Azure の仮想ネットワーク（VNet）は、作成すること自体には基本的に料金がかかりません。費用が発生するのは、VNet に接続する周辺リソース（パブリック IP、NAT Gateway、VPN Gateway、Azure Firewall、プライベートエンドポイントなど）と、VNet をまたぐ・外へ出るデータ転送です。この記事では、どこから課金が始まるのかを整理し、請求額が想定より膨らむ典型パターンと、Azure CLI で「今なにが課金対象として動いているか」を棚卸しする手順を説明します。
料金体系や無料枠は改定されることがあるため、金額は書かず、仕組みと確認方法に絞って解説します（2026年10月現在）。正確な単価は Azure の公式料金ページと料金計算ツールで確認してください。
VNet で無料のものと、課金されるもの
まず「VNet を作っただけ」の状態を理解しておくと、請求書の読み方が分かりやすくなります。
基本的に無料の範囲
- VNet とサブネットの作成
- ネットワークセキュリティグループ（NSG）とルートテーブル（UDR）の作成・適用
- 同じ VNet 内のリソース同士の通信
- インターネットから Azure への受信（イングレス）データ転送
VNet は「住所の区画を決める仕組み」にすぎないため、区画を作るだけでは費用が発生しません。WordPress を Azure VM に載せる構成でも、VNet・サブネット・NSG だけなら料金の心配はほぼ不要です。
課金が発生する代表的なリソースと通信
- パブリック IP アドレス：VM やロードバランサーに割り当てる IPv4 アドレスは時間単位で課金されます。Basic SKU のパブリック IP は廃止が告知されており、現在は Standard SKU が前提です。使っていないのに確保したままの IP も課金対象になる点に注意が必要です。
- VNet ピアリング：VNet 同士をつなぐ設定自体は無料ですが、ピアリング経由の通信は送信側・受信側の両方でデータ量に応じて課金されます。異なるリージョン間のグローバルピアリングは、同一リージョン内より単価が高く設定されています。
- NAT Gateway：配置している時間と、処理したデータ量の両方で課金されます。
- VPN Gateway / ExpressRoute Gateway：SKU ごとの時間課金があり、使っていなくても起動している限り費用が発生します。
- Azure Firewall：デプロイしている時間と処理データ量で課金され、ネットワーク関連の中では高額になりやすいリソースです。
- プライベートエンドポイント：エンドポイント1つごとの時間課金と、通過したデータ量の課金があります。
- Azure Bastion：SKU に応じた時間課金があります。
- DDoS Network Protection：有効にした時点から固定的な月額費用がかかります。
- インターネットへの送信（エグレス）データ転送：一定の無料枠を超えた分が課金されます。リージョン間の転送も課金対象です。
同一リージョン内の可用性ゾーン間の転送については、過去に課金方針が告知・変更された経緯があります。設計判断に関わる場合は、その時点の公式情報を確認してください。
請求額が膨らむ典型パターン
1. 検証で作った Gateway や Firewall の消し忘れ
VPN Gateway や Azure Firewall は「起動している時間」に料金がかかるため、検証後に放置すると通信がゼロでも毎月費用が積み上がります。リソースグループごと検証環境を分けておくと、片付けのときに見落としにくくなります。
2. 割り当てのないパブリック IP
VM を削除しても、パブリック IP はリソースとして残ることがあります。どこにも関連付けられていない IP がないか、定期的に確認するのが有効です。
3. ハブ＆スポーク構成でのピアリング転送
ハブ VNet に共有サービス（DNS、ファイアウォール、監視）を集約し、スポークから通信を集める構成では、通信がピアリングを何度も通過します。ピアリングは送受信の両側で課金されるため、データ量が多い通信（バックアップ、ログ転送、DB レプリケーション）がハブを経由していないかを確認します。
4. 既定の送信アクセス廃止に伴う NAT Gateway の追加
Microsoft は、新しく作成する VNet で VM がパブリック IP なしにインターネットへ出られる「既定の送信アクセス」を廃止し、プライベートサブネットを既定にする方針を発表しています。適用時期や対象（API バージョンや作成日）は告知内容で確認が必要ですが、今後新しく作るサブネットでは、OS 更新やプラグイン更新のための送信経路として NAT Gateway などを用意する必要が出てきます。WordPress の自動更新やバックアップの外部送信が止まらないよう、設計段階で送信経路と費用を見込んでおきます。
5. WordPress のメディア配信とバックアップの転送量
画像の多い WordPress サイトを VM から直接配信すると、インターネットへの送信データ量がそのまま課金対象になります。CDN（Azure Front Door など）を挟む、画像を適切なサイズで配信するといった対策で、オリジンからの転送量を抑えられます。また、バックアップを別リージョンの Blob Storage へ送る場合はリージョン間転送の費用がかかるため、頻度と差分の取り方を見直す余地があります。
