公開2026.09.03更新2026.09.27 14 人が閲覧（直近 30 日） Azure

Azure ExpressRouteとは？専用線接続の仕組み・SKU選定とコスト構造を解説【2026年版】

Azure ExpressRouteは、自社のデータセンターやオフィスとAzureの間を、接続プロバイダーの閉域回線で直結するサービスです。通信がインターネットを通らないため、遅延のばらつきが小さく、帯域も混雑の影響を受けにくくなります。この記事では、ExpressRoute回線とピアリング2種別の構成、Local／Standard／Premiumで変わる到達範囲、ゲートウェイSKUの性能上限とFastPath、サイト間VPNとの共存条件、そして課金の内訳を実装者の目線で整理した内容です。そのうえで、専用線を敷くべき要件と、サイト間VPNで足りる見送り場面を条件付きで判断します。数値はいずれも2026年9月3日時点のMicrosoft Learn記載に基づきます。

まとめ：ExpressRouteはSKUとゲートウェイで到達範囲と実効帯域が決まる

ExpressRouteの実体は、接続プロバイダー経由でMicrosoftのエッジルーターに向かう論理回線です。回線には固定帯域が割り当てられ、50Mbpsから10Gbpsまでの刻みから選びます。イングレスとエグレスにそれぞれ同じ帯域が確保される二重構成で、200Mbpsの回線なら上下それぞれ200Mbpsという勘定になります。

設計で先に決めるべきは3点です。回線SKU（到達できるAzureリージョンの範囲）、ゲートウェイSKU（VNet側の実効スループットと収容VM数）、データプラン（従量制か無制限か）。この3つを取り違えると、10Gbpsの回線を引いてもゲートウェイが1Gbpsで詰まる、あるいはエグレス課金が想定を超えるという事故になります。

判断の軸は明快です。単一リージョン向けで月数百GB程度の転送しかないなら、固定費の面でサイト間VPNが優位です。閉域要件・安定帯域・大量転送・Microsoft 365への専用経路のいずれかが業務要件になった時点で、ExpressRouteに切り替える価値が出ます。

ExpressRoute回線の構成要素と2種類のピアリングの役割分担

ExpressRouteは「回線」と「ピアリング」という2層で構成されます。まず物理と論理の切り分けから押さえます。

ExpressRoute回線の識別子sキーと選択できる帯域幅の刻み

ExpressRoute回線は、オンプレミスと Microsoft クラウドの間の論理接続です。回線はサービスキー（sキー）と呼ばれる GUID で識別され、Microsoft・接続プロバイダー・利用者の3者で交換される唯一の情報がこの値になります。Microsoft Learn は「セキュリティ目的のシークレットではない」と明記しており、秘匿情報として扱う必要はありません。

プロバイダー経由でプロビジョニングできる帯域は、50Mbps・100Mbps・200Mbps・500Mbps・1Gbps・2Gbps・5Gbps・10Gbps の8段階です。これを超える帯域が要る場合は ExpressRoute Direct を使い、100Gbps の Direct なら40Gbps・100Gbps、400Gbps の Direct なら40・100・200・400Gbps の回線を選べます。帯域は後から増やせますが減らせません。減らすには小さい回線を作り直して旧回線を削除する手順になります。

プライベートピアリングとMicrosoftピアリングの使い分け

1本の回線には独立した2つのピアリングを載せられます。プライベートピアリングは仮想ネットワーク内の VM や PaaS へプライベート IP で到達する経路で、社内コアネットワークの延長として扱います。Microsoft ピアリングは Microsoft 365・Azure の公開 IP・PSTN サービス向けで、利用者または接続プロバイダーが所有するパブリック IP アドレスが前提になり、ルーティングレジストリでの所有権証明も必要です。

受け入れられるプレフィックス数も異なります。プライベートピアリングは既定4,000（Premium で10,000）、Microsoft ピアリングは200です。上限を超えると BGP セッションが切断され、プレフィックス数が下回った時点で復旧します。Microsoft のプレフィックスは毎月更新されて増えることがあるため、Microsoft ピアリング経由で受けた経路をプライベートピアリングに流す構成では監視を入れておきます。Microsoft Learn の推奨構成は、プライベートピアリングをコアネットワークへ直結し、Microsoft ピアリングのリンクは DMZ に落とす分離です。

