Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Azure ExpressRoute bietet private, leistungsstarke Konnektivität zwischen Ihrer lokalen Infrastruktur und Microsoft-Cloud-Diensten über einen Konnektivitätsanbieter oder ExpressRoute Direct. Obwohl ExpressRoute-Verkehr nicht das öffentliche Internet durchquert, müssen Sie dennoch Routing, Management-Zugriffe, verbundene virtuelle Netzwerke, Datenüberwachung und Wiederherstellungspfade sichern.
Dieser Artikel enthält Sicherheitsempfehlungen für Azure ExpressRoute. Diese Empfehlungen helfen Ihnen, Ihre Sicherheitsverpflichtungen zu erfüllen und die gesamte Sicherheitslage Ihrer Bereitstellung zu verbessern. Für einen Überblick über die Netzwerksicherheitsdienste von Azure und wie sie zusammenarbeiten, siehe Was ist Azure-Netzwerksicherheit?
Die Sicherheitsempfehlungen in diesem Artikel implementieren Zero Trust-Prinzipien: "Explizit überprüfen", "Minimalen Berechtigungszugriff verwenden" und "Verletzung als gegeben ansehen". Umfassende Anleitungen zu Zero Trust finden Sie im Zero Trust Guidance Center.
Netzwerksicherheit
Die Netzwerksicherheit von ExpressRoute konzentriert sich auf den Schutz hybrider Konnektivität, die Begrenzung von Verkehrswegen und die Verringerung der Auswirkungen von Ausfällen oder Fehlkonfigurationen im End-to-End-Netzwerk.
MACsec-Verschlüsselung für ExpressRoute Direct konfigurieren: MACsec (Media Access Control Security) auf ExpressRoute Direct-Verbindungen aktivieren, um Layer-2-Verschlüsselung zwischen Ihrer Netzwerkausrüstung und Microsoft-Edge-Routern hinzuzufügen. Speichere MACsec-Geheimnisse in Azure Key Vault. Weitere Informationen finden Sie unter Konfigurieren der MACsec-Verschlüsselung für ExpressRoute Direct.
ExpressRoute-Gateways in dedizierten Subnetzen bereitstellen: Platzieren Sie ExpressRoute-Virtual-Netzwerk-Gateways nur in den erforderlichen
GatewaySubnetund setzen Sie keine Workloads oder Netzwerksicherheitsgruppen direkt auf dieses Subnetz ein. Sichere Workload-Subnetze separat. Weitere Informationen finden Sie unter Informationen zu ExpressRoute-Gateways für virtuelle Netzwerke.Verwende automatisch zugewiesene öffentliche IP-Adressen für ExpressRoute-Gateways, wo unterstützt: Lass Azure automatisch die Standard-öffentliche IP-Adresse für neue ExpressRoute-Virtual-Network-Gateways zuweisen und verwalten, wenn dein Szenario die Funktion unterstützt. Dieser Ansatz verringert die öffentliche IP-Management-Exposition, da die öffentliche IP des Gateways intern von Microsoft verwaltet wird und Ihnen nicht zugänglich ist. Weitere Informationen finden Sie unter Informationen zu ExpressRoute-Gateways für virtuelle Netzwerke.
Kontrollieren Sie den Workload-Verkehr mit Netzwerksicherheitsgruppen: Wenden Sie Netzwerksicherheitsgruppen auf Arbeitslastsubnetze an, die Verkehr über ExpressRoute empfangen. Erlauben Sie nur erforderliche Ports, Protokolle und Quellpräfixe und verweigern Sie unnötigen eingehenden Datenverkehr. Weitere Informationen finden Sie unter Netzwerksicherheitsgruppen.
Inspizieren Sie den Datenverkehr mit der Azure Firewall oder Netzwerk-virtuellen Appliances: Verwenden Sie die Azure Firewall oder genehmigte Netzwerk-Virtual-Appliances, um den Datenverkehr zwischen lokalen Netzwerken und Azure-Workloads zu inspizieren, Anwendungsregeln durchzusetzen und Verkehrsprotokolle zu sammeln. Weitere Informationen finden Sie in der Übersicht über die Azure Firewall.
