Microsoft 365 の VPN 分割トンネリングの実装

[アーティクル]
03/25/2025

注:

この記事は、リモートユーザー向けの Microsoft 365 の最適化に対処する記事のセットの一部です。または、ネットワークインフラストラクチャの輻輳ポイントをバイパスするために IP プレフィックスベースのルーティングを含むネットワーク最適化を実装する場合です。

VPN 分割トンネリングを使用してリモートユーザーの Microsoft 365 接続を最適化する方法の概要については、「概要: Microsoft 365 の VPN 分割トンネリング」を参照してください。
VPN 分割トンネリングシナリオの詳細な一覧については、「 Microsoft 365 の一般的な VPN 分割トンネリングシナリオ」を参照してください。
VPN 分割トンネリング環境での Teams メディアトラフィックのセキュリティ保護に関するガイダンスについては、「 VPN 分割トンネリングのための Teams メディアトラフィックのセキュリティ保護」を参照してください。
VPN 環境でStreamイベントとライブイベントを構成する方法については、「VPN 環境でのStreamイベントとライブイベントに関する特別な考慮事項」を参照してください。
中国のユーザー向けの Microsoft 365 ワールドワイドテナントパフォーマンスの最適化の詳細については、「中国ユーザー向けの Microsoft 365 パフォーマンスの最適化」を参照してください。

Microsoft は、接続を迅速かつ効率的に改善するための戦略を提案しています。これには、ネットワークルートを更新する簡単な手順がいくつか含まれており、特定のキーエンドポイントで混雑した VPN サーバーをバイパスできます。類似またはより優れたセキュリティモデルを異なるレイヤーに適用することで、企業ネットワークの出口ポイントですべてのトラフィックをセキュリティで保護する必要はなく、より短く効率的なネットワークパスを使用して Microsoft 365 トラフィックをルーティングできます。これは通常、数時間以内に実行でき、必要に応じて複数の Microsoft 365 ワークロードにスケーリングできます。

スプリットトンネル VPN の実装

この記事では、Microsoft 365 の一般的な VPN 分割トンネリングシナリオで、VPN クライアントアーキテクチャを VPN 強制トンネルから VPN 強制トンネルに移行するために必要な簡単な手順について説明します。いくつかの信頼された例外がある VPN 分割トンネルモデル #2 です。

次の図は、推奨される VPN 分割トンネルソリューションのしくみを示しています。

スプリットトンネル VPN ソリューションの詳細。

1. 最適化するエンドポイントを決める

Microsoft 365 URL と IP アドレス範囲に関する記事では、最適化に必要なキーエンドポイントを明確に特定し、それらを最適化として分類します。この小規模なエンドポイントグループは、Teams メディアなどの待機時間の影響を受けやすいエンドポイントを含め、Microsoft 365 サービスへのトラフィック量の約 70% から 80% を占めます。基本的にこれは、特別な注意を払う必要があるトラフィックであり、従来のネットワークパスと VPN インフラストラクチャに大きく負荷がかかるトラフィックでもあります。

このカテゴリの URL には、次のような特性があります。

Microsoft インフラストラクチャにホストされている Microsoft が所有および管理するエンドポイントである
特定のサービス専用の IP アドレスを公開しました
変更率が低い
帯域幅や遅延の影響を受けやすい
必要なセキュリティ要素をネットワーク上で、インラインではなくサービスで提供することができる
Microsoft 365 サービスへのトラフィック量の約 70 ~ 80% を占める

Microsoft 365 エンドポイントとその分類方法と管理方法の詳細については、「 Microsoft 365 エンドポイントの管理」を参照してください。

ほとんどの状況では、エンドポイントがプロキシにではなく直接送信されるように設定されているブラウザ PAC ファイルの URL エンドポイントのみを使用する必要があります。 [最適化] カテゴリの URL だけが必要な場合は、最初のクエリを使用するか、IP プレフィックスに 2 番目のクエリを使用します。

URL を最適化する

(invoke-restmethod -Uri ("https://endpoints.office.com/endpoints/WorldWide?clientrequestid=" + ([GUID]::NewGuid()).Guid)) | ?{$_.category -eq "Optimize" -and $_.urls} | select -unique -ExpandProperty urls

