Hybride Konnektivität: Verbinden Sie On-Premises mit Azure

In diesem Artikel können Sie die richtige Konnektivitätsoption für die Verbindung Ihres lokalen Netzwerks mit Azure virtuellen Netzwerken (VNets) auswählen und planen.

Inhalt dieses Artikels

In diesem Artikel werden die Entwurfsentscheidungen für die Verbindung lokaler Netzwerke mit Azure VNets mithilfe von Azure VPN Gateway oder Azure ExpressRoute behandelt. Sie lernen, wann Sie die einzelnen Optionen verwenden, wie sie zusammenarbeiten und wie Sie die Bereitstellung Ihres Gateways planen. Für einen übergeordneten Überblick über die hybriden Konnektivitätsdienste siehe Was ist hybride Konnektivität?

Wer diesen Artikel benötigt

Lesen Sie diesen Artikel, wenn eine oder mehrere dieser Bedingungen gelten:

• Ihre Azure Workloads müssen mit lokalen Systemen, Benutzern oder Rechenzentren kommunizieren.
• Sie müssen zwischen VPN Gateway und ExpressRoute wählen, basierend auf Bandbreite, Latenz, Resilienz oder Kosten.
• Sie benötigen einen privaten oder verschlüsselten Pfad für Identitäts-, Daten-, Verwaltungs- oder Anwendungsabhängigkeiten, die außerhalb Azure bleiben.
• Sie müssen die Gatewaytopologie, Redundanz oder Koexistenz zwischen VPN und ExpressRoute planen.

Azure Dienste und Features

Azure bietet mehrere Dienste für hybride Konnektivität. Jeder Dienst behandelt unterschiedliche Bandbreiten-, Latenz-, Kosten- und Sicherheitsanforderungen.

Funktionsweise von VPN Gateway

Azure VPN Gateway erstellt einen verschlüsselten IPsec/IKE-Tunnel zwischen Ihrem lokalen VPN-Gerät und einem Azure virtuellen Netzwerkgateway. Die folgenden Schritte beschreiben den Site-to-Site-(S2S) Tunnelaufbauprozess:

1. Bereitstellung des Gateways: Sie stellen eine VPN-Gatewayressource im GatewaySubnet Ihres Hub-VNet bereit. Azure stellt zwei oder mehr Gatewayinstanzen bereit (je nach SKU und Aktiv/Aktiv-Konfiguration). Die Bereitstellung dauert etwa 30 bis 45 Minuten.
2. Definition des lokalen Netzwerkgateways: Sie erstellen eine lokale Netzwerkgatewayressource in Azure, die Ihr lokales Netzwerk darstellt. Diese Ressource gibt die öffentliche IP-Adresse Ihres lokalen VPN-Geräts und die lokalen Adressbereiche an, die Azure über den Tunnel weiterleiten sollen.
3. Erstellung von Verbindungsressourcen: Sie erstellen eine Verbindungsressource, die die VPN Gateway mit dem lokalen Netzwerkgateway verknüpft. Sie geben die Parameter "Shared Key" (pre-shared key) und "IPsec/IKE" für den Tunnel an.
4. IKE-Phase 1 (Hauptmodus): Das Azure-Gateway und Ihr lokales Netzwerkgerät verhandeln einen sicheren Kanal. Sie tauschen Vorschläge für Verschlüsselungsalgorithmen, Integritätsalgorithmen, Diffie-Hellman Gruppen und Authentifizierungsmethoden aus. Das Ergebnis ist eine IKE Security Association (SA).
5. IKE Phase 2 (Schnellmodus): Durch die Verwendung des sicheren Kanals aus Phase 1 verhandeln beide Seiten die IPsec-SA-Parameter: Verschlüsselungsalgorithmus, Integritätsalgorithmus und Schlüssellebensdauer. Dieser Prozess richtet den IPsec-Tunnel ein.
6. Verkehrsflüsse: Sobald beide Phasen abgeschlossen sind, ist der Tunnel aktiv. Datenverkehr, der den definierten Adressbereichen entspricht, wird verschlüsselt, in IPsec ESP-Paketen gekapselt und über das öffentliche Internet an den Remoteendpunkt gesendet.

