Netzwerke und Rechenzentren mit Azure über VPN verbinden Site-to-Site-VPNs mit dem Azure VPN-Gateway aufbauen

Anbieter zum Thema

Microsoft Deutschland GmbH

WatchGuard Technologies GmbH

Zadara Ltd.

XOPERO SOFTWARE S.A.

Über das Azure VPN-Gateway ist es möglich ein VPN aufbauen, in das sich einzelne Anwender einwählen können, oder über das sich Rechenzentren oder Netzwerke mit Ressourcen in Azure verbinden lassen. Wir zeigen, wie Netzwerke oder Standorte über Site-to-Site-VPNs mit Azure gekoppelt werden.

Bei der Erstellung eines Azure VPN-Gateways können Admins verschiedene Arten von VPNs definieren. Während es Point-to-Site-VPNs mit Azure VPN-Gateway ermöglichen, dass sich einzelne Benutzer remote oder im Homeoffice mit einem VPN in Azure verbinden, lassen sich über Site-to-Site-VPNs komplette Netzwerke oder Standorte per VPN mit Azure verbinden.

Das steckt hinter einem Site-to-Site-VPN in Azure

Ein Site-to-Site-VPN ermöglicht es, zwei oder mehr Netzwerke über das Internet sicher miteinander zu verbinden. Im Zusammenhang mit Azure VPN-Gateway bietet ein Site-to-Site-VPN die nahtlose Integration von lokalen Netzwerken mit der Azure-Cloud-Infrastruktur. Azure VPN-Gateway nutzt IPSec/IKE (Internet Protocol Security/Internet Key Exchange) zum Aufbau sicherer Tunnel, wodurch Unternehmen ihre Daten zwischen der Cloud und den lokalen Ressourcen übertragen können. Die Technologie ist besonders nützlich für hybride Cloud-Szenarien, in denen Unternehmen bestimmte Anwendungen oder Daten sowohl lokal als auch in der Cloud betreiben.

Bildergalerie

Bildergalerie mit 6 Bildern

Neben Azure VPN-Gateway gibt es Alternativen für Site-to-Site-VPNs. Eine beliebte Option ist die Nutzung von Drittanbieter-VPN-Lösungen wie Cisco AnyConnect oder OpenVPN, die oft erweiterte Konfigurationsmöglichkeiten und zusätzliche Sicherheitsfunktionen bieten. Eine weitere Alternative stellt die Verwendung von Azure ExpressRoute dar, die eine direkte, private Verbindung zwischen lokalen Rechenzentren und Azure ermöglicht und dadurch eine höhere Bandbreite sowie niedrigere Latenzzeiten bietet. Diese Lösung ist jedoch in der Regel teurer und komplexer in der Einrichtung als traditionelle VPNs. Schließlich können Unternehmen aber auch auf SD-WAN-Technologien (Software-Defined Wide Area Network) zurückgreifen, die eine flexible und effiziente Verwaltung der Netzwerkverbindungen bieten und dabei auch VPN-Funktionalitäten unterstützen.

Site-to-Site-VPN in Azure einrichten

Für den Aufbau eines Site-to-Site-VPNs wird in einem virtuellen Netzwerk zunächst bei „Einstellungen -> Subnetze“ ein neues „Gatewaysubnetz“ erstellt. Ein solches Subnetz ist für alle VPNs notwendig, die mit dem Azure VPN-Gateway erstellt werden. Steht ein solches Subnetz zur Verfügung, lässt sich über die Suche nach „VPN“ im Suchfeld und der Auswahl von „Gateways für virtuelle Netzwerke“ der Assistent zum Erstellen eines neuen Azure VPN-Gateways starten. Hier ist es bereits möglich, zwischen einem herkömmlichen VPN und einem VPN mit ExpressRoute zu wählen.

Azure ExpressRoute ist eine dedizierte Netzwerkverbindung, die es ermöglicht, lokale Netzwerke direkt mit Azure und anderen Microsoft-Diensten zu verbinden, ohne über das öffentliche Internet zu gehen. Diese Verbindung bietet Vorteile hinsichtlich Bandbreite, Latenz und Sicherheit. ExpressRoute-Verbindungen bieten Bandbreitenoptionen von 50 Mbps bis zu 10 Gbps, was sie ideal für große Datenübertragungen und latenzkritische Anwendungen macht.

Technisch gesehen basiert ExpressRoute auf einer Partnerschaft mit Netzbetreibern, die physische Verbindungen über Multiprotocol Label Switching (MPLS) oder andere private Netzwerkprotokolle bereitstellen. Diese dedizierten Leitungen garantieren eine hohe Verfügbarkeit und Zuverlässigkeit.

ExpressRoute unterstützt drei Peering-Optionen: privates Peering für den Zugriff auf virtuelle Netzwerke in Azure, öffentliches Peering für den Zugriff auf Dienste wie Azure Storage und SQL Database, sowie Microsoft-Peering für den Zugriff auf Microsoft-Dienste wie Microsoft 365 und Dynamics 365.