Segmentierte verbundene Netzwerke: Nutze virtuelle Netzwerk-Peering, Routetabellen und Hub-Spoke-Designs, um zu steuern, wie sich der Verkehr zwischen ExpressRoute-verbundenen Workloads bewegt. Die Segmentierung begrenzt seitliche Bewegung und hilft, empfindliche Anwendungen zu isolieren. Weitere Informationen finden Sie unter Virtuelles Netzwerk-Peering und Virtuelles Netzwerk-Verkehrsrouting.
Getrennte Peering-Routing-Domänen: Verbinde privates Peering mit deinem Kernnetzwerk und halte den Microsoft-Peering-Datenverkehr in einer DMZ oder einem anderen kontrollierten Perimeter, da Microsoft-Peering öffentliche IP-Adressen für Microsoft-Cloud-Dienste verwendet. Weitere Informationen finden Sie unter ExpressRoute-Leitungen und Peering.
Überprüfen Sie FastPath-Routing- und Inspektionspfade: Aktivieren Sie FastPath nur, nachdem Sie unterstützte Leitungstypen, Gateway-SKUs, das Peering-Verhalten virtueller Netzwerke, benutzerdefinierte Routenunterstützung und Private Link-Einschränkungen für Ihre Architektur überprüft haben. Weitere Informationen finden Sie unter Azure ExpressRoute FastPath.
Verwenden Sie Azure Route Server für den unterstützten Routenaustausch: Wenn Sie einen dynamischen Routenaustausch zwischen ExpressRoute-Gateways, VPN-Gateways und Netzwerk-Virtual-Appliances benötigen, stellen Sie Azure Route Server im selben virtuellen Netzwerk wie das ExpressRoute- oder VPN-Gateway bereit. Plane Ausfallzeiten, wenn du Route Server in einem virtuellen Netzwerk erstellst oder löschst, das bereits ein virtuelles Netzwerk-Gateway enthält. Weitere Informationen finden Sie unter Azure Route Server-Unterstützung für ExpressRoute und Azure VPN.
Verwenden Sie verschiedene Anbieter und Pfade, wo es angemessen ist: Reduzieren Sie Abhängigkeiten von einem einzelnen Anbieter oder einem einzelnen Pfad durch Verwendung verschiedener Anbieter, unterschiedlicher Peering-Standorte oder anderer physikalisch unterschiedlicher Wege für redundante Leitungen. Weitere Informationen finden Sie unter ExpressRoute-Standorte und Konnektivitätsanbieter.
Aktivieren Sie aktiv-aktives Routing bei redundanten Verbindungen: Betreiben Sie die primären und sekundären Verbindungen jeder ExpressRoute-Leitung im aktiv-aktiven Modus, damit Microsoft jeden Verkehrsfluss ausbalancieren und den Datenverkehr bei Verbindungsfehlern schneller umleiten kann. Weitere Informationen finden Sie unter Designing for High Availability with Azure ExpressRoute.
Identitäts- und Zugriffsverwaltung
Identitäts- und Zugriffsmanagement für ExpressRoute steuert, wer Leitungen, Peerings, Gateways und zugehörige Ressourcen erstellen, verändern, überwachen und löschen kann. ExpressRoute bietet keine identitätsbasierte Authentifizierung für Datenplane-Verkehr, da es auf der Netzwerkschicht arbeitet.
Verwenden Sie Microsoft Entra ID für den Zugriff auf die Managementebene: Wenden Sie eine Conditional Access-Richtlinie an, die Multifaktor-Authentifizierung und konforme Gerätebedingungen für Identitäten erfordert, die ExpressRoute-Leitungen, Peerings, virtuelle Netzwerk-Gateways, Routentabellen und MACsec-Schlüsselmaterial in Azure Key Vault erstellen, ändern oder löschen können. Weitere Informationen finden Sie unter Require MFA for Azure Management.
