Azure で「Basic Public IP（Basic SKU）」が段階的に廃止され、VPN Gateway／ExpressRoute Gateway を運用する組織は対応が必須になりました。本記事では“いつ何をすればよいのか”“IP は変わるのか”“ダウンタイムはあるのか”を、実運用で役立つチェックリストと手順、落とし穴まで含めて整理します。2025年11月時点の公式アナウンスを踏まえ、いますぐ行動に移せるよう具体的に解説します。
背景と全体像：なぜ「Basic Public IP」から移行するのか
Azure の Public IP は Basic（旧世代） と Standard（現行） の 2 系列があり、可用性ゾーン対応、セキュリティ既定（DDoS Basic 連携、閉域デフォルト拒否など）、SLA などで Standard が優位です。Basic は既に新規採用が制限され、段階的にリタイアのフェーズに入っています。VPN Gateway／ExpressRoute Gateway は歴史的経緯から Basic IP を前提とする構成が残っており、Public IP の SKU を Standard に上げる（＝場合によりゲートウェイ SKU も自動で AZ 版に更新される）必要があります。
| 項目 | Basic Public IP | Standard Public IP |
|---|---|---|
| 可用性ゾーン | 非対応 | 対応（ゾーン冗長/ゾーンピン留め） |
| 既定のセキュリティ | 緩め（旧仕様） | 閉域既定拒否、DDoS Basic サポート前提 |
| 価格/課金 | やや安価な場合あり | リージョン差あり（多くのケースでわずかに増） |
| 推奨度 | 廃止フェーズ（要移行） | 推奨（現行標準） |
VPN Gateway：Basic Public IP 廃止に伴う対応
要点まとめ（結論）
- Microsoft 提供の移行エクスペリエンス（ポータルの「Migrate」）を使えば、既存の Public IP を保持したまま Standard IP へ移行し、ゲートウェイも AZ 版（例：VpnGw1AZ）へ自動的に置き換えられます。
- 顧客主導の移行ウィンドウは 2025年8月4日〜2026年3月末（予定）。
アクティブ‑パッシブから先行（2025年8月時点で提供開始）、アクティブ‑アクティブは 2025年11月末に一般提供予定が示されています。 - 移行中のダウンタイムは概ね 5〜10 分程度（実行ステップのみ）。Prepare/Commit など他工程は無停止で進みます。
- 手動でゲートウェイを作り直す方法だと Public IP は変わります。対向機器の再設定が必要になり、特に本番では非推奨です。
- レガシー SKU（Standard／High Performance）は 2026年3月末に廃止（退役）予定へ延伸。移行で AZ 版（VpnGw1AZ／VpnGw2AZ）に変換されます。
公式スケジュール（2025年11月時点）
| 時期 | イベント | 対象/備考 |
|---|---|---|
| 2025-08-04 | 移行ツール 公開（パブリックプレビュー） | アクティブ‑パッシブの VpnGw1〜5 が対象 |
| 〜2025-11 末 | 移行ツール 一般提供（予定） | アクティブ‑アクティブ対応を含む |
| 2025-08-04 〜 2026-03 末 | 顧客主導の移行期間 | ポータルの「Migrate」から任意の時間に実行可 |
| 2026-02 中旬（目安） | Basic SKU Gateway（ゲートウェイ SKU が “Basic”）向けの自動除去機能 | 実 IP 変更なし／通信断なしの自動処理（想定） |
| 2026-03 末 | VPN Gateway に紐づく Basic IP の猶予終了 | 4 月以降は Basic IP を前提とした構成は非サポート |
補足：「Basic Public IP 全体」の退役は 2025-09-30 が当初の基準ですが、VPN Gateway に限っては上記のとおり顧客主導ツールと自動整備のスケジュールが別枠で提供されています。最新情報は Azure の “What’s new（VPN Gateway）” と「レガシー SKU の取り扱い」ガイドを確認し、社内計画に反映してください。
移行方法と IP 変動の整理
| 方法 | Public IP の扱い | ゲートウェイ SKU | ダウンタイム | コメント |
|---|---|---|---|---|
| ポータルの移行ツール（推奨） | 同一 IP を保持 | 非 AZ（VpnGw1〜5）→ AZ（VpnGw1AZ〜5AZ）へ自動更新 | 実行ステップで 5〜10 分程度 | 対向装置の再設定不要。最小停止で更新可 |