Azure CLI で課金対象リソースを棚卸しする
ポータルで一つずつ探すより、Azure CLI で一覧を出したほうが漏れを見つけやすくなります。以下は読み取り専用のコマンドなので、本番のサブスクリプションでも実行して問題ありません。
# 対象のサブスクリプションを確認
az account show --query "{name:name, id:id}" -o table
# VNet の一覧（アドレス空間とリージョン）
az network vnet list --query "[].{name:name, rg:resourceGroup, location:location, prefixes:addressSpace.addressPrefixes[0]}" -o table
# どこにも関連付けられていないパブリック IP
az network public-ip list --query "[?ipConfiguration==null && natGateway==null].{name:name, rg:resourceGroup, ip:ipAddress, sku:sku.name}" -o table
# NAT Gateway、VPN などの Gateway、プライベートエンドポイント
az network nat gateway list -o table
az network vnet-gateway list -g <resource-group> -o table
az network private-endpoint list -o table
# 特定 VNet のピアリング状態
az network vnet peering list -g <resource-group> --vnet-name <vnet-name> -o table<resource-group> と <vnet-name> は自分の環境の名前に置き換えてください。vnet-gateway list はリソースグループ単位なので、複数のグループがある場合は順に確認します。
不要と判断したリソースを削除する前には、そのリソースに依存している VM やアプリがないかを確認します。パブリック IP は一度削除すると同じアドレスを取り戻せないため、DNS の A レコードや外部サービスの許可リストに登録している IP でないかを先に確かめてください。
費用を見える化して予防する
棚卸しは一度きりではなく、仕組みで続けることが大切です。
- コスト管理の予算とアラート：Microsoft Cost Management でサブスクリプションやリソースグループ単位の予算を設定し、一定割合に達したら通知を受け取れるようにします。
- タグ付け：
env=prodやowner=team-aのようなタグを付けると、コスト分析で「誰の何に費用がかかっているか」を分けて見られます。 - サービス別の内訳確認：コスト分析で「サービス名」や「メーター」別に表示すると、ピアリング転送や NAT Gateway のデータ処理など、どの項目が増えているかが分かります。
- Azure Advisor：使われていないリソースやコスト削減の推奨が表示されることがあります。推奨内容は参考にとどめ、削除の判断は自分で行います。
- 料金計算ツール：構成を変更する前に、想定するデータ量で見積もっておくと、ピアリングや Firewall の追加による増額を事前に把握できます。
画面の項目名はポータルの更新で変わることがあるため、見つからない場合はコスト管理のドキュメントで現在の名称を確認してください。
設計時に押さえておきたい注意点
- アドレス空間の重複を避ける：ピアリングや VPN 接続は、アドレス空間が重複していると構成できません。後から変更すると作り直しになることもあるため、オンプレミスや他クラウドと重ならない範囲を最初に計画します。
- 通信経路を図にする：VM からインターネット、VNet 間、オンプレミスへの通信がどのリソースを通るかを図にすると、課金ポイントがどこにあるかが見えます。
- Firewall や Bastion は共有する：環境ごとに個別配置すると時間課金が重なるため、ハブにまとめるか、必要なときだけ起動する運用を検討します。
- 変更はステージングから：経路やゲートウェイの変更は通信断につながることがあります。本番の構成変更前に設定をエクスポートしておき、検証環境で影響を確かめてから適用します。
まとめ
- VNet・サブネット・NSG の作成自体は基本的に無料で、費用はパブリック IP、ピアリング転送、NAT Gateway、Gateway、Firewall、プライベートエンドポイントなどの周辺リソースとデータ転送で発生します。
- 時間課金のリソース（Gateway、Firewall、Bastion）の消し忘れと、割り当てのないパブリック IP が請求増の典型です。
- 既定の送信アクセス廃止の方針により、新しいサブネットでは送信経路と費用を設計段階で見込む必要があります。
- Azure CLI で定期的に棚卸しし、Cost Management の予算アラートとタグで費用を見える化しておくと、想定外の請求を早く見つけられます。
- 単価と無料枠は変わるため、最新の公式料金ページで確認してから判断してください。