Azure VPN Gateway ist ein von Microsoft betriebener Netzwerkdienst innerhalb von Microsoft Azure. Er stellt die Azure-Seite einer VPN-Verbindung bereit. Unternehmen können damit beispielsweise eine Niederlassung mit Servern in Azure verbinden oder Mitarbeitenden einen geschützten Fernzugriff ermöglichen.
Welche Verbindungen sind möglich?
- Site-to-Site: Ein VPN-Gerät am Unternehmensstandort verbindet das lokale Netzwerk über einen IPsec/IKE-Tunnel mit Azure.
- Point-to-Site: Einzelne Geräte bauen mit einem geeigneten VPN-Client eine Verbindung auf. Unterstützte Protokolle und Anmeldeverfahren müssen zueinander und zum Betriebssystem passen.
- VNet-to-VNet: VPN-Gateways verbinden virtuelle Azure-Netzwerke über verschlüsselte Tunnel.
Die Grundidee entspricht einem VPN: Der Tunnel schützt Daten auf dem Übertragungsweg. Welche Systeme anschließend erreichbar sind, bestimmen zusätzlich Routing, Netzwerkregeln und Berechtigungen.
Was wird für den Aufbau benötigt?
Zur Azure-Konfiguration gehören ein virtuelles Netzwerk, ein eigenes GatewaySubnet, eine passende Gateway-SKU und die Verbindungsressourcen. Im GatewaySubnet werden ausschließlich die Gateway-Komponenten bereitgestellt. Für Site-to-Site-Verbindungen beschreibt ein sogenanntes Local Network Gateway die Gegenstelle und deren Netzbereiche. Diese Azure-Ressource ersetzt das lokale VPN-Gerät nicht, sondern beschreibt es für die Verbindung und das Routing.
IP-Adressbereiche sollten vorab so geplant werden, dass keine Überschneidungen entstehen. Auch DNS-Auflösung, Rückrouten, IPsec-Parameter und die Kompatibilität der lokalen Firewall müssen zusammenpassen. Eine erfolgreiche Tunnelanmeldung allein beweist noch nicht, dass eine Anwendung durchgehend erreichbar ist.
Verfügbarkeit und Betrieb
Die Gateway-SKU beeinflusst unter anderem Kapazität und verfügbare Funktionen. Active-Active-Konfigurationen und zonenredundante Bereitstellung können die Ausfallsicherheit erhöhen, sofern die gewählte Konfiguration sie unterstützt. Für eine belastbare Gesamtlösung müssen auch lokale VPN-Geräte, Internetanschlüsse und Routing berücksichtigt werden.
Im Betrieb gehören Verbindungsstatus, Protokolle und Auslastung ins Monitoring. Änderungen sollten dokumentiert und der Zugriff auf benötigte Netzbereiche begrenzt werden.
Abgrenzung zu ExpressRoute
VPN Gateway nutzt für die Standortanbindung das öffentliche Internet. ExpressRoute stellt dagegen private Verbindungen zu Microsoft bereit. VPN kann auch als ergänzender Ausweichpfad dienen. Welcher Aufbau passt, hängt von Verfügbarkeit, Datenverkehr und Betriebsanforderungen ab.