Für aktiv aktive Konfigurationen stellt Azure zwei Gatewayinstanzen mit jeweils einer eigenen öffentlichen IP zur Verfügung. Ihr lokales Gerät stellt Tunnel für beide Instanzen her und stellt automatisches Failover bereit, wenn eine Instanz nicht verfügbar ist.

Funktionsweise von ExpressRoute

Azure ExpressRoute erstellt eine private Verbindung zwischen Ihrem lokalen Netzwerk und Azure über einen Verbindungsanbieter. Im Gegensatz zu VPN geht der Datenverkehr nie über das öffentliche Internet. Das Konnektivitätsmodell umfasst drei Netzwerkränder:

• Kunden-Edge (CE): Ihr lokaler Router in Ihrem Rechenzentrum oder Ihrer Colocation-Einrichtung. Dieses Gerät baut über BGP eine Peering-Verbindung mit dem Provider-Edge-Router auf.
• Anbieter-Edge (PE): Der Router des Konnektivitätsanbieters an seinem Meet-Me-Standort (Peering-Einrichtung). Der Anbieter richtet eine Layer 2- oder Layer 3-Verbindung zwischen Ihrem CE und ihrem PE ein.
• Microsoft Edge (MSEE): Microsoft Enterprise Edge-Router an der Peering-Einrichtung. Der Anbieter verbindet sein PE mit dem MSEE und vervollständigt damit den privaten Pfad bis in Azure.

Wenn Sie einen ExpressRoute-Schaltkreis bereitstellen, richtet der Anbieter redundante Verbindungen zwischen allen drei Kanten ein. Azure kündigt Ihre VNet-Adresspräfixe ihrem CE-Router mithilfe von BGP an, und Ihr CE kündigt lokale Routen zurück zu Azure an. Dieser bidirektionale Austausch von Routen ermöglicht, dass der Datenverkehr über den privaten Pfad fließt.

ExpressRoute unterstützt zwei Peeringtypen:

• Azure privates Peering: Stellt eine Verbindung mit Azure VNets (IaaS und PaaS mit privaten Endpunkten) bereit. Dieser Peeringtyp ist der am häufigsten für die Hybridkonnektivität.
• Microsoft Peering: Stellt eine Verbindung mit Microsoft 365 und Azure öffentlichen Diensten (z. B. Azure Storage öffentlichen Endpunkten) bereit. Erfordert Routingfilter zum Auswählen bestimmter Dienstpräfixe.

ExpressRoute-SKU-Vergleich

VPN Gateway SKU-Vergleich

Wie man auswählt

Verwenden Sie die folgenden Entscheidungstabellen, um die richtige Konnektivitätsoption auszuwählen und zu bestimmen, wo Ihr Gateway platziert werden soll.

VPN Gateway vs. ExpressRoute

Wo befindet sich das Gateway?

ExpressRoute-Resilienzoptionen

In der folgenden Tabelle wird zusammengefasst, wie Die ExpressRoute-Verfügbarkeit erhöht wird. Aktuelle SLA-Prozentsätze finden Sie unter Azure Vereinbarungen zum Servicelevel.

Bereitstellungsentscheidung: Beispiel für Gateway-Platzierung

Erwägen Sie ein Unternehmen mit einem Hub-and-Spoke-Netzwerk, das über drei Spoke-VNets für Produktion, Staging und Entwicklung verfügt. Produktionsworkloads erfordern ExpressRoute für eine Datenbankreplikation mit geringer Latenz, während für Entwicklungsworkloads aus Kostengründen VPN Gateway verwendet wird.