ExpressRoute回線SKU別の接続スコープとVNetリンク上限の比較

回線 SKU は料金だけでなく、到達できる Azure リージョンの範囲そのものを決めます。ここを間違えると後から作り直しになります。

Local・Standard・Premiumで変わる到達リージョンの範囲

Local SKU は、ピアリング拠点と同じメトロまたは近接する1〜2の Azure リージョンにしか到達しません。ロンドンのピアリング拠点に接続した Local 回線からは、英国南部のリソースだけが見えるという挙動になります。Standard SKU では同一の地政学的リージョン内の全 Azure リージョンへ、Premium SKU では世界中の全リージョンへ範囲が広がります。

Local を選ぶ経済的な理由は課金構造にあります。Standard と Premium はエグレスデータ転送に別途料金が発生しますが、Local は無制限データプランが価格に含まれるため、エグレスの個別課金がありません。ただし ExpressRoute Global Reach は Local では使えず、ピアリング拠点の近くに Azure リージョンが存在しない地域では Local 自体が提供されません。SKU は Local から Standard／Premium へ、Standard から Premium へアップグレードできます。

ExpressRoute回線サイズ別のVNetリンク数とルート上限の実数

接続できる仮想ネットワークの数は、SKU と回線サイズの組み合わせで決まります。Local と Standard は回線サイズにかかわらず10で固定され、Premium だけが回線サイズに応じて増えます。Global Reach の接続数もこの上限にカウントされる点は見落としやすいところです。

回線サイズ	Local／Standard	Premium
50 Mbps	10	20
100／200 Mbps	10	25
500 Mbps	10	40
1 Gbps	10	50
2 Gbps	10	60
5 Gbps	10	75
10 Gbps	10	100

経路数の上限も別に効きます。ゲートウェイから ExpressRoute へアドバタイズできる仮想ネットワーク側の IPv4 経路は最大1,000で、VNet アドレス空間・オンプレミス・VNet ピアリングを合わせた総経路数は11,000が上限です。ハブスポーク構成では既定でスポークのアドレス空間もオンプレミスへ広告されるため、スポークが数百に育つ環境では summarizedGatewayPrefixes による集約広告を先に設計しておきます。AWS 側の同種サービスとの構造比較はAWS Direct Connectの接続タイプと仮想インターフェースの記事が対応します。

ExpressRouteゲートウェイのSKU性能上限とFastPathの適用条件

回線帯域を確保しても、VNet 側の入口であるゲートウェイが上限に当たれば実効値はそこで止まります。ゲートウェイ SKU はバーストしません。

ERGw1Az・ERGw2Az・ErGw3Azの帯域上限とVM収容数

ゲートウェイ SKU ごとの上限は Microsoft Learn に実数で示されています。Standard（ERGw1Az）は1,000Mbps・100,000pps・VM 2,000台・学習経路4,000、High Performance（ERGw2Az）は2,000Mbps・200,000pps・VM 4,500台・学習経路9,500、Ultra Performance（ErGw3Az）は10,000Mbps・1,000,000pps・VM 11,000台となります。スケールユニット単位で伸縮する ErGwScale は、1ユニットあたり1,000Mbps・2,000VM が目安です。

ここでの「VM 台数」はゲートウェイ経由で通信するリソース数を指し、ハブの VM だけでなくピアリング済みスポークの VM、プライベートエンドポイント、Application Gateway や Azure Firewall のようなネットワーク仮想アプライアンス、VNet 内に置いた PaaS のバックエンドまで含みます。プライベートエンドポイントを大量に並べた環境では、VM 台数の見積もりが想定より早く上限へ届きます。

FastPathでExpressRouteゲートウェイを迂回する条件と制限

FastPath は、オンプレミスから VNet への通信をゲートウェイのデータパスから外し、エッジで直接転送する機能です。ExpressRoute がサポートする TCP／UDP の最大パケットサイズは1,400バイトで、フラグメント化されたパケットはゲートウェイでは扱えません。IP フラグメンテーションのサポートが要る場合、ゲートウェイを迂回する FastPath が回避策になります。

FastPath にも IP 数の上限があります。プロバイダー回線で25,000、ExpressRoute Direct 10Gbps で100,000、Direct 100Gbps で200,000です。上限に達すると新しい経路は FastPath にプログラムされず、そのトラフィックはゲートウェイ経由に戻ります。Azure Firewallを通す構成と併用する場合は、Firewall を ExpressRoute ゲートウェイと同じ VNet にデプロイし、ゲートウェイサブネットに UDR を設定する必要があります。ゲートウェイサブネットへのサービスエンドポイントポリシー適用は、デプロイ失敗やスケーリング障害の原因になるため推奨されていません。

