Was ist ein virtuelles Netzwerk (VNet)?

Ein virtuelles Netzwerk (VNet) ist ein Azure-Konstrukt zur logischen Isolierung von Cloud-Ressourcen, ähnlich wie bei einem herkömmlichen lokalen Netzwerk. Ressourcen, die in einem VNet untergebracht sind – virtuelle Maschinen, Gateways und Netzwerkgeräte – kommunizieren sicher untereinander, mit lokalen Netzwerken und mit dem Internet, und zwar unter Einhaltung von Subnetzen und Sicherheitsregeln, die der Kunde selbst festlegt.

Die wichtigsten Erkenntnisse

• Ein VNet ist das logisch isolierte Netzwerk von Azure für Cloud-Ressourcen.
• Subnetze unterteilen ein VNet in Segmente wie „Management“, „WAN“ und „LAN“.
• VNets greifen über ein VPN-Gateway, ein virtuelles WAN oder einen NVA auf lokale Netzwerke zu.
• Der Azure Route Server tauscht BGP-Routen aus, ohne dass die Routentabelle manuell aktualisiert werden muss.
• Versa SASE Gateways und VOS-Instanzen stellen über IPsec und BGP eine Verbindung zu VNets her.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · VNet & Versa · Häufig gestellte Fragen

Warum sind VNets wichtig?

Jede Workload, die ein Unternehmen in Azure ausführt – Anwendungsserver, Datenbanken, SD-WAN-Edge-Geräte –, befindet sich in einem VNet. Das VNet bildet somit die Grenze, die bestimmt, was auf was zugreifen kann. Ohne das VNet gibt es für Cloud-Ressourcen keine einheitliche Möglichkeit, Workloads zu isolieren oder Sicherheitsrichtlinien anzuwenden.

VNets sind aus betrieblicher Sicht von Bedeutung, da der Großteil des Cloud-Wachstums mittlerweile mit hybrider Konnektivität zusammenhängt: Zweigstellen, Remote-Benutzer und andere Clouds benötigen alle einen definierten, richtliniengesteuerten Pfad zu den in Azure gehosteten Ressourcen. Ein VNet bietet Netzwerk- und Sicherheitsteams eine einheitliche Grenze, um konsistente Regeln sowohl in lokalen als auch in Cloud-Umgebungen durchzusetzen – worauf sowohl die Einhaltung gesetzlicher Vorschriften als auch ein einheitliches Sicherheitskonzept beruhen. Die richtige Gestaltung des VNet ist die Grundlage für alles, was darauf aufbaut.

Was ist ein VNet?

Ein VNet wird durch einen IP-Adressbereich definiert und befindet sich innerhalb einer Azure-Ressourcengruppe – dem logischen Container, den Azure verwendet, um zugehörige Ressourcen als eine Einheit zu verwalten. Innerhalb eines VNet werden durch Subnetze kleinere Adressbereiche für bestimmte Zwecke abgegrenzt: Verwaltung, WAN, LAN und – sofern dynamisches Routing erforderlich ist – ein dediziertes RouteServerSubnet.

Zwei Bausteine erweitern die Reichweite eines VNet. Ein Virtual Network Gateway ist der VPN- oder ExpressRoute-Endpunkt, der das VNet mit lokalen Netzwerken oder anderen VNets verbindet, gepaart mit einem Local Network Gateway, das das Remote-Gerät repräsentiert. Eine Netzwerksicherheitsgruppe (NSG) fungiert als virtuelle Firewall für Subnetze oder Schnittstellen und filtert den Datenverkehr nach IP-Adresse, Port und Protokoll. Größere Architekturen nutzen Azure Virtual WAN, einen von Microsoft verwalteten Hub, der zahlreiche VNets und Zweigstellen miteinander verbindet.

Arten der VNet-Konnektivität

Die Anbindung eines externen Netzwerks an ein VNet erfolgt nach einem von drei Mustern. Ein Site-to-Site-VPN-Gateway baut einen direkten IPsec-Tunnel mit dynamischen Routen über eBGP zwischen dem Virtual Network Gateway eines einzelnen VNet und dem Remote-Gerät auf – eine einfache und kostengünstige Lösung für ein einzelnes VNet. Ein Virtual-WAN-Hub verbindet das Remote-Gerät mit einem von Microsoft verwalteten Hub, der über zentralisiertes Routing auf viele VNets und Regionen verteilt ist. Die Network Virtual Appliance (NVA) platziert eine virtuelle Instanz der eigenen Software des Remote-Geräts innerhalb des VNet und beendet dynamische Tunnel lokal – nützlich, wenn eine bestehende SD-WAN-Struktur nativ in Azure erweitert werden soll.