IP アドレスの範囲を最適化する

(invoke-restmethod -Uri ("https://endpoints.office.com/endpoints/WorldWide?clientrequestid=" + ([GUID]::NewGuid()).Guid)) | ?{$_.category -eq "Optimize" -and $_.ips} | select -unique -ExpandProperty ips

2. Microsoft 365 エンドポイントの分割トンネルの実装

こういった重要なエンドポイントを特定したら、それを VPN トンネルから逸らし、ユーザーのローカルインターネット接続を使用してサービスに直接接続できるようにする必要があります。これを実現する方法は、使用される VPN 製品とマシンプラットフォームによって異なりますが、ほとんどの VPN ソリューションでは、ポリシーの一部の構成でこのロジックを適用できます。 VPN プラットフォーム固有のスプリットトンネリングを行う方法については、「一般 VPN プラットフォームの HOWTO ガイド」をご覧ください。

ソリューションを手動でテストしたい場合は、次の PowerShell の例を実行して、ルートテーブルからソリューションをエミュレートできます。この例では、それぞれの Teams メディア IP サブネットのルートをルートテーブルに追加します。 Teams ネットワーク評価ツールを使用する前と後に Teams メディアのパフォーマンスをテストし、指定したエンドポイントのルートの違いを確認できます。

例: Teams メディア IP サブネットをルートテーブルに追加する

$intIndex = "" # index of the interface connected to the internet
$gateway = "" # default gateway of that interface
$destPrefix = " 52.112.0.0/14, 52.122.0.0/15, 2603:1063::/38" # Teams Media endpoints
# Add routes to the route table
foreach ($prefix in $destPrefix) {New-NetRoute -DestinationPrefix $prefix -InterfaceIndex $intIndex -NextHop $gateway}

前のスクリプトでは、$intIndexはインターネットに接続されているインターフェイスのインデックスです (PowerShell で get-netadapter を実行して検索し、ifIndex の値を探します)、$gatewayはそのインターフェイスの既定のゲートウェイです (コマンドプロンプトまたは (Get-NetIPConfiguration |Foreach IPv4DefaultGateway)。NextHop in PowerShell)。

ルートを追加したら、コマンドプロンプトまたは PowerShell で「印刷のルーティング」を実行して、ルートテーブルが正しいことを確認できます。

[最適化] カテゴリ のすべての 現在の IP アドレス範囲のルートを追加するには、次のスクリプトバリエーションを使用して、現在の [IP サブネットの最適化] セットについて Microsoft 365 IP および URL Web サービスにクエリを実行し、ルートテーブルに追加します。

例: すべての最適化サブネットをルートテーブルに追加する

$intIndex = "" # index of the interface connected to the internet
$gateway = "" # default gateway of that interface
# Query the web service for IPs in the Optimize category
$ep = Invoke-RestMethod ("https://endpoints.office.com/endpoints/worldwide?clientrequestid=" + ([GUID]::NewGuid()).Guid)
# Output only IPv4 Optimize IPs to $optimizeIps
$destPrefix = $ep | where {$_.category -eq "Optimize"} | Select-Object -ExpandProperty ips | Where-Object { $_ -like '*.*' }
# Add routes to the route table
foreach ($prefix in $destPrefix) {New-NetRoute -DestinationPrefix $prefix -InterfaceIndex $intIndex -NextHop $gateway}

うっかり誤ったパラメーターでルートを追加してしまった場合、あるいは単に変更を元に戻したい場合は、次のコマンドを使用して、追加したルートを削除できます。

foreach ($prefix in $destPrefix) {Remove-NetRoute -DestinationPrefix $prefix -InterfaceIndex $intIndex -NextHop $gateway}

VPN クライアントの設定を行い、最適化 IP へのトラフィックがこの方法でルーティングされるようにしてください。これにより、トラフィックは、Microsoft 365 サービスと接続エンドポイントを可能な限りユーザーの近くに提供する Azure Front Door などの Microsoft 365 Service Front Door などのローカル Microsoft リソースを利用できます。これにより、世界中のどこにいても高いパフォーマンスレベルをユーザーに提供でき、 Microsoft の世界クラスのグローバルネットワークを最大限に活用できます。これは、ユーザーの直接送信から数ミリ秒以内に発生する可能性があります。