Definition Was ist Azure VPN Gateway?

Anbieter zum Thema

ALE Deutschland GmbH

Vitel GmbH

Azure VPN Gateway ist ein Dienst, mit dem sich lokale Netzwerke sicher über das Internet mit virtuellen Azure-Netzwerken verbinden lassen. Es sind verschiedene Verbindungsarten wie Site-to-Site-, Point-to-Site- oder VNet-to-VNet-VPNs möglich, um beispielsweise On-Premises-Netzwerke nahtlos in hybride Cloud-Architekturen zu integrieren oder Homeoffice-Nutzern sicheren Zugriff auf Azure-Ressourcen zu gewähren.

Azure VPN Gateway ist der Name eines von Microsoft auf der Azure-Cloud-Computing-Plattform angebotenen Dienstes. Mithilfe des Dienstes lassen sich von lokalen Netzwerken oder von einzelnen Endgeräten und beliebigen Standorten aus über das Internet sichere VPN-Verbindungen zu virtuellen Azure-Netzwerken der Microsoft-Cloud-Computing-Plattform Azure herstellen. Die über die VPN-Verbindungen zwischen lokalen Systemen und der Azure-Cloud übertragenen Daten sind verschlüsselt und vor unbefugtem Zugriff aus dem Internet zuverlässig geschützt. Für die unterschiedlichen Nutzungsszenarien werden verschiedene Verbindungsarten unterstützt.

Microsoft ordnet den Dienst Azure VPN Gateway in die Kategorie Hybridkonnektivität ein, zu der beispielsweise auch Azure ExpressRoute gehört. Im Gegensatz zum Azure VPN Gateway, mit dem Daten verschlüsselt über das Internet übertragen werden, stellt ExpressRoute aber eine private, dedizierte Verbindung unabhängig vom öffentlichen Internet zwischen einer lokalen IT-Infrastruktur und einem Microsoft-Azure-Rechenzentrum her.

Das Azure VPN Gateway ist in großem Umfang skalierbar, bietet eine Verfügbarkeit von 99,9 Prozent und wird nach einem nutzungsbasierten Kostenmodell abgerechnet. Die Kosten setzen sich aus den Compute-Kosten für das virtuelle Netzwerkgateway und den Datenübertragungskosten zusammen.

Prinzipielle Funktionsweise und technische Merkmale des Azure VPN Gateway

Das Azure VPN Gateway wird als Service in der Azure-Cloud gehostet und fungiert als virtuelle Gateway-Ressource zur Verschlüsselung und Übertragung der Daten. Es wird über ein eigenes Gateway-Subnetz, das je nach Konstellation unterschiedlich groß sein kann, an das virtuelle Azure-Netzwerk angebunden.

Grundsätzlich kann das Gateway mehrere VPN-Verbindungen gleichzeitig bedienen. Die für das Gateway zur Verfügung stehende Bandbreite wird zwischen den VPN-Verbindungen entsprechend aufgeteilt. Für die unterschiedlichen Leistungsanforderungen sind verschiedene Leistungsstufen oder Varianten von virtuellen Netzwerk-Gateways in Form von VPN Gateway SKUs (Stock Keeping Units) verfügbar. Sie können gemäß den Anforderungen an Durchsatz, Verfügbarkeit und Funktionalität ausgewählt werden und sind maßgeblich für die Performance und Redundanz der verschlüsselten Verbindungen verantwortlich. Durch das Upgraden der SKUs lässt sich die Leistung skalieren.

Neben IPv4 unterstützt das Azure VPN Gateway auch IPv6. Als Verschlüsselungsprotokolle verwendet der Dienst den Industriestandard für verschlüsselte VPN-Tunnel IPsec/IKE oder OpenVPN und das von Microsoft entwickelte Secure Socket Tunneling Protocol (SSTP). Es kommen starke Verschlüsselungs- und Hashing-Verfahren wie AES-256 und SHA-2 zum Einsatz. Die Authentifizierung ist über Pre-Shared Key (PSK) oder zertifikatbasiert möglich. Darüber hinaus ist über die Integration in Microsoft Entra ID die Implementierung einer flexiblen, benutzerbasierten Zugriffssteuerung mit modernem, zentralem Identitätsmanagement und Multi-Faktor-Authentifizierung (MFA) möglich.

Zur Konfiguration des Azure VPN Gateway, um beispielsweise festzulegen, welcher Datenverkehr über das VPN-Gateway abgewickelt werden soll, lassen sich Azure PowerShell oder das Azure-Portal verwenden. Die Überwachung des Azure VPN Gateway erfolgt primär über den Azure Monitor, den zentralen, einheitlichen Observability-Dienst von Microsoft. Er stellt Diagnoseprotokolle, Warnmeldungen und Verbindungsstatistiken für die VPN-Verbindungen bereit.

Die verschiedenen Verbindungsarten des Azure VPN Gateway und typische Einsatzbeispiele

Das Azure VPN Gateway unterstützt mehrere verschiedene Verbindungsarten beziehungsweise VPN-Typen. Jede Verbindungsart eignet sich für bestimmte Einsatzszenarien. Die drei Verbindungsarten des Azure VPN Gateway sind:

Site-to-Site-Verbindungen (S2S): zur Verbindung kompletter lokaler Netzwerke mit Azure

Point-to-Site-Verbindungen (P2S): zur Verbindung einzelner Clients und Endgeräte mit Azure

VNet-to-VNet-Verbindungen: zur Verbindung verschiedener virtueller Netzwerke in Azure untereinander

Über Site-to-Site-Verbindungen lassen sich lokale On-Premises-Netzwerke mit einem virtuellen Azure-Netzwerk verbinden. Dadurch lässt sich beispielsweise ein komplettes Unternehmensnetzwerk oder das komplette Netzwerk eines Unternehmensstandorts mit all seinen Endgeräten oder Servern dauerhaft an die Azure-Cloud-Computing-Plattform mit ihren Diensten anbinden. Diese Verbindungsart ist ideal dafür geeignet, um On-Premises-Infrastrukturen nahtlos in Azure zu integrieren. Site-to-Site-Verbindungen benötigen ein lokales VPN-Gerät mit einer öffentlichen IP-Adresse. Über die Verbindung mehrerer lokaler Standorte mit dem VPN-Gateway lassen sich so genannte Multi-Site-Konfigurationen realisieren.

Point-to-Site-Verbindungen sind dafür vorgesehen, einzelne Benutzer mit ihren Endgeräten, zum Beispiel Smartphones, PCs oder Laptops, sicher über das Internet mit dem virtuellen Azure-Netzwerk zu verbinden. Die Verbindungen werden vom Client aus hergestellt und benötigen eine entsprechende VPN-Client-Software und VPN-Konfiguration auf dem Endgerät. Grundsätzlich lassen sich Point-to-Site-Verbindungen und Site-to-Site-Verbindungen bei Kompatibilität der Konfigurationsanforderungen über das gleiche Azure VPN Gateway betreiben. Ideal geeignet ist die Verbindungsart Point-to-Site-VPN für die Remote-Arbeit, zum Beispiel von zuhause aus oder von unterwegs, und den sicheren Zugriff auf die dafür benötigten Ressourcen in Azure. Point-to-Site-Verbindungen lassen sich aber auch für den sicheren Fernzugriff von Administratoren verwenden. Auch der Einsatz als Alternative zu einem Site-to-Site-VPN für Unternehmensstandorte, an denen nur wenige Endgeräte oder Clients Zugriff auf Azure-Ressourcen benötigen, ist denkbar.

Mit VNet-to-VNet-Verbindungen können über das Internet sichere Verbindungen zwischen virtuellen Azure-Netzwerken hergestellt werden. Die verschiedenen virtuellen Azure-Netzwerke können sich in derselben oder in verschiedenen Regionen und in demselben oder in verschiedenen Abonnements befinden. Aufgebaut werden die sicheren Verbindungen zwischen den jeweiligen Azure VPN Gateways. Die Verbindungsart VNet-to-VNet ist dafür geeignet, komplexe Netzwerkarchitekturen innerhalb der Azure-Cloud abzubilden und zu realisieren. Sie lässt sich auch mit Multi-Site-Verbindungskonfigurationen kombinieren. Dadurch können Netzwerktopologien implementiert werden, die standortübergreifende Site-to-Site-Konnektivität mit der Konnektivität zwischen virtuellen Azure-Netzwerken kombinieren.

Typische Beispiele für den Einsatz des Azure VPN Gateway mit seinen verschiedenen Verbindungsarten sind:

• Einbindung von Außenstellen oder Unternehmensfilialen in hybride Cloud-Architekturen

• Anbindung von Home-Office-Arbeitern oder Außendienstmitarbeitern an Azure-Ressourcen

• Trennung verschiedener Umgebungen wie Entwicklungs-, Test- und Produktionsumgebungen

• zur Realisierung von Disaster-Recovery-Szenarien zwischen einem Primary- und einem Backup-Data-Center in Azure.

• für den sicheren Datenaustausch zwischen On-Premises-Rechenzentren und Azure-Services in regulierten Branchen mit hohen Compliance-Anforderungen

• Gewährung von Zugriff auf bestimmte Ressourcen oder Anwendungen für Partner, Lieferanten oder Auftragnehmer außerhalb der eigenen Organisation

• sicheres Einbinden und Aufrufen von On-Premises-Anwendungen oder -Systemen aus der Azure-Cloud, die nicht mit Cloud-Umgebungen kompatibel sind

• sicheres Übertragen der Daten von IoT-Geräten in die Cloud, zum Beispiel zur Speicherung oder Analyse

• zur Einhaltung der Anforderungen an Datenresidenz oder Datensouveränität und Sicherstellung der Verarbeitung von Daten in Azure-Rechenzentren bestimmter Regionen

(ID:50826313)