Im Rahmen der Erstellung des Azure VPN-Gateways erfolgt die Konfiguration von IP-Adressen und anderen Bereichen. Sobald das Azure Gateway zur Verfügung steht, erfolgt die Konfiguration des Site-to-Site-VPNs.

Technische Hintergründe und tiefere Einblicke in Site-to-Site-VPNs mit Azure VPN-Gateway

Ein Site-to-Site-VPN mit Azure VPN-Gateway verwendet das Internet-Protocol-Security-Protokoll (IPSec) in Kombination mit dem Internet Key-Exchange-Protokoll (IKE), um sichere, verschlüsselte Tunnel zwischen einem lokalen Netzwerk und Azure herzustellen. Das Azure VPN-Gateway kann mehrere VPN-Verbindungen gleichzeitig verwalten.

Die Architektur eines Azure VPN-Gateways umfasst mehrere Komponenten: das Gateway-Subnetz, in dem die VPN-Gateway-Ressource bereitgestellt wird, die öffentliche IP-Adresse des Gateways und die lokalen Netzwerk-Gateways, die die lokalen IP-Adressen repräsentieren. Beim Aufbau einer Site-to-Site-VPN-Verbindung wird zuerst eine VPN-Gateway-Ressource erstellt und konfiguriert. Anschließend wird eine Verbindung zwischen dem Azure VPN-Gateway und dem lokalen VPN-Device über das IPSec/IKE-Protokoll hergestellt.

Azure VPN-Gateway unterstützt sowohl statisches Routing als auch dynamisches Routing mittels Border Gateway Protocol (BGP). Dies ermöglicht eine flexible Netzwerkkonfiguration und erleichtert die Integration komplexer Netzwerkarchitekturen. Die Konfiguration und Verwaltung der Site-to-Site-VPN-Verbindungen erfolgt über das Azure-Portal, über die PowerShell oder über das Azure Command-Line Interface (CLI). Darüber hinaus bietet Azure VPN-Gateway erweiterte Sicherheitsfunktionen wie Forced Tunneling, welches sicherstellt, dass der gesamte Datenverkehr durch den VPN-Tunnel geleitet wird, und die Unterstützung von Punkt-zu-Site-VPN-Verbindungen für den sicheren Remote-Zugriff von einzelnen Clients.

Site-to-Site-VPN konfigurieren

Die Konfiguration der einzelnen VPNs erfolgt über die Optionen des Azure VPN-Gateways. Bei „Verbindungen“ erfolgt über „Hinzufügen“ die Konfiguration der Site-to-Site-Verbindung. Hier lassen sich auch mehrere Verbindungen parallel erstellen. Außerdem ist es möglich, Point-to-Site-Verbindungen parallel zu Site-to-Site-Verbindungen zu erstellen. Point-to-Site-Verbindungen werden über einen eigenen Menüpunkt erstellt. Bei der Erstellung einer Site-to-Site-Verbindung erfolgt die Definition der Ressourcengruppe, in der das Objekt erstellt wird. Außerdem wird hier festgelegt, ob das VPN zwei VNets in Azure miteinander, oder über IPSec mehrere Standorte miteinander, beziehungsweise einen Standort mit Azure verbinden soll.

Bei der Erstellung eines Site-to-Site-VPNs (Standort-zu-Standort), lassen sich in den Einstellungen die notwendigen Informationen festlegen, die zur Verbindung mit einem Azure VPN-Gateway notwendig sind. Auch das zuvor erstellte VPN-Gateway wird an dieser Stelle ausgewählt, genauso wie der gemeinsam verwendete Schlüssel. Hier lassen sich auch BGP aktivieren und die Richtlinien für die Verbindung steuern. Kommt NAT zum Einsatz, können an dieser Stelle auch gleich diese Regeln definiert werden. Wichtig ist an dieser Stelle auch die Angabe des lokalen Gateways im Rechenzentrum, das mit Azure verbunden werden soll.

Das lokale Netzwerkgateway spielt eine zentrale Rolle bei der Einrichtung einer neuen Site-to-Site-Verbindung mit Azure VPN-Gateway. Es repräsentiert das physische oder virtuelle Gerät, das in der lokalen Infrastruktur des Unternehmens installiert ist und den VPN-Endpunkt darstellt. Bei der Konfiguration einer solchen Verbindung muss das lokale Netzwerkgateway in Azure erstellt und mit den relevanten Parametern wie der öffentlichen IP-Adresse des lokalen VPN-Geräts und dem Adressraum des internen Netzwerks konfiguriert werden. Diese Parameter ermöglichen es Azure, den Datenverkehr richtig zu routen und eine sichere Verbindung zwischen dem lokalen Netzwerk und dem Azure-Virtual-Netzwerk herzustellen. Das lokale Netzwerkgateway fungiert somit als Brücke, die den verschlüsselten Datentransfer über das Internet ermöglicht und dabei die Integrität und Vertraulichkeit der übertragenen Informationen gewährleistet. Nach der Erstellung des Gateways baut dieses automatisch eine Verbindung mit dem Endpunkt auf.

(ID:50184468)