Sichere Verbindungen ins Rechenzentrum und in die Cloud So konfigurieren Sie ein Azure VPN-Gateway

Anbieter zum Thema

Microsoft Deutschland GmbH

WatchGuard Technologies GmbH

Zadara Ltd.

Mit einem Azure VPN-Gateway können Unternehmen sichere Verbindungen zwischen On-Premises und der Azure-Cloud aufbauen. Damit lassen sich hybride Netzwerke aufbauen, bei denen Nutzer mit Ressourcen im lokalen Rechenzentrum arbeiten und parallel mit Ressourcen in Azure.

Setzen Unternehmen im Rechenzentrum auf VPN-Geräte, die kompatibel mit Azure VPN-Gateway sind, lassen sich mit dem Azure VPN-Gateway neben den Verbindungen in die Azure-Cloud auch Site-to-Site-VPN-Verbindungen aufbauen.

Virtuelle Netzwerke und Subnetze in Azure für VPNs vorbereiten

Grundlage eines Azure VPN-Gateways sind virtuelle Netzwerke in Azure. Hier können Admins für das Gateway entweder ein eigenes, virtuelles Netzwerk erstellen, oder ein vorhandenes, virtuelles Netzwerk nutzen. Dieses Netzwerk und die darin enthaltenen Ressourcen lassen sich über das Azure VPN-Gateway mit einem lokalen Netzwerk verbinden. In der Verwaltung der virtuellen Netzwerke gibt es den Bereich „Subnetze“, in dem man alle Subnetze definiert, die mit dem entsprechenden, virtuellen Netzwerk kommunizieren sollen. Bei den Subnetzen steht im oberen Bereich der Menüpunkt „Gatewaysubnetz“ zur Verfügung.

Bildergalerie

Bildergalerie mit 5 Bildern

Über diesen Menüpunkt erfolgt das Erstellen eines neuen Subnetzes, das für das VPN genutzt werden soll. Hier kann man auch festlegen, wenn eine Netzwerksicherheitsgruppe, eine Routing-Tabelle oder ein NAT-Gateway genutzt werden soll. Das ist aber nur optional. Der Adressbereich für das Subnetz lässt sich an dieser Stelle ebenfalls definieren. Mit „Hinzufügen“ wird das Subnetz schlussendlich erstellt. Durch einen Klick darauf, lassen sich die verschiedenen Einstellungen jederzeit an die eigenen Anforderungen anpassen.

Erstellen eines Azure VPN-Gateways

Über das Suchfeld im Azure-Portal und der Suche nach „VPN“ wechselt man zu „Gateways für virtuelle Netzwerke“. Mit der Schaltfläche „Erstellen“ oder „Gateway für virtuelle Netzwerke erstellen“ startet man die Konfiguration eines Gateways. Im Fenster erfolgen die Definition des Abonnements, indem man das Gateway erstellen will, sowie der Name der Instanz und der Region. Hier wird auch festgelegt, ob ein Azure VPN-Gateway als VPN oder als ExpressRoute erstellt wird.

Es gibt zwei Haupttypen von Gateways innerhalb eines Azure Virtual Network Gateways, das VPN-Gateway, das verschiedene Verbindungstypen wie Point-to-Site, Site-to-Site und VNet-to-VNet unterstützt, und das ExpressRoute-Gateway, das eine private Verbindung zwischen dem lokalen Netzwerk und der Azure-Cloud herstellt, ohne das öffentliche Internet zu nutzen. Eine Point-to-Site-Verbindung ermöglicht einzelnen Clients, eine sichere Verbindung zu einem virtuellen Netzwerk aufzubauen, zum Beispiel für die Remotearbeit.

Die VNet-to-VNet-Verbindung verbindet zwei virtuelle Netzwerke, entweder innerhalb derselben oder unterschiedlicher Regionen und Abonnements, und nutzt VPN-Tunnel oder VNet-Peering.

Für die Planung und den Entwurf eines VPN-Gateways sind mehrere Konfigurationen möglich, wie Point-to-Site-, Site-to-Site- und ExpressRoute-/Site-to-Site-Verbindungen. Jede dieser Konfigurationen hat spezifische Anforderungen und Anweisungen für die Ressourceneinrichtung. VPN-Gateways können in Azure-Verfügbarkeitszonen bereitgestellt werden, um Stabilität, Skalierbarkeit und Verfügbarkeit zu erhöhen. Bei der Auswahl der passenden Gateway-SKU sollten die Anforderungen an Workloadtypen, Durchsätze und Funktionen berücksichtigt werden.