Zuweisen Sie Rollen mit dem geringsten Privileg: Gewähren Sie nur die Berechtigungen, die zur Verwaltung von ExpressRoute-Leitungen, Peerings, Gateways, Routentabellen, Diagnoseeinstellungen und verbundenen Netzwerkressourcen erforderlich sind. Vermeiden Sie breite Eigentümer- oder Mitwirkende Zuweisungen, wenn engere oder benutzerdefinierte Rollen ausreichen. Weitere Informationen finden Sie unter Über Rollen und Berechtigungen für ExpressRoute-Leitungen und -Gateways.
Nutzen Sie Microsoft Entra Privileged Identity Management: Machen Sie privilegierten Zugriff auf ExpressRoute-Ressourcen wahlberechtigt und zeitgebunden, anstatt dauerhaft aktiv zu sein. Fordern Sie Genehmigung und Begründung für Rollen mit hoher Belastung, die das Routing ändern oder Konnektivitätsressourcen löschen können. Weitere Informationen finden Sie unter Privileged Identity Management.
Getrennte Aufgaben für Netzwerk- und Sicherheitsoperationen: Verschiedene Rollengruppen für Leitungsbereitstellung, Peering-Konfiguration, Gateway-Management, Überwachung und Sicherheitsüberprüfung zuweisen. Die Trennung der Aufgaben verringert das Risiko, dass ein kompromittiertes Konto die Verbindung verändert und Beweise verbergen kann. Weitere Informationen finden Sie unter Über Rollen und Berechtigungen für ExpressRoute-Leitungen und -Gateways.
Sichere MACsec-Geheimnisse mit Azure Key Vault-Zugriffskontrollen: Speichern Sie MACsec-Konnektivitäts-Assoziationsschlüssel und Konnektivitäts-Assoziationsschlüssel in Key Vault und beschränken Sie den Key Vault-Zugriff auf autorisierte Identitäten, die ExpressRoute Direct konfigurieren. Weitere Informationen finden Sie unter Konfigurieren der MACsec-Verschlüsselung für ExpressRoute Direct.
Datenschutz
Der Datenschutz von ExpressRoute konzentriert sich auf den Schutz von Routing-Sitzungen, die Verschlüsselung sensibler Datenverkehr bei Bedarf sowie die Absicherung von Geheimnissen und Telemetrie, die mit der Bereitstellung verbunden sind.
MACsec für ExpressRoute Direct Link-Verschlüsselung verwenden: Wenn Sie eine Layer-2-Verschlüsselung an dedizierten ExpressRoute Direct-Ports benötigen, konfigurieren Sie MACsec und verwalten Sie Schlüsselmaterial sicher. Weitere Informationen finden Sie unter Konfigurieren der MACsec-Verschlüsselung für ExpressRoute Direct.
Konfigurieren Sie die MD5-Authentifizierung für Border Gateway Protocol-Sitzungen bei Bedarf: Wenn Ihre Routing-Richtlinie authentifizierte BGP-Sitzungen erfordert, verwenden Sie einen MD5-Hash für privates Peering oder Microsoft-Peering, um die Border Gateway Protocol (BGP)-Nachrichten zwischen Ihren Routern und Microsoft Enterprise Edge (MSEE)-Routern zu validieren. Weitere Informationen finden Sie unter ExpressRoute-Routinganforderungen.
Verschlüsseln Sie sensiblen Anwendungsverkehr von Anfang bis Ende: ExpressRoute bietet eine private Konnektivität, verschlüsselt aber nicht standardmäßig den gesamten Datenverkehr. Verwenden Sie TLS, IPsec oder Anwendungsverschlüsselung für sensible Daten, die ExpressRoute durchlaufen. Weitere Informationen finden Sie unter Informationen zur Verschlüsselung für Azure ExpressRoute.
Schützen Sie Diagnosedaten-Ziele: ExpressRoute-Protokolle und -Kennzahlen können Topologie-, Leistungs- und Routing-Details offenbaren. Beschränken Sie den Zugriff auf Log Analytics-Arbeitsbereiche, Speicherkonten oder Ereignishubs, die Diagnosedaten empfangen. Weitere Informationen finden Sie unter Verwalten des Zugriffs auf Log Analytics-Arbeitsbereiche.