Ein viertes Modell, der „Azure Route Server“, ist eher eine Routing-Ebene als eine Verbindungsmethode: Er tauscht BGP-Routen zwischen einem VNet und einem NVA im Aktiv-Aktiv- oder Aktiv-Passiv-Modus aus, wodurch die manuelle Pflege von Routentabellen entfällt.

VNet & Versa

Versa SASE Gateways und VOS-Geräte stellen über dieselben von Azure bereitgestellten Muster eine Verbindung zu Azure-VNets her. Ein „SASE “-Gateway kann über einen Site-to-Site-IPsec-Tunnel mit eBGP eine direkte Peering-Verbindung mit dem Virtual Network Gateway eines VNet herstellen oder sich mit einem Azure Virtual WAN-Hub verbinden, um eine zentralisierte Konnektivität über mehrere VNets hinweg zu ermöglichen. Wenn ein Unternehmen bereits Versa Secure SD-WAN einsetzt, erweitert eine als NVA innerhalb des VNet bereitgestellte VOS-Instanz diese Infrastruktur in Azure hinein, wobei die Verwaltung über Versa Concerto erfolgt.

Bei hochverfügbaren Konzepten kann ein VOS-Gerät über BGP eine Peer-Verbindung mit dem Azure Route Server herstellen, sodass die Routen zu jedem angeschlossenen VNet bei einem Failover aktuell bleiben – eine manuelle Pflege der Routentabelle ist nicht erforderlich. In der Monitor-Ansicht von Director werden die daraus resultierenden BGP-Nachbarn und Präfixe zur Überprüfung angezeigt.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem VNet und einem Subnetz?

Ein VNet ist der gesamte Adressraum und die Isolationsgrenze in Azure; ein Subnetz ist ein kleinerer Bereich von IP-Adressen, der aus diesem VNet herausgelöst wird, um Ressourcen zu segmentieren – beispielsweise separate Verwaltungs-, WAN- und LAN-Subnetze innerhalb eines VNet.

Was ist der Unterschied zwischen einem VNet und einer VPC?

Es handelt sich um dasselbe Konzept unter unterschiedlichen Bezeichnungen: Ein VNet ist das logisch isolierte virtuelle Netzwerk von Azure, und ein VPC ist das entsprechende Konstrukt bei AWS. Beide ermöglichen es dem Kunden, Adressbereiche, Subnetze und das Routing zu steuern.

Können zwei VNets miteinander kommunizieren?

Ja, entweder über VNet-Peering oder durch die Anbindung beider an einen gemeinsamen Azure Virtual WAN-Hub. Bei keinem der beiden Ansätze muss der Datenverkehr das Backbone von Microsoft verlassen, und beide können BGP-Routen übertragen, wenn ein Routenserver oder ein NVA beteiligt ist.

Benötigt ein VNet ein Gateway, um auf lokale Netzwerke zugreifen zu können?

In den meisten Konfigurationen ist dies der Fall – ein virtuelles Netzwerk-Gateway oder eine virtuelle Netzwerk-Appliance innerhalb des VNet beendet die Verbindung zum Remote-Standort. Der Azure Route Server übernimmt dann optional den BGP-Routenaustausch ohne manuelle Routentabelle.

Inwiefern unterstützt der Azure Route Server das Routing in virtuellen Netzwerken?

Dadurch können ein VNet und eine virtuelle Netzwerk-Appliance, wie beispielsweise eine VOS-Instanz, Routen direkt über BGP in einem Aktiv-Aktiv- oder Aktiv-Passiv-Design austauschen. Die Routen werden bei einem Failover automatisch aktualisiert, sodass keine benutzerdefinierten Routentabellen erforderlich sind.

Mehr zu VNets

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit VNets beschäftigen, sollten Sie sich diese als Nächstes einmal ansehen.