Zentrale Netzwerkverwaltung mit Azure Virtual Network Manager

Azure Virtual Network Manager organisiert, konfiguriert, stellt virtuelle Netzwerke in großem Umfang über Abonnements hinweg bereit und verwaltet sie. Anstatt jedes virtuelle Netzwerk einzeln zu konfigurieren, definieren Sie die Verwaltungsabsicht zentral, und Azure Virtual Network Manager wendet es konsistent in Ihrer Umgebung an. Legen Sie den Geltungsbereich einer Azure Virtual Network Manager-Instanz auf eine Verwaltungsgruppe oder ein Abonnement fest, und verwalten Sie alle virtuellen Netzwerke innerhalb dieses Geltungsbereichs über eine zentrale Kontrollebene.

In diesem Artikel werden die vier Kernfunktionen von Azure Virtual Network Manager erläutert: Netzwerkgruppen, Konnektivitätskonfigurationen, Sicherheitsadministratorregeln und IP-Adressverwaltung (IPAM). Außerdem wird beschrieben, wie sie zusammen verwendet werden, um die Netzwerktopologie zu steuern, Sicherheitsgrundwerte zu erzwingen und IP-Adresskonflikte in Ihrer Organisation zu verhindern.

Inhalt dieses Artikels

In diesem Artikel wird die zentrale Netzwerkgovernance mithilfe von Azure Virtual Network Manager behandelt. Sie erfahren mehr über:

• Netzwerkgruppen, die virtuelle Netzwerke nach statischer oder dynamischer Mitgliedschaft organisieren.
• Konnektivitätskonfigurationen, die Hub-Speichen- und Gittertopologien automatisieren.
• Sicherheitsadministratorregeln, die organisationsweite Sicherheitsrichtlinien durchsetzen und Vorrang vor NSG-Regeln haben.
• IPAM, das nicht überlappende IP-Adressbereiche über Abonnements hinweg zuordnet.
• Das Commit-and-Deploy-Modell, das steuert, wann Konfigurationen wirksam werden.
• Wie Sie entscheiden, wann Azure Virtual Network Manager der richtige Managementansatz für Ihre Umgebung ist.

Wer diesen Artikel benötigt

Verwenden Sie Azure Virtual Network Manager, wenn Ihre Organisation über eine oder mehrere der folgenden Anforderungen verfügt:

• Skalierung über die manuelle Verwaltung hinaus: Sie verwalten mehr als 10 virtuelle Netzwerke und müssen Peering, Topologieänderungen und Sicherheitsbaselines automatisieren, anstatt jedes virtuelle Netzwerk einzeln zu konfigurieren.
• Einheitliche Sicherheitsrichtlinie: Sie müssen unternehmensweite Sicherheitsregeln durchsetzen, die lokale Teams nicht außer Kraft setzen können, z. B. das Blockieren von Hochrisiko-Ports oder die Vorgabe, dass der Datenverkehr über eine Firewall geleitet werden muss.
• Abonnementübergreifende Governance: Ihre virtuellen Netzwerke umfassen mehrere Abonnements oder Verwaltungsgruppen, und Sie benötigen eine einheitliche Ansicht der Netzwerktopologie und der IP-Adressnutzung.
• Verhinderung von IP-Adressenkonflikten: Teams erstellen unabhängig virtuelle Netzwerke, und Sie benötigen einen zentralen Zuordnungsmechanismus, der nicht überlappende Adressräume garantiert.
• Automatisierte Topologieverwaltung: Sie stellen häufig neue virtuelle Netzwerke bereit und benötigen, dass sie sich automatisch in die richtige Topologie (Hub-Spoke oder Mesh) einfügen, ohne manuelle Peering-Konfiguration.

Organisationen mit weniger als 10 virtuellen Netzwerken in einem einzigen Abonnement können in der Regel Peering, NSG-Regeln und IP-Adressen manuell verwalten. Diese Umgebungen erfordern in der Regel nicht die zusätzliche Komplexität eines zentralen Verwaltungstools.

Heben und Verschieben des Fokus: Kleine neu gehostete Projekte können Peering und NSGs manuell verwalten. Setzen Sie AVNM ein, sobald Ihre migrierte Umgebung auf mehr als etwa 10 virtuelle Netzwerke anwächst.

Modernisieren Sie den Fokus: Verwenden Sie AVNM, um konsistente Konnektivitäts- und Sicherheitskonfigurationen über viele Speichen und Abonnements hinweg anzuