストラクチャ仮想ゲートウェイにパケットを送信するためにだけ使用されます。パケットは、VM から送信されると、有効なルーティング テーブル（ユーザ定義のテーブルによって変更された）に従ってルーティングされます。有効なルーティング テーブルは、クライアントでゲートウェイが 1 として、または ASAv アドレスとして設定されているかどうかに関係なく、ネクスト ホップを決定します。

Azure VM ARP テーブルには、すべての既知のホストに対して同じ MAC アドレス（1234.5678.9abc）が表示されます。これによって、Azure VM からのすべてのパケットが、有効なルーティング テーブルを使用してパケットのパスを決定する Azure ゲートウェイに到達するように保証されます。

（注）	ASAv は、Azure クラウド ルーティングの特性により、EIGRP や OSPF などのダイナミックな内部ルーティング プロトコルを使用できません。有効なルーティング テーブルは、仮想クライアントにスタティック/ダイナミック ルートが設定されているかどうかに関係なく、ネクスト ホップを決定します。

次の情報は Azure の IP アドレスに適用されます。

• ASAv 上の最初の NIC（Management 0/0 にマッピングされる）には、アタッチ先のサブネット内のプライベート IP アドレスが付与されます。

  パブリック IP アドレスは、プライベート IP アドレスに関連付けられる場合があり、Azure インターネット ゲートウェイは NAT 変換を処理します。

• VM の最初の NIC のみにパブリック IP アドレスをアタッチできます。

• ダイナミック パブリック IP アドレスは Azure の停止/開始サイクル中に変更される場合があります。ただし、Azure の再起動時および ASAv のリロード時には、それらは保持されます。

• スタティック パブリック IP アドレスは Azure 内でそれらを変更するまで変わりません。

• ASAv インターフェイスは、DHCP を使用して、自身の IP アドレスを設定します。Azure インフラストラクチャは、Azure に設定された IP アドレスが ASAv インターフェイスに割り当てられるように確保します。

すべての Azure 仮想ネットワークが、次のように使用できる 168.63.129.16 で、組み込みの DNS サーバにアクセスできます。

configure terminal
dns domain-lookup management
dns server-group DefaultDNS
 name-server 168.63.129.16
end

この構成は、Smart Licensing を設定し、専用の DNS サーバをセットアップしていない場合に使用できます。

Microsoft Azure に ASAv を導入できます。

• 標準的な Azure パブリック クラウドおよび Azure Government 環境で、Azure Resource Manager を使用してスタンドアロン ファイアウォールとして ASAv を導入します。「Azure Resource Manager からの ASAv の導入」を参照してください。