ExpressRouteとサイト間VPNを共存させる構成と切替の設計

ExpressRoute とサイト間 VPN は排他ではありません。共存構成は公式にサポートされており、実務では冗長化の定石になっています。

専用線を主系・サイト間VPNを副系にする冗長構成と経路の優先制御

同一 VNet に ExpressRoute 接続とサイト間 VPN 接続を並べる構成が取れます。専用線を主系、IPsec ベースのVPNを副系に置けば、回線障害時にもインターネット経由で通信を継続できる構成です。回線レベルの冗長化なら、同一ピアリング拠点で最大4回線、異なるピアリング拠点なら最大16回線を1つの VNet に接続できます。

VNet から出る通信は既定で ECMP により分散され、ECMP の対象になるのは最大4回線までです。フローごとの負荷分散なので、同じ送信元と宛先のペアのトラフィックは複数パスがあっても同じ経路を通ります。特定の回線を優先させたい場合は接続の重みを設定します。メンテナンス時に片側へ長い AS パスが付与されることがあり、これを放置すると非対称ルーティングでサービス断につながるため、BFD を構成して BGP フェールオーバーを速めておく設計が有効です。

Route Serverが必要になる分岐とMTU1400への調整

共存構成で見落としやすいのが、ExpressRoute 側の拠点とサイト間 VPN 側の拠点を相互に通したい場合です。この経路交換は既定では成立せず、Azure Route Server の配置が要件になります。Route Server 自体もピアリング済み VNet を含めて最大4,000 VM という上限を持ちます。

MTU の扱いも詰まりやすい箇所です。ExpressRoute の MTU は1,400バイトで、BGP ホールドタイマーは180秒、キープアライブは60秒間隔がMicrosoft側の固定値です。これらは変更できません。アプリケーション側で MTU を調整してフラグメンテーションを避けるか、前述の FastPath でゲートウェイを迂回するかの二択になります。なお VLAN をそのまま Azure へ延伸するレイヤー2拡張はサポートされていないため、L2 延伸を前提にした移行計画は成立しません。

ExpressRouteの課金要素をポート・エグレス・ゲートウェイに分解

ExpressRoute のコストは単一の回線料金ではありません。請求は複数の要素に分かれ、要素ごとに止め方が違います。

回線料金・エグレス・ゲートウェイ時間課金の3階建て構造と止め方

課金は大きく3階建てです。第1に回線そのものの月額料金（SKU と帯域で変動）、第2にエグレスデータ転送、第3に ExpressRoute ゲートウェイの時間課金です。加えて接続プロバイダー側の回線料金は Azure の請求とは別に発生します。イングレスデータ転送は Global Reach アドオンを除きすべての SKU で無料です。

要素ごとの止め方に差があります。回線を削除してもゲートウェイを残していれば、ゲートウェイが削除されるまで課金が続く状態です。ExpressRoute Direct のポートペアは固定額で、リソース作成から45日目か片方または両方のリンクが有効化された時点の早い方から課金が始まります。この45日はコロケーション事業者との相互接続作業のための猶予期間です。Global Reach は既存の ExpressRoute とは別建てで、有効化した回線ごとにアドオン料金がかかり、拠点間トラフィックは送信元でエグレス、宛先でイングレスとして両方課金されます。ネットワーク費用の分解手順はネットワークコストの内訳と計算方法の記事で整理しています。

従量制と無制限データプラン・Local SKUを分ける通信量の水準

Standard と Premium は従量制課金と無制限データプランのどちらかを選べます。従量制はピアリング拠点のゾーンに応じた GB 単価で、無制限プランは月額にエグレスが含まれる形です。プラン変更は片道で、従量制から無制限への切替はできますが、無制限から従量制へは戻せません。

切替の判断は月次のエグレス量で決まります。目安の立て方はこうです。直近3か月のオンプレミス向け下り転送量を測り、従量制の想定請求額が無制限プランの月額に近づいたら切り替えます。Azure 料金計算ツールでゾーン・SKU・回線速度・データプラン・追加エグレス量を入れれば見積額の確認が可能です。単一メトロ向けで大量転送があるケースは、Local を選んだ時点でエグレス課金そのものが消えるため、まず Local の到達範囲で足りるかを先に確認する順序が費用面で効きます。

冗長性ティア3段階の選び方とExpressRouteを見送る判断基準

ここからは判断です。冗長構成の選択と、ExpressRoute を採用しない条件を条件付きで言い切ります。

標準・高・最大の3レジリエンシーとExpressRoute Metroの位置

ExpressRoute 回線は標準・高・最大の3つのレジリエンシーティアで提供されます。Microsoft は本番ワークロードには最低でも「高」を推奨しており、高レジリエンシーをサポートするプロバイダーがいる一部の地域では、標準レジリエンシー回線の新規作成が無効化されています。理由は費用です。ExpressRoute Metro は標準レジリエンシー回線と同じコストで可用性が上がるため、標準を選ぶ理由が消えています。