| 手動リビルド（旧来の再作成） | IP が変わる | 任意（ただし現行は VpnGw 系／AZ を選ぶべき） | 数十分〜数時間 | 対向装置の再設定／証明書再配布などが必要 |
手順（ポータル）と所要時間の目安
- Validate（適合性チェック）… 数分。GatewaySubnet の空き IP、他設定の健全性を確認。
- Prepare（準備）… 〜40 分（最大 1 時間）。新ゲートウェイの背後準備を無停止で実施。
- Migrate（切替）… 5〜10 分程度の通信停止。この工程のみメンテ時間を確保。
- Commit（確定）… 〜30 分（最大 1 時間）。旧側の後片付け。
実停止は Migrate の数分のみです。
アクティブ‑アクティブでは BGP セッションの再収束も発生するため、監視で事前に収束時間を見積もっておくと安心です。
前提条件と落とし穴
- GatewaySubnet の空きアドレス… /27 以上を推奨。最低でも 3 IP 以上の空きが必要。/28 以下だとエラーになりやすいので、あらかじめサブネットを拡張しておく。
- VPN/ExpressRoute 共存… 両方を同一 VNet で使う場合は、まず VPN Gateway 側の Basic IP を Standard へ移行しておくとツールがスムーズに進む。
- 監視とメンテナンス… メンテ時間は数分でも、前後で冪等な確認（疎通、トンネル状態、スループット、BGP 受信経路数など）を必ず行う。
運用チェックリスト（VPN Gateway）
- 対象ゲートウェイの「Configuration > Migrate」が表示されているか確認。
- メンテ日時を決めて Prepare → Migrate → Commit の 3 段構成で実施。
- Firewall／対向 VPN 機器：許可リストは CIDR（アドレス範囲）で管理し、スポットな単一 IP 固定に依存しない設計へ是正。
- 移行直後に トンネル状態（Connected 数）、VPN Gateway P2S の認証、VNet 間（V2V）経路のヘルスをモニター。
CLI での事前/事後確認（例）
# GatewaySubnet の空き確認（/27 以上を推奨）
az network vnet subnet show -g <rg> -n GatewaySubnet --vnet-name <vnet> --query addressPrefix
# ゲートウェイの現在の Public IP 紐付け確認
az network vnet-gateway show -g -n --query "ipConfigurations[0].publicIPAddress.id"
# 直後の状態確認（トンネル数・プロビジョニング等）
az network vnet-gateway show -g -n --query "{provisioningState:provisioningState, connections:length(vpnClientConfiguration.vpnClientProtocols)}" ExpressRoute Gateway：Basic Public IP 移行の実際
要点まとめ（結論）
- ポータルの 「Gateway SKU Migration」（または「Migrate to Standard」）を実行すると、新しいゲートウェイを並行作成 → 試験 → トラフィック切替 → 旧ゲートウェイ廃止が自動で進みます。
- Public IP は「新しいものが自動割り当て」されるのが基本です（近年の Auto‑Assigned Public IP（HOBO 管理） 仕様）。移行後に Public IP リソースが一覧に見えないのは正常です。
- ただし ExpressRoute Private Peering は Public IP を使用しません。そのため、Gateway の Public IP が変わっても、ER の本線通信には影響しません（管理プレーンや一部の関連機能のみ）。
- 切替ステップで 数分の瞬断が生じる可能性があるため、メンテナンス時間を確保してください。
移行フロー（ポータル）
- Validate… リソース健全性と要件（GatewaySubnet の長さなど）をチェック。
- Prepare… 新しい ER Gateway を 同一 GatewaySubnet 内に並行作成。この時点で 新しい Public IP（管理対象）が割り当てられ、接続が再作成されます（〜45 分程度）。
- Migrate… トラフィックを新ゲートウェイへ切替（〜15 分／短時間の瞬断あり）。
- Commit… 旧ゲートウェイと旧接続を削除して確定。
「IP は変わるのか？」への回答（ExpressRoute）