Vermeiden Sie private Endpunkte auf Key Vaults, die für MACsec-Geheimnisse verwendet werden: Speichern Sie MACsec-Konnektivitätsassoziationsschlüssel und Konnektivitätsassoziationsschlüssel im Key Vault, aber platzieren Sie diesen Tresor nicht hinter einem privaten Endpunkt, da die ExpressRoute-Verwaltungsebene die Geheimnisse abrufen muss. Weitere Informationen finden Sie unter Konfigurieren der MACsec-Verschlüsselung für ExpressRoute Direct.
Protokollierung und Überwachung
Logging und Überwachung für ExpressRoute bieten Transparenz in den Zustandszustand der Leitung, die Verfügbarkeit von Routing, Verkehrsmustern, Wartungsereignissen und Konfigurationsänderungen.
Aktivieren Sie Diagnoseeinstellungen für ExpressRoute-Ressourcen: Senden Sie ExpressRoute-Ressourcenprotokolle und -metriken an Azure Monitor Logs, Speicher oder Ereignishubs zur Speicherung und Analyse. Weitere Informationen finden Sie unter ExpressRoute überwachen.
Nutzen Sie Network Insights für Topologie und Gesundheit: Nutzen Sie Network Insights, um ExpressRoute-Leitungen, ExpressRoute Direct, Global Reach, Peerings, Verbindungen, Gateways, Verfügbarkeit, Durchsatz und Paketabbrüche in Azure Monitor ohne zusätzliche Einrichtung anzuzeigen. Weitere Informationen finden Sie unter ExpressRoute Network Insights.
Erstellen Sie Warnungen für die Leitungs- und Gateway-Gesundheit: Konfigurieren Sie Azure Monitor-Warnungen für ARP-Verfügbarkeit, BGP-Verfügbarkeit, Leitungsprotokoll, Gateway-Performance, Durchsatz, Paketabbrüche und andere wichtige ExpressRoute-Metriken. Weitere Informationen finden Sie unter ExpressRoute-Überwachungsreferenz.
Service Health Warnungen für Wartung konfigurieren: Abonnieren Sie Azure Service Health-Benachrichtigungen für geplante Wartungs- und Serviceprobleme von ExpressRoute, damit Netzwerkteams sich auf Wartungsfenster vorbereiten und Failover-Pfade validieren können. Weitere Informationen finden Sie unter Anzeigen und konfigurieren Sie ExpressRoute-Wartungswarnungen.
Überwachen Sie die End-to-End-Konnektivität: Verwenden Sie die Funktionen von Verbindungsmonitor oder Network Watcher, um die Konnektivität zwischen lokalen Standorten und Azure-Workloads über ExpressRoute zu testen und um Verschlechterungen zu erkennen, bevor es zu einem Ausfall wird. Weitere Informationen finden Sie unter Configure Verbindungsmonitor für ExpressRoute.
Sammeln Sie beprobte Flow-Logs mit ExpressRoute Traffic Collector: Verwenden Sie ExpressRoute Traffic Collector, um Flows für privates und Microsoft-Peering abzutasten und die Datensätze in Log Analytics, Event Hubs, Speicher oder ein SIEM für Verkehrsanalysen zu exportieren. Weitere Informationen finden Sie unter Azure ExpressRoute Traffic Collector.
Aktivieren Sie virtuelle Netzwerkflussprotokolle für verbundene Arbeitslasten: Verwenden Sie virtuelle Netzwerkflussprotokolle in virtuellen Netzwerken, die ExpressRoute-verbundene Workloads hosten, um erlaubte und abgelehnte IP-Flüsse, Verschlüsselungsstatus und Verkehrsmuster zu erfassen, die den gesampelten ExpressRoute-Flussdaten Kontext hinzufügen. Weitere Informationen finden Sie unter Datenflussprotokolle von virtuellen Netzwerken.
Korrelate ExpressRoute-Ereignisse in Microsoft Sentinel: Senden Sie ExpressRoute-Logs und zugehörige Netzwerktelemetrie an einen Log Analytics-Arbeitsbereich, der für Microsoft Sentinel aktiviert ist, damit Sie Routing, Firewall, Identität und Arbeitsbelastungsereignisse in der hybriden Umgebung korrelieren können. Weitere Informationen finden Sie unter Microsoft Sentinel-Datenkonnektoren.
