Rechenressourcen allein nützen wenig, wenn sie nichts voneinander wissen und niemand sie erreicht. Netzwerke verbinden Azure-Ressourcen untereinander, mit dem Internet und mit Ihrem eigenen Standort. Diese Lektion erklärt die Bausteine, die Azure dafür bietet, und wann Sie welchen wählen: virtuelle Netzwerke und Subnetze, Peering, Azure DNS, VPN Gateway, ExpressRoute und die beiden Arten von Endpunkten.

Virtuelle Netzwerke und Subnetze

Ein Azure Virtual Network (virtuelles Netzwerk, kurz VNet) ist Ihr eigenes, isoliertes Netzwerk in Azure. Microsoft beschreibt es als Erweiterung Ihres Firmennetzes. Beim Anlegen legen Sie einen privaten IP-Adressraum fest. Dieser Bereich existiert nur innerhalb des virtuellen Netzwerks und ist nicht im Internet routbar.

Den Adressraum teilen Sie in Subnetze (subnets) auf, indem Sie jedem benannten Subnetz einen Teil zuweisen. So trennen Sie zum Beispiel Webserver von Datenbankservern. Virtuelle Netzwerke leisten laut Microsoft unter anderem:

  • Isolation und Segmentierung: mehrere voneinander getrennte Netzwerke.
  • Internetverbindungen: Eingehende Verbindungen aus dem Internet erlauben Sie, indem Sie einer Ressource eine öffentliche IP-Adresse geben oder sie hinter einen öffentlichen Load Balancer stellen.
  • Verbindung zwischen Azure-Ressourcen: Das virtuelle Netzwerk verbindet VMs und andere Dienste. Dienstendpunkte (service endpoints) verbinden Ressourcen wie Azure SQL-Datenbanken oder Speicherkonten mit dem Netzwerk.
  • Verbindung zum eigenen Standort: darüber, wie unten beschrieben.
  • Routing und Filtern: Standardmäßig leitet Azure den Verkehr zwischen Subnetzen, verbundenen Netzwerken und dem Internet. Mit Routentabellen können Sie das ändern. Mit Netzwerksicherheitsgruppen (network security groups, NSG) erlauben oder blockieren Sie Verkehr anhand von Quelle, Ziel, Port und Protokoll.

Peering

Mit Peering verbinden Sie zwei virtuelle Netzwerke direkt miteinander. Der Verkehr zwischen ihnen bleibt privat und läuft über das Backbone-Netz von Microsoft, ohne das öffentliche Internet zu berühren. Die Netzwerke dürfen in verschiedenen Regionen liegen. So entsteht ein weltweit verbundenes Netz in Azure.

Verbindung zum eigenen Standort

Wenn Ihre Firma ein eigenes Netz hat, gibt es zwei Wege nach Azure.

VPN Gateway

Ein virtuelles privates Netzwerk (VPN) ist ein verschlüsselter Tunnel durch ein anderes Netz, meist durch das öffentliche Internet. Der Verkehr bleibt auf dem Weg verschlüsselt. Ein Azure VPN Gateway läuft in einem eigenen Subnetz des virtuellen Netzwerks und ermöglicht drei Arten der Verbindung:

  • Site-to-site: Ihr lokales VPN-Gerät oder Gateway wird mit dem Azure-VPN-Gateway verbunden. Geräte in Azure erscheinen, als stünden sie im lokalen Netz.
  • Point-to-site: Ein einzelnes Gerät von außerhalb baut eine verschlüsselte Verbindung in das virtuelle Netzwerk auf, zum Beispiel ein Laptop im Homeoffice.
  • Network-to-network: Ein virtuelles Netzwerk wird mit einem anderen verbunden.

Pro virtuellem Netzwerk können Sie ein VPN Gateway betreiben, das aber mehrere Standorte anbinden kann. Standardmäßig läuft es als zwei Instanzen im Aktiv/Standby-Betrieb, damit bei einer Störung die zweite übernimmt.

ExpressRoute

Azure ExpressRoute erweitert Ihr lokales Netz über eine private Verbindung in die Microsoft-Cloud. Sie entsteht mit Hilfe eines Netzwerkanbieters und heißt ExpressRoute-Leitung (circuit). Die Verbindung läuft nicht über das öffentliche Internet. Deshalb bietet sie laut Microsoft mehr Zuverlässigkeit, höhere Geschwindigkeit, gleichmäßige Latenzen und mehr Sicherheit als eine normale Internetverbindung. Sie erreicht Azure-Dienste und auch Microsoft 365. Eingebaute Redundanz erhöht die Verfügbarkeit. Auch bei ExpressRoute laufen allerdings DNS-Anfragen, die Prüfung von Sperrlisten für Zertifikate und Anfragen an das Azure Content Delivery Network weiter über das öffentliche Internet.

