Direkte Internetverbindungen von Azure-VMs vor dem Aus Azure-VMs via NAT-Gateway und Load-Balancer vernetzen

Anbieter zum Thema

Microsoft Deutschland GmbH

WatchGuard Technologies GmbH

Zadara Ltd.

Mit dem Azure NAT-Gateway und dem Load-Balancer können Unternehmen Netzwerkdienste komplett verwaltet in der Cloud betreiben. Das reduziert den Aufwand der Verwaltung und stellt sicher, dass die Sicherheit maximiert wird.

Azure NAT-Gateway bietet NAT-Funktionalitäten, die speziell für Azure-Ressourcen in einem privaten Subnetz entwickelt wurden, um ausgehende Verbindungen zum Internet zu ermöglichen, ohne eingehende Internetverbindungen zuzulassen. Der Dienst unterstützt dynamische SNAT-Ports, die ausgehende Verbindungen effizient skalieren und das Risiko einer Überlastung minimieren.

Internetverbindungen von Azure-VMs über NAT-Gateway und Load Balancer

Das NAT-Gateway wird in Zukunft eine wichtigere Rolle spielen, wenn es darum geht, dass VMs in Azure eine Verbindung mit dem Internet aufbauen können. Nach den Empfehlungen von Microsoft sorgt ein NAT-Gateway in der Umgebung dafür, dass Ressourcen wie VMs aus dem sicheren internen Netzwerk bei Azure eine Verbindung zum Internet aufbauen können. Eingehende Verbindungen gehen wiederum idealerweise zur externen IP-Adresse eines Azure-Load-Balancers. Dieser nimmt die Pakete entgegen und leitet sie an die internen VMs weiter. Ausgehende Antworten gehen in diesem Fall aber wieder über den Load Balancer, da dieser die Anfrage auch von außen auch entgegengenommen hat.

Bildergalerie

Bildergalerie mit 9 Bildern

NAT-Gateway und Load-Balancer arbeiten in diesem Szenario effektiv zusammen, um sicherzustellen, dass Azure-VMs bei Bedarf mit dem Internet kommunizieren können, ohne selbst eine externe IP-Adresse zu benötigen. Baut eine interne Ressource, in diesem Fall eine Azure-VM, initial eine Verbindung zum Internet auf, zum Beispiel um Windows-Updates herunterzuladen, läuft der Datenverkehr über die externe IP-Adresse des NAT-Gateways.

Ab Oktober 2025 soll es technisch überhaupt nicht mehr möglich sein, dass Azure-VMs direkt mit dem Internet kommunizieren. Spätestens ab Anfang Oktober nächsten Jahres müssen Azure-VMs das NAT-Gateway für ausgehende Internetverbindungen nutzen. Parallel zum NAT-Gateway und dem Load Balancer in Azure kann noch der Bastion-Host zum Einsatz kommen. Dieser verfügt über eine eigene IP-Adresse und ermöglicht externen Zugriff per RDP und SSH auf interne Azure-VMs.

Microsoft ändert Internetzugang von Azure-VMs

Ab dem 30. September 2025 wird Azure eine wichtige Änderung in der Art und Weise vornehmen, wie virtuelle Maschinen (VMs) auf das Internet zugreifen können. Danach soll der Standardzugang zum Internet für neue VMs eingestellt werden. VMs, die nach diesem Datum erstellt werden und Internetzugang benötigen, müssen explizite Methoden für den ausgehenden Verkehr nutzen, wie Azure NAT Gateways, Azure-Load-Balancer-Ausgangsregeln oder eine direkt angehängte öffentliche Azure-IP-Adresse.

Diese Änderung betrifft bestehende VMs nicht, sondern nur neu erstellte VMs. Der bisherige Standardmechanismus für den Internetzugang über eine so genannte "default source network address translation" (SNAT) wird nicht mehr verfügbar sein. SNAT ermöglichte es, VMs automatisch über eine spezielle, aus einem reservierten regionalen Block gezogene öffentliche IP-Adresse, auf das Internet zuzugreifen. Dieser bequeme Mechanismus hat allerdings Nachteile wie impliziten Internetzugang, fehlende Kontrolle oder Sichtbarkeit über die öffentliche IP und Schwierigkeiten bei fortgeschrittenen Fehlerbehebungen.

Zur Unterstützung der Benutzer bei der Anpassung an diese Änderung bietet Azure verschiedene Alternativen für den Internetzugang von VMs an, darunter instanzbasierte öffentliche IPs, Ausgangsregeln, Azure NAT Gateways und Lösungen von Drittanbietern wie Aviatrix Distributed Cloud Firewall für den Egress-Verkehr. Diese Optionen bieten verschiedene Vorteile in Bezug auf Einfachheit, Verwaltung, Skalierbarkeit und Sicherheit des ausgehenden Verkehrs.