ExpressRoute Metro は、1本の回線でありながら物理リンクが同一都市内の2拠点に分かれる構成です。すべての回線がもともと2本の冗長物理リンクを持ちますが、それは同一ピアリング拠点内の冗長でしかありません。拠点そのものが落ちる障害に耐えるには、Metro を選ぶか、異なるピアリング拠点に2回線を並べるマルチサイト構成にします。本番系で標準レジリエンシー1回線という構成は、拠点障害で全断するため採りません。

ExpressRouteを採用しない条件と設計で失敗する典型パターン

ExpressRoute を見送るべき条件は3つあります。第1に、接続先が単一リージョンで月間のエグレスが数百GB規模にとどまり、遅延要件が緩いケース。回線料金・プロバイダー料金・ゲートウェイ時間課金の固定費が張るため、サイト間 VPN のほうが総額で下回ります。第2に、レイヤー2延伸や VNet 間通信の経路として使おうとしているケース。L2 拡張は非サポートで、VNet 間は ExpressRoute 経由ではなく VNet ピアリングを構成するのが公式の推奨です。第3に、開通リードタイムを確保できないケース。プロバイダーとの契約と物理配線が前提になるため、数週間から数か月を見込めない案件では暫定的に VPN で立ち上げる判断が現実的です。

設計で繰り返し起きる失敗も挙げておきます。10Gbps の回線に Standard ゲートウェイ（1,000Mbps）を合わせて実効帯域が10分の1に落ちる、Local SKU で契約したあとに別リージョンへの到達が必要になり回線を作り直す、ハブスポークのスポーク数が増えて1,000プレフィックスの壁に当たり BGP が切れる、この3つです。いずれも SKU とプレフィックス設計を先に固めれば避けられます。オンプレミスとの併用を前提にした全体設計はハイブリッドクラウド移行の接続方式とアプリ配置判断で扱う内容です。回線 SKU の選定からゲートウェイのサイジング、プレフィックス集約までを含めたネットワーク設計を外部と組んで進める場合は、インフラ構築（AWS・Google Cloud・Azure）の相談窓口が対応します。

よくある質問

導入検討で挙がる論点を、実装の観点から簡潔に答えます。

ExpressRouteとサイト間VPNはどちらを選ぶべきですか？

閉域要件・安定した帯域・大量のデータ転送・Microsoft 365 への専用経路のいずれかが業務要件なら ExpressRoute、通信量が小さく短期に立ち上げたいならサイト間 VPN が適します。両者は共存でき、ExpressRoute を主系、VPN を副系にする冗長構成が一般的です。まず VPN で始めて要件が育ってから ExpressRoute へ移す進め方も取れます。

ExpressRouteの通信は暗号化されますか？

既定では暗号化されません。経路がインターネットを通らない閉域接続であることで安全性を担保する設計です。暗号化が必須なら、ExpressRoute Direct のポート間で構成する MACsec、またはプライベートピアリング上に IPsec の VPN トンネルを重ねる構成を選びます。後者はサイト間 VPN との共存構成と同じ仕組みで実現できます。

回線SKUや帯域幅は後から変更できますか？

SKU は Standard から Premium、Local から Standard または Premium へアップグレードできます。Premium から Standard へのダウングレードも可能です。データプランは従量制から無制限へ変更できますが、逆方向はサポートされません。帯域幅は増やせますが減らせず、物理ポートに空き容量がなければ増速も失敗します。減速するには小さい回線を新規作成して旧回線を削除します。

1つの回線に複数のVNetやサブスクリプションを接続できますか？

接続できます。Standard 回線では最大10、Premium 回線では回線サイズに応じて最大100の仮想ネットワークをリンクできます。異なるサブスクリプション、異なる Microsoft Entra テナントや Enterprise Agreement 登録にまたがる接続も追加設定なしで可能です。ただし同じ回線に接続した VNet は同一ルーティングドメインに属するため互いに分離されません。経路分離が要件なら回線を分けます。

ExpressRouteを引けばインターネット接続は不要になりますか？

設計次第です。既定ルート 0.0.0.0/0 を BGP で広告しなければ、ExpressRoute にリンクした VNet からインターネットへも出られます。逆に既定ルートを広告すれば VM のインターネット接続をすべて塞ぎ、全通信を ExpressRoute 経由に寄せる設計です。ただし障害や設定ミスで広告が取り消されると Azure のシステムルートでインターネットへ出てしまうため、送信拒否規則を持つ NSG を全サブネットに置いて二重に止めます。