Compliance und Governance
Compliance und Governance für ExpressRoute helfen, die Konnektivitätsressourcen inventarisiert, konsistent zu konfigurieren und über Abonnements und Umgebungen hinweg prüfbar zu halten.
Markieren Sie ExpressRoute-Ressourcen konsistent: Wenden Sie Tags auf Leitungen, Gateways, ExpressRoute Direct-Ports, Routentabellen und zugehörige Ressourcen an, um Eigentümer, Umgebungen, Datenklassifikationen und Kostenstellen zu identifizieren. Weitere Informationen finden Sie unter Tags verwenden zur Organisation von Azure-Ressourcen.
Verwenden Sie Azure Policy für die Governance: Verwenden Sie Azure Policy, um ExpressRoute-Circuit-Diagnoseeinstellungen zu prüfen oder zu erzwingen (verwenden Sie die integrierte Enable Logging by Category Group für ExpressRoute-Circuit-Richtlinien für Log Analytics, Event Hub und Storage Targets), erlaubte Bereitstellungsstandorte für Leitungen und Gateways sowie Tagging-Anforderungen für ExpressRoute Ressourcen. Weitere Informationen finden Sie in den integrierten Azure-Richtliniendefinitionen für Azure-Netzwerkdienste.
Führen Sie Rollenzuweisung und Ressourceninventar: Überprüfen Sie regelmäßig Rollenzuweisungen, berechtigte privilegierte Rollen, Leitungen, Peerings, Gateways, Verbindungen, Routingtabellen und Diagnoseeinstellungen. Entferne veralteten Zugang und ungenutzte Ressourcen. Weitere Informationen finden Sie unter Liste der Azure-Rollenzuweisungen.
Streckennutzung und Routenänderungen verfolgen: Überprüfen Sie die Bandbreitennutzung, Routenanzeigen, die Verbindungsgesundheit und Peering-Konfigurationsänderungen, um Kapazitätsrisiken, ungewöhnliche Aktivitäten oder Konfigurationsabweichungen zu identifizieren. Weitere Informationen finden Sie unter ExpressRoute überwachen.
Dokumentieren Sie genehmigte Routing- und Sicherheitsbasislinien: Führen Sie aktuelle Aufzeichnungen zu Leitungseinstellungen, Peering-Konfigurationen, BGP-Richtlinien, Routenfiltern, MACsec-Einstellungen, Firewall-Pfaden und Failover-Verfahren für Audit und Vorfallreaktion. Weitere Informationen finden Sie unter Erstellen und Ändern des Routings für eine ExpressRoute-Strecke.
Sicherung und Wiederherstellung
Backup und Wiederherstellung für ExpressRoute konzentrieren sich auf resiliente Architektur, getestete Failover-Wege, wiederherstellbare Konfigurationen und geplante Wartungsbereitschaft. Man kann ExpressRoute-Schaltungen nicht wie Datenressourcen sichern, daher hängt die Wiederherstellung von redundanter Konnektivität und dokumentierter Konfiguration ab.
Konfiguration von Dual-Circuits an geografisch getrennten Peering-Standorten: Für maximale Widerstandsfähigkeit sollten zwei ExpressRoute-Schaltkreise an unterschiedlichen Peering-Standorten bereitgestellt und die gleichen On-Premises-Routen über beide Leitungen angekündigt werden. Dieses Design reduziert die Abhängigkeit von einer einzelnen Peering-Seite. Weitere Informationen finden Sie unter Design und Architekt Azure ExpressRoute für Resilienz.
Nutzen Sie ExpressRoute Direct Redundanz für dedizierte Ports: Entwerfen Sie ExpressRoute Direct mit seinem redundanten Portpaar und der aktiv-aktiven Konnektivität und bewahren Sie die physische Vielfalt in Ihrem lokalen Netzwerk und den Cross-Connects. Weitere Informationen über ExpressRoute finden Sie unter Informationen zu ExpressRoute Direct.