Virtuelle Netzwerke, IP-Adresse und Routing-Optionen für das VPN-Gateway

Ein weiterer, wichtiger Konfigurationsschritt besteht darin, das virtuelle Netzwerk auszuwählen, indem man das Gateway erstellen will. Durch die Auswahl des virtuellen Netzwerks erfolgt gleich die Auswahl des erstellten Gateway-Subnetzes. Die erste und zweite öffentliche IP-Adresse wird ebenfalls in diesem Fenster ausgewählt. Außerdem kann man hier einstellen, ob man gleich zwei VPN-Gateways erstellen will, die dann auch beide aktiv sind. Dadurch lässt sich eine hochverfügbare Konfiguration erstellen. Die Verfügbarkeitszone lässt sich an dieser Stelle ebenfalls festlegen.

Außerdem ist es bei der Erstellung eines VPN-Gateways auch gleich möglich, BPG zu aktivieren, wenn Unternehmen damit arbeiten. Die Aktivierung von BGP ist optional. BGP (Border Gateway Protocol) spielt eine wichtige Rolle bei der Nutzung eines Azure VPN-Gateways, weil es dynamisches Routing zwischen dem Azure Virtual Network und den lokalen Netzwerken ermöglicht. Mit BGP können Routing-Informationen automatisch ausgetauscht werden, was die Verwaltung und Skalierbarkeit der Netzwerkkonnektivität vereinfacht. Bei der Konfiguration eines Azure VPN-Gateways kann BGP verwendet werden, um die Routen mit dem lokalen BGP-Router auszutauschen. Dies erlaubt es, Änderungen in der Netzwerkstruktur ohne manuelle Anpassungen der statischen Routen zu propagieren. BGP ermöglicht zudem die Unterstützung komplexer Netzwerktopologien und verbessert die Ausfallsicherheit durch mehrere Pfade für den Datenverkehr, was insbesondere für Unternehmensumgebungen mit hohen Anforderungen an Verfügbarkeit und Performance von Vorteil ist. Durch die Nutzung von BGP mit einem Azure VPN-Gateway können Unternehmen ihre Netzwerkinfrastruktur effizienter und flexibler gestalten. Im Anschluss kann man das Gateway erstellen. Der Vorgang kann durchaus ein bis zwei Stunden dauern. Danach steht das Gateway zur Verfügung.

Point-to-Site-Gateway aufbauen

Neben der Möglichkeit, ganze Netzwerke über ein Azure VPN-Gateway mit Azure zu verbinden, kann nach der Erstellung auch eine Point-to-Site-Konfiguration erstellt werden. Dies erfolgt über den entsprechenden Menüpunkt auf der linken Seite in den Eigenschaften eines Gateways. Beim Erstellen von neuen Verbindungen/Connections in den Einstellungen eines Azure VPN-Gateways kann ausgewählt werden, ob die neue Verbindung Site-to-Site oder Point-to-Site konfiguriert werden soll. Ein Point-to-Site-VPN (P2S) bietet die Möglichkeit, einzelne Endbenutzer mit einem Azure Virtual Network und den darin enthaltenen Ressourcen zu verbinden, indem eine direkte Verbindung vom Clientgerät zum Azure VPN-Gateway hergestellt wird. Diese Art der Verbindung ist für mobile Anwender oder im Homeoffice sinnvoll, wenn Mitarbeiter unterwegs oder zu Hause sicher auf Unternehmensressourcen zugreifen müssen.

Der Verbindungsaufbau erfolgt über ein Client-Programm, das auf dem jeweiligen Endgerät installiert wird. Der Download erfolgt direkt über das Azure-Portal auf der Seite zur Erstellung eines neuen Point-to-Site-VPNs. P2S-VPNs unterstützen mehrere Authentifizierungsmethoden, einschließlich Azure AD/Entra ID, Zertifikat-basierter Authentifizierung und RADIUS-Server.

Technisch gesehen ermöglicht ein P2S-VPN den Aufbau von verschlüsselten Tunneln unter Verwendung von Protokollen wie OpenVPN, IKEv2 oder SSTP. Sobald die Verbindung hergestellt ist, erhält das Clientgerät eine IP-Adresse aus einem definierten Adresspool des Azure Virtual Networks. Diese Zuweisung erfolgt dynamisch und ermöglicht dem Gerät, so zu agieren, als wäre es physisch mit dem Netzwerk verbunden. Da keine dedizierte Hardware auf der Clientseite erforderlich ist, können Benutzer schnell und unkompliziert auf das Azure Virtual Network zugreifen. Darüber hinaus kann die P2S-VPN-Infrastruktur parallel zu bestehenden Site-to-Site-Verbindungen betrieben werden.

Azure VPN-Gateways bieten eine hohe Verfügbarkeit und Ausfallsicherheit für P2S Verbindungen. Durch die Verwendung von redundanten Gateway-Instanzen in verschiedenen Verfügbarkeitszonen kann die Kontinuität des Dienstes auch bei regionalen Ausfällen gewährleistet werden.

(ID:50177543)