Azure NAT-Gateway ist einfach aber mächtig

Die Einrichtung des Azure NAT-Gateways gestaltet sich bewusst unkompliziert, indem lediglich ein Gateway zu einem Subnetz und eine öffentliche IP-Adresse hinzugefügt werden müssen. Es sind keine zusätzlichen Wartungs- oder Routingkonfigurationen notwendig. Die Sicherheitsarchitektur basiert auf Zero Trust. Die SNAT-Funktion ermöglicht es, dass private Ressourcen externe Quellen erreichen, indem sie die statischen öffentlichen IP-Adressen oder Präfixe des NAT-Gateways nutzen.

Die Resilienz des Dienstes ergibt sich aus seiner vollständig verwalteten und verteilten Struktur, die unabhängig von einzelnen Compute-Instanzen funktioniert. Diese Architektur gewährleistet eine hohe Verfügbarkeit und Ausfallsicherheit. In Bezug auf die Leistung kann das NAT-Gateway Datenmengen von bis zu 50 GBit/s verarbeiten, ohne die Netzwerkbandbreite der verbundenen Computerressourcen zu beeinträchtigen. Im Azure-Portal steht für das Erstellen von NAT-Gateways ein eigener Bereich zur Verfügung, den man über die Suche nach „NAT-Gateways“ und dann der Schaltfläche „NAT-Gateway erstellen“ erreicht.

Die Erstellung läuft über einen Assistenten. Auf der ersten Seite erfolgt das Festlegen des Namens, der Region, der Verfügbarkeitszone und des TCP-Timeouts. Danach werden externe IP-Adressen und Subnetze festgelegt. Das NAT-Gateway ist anschließend als Ressource im Azure-Portal verfügbar.

Azure-Load-Balancer – Eingehende Internetverbindungen steuern

Greift ein Anwender oder ein Serverdienst von extern auf eine Azure-VM zu, geht das ab Oktober 2025 nicht mehr direkt. In diesem Fall kann der Zugriff über verschiedene Dienste laufen, zum Beispiel den Azure-Load-Balancer, der in deutschen Umgebungen als Lastenausgleich bezeichnet wird. Die Erstellung läuft ähnlich ab wie die Erstellung eines NAT-Gateways. Operierend auf der Schicht 4 des OSI-Modells, dient der Load Balancer als einziger Kontakt für Clients, indem er eingehende Daten gemäß konfigurierten Lastverteilungsregeln und Health-Checks an Backend-Pool-Instanzen verteilt.

Diese Instanzen können Azure-VMs oder Instanzen in einem Virtual-Machine-Scale-Set sein. Der Load Balancer unterstützt sowohl interne (für private IPs am Frontend) als auch öffentliche (für die Umleitung des Internetverkehrs zu VMs) Einsatzszenarien. Nachdem der Load Balancer im Abonnement erstellt ist, kann er den Azure-VMs externe Anfragen aus dem Internet über seine externe IP-Adresse zuweisen. Hier können natürlich mehrere Azure-VMs im Backend positioniert sein.

Darüber hinaus sind weitere Azure-Dienste wie Azure Application Gateway und Azure Front Door für spezifischere Anwendungsfälle verfügbar, wobei Ersteres vor allem HTTP(s)-basierte Anwendungen auf Schicht 7 des OSI-Modells bedient und Letzteres eine umfassende Lösung für HTTP-basierte, Internetfacing-Anwendungen mit Funktionen wie SSL-Terminierung und Web Application Firewall darstellt.

Der Load Balancer ermöglicht eine Verkehrsverteilung mit ultraniedriger Latenz und hoher Leistung über mehrere Azure-Regionen hinweg. Das bietet Anwendern eine statische global Anycast-IP-Adresse, über die regionale Bereitstellungen einfach hinzugefügt oder entfernt werden können, ohne den Betrieb zu unterbrechen. Die Unterstützung für eingehende ICMPv6-Pings und Traceroute sowohl für IPv4- als auch für IPv6-Frontends ist ebenfalls verfügbar.

Außerdem hat Microsoft die Integration des Load Balancers in das Azure API Management angekündigt. Das ermöglicht eine verbesserte Verwaltung und Leistung für API-Endpunkte durch die Nutzung der Lastverteilungsfunktionen des Azure Load Balancers innerhalb der API-Management-Umgebung.

Die Migration von Azure Virtual Network injizierten Azure Data Explorer-Clustern zu privaten Endpunkten ist ebenfalls mit Load Balancer verfügbar. Die Migration verbessert die Sicherheit und verringert die Abhängigkeit von öffentlichen IP-Adressen, indem sie eine private Verbindung innerhalb des Azure Virtual Networks ermöglicht. Private Endpunkte bieten eine Netzwerkschnittstelle, die ADX-Cluster mit einer privaten IP-Adresse innerhalb des VNet verbindet. Das vereinfacht den privaten Zugang zum Cluster aus einem Azure Virtual Network und ermöglicht den Zugriff auf Ressourcen wie Event Hubs und Azure Storage innerhalb eines virtuellen Netzwerks.

(ID:50049056)