Empfohlene Platzierung:

1. Stellen Sie sowohl ein ExpressRoute-Gateway als auch ein VPN Gateway im GatewaySubnet des Hub-VNet bereit (benötigt ein /26-Subnetz für Koexistenz).
2. Verbinden Sie die Produktions- und Staging-Spoke-Netzwerke über VNet-Peering mit dem Hub, bei aktiviertem Gatewaytransit. Diese Speichen verwenden den ExpressRoute-Pfad für die lokale Konnektivität.
3. Verbinden Sie den Entwicklungs-Spoke mit dem Hub bei aktiviertem Gatewaytransit. Konfigurieren Sie Routentabellen so, dass der Entwicklungsdatenverkehr bevorzugt den VPN-Tunnel verwendet, wodurch die Kosten für die ExpressRoute-Datenübertragung reduziert werden.
4. Konfigurieren Sie die VPN-Verbindung als Failoverpfad für die Produktion, falls der ExpressRoute-Schaltkreis einen Anbieterausfall erlebt.

Dieser Ansatz zentralisiert das Gateway-Management in einem einzigen Hub, minimiert die Anzahl der benötigten Gateway-Ressourcen und passt jede Spoke an die passende Konnektivitätsstufe für ihre Arbeitslastanforderungen an.

Kostenaspekte

VPN Gateway und ExpressRoute haben unterschiedliche Preismodelle. Wenn Sie diese Modelle verstehen, können Sie die Ausgaben optimieren.

Tipps zur Kostenoptimierung:

• Verwenden Sie die Local SKU für ExpressRoute, wenn sich Ihre Workloads in derselben Metropolregion wie der Peeringstandort befinden. Diese Wahl beseitigt ausgehende Datenübertragungsgebühren.
• Wählen Sie für ExpressRoute den verbrauchsabhängigen Tarif aus, wenn Ihr ausgehender Datentransfer unter etwa 10 TB/Monat liegt. Verwenden Sie den unbegrenzten Plan für Workloads mit höherem Volumen.
• Installiere VPN Gateway als Failover statt als zweiten ExpressRoute-Leitung, wenn du ein begrenztes Budget hast, aber trotzdem Redundanz brauchst.
• Richtige Größe Ihrer VPN Gateway-SKU. Verwenden Sie für die meisten Produktionsworkloads zunächst VpnGw2AZ und skalieren Sie nur dann nach oben, wenn Sie eine anhaltende Durchsatzsättigung feststellen.
• Überprüfen Sie ihre Gatewayauslastung monatlich. Azure Monitor Metriken zeigen den Tunneldurchsatz und die Verbindungsanzahl an, sodass Sie überlastete Gateways identifizieren können.

Überlegungen zum Entwurf

Prerequisites

Vergewissern Sie sich vor der Implementierung der Hybridkonnektivität, dass die folgenden Anforderungen erfüllt sind:

• Virtuelles Netzwerk mit einem GatewaySubnet: Ihr VNet muss ein dediziertes Subnetz GatewaySubnet mit einer Mindestgröße von /27 (oder /26 enthalten, wenn Sie expressRoute- und VPN-Gateways koexistieren möchten). Anleitungen zur VNet- und Subnetzplanung finden Sie im Artikel zu VNets und Subnetzen.
• Lokales VPN-Gerät (für VPN Gateway): Ein kompatibles VPN-Gerät, das IKEv2 und IPsec unterstützt. Microsoft verwaltet eine Liste der überprüften VPN-Geräte.
• Verbindungsanbieterbeziehung (für ExpressRoute): Ein Vertrag mit einem ExpressRoute-Verbindungsanbieter oder einer ExpressRoute Direct-Portzuweisung. Die Provider-Bereitstellung erfordert den Austausch eines Serviceschlüssels und die Einrichtung einer physischen Querverbindung.
• IP-Adressplanung: Nicht überlappende Adressräume zwischen lokalen und Azure Netzwerken. Planen Sie Gateway-Subnetzadressen als Teil Ihrer allgemeinen IP-Strategie. Weitere Informationen finden Sie im Artikel zur IP-Planung.
• Unterstützung des Border Gateway Protocol (BGP): ExpressRoute benötigt BGP und wird für dynamisches VPN Gateway-Routing empfohlen. Bestätigen Sie, dass Ihre lokale Ausrüstung BGP unterstützt.