変わる前提で設計してください。移行では Azure が新規ゲートウェイを生成するため、Public IP は自動で新規払い出しになります。もっとも、Private Peering の経路交換はゲートウェイの Public IP に依存しないため、WAN 回線としての ER 通信は影響を受けません。一方で、運用上 Public IP を明示的に許可している管理系 FW ルールがある場合は、移行後にルール見直しが必要です。今後は Service Tag（例：AzureCloud） や FQDN ベースへの置換を推奨します。
前提条件と注意点（ExpressRoute）
- GatewaySubnet は /27 以上が推奨。短すぎると Prepare が失敗します。
- 古い回線（2017 年以前に作成）や特殊な構成は Migration ツールの対象外になる場合があります。
- 共存構成（同一 VNet に VPN/ER 両方）：ツールは ER Gateway 側の切替で VPN 側トラフィックへの影響は想定されません。
スケジュールと影響の早見表
| 対象 | 推奨対応 | 主な里程 | Public IP 変動 | ダウンタイム | ポイント |
|---|---|---|---|---|---|
| VPN Gateway（Basic IP 利用） | ポータルの移行ツールで Standard IP 化 あわせて VpnGwXAZ へ | AP: 2025-08-04 開始／AA: 2025-11 末 GA（予定） 顧客主導: 2026-03 末まで | 変わらない（ツール利用時） | 5〜10 分（Migrate 時） | GatewaySubnet に空き 3 IP 以上（/27+） |
| ER Gateway（Basic IP 利用） | 「Gateway SKU Migration」で新ゲートウェイへ切替 | 準備〜切替は任意のメンテ時間に実施可 | 原則、変わる（自動割当） | 数分の瞬断の可能性 | Private Peering は Public IP 非依存 |
| レガシー VPN Gateway SKU （Standard/High Performance） | Basic IP 移行に連動して VpnGw1AZ/2AZ へ | 2026-03 末 廃止予定 | — | 無停止〜最小停止 | スループット向上（目安 5〜6.5 倍） |
意思決定ガイド：どのケースでもっとも安全か
- 対向機器の設定変更を避けたい：VPN Gateway は 必ずポータルの移行ツールを使う。IP を保持して AZ 化まで一気に進められる。
- ER Gateway は管理系 FW が厳格：Public IP 変更を前提に、Service Tag へ移行する設計変更を同時に実施。移行直後にヘルスチェックを自動化。
- 移行対象が大量：テスト VNet で 1 件パイロット → 自動化（CLI/ARM/Bicep/テンプレート）でメタデータ（タグ
GatewaySKUMigrationなど）を収集し、追跡可能に。
移行後に得られるメリット
- ゾーン冗長化（AZ SKU化）による可用性向上・SLA 強化
- セキュリティ既定の強化（DDoS Basic 連携、閉域既定拒否）
- （レガシー → AZ 化のケースで）スループットの実効向上、BGP APIPA など新機能の取り込み
- ポータルの 顧客主導メンテナンス、診断/監視の一体化
移行実践ノウハウ：止めないための 9 つの工夫
- メンテ時間の短縮：Prepare を前日までに完了させ、Migrate の短時間のみを営業時間外に割り当てる。
- 事前パスヘルス：オンプレ FW から
ping/traceroute、ゲートウェイから VNet 内 VM への疎通、BGP ピア数のベースラインを採る。 - ロールバック計画：VPN は Commit 前なら旧構成に戻せる。ER も Abort で新ゲートウェイを破棄できる設計（ただし切替中にページ遷移しない）。
- サブネット管理：GatewaySubnet のアドレス設計を将来のスケールを見込んで /27 以上に。冗長 Prefix を活用するとエラー回避に有効。
- タグ戦略：移行後は
GatewaySKUMigrationなどのタグで棚卸しを自動化。監査証跡にも有用。 - 可視化：Azure Monitor で TunnelConnected、Egress/Ingress、BGP Peer Status のアラートを閾値化。
- P2S の動作確認：ユーザー端末 OS 別に VPN クライアントの再接続/再認証を試験。証明書・Entra 認証の再キーイングを考慮。
- IaC と手動の併用：最初の 1 件はポータル、2 件目以降は テンプレート化 してブレを無くす。
- 関係者周知：回線事業者、SOC、アプリ担当へメンテ窓口を共有し、数分の瞬断を事前通告。
FAQ：よくある質問にまとめて回答
自動移行が期限までに完了しなかったら？