Zonenredundante ExpressRoute-Gateways bereitstellen: Verwenden Sie verfügbarkeitszonenfähige Gateway-SKUs wie ErGw1AZ, ErGw2AZ oder ErGw3AZ. Deploye das Gateway als zonenredundant, wo es unterstützt wird. Zonenredundante Gateways verbessern die Widerstandsfähigkeit bei der virtuellen Netzwerkverbindung zu ExpressRoute. Weitere Informationen finden Sie unter Erstellen eines zonenredundanten virtuellen Netzwerk-Gateways.
Migrieren Sie bestehende Gateways zu verfügbarkeitszone-aktivierten SKUs: Für bestehende, nicht zonenredundante Gateways planen Sie eine Migration zu einer verfügbarkeitszonenfähigen ExpressRoute-Gateway-SKU, um die regionale Widerstandsfähigkeit zu verbessern. Weitere Informationen finden Sie unter Über die Migration zu einem verfügbarkeitszonenfähigen ExpressRoute-virtuellen Netzwerk-Gateway.
Konfigurieren Sie kundengesteuerte Wartungsfenster für Gateways: Weisen kundengesteuerte Wartungskonfigurationen ExpressRoute-Virtual-Netzwerk-Gateways zu, wenn Sie Plattformwartung während genehmigter Betriebsfenster benötigen. Weitere Informationen finden Sie unter Konfigurieren kundengesteuerter Gateway-Wartung für ExpressRoute.
Konfigurieren Sie das Site-to-Site-VPN-Backup, wenn es angemessen ist: Verwenden Sie Site-to-Site-VPN über das Internet als Backup für ExpressRoute Private Peering, wenn geschäftliche Anforderungen zusätzliche Latenz- und Bandbreitenbeschränkungen erlauben. Für latenzsensitive, missionskritische oder bandbreitenintensive Workloads bevorzugen Sie Multisite-ExpressRoute-Resilienz. Weitere Informationen finden Sie unter Use site-to-site VPN als Backup für ExpressRoute privates Peering.
Konfigurieren Sie Bidirektionale Weiterleitungserkennung auf Edge-Routern: Konfigurieren Sie Bidirektionale Weiterleitungserkennung auf Ihren Kunden- oder Anbieter-Edge-Routern für privates und Microsoft-Peering, um die Erkennung von Linkfehlern zu beschleunigen. BFD ist standardmäßig auf der Microsoft-Seite für neu erstellte private und Microsoft-Peerings konfiguriert. Für weitere Informationen, siehe Konfigurieren von BFD über ExpressRoute.
Validieren Sie den Failover während geplanter Wartungsfenster: Testen Sie primäre und sekundäre Pfade, Routenanzeigen, AS-Pfad-Pretening-Verhalten, VPN-Backup und redundante Schaltungen während genehmigter Wartungsfenster oder Off-Peak-Zeiten. Weitere Informationen finden Sie unter Bewertung der Widerstandsfähigkeit mehrortiger redundanter ExpressRoute-Schaltungen und Richtlinien zur geplanten Wartung für ExpressRoute.
Exportiere Azure Resource Manager oder Bicep-Vorlagen zur Wiederherstellung: Exportiere Azure Resource Manager-Vorlagen oder Bicep-Dateien für Leitungen, Peerings, Gateways, Routenfilter, Diagnoseeinstellungen und zugehörige Ressourcen, damit du die Konfiguration nach versehentlicher Löschung oder Umgebungswiederherstellung neu aufbauen kannst. Weitere Informationen finden Sie unter Export ARM-Vorlagen im Azure-Portal und Export von Bicep-Dateien im Azure-Portal.
Nutzen Sie Resiliency Insights und Validierung: Nutzen Sie ExpressRoute Resiliency Insights, um Routenresilienz, Gateway-Zonen-Redundanz, Empfehlungen und Validierungsbereitschaft zu bewerten. Führen Sie regelmäßig Resilienz-Validierungstests durch, um sicherzustellen, dass die Wiederherstellungsziele erreichbar bleiben. Weitere Informationen finden Sie unter ExpressRoute Resiliency Insights und ExpressRoute Resiliency Validation.