ExpressRoute wählen Sie, wenn Sie private, gleichmäßige Verbindungen brauchen, strenge Vorgaben zur Datenübertragung haben oder kritischen Verkehr nicht über das Internet schicken wollen.

Azure DNS

Azure DNS ist ein Hosting-Dienst für DNS-Domänen. DNS übersetzt Namen wie beispiel.de in IP-Adressen. Mit Azure DNS verwalten Sie Ihre Einträge mit denselben Zugangsdaten, Werkzeugen und derselben Abrechnung wie Ihre übrigen Azure-Dienste, im Portal, mit PowerShell, der Azure CLI oder über die REST-API. Die Domänen liegen auf dem weltweiten Netz von Azure-Namensservern und werden dank Anycast vom nächsten verfügbaren Server beantwortet. Azure DNS bietet außerdem:

  • Private DNS-Domänen: eigene Domänennamen innerhalb Ihrer virtuellen Netzwerke statt der von Azure vergebenen Namen.
  • Alias-Einträge: Sie verweisen auf eine Azure-Ressource, etwa eine öffentliche IP-Adresse. Ändert sich deren Adresse, passt sich der Eintrag selbst an.

Mit Azure DNS kaufen Sie keinen Domänennamen. Dafür brauchen Sie einen Registrar oder App Service Domains. Danach können Sie die Domäne in Azure DNS verwalten.

Öffentliche und private Endpunkte

Ein Endpunkt ist der Punkt, an dem ein Dienst erreichbar ist.

  • Ein öffentlicher Endpunkt hat eine öffentliche IP-Adresse und ist von überall auf der Welt erreichbar.
  • Ein privater Endpunkt liegt innerhalb eines virtuellen Netzwerks und hat eine private IP-Adresse aus dessen Adressraum. Er ist nur im Netzwerk erreichbar.

Eine Datenbank, die nur Ihre Webserver brauchen, gehört deshalb hinter einen privaten Endpunkt.

Die Wege im Vergleich

Verbindung Läuft über Verbindet Typischer Einsatz
Peering Microsoft-Backbone, privat zwei virtuelle Netzwerke Netzwerke in Azure koppeln, auch über Regionen
VPN Gateway verschlüsselt über das Internet Standort, einzelnes Gerät oder Netzwerk mit Azure verschlüsselte Anbindung über das Internet
ExpressRoute private Leitung über einen Anbieter, nicht das Internet Ihr Netz mit Azure und Microsoft 365 gleichmäßige, private Anbindung

Ein Beispiel

Der ausgedachte „Nordlicht Verlag“ betreibt ein Redaktionssystem in Azure. Das System liegt in einem virtuellen Netzwerk mit zwei Subnetzen, eins für die Webserver, eins für die Datenbank. Die Datenbank hat nur einen privaten Endpunkt. Die Redaktion im Büro erreicht das Netz über ein VPN Gateway. Redakteure im Homeoffice nutzen eine Point-to-site-Verbindung. Das Netzwerk eines Dienstleisters, der die Bildarchive betreibt, ist über Peering angebunden. Die Domäne des Verlags verwaltet er in Azure DNS.

Übung 1

Der ausgedachte „Baumann Logistik“ plant zwei Dinge:

  1. Zwei Lagerstandorte brauchen eine dauerhafte, verschlüsselte Verbindung zu Azure. Eine eigene, private Leitung ist dafür nicht verlangt.
  2. Die Zentrale will sehr große Datenmengen jeden Tag über eine Leitung nach Azure übertragen, die nicht durch das öffentliche Internet läuft und gleichmäßig schnell ist.

Wählen Sie jeweils eine Verbindung und begründen Sie die Wahl. Was gilt für die DNS-Anfragen, wenn Sie sich für die zweite Variante entscheiden?

Lösung 1
  1. VPN Gateway mit Site-to-site-Verbindung. Jeder Standort verbindet sein VPN-Gerät mit dem Azure-VPN-Gateway. Der Verkehr ist verschlüsselt und läuft über das Internet. Eine eigene Leitung ist hier nicht nötig, deshalb passt das VPN.
  2. ExpressRoute. Die Verbindung entsteht mit einem Netzwerkanbieter und läuft nicht über das öffentliche Internet. Microsoft nennt dafür höhere Zuverlässigkeit, gleichmäßige Latenzen und mehr Sicherheit.

Zur Frage: Auch bei ExpressRoute laufen DNS-Anfragen, die Prüfung von Sperrlisten für Zertifikate und Anfragen an das Azure Content Delivery Network weiter über das öffentliche Internet. Eine ExpressRoute-Leitung ersetzt also nicht alles. Wer streng alles privat halten will, muss diese Punkte gesondert betrachten.