VPN Gateway は顧客主導の 移行ツールで計画的に実施するのが前提です。放置して期限を跨ぐと、Microsoft 側の自動処理（Basic IP の除去・SKU の AZ 化）が順次走りますが、業務影響ゼロを保証できるのは計画移行のみです。スケジュールの延伸が告知されたとしても、テスト→本番の 2 段で完了させる運用を推奨します。
移行中に通信は止まる？どのくらい？
VPN は Migrate 工程で 5〜10 分が目安。ER は数分レベルの瞬断の可能性があります。Prepare/Commit は無停止です。アクティブ‑アクティブ構成では BGP の再収束も加味し、監視で収束時間を検証してください。
Public IP を変えずに移行できる？
- VPN Gateway：ポータルの移行ツールを使えば IP は保持されます。手動リビルドは IP が変わるため非推奨。
- ExpressRoute：移行では 新しい Public IP が自動割当されるのが通常です。ただし Private Peering は Public IP 非依存のため、回線の疎通には影響しません。管理系ルールがある場合のみ見直しを。
レガシー SKU（Standard／High Performance）はどうなる？
2026 年 3 月末で廃止予定に延伸されています。Basic IP 移行と連動して VpnGw1AZ／VpnGw2AZ に自動変換され、性能面でもメリットがあります。
コストは増える？
Standard Public IP は一部リージョンで従量課金がわずかに増えますが、ゾーン冗長化・SLA・セキュリティ既定の強化を踏まえて総所有コストでのメリットが見込めます。AZ 化によるスループット改善で、実効的な「帯域コスト/単位性能」も改善するケースが一般的です。
アクションプラン（すぐに動くための 4 ステップ）
- 資産棚卸し：Azure Portal で VPN/ER Gateway を一覧化し、Public IP の SKU、Gateway SKU（AZ/非AZ/レガシー）、アクティブ‑アクティブ/パッシブ を棚卸し。
- ネットワーク設計の前処理：GatewaySubnet を /27 以上に拡張、FW 許可リストを Service Tag/FQDN 化。
- パイロット → 本番：テスト VNet で移行（Validate→Prepare→Migrate→Commit）を一巡。所要時間・収束時間・ダッシュボードを標準化。
- 本番展開と監視：業務カレンダーに合わせて移行を順次実施。Azure Monitor で トンネル接続数・BGP・遅延/損失 のしきい値アラートを設定。
サンプル：移行後のヘルス確認ポイント
- VPN S2S：全トンネルが Connected／SPI が増減し続けていない／Phase1/2 の再交渉が落ち着いている。
- P2S：主要 OS（Windows/macOS/Linux）で地理的に離れた拠点から再接続テスト。
- ER：主要プレフィックスの到達性（
pingは不可でもtracerouteやアプリ層で確認）、MSEE 側の経路受信数が平常域にあること。 - アプリ観点：レイテンシ／スループットの変化、ログの大量警告がないか。
まとめ
VPN/ExpressRoute のどちらも、ポータル主導の移行ツールを使えば短時間のメンテで安全に完了できます。
VPN Gateway は IP を変えずに Standard 化と AZ 化を同時に達成できます。一方で ExpressRoute Gateway は Public IP が新規割当になるのが通例ですが、Private Peering は非依存のため実線通信に影響は限定的です。2026 年 3 月末を見据え、GatewaySubnet の拡張、FW ルールの近代化、監視の標準化をセットにした計画で早期完了を目指しましょう。最新のスケジュールは公式の更新情報で随時確認しつつ、“準備→短時間の切替→検証”の型を確立することが成功の鍵です。
付録：運用現場のメモ（テンプレ）
| 対象リソース | 推奨対応 | 公式期限（目安） | Public IP 変動 | メモ |
|---|---|---|---|---|
| VPN Gateway（Basic IP） | 移行ツールで Standard IP 化＋AZ 化 | 顧客主導 〜2026-03 末 | なし（ツール利用時） | メンテは 5〜10 分想定／サブネットは /27+ |
| ExpressRoute Gateway（Basic IP） | Gateway SKU Migration | 任意のメンテ時間で実施 | あり（自動割当） | Private Peering は非依存／管理系ルール更新 |
| レガシー VPN SKU | Basic IP 移行に伴い AZ 版へ | 2026-03 末 廃止予定 | — | 性能向上／価格はリージョン差・概ね小幅 |
コメント