Sicherheitsüberlegungen

Die Hybridkonnektivität führt Sicherheitsgrenzen ein, die eine sorgfältige Planung erfordern. Jeder Verbindungstyp verfügt über unterschiedliche Bedrohungsprofile und Gegenstrategien.

ExpressRoute-Datenverkehr ist standardmäßig nicht verschlüsselt

ExpressRoute bietet einen privaten Pfad, verschlüsselt aber standardmäßig keinen Verkehr auf der Netzwerkschicht. Dieses Fehlen der Verschlüsselung bedeutet, dass theoretisch jeder mit physischem Zugang zur Infrastruktur des Anbieters den Datenverkehr abfangen könnte. Berücksichtigen Sie die folgenden Verschlüsselungsoptionen basierend auf Ihrem Risikoprofil:

• MACsec (Layer 2): Nur für ExpressRoute Direct verfügbar. Verschlüsselt den Datenverkehr auf der physischen Verbindung zwischen Ihren Edgeroutern und Microsoft Edge. Du musst MACsec nach der Portbereitstellung explizit aktivieren. Diese Option bietet kabelschnelle Verschlüsselung mit minimalem Latenzaufwand.
• IPsec über ExpressRoute (Layer 3): Führen Sie einen VPN-Tunnel über die private ExpressRoute-Peeringverbindung für die End-to-End-Verschlüsselung aus. Dieser Ansatz funktioniert mit jedem ExpressRoute-Schaltkreis und verschlüsselt datenverkehr sowohl über das Anbieternetzwerk als auch über das Microsoft Backbone. Die VPN Gateway SKU begrenzt den Durchsatz.
• Verschlüsselung auf Anwendungsebene: Verwenden Sie TLS/HTTPS auf Anwendungsebene. Dieser Ansatz ist unabhängig vom Verbindungstyp und schützt Daten unabhängig vom zugrunde liegenden Transport. Es ist die am häufigsten verwendete und empfohlene Mindestverschlüsselung für alle Hybridworkloads.

Für die meisten Organisationen bietet die Kombination aus dem privaten ExpressRoute-Pfad plus Application-Layer TLS einen ausreichenden Schutz. Fügen Sie MACsec oder IPsec über ExpressRoute nur hinzu, wenn behördliche Anforderungen die Netzwerkschichtverschlüsselung für Daten während der Übertragung vorgeschrieben haben.

Asymmetrisches Routing unterbricht zustandsbehaftete Firewalls

Wenn Sie mehrere Verbindungspfade verwenden, z. B. ExpressRoute und VPN, können Datenverkehr verschiedenen eingehenden und ausgehenden Pfaden folgen. Zustandsorientierte Firewalls verwerfen Rückverkehr, der über eine andere Schnittstelle eingeht als die ursprüngliche Anfrage. Planen Sie Ihr Routing, um symmetrische Pfade sicherzustellen, oder verwenden Sie Routentabellen und BGP-Attribute, um den Datenverkehrsfluss zu steuern.

Zu den Entschärfungsstrategien gehören:

• Konfigurieren Sie auf dem Backup-Pfad das Voranstellen von BGP AS PATH, damit dieser weniger bevorzugt wird.
• Verwenden Sie Routentabellen (UDRs) in Subnetzen, um den Datenverkehr über ein bestimmtes Gateway zu erzwingen.
• Konfigurieren Sie BGP-Communitys und lokale Einstellungen , um die Routenauswahl deterministisch zu beeinflussen.
• Testen Sie Failoverszenarien, um zu überprüfen, ob der Datenverkehr über denselben Pfad zurückgegeben wird, an dem er eingegangen ist.

GatewaySubnet NSG Vorsicht

Wenn Sie NSGs auf das GatewaySubnet anwenden müssen, lassen Sie mindestens den Datenverkehr vom Diensttag GatewayManager und vom Diensttag AzureLoadBalancer zu. Überprüfen Sie die Gatewaydokumentation für die vollständige Liste der erforderlichen Regeln, bevor Sie Änderungen vornehmen.

Site-to-Site-VPN-Verschlüsselung

IKEv2/IPsec verschlüsselt immer Site-to-Site-VPN-Verkehr während des Transports. Sie konfigurieren die Verschlüsselungsalgorithmen und schlüsselstärken im Rahmen der IPsec/IKE-Richtlinie für die Verbindung. Verwenden Sie benutzerdefinierte Richtlinien, um bestimmte kryptografische Algorithmen zu erzwingen, anstatt auf Standardwerte zu vertrauen.

Empfohlene benutzerdefinierte Richtlinieneinstellungen für Produktionsworkloads:

• IKE Phase 1: AES-256-Verschlüsselung, SHA-256-Integrität, DH-Gruppe 14 oder höher
• IKE Phase 2 (IPsec): AES-256-GCM-Verschlüsselung, PFS Group 14 oder höher
• Standard-SA-Lebensdauer: 28.800 Sekunden (IKE), 3.600 Sekunden (IPsec)

Vermeiden Sie veraltete Algorithmen (DES, 3DES, MD5, SHA-1, DH Group 1/2), obwohl Azure sie weiterhin aus Gründen der Abwärtskompatibilität unterstützt.

Punkt-zu-Site-VPN-Authentifizierung

P2S VPN unterstützt Microsoft Entra ID Authentifizierung mit mehrstufiger Authentifizierung (MFA)-Integration. Diese Option bietet eine identitätsbasierte Zugriffssteuerung für einzelne Clients, die eine Verbindung mit Azure herstellen. P2S VPN unterstützt außerdem zertifikatsbasierte und RADIUS-Authentifizierung.

Wählen Sie die Authentifizierungsmethode basierend auf Ihren Anforderungen aus:

Verwandte Artikel

• Was ist hybride Konnektivität?: Überblick über Azure hybride Konnektivitätsdienste und wann Sie diese nutzen sollten.
• VNets und Subnetze: GatewaySubnet-Größenanpassung und VNet-Voraussetzungen für die Hybridkonnektivität.
• Erzwungene Tunnel- und Ausgangssteuerung: Wie erzwungener Tunneling internetgebundenen Datenverkehr von Azure zurück zu lokal leitet.
• Privater Zugriff auf PaaS-Dienste: Private Endpunkte können über hybride Konnektivität von lokalen Netzwerken aus erreichbar sein.
• Fernzugriff für Entwickler und Administratoren: Point-to-Site-VPN-Bereitstellung, Integration von Identitäten und Details zur Client-Konfiguration.
• Multicloud- und regionsübergreifende Konnektivität: ExpressRoute Global Reach und Cloud-übergreifende Konnektivitätsszenarien.
• Hub-and-Spoke-Topologie: Platzierung des Gateways im Hub-VNet und Routingkonfiguration der Spokes.

Weitere Informationen

• Was ist Azure VPN Gateway?
• Was ist Azure ExpressRoute?
• Informationen zu ExpressRoute Direct
• Informationen zu VPN-Gateway-Konfigurationseinstellungen
• Entwurf für Hochverfügbarkeit mit ExpressRoute
• Verwenden von S2S VPN als Sicherung für private ExpressRoute-Peering
• Informationen zur Verschlüsselung für ExpressRoute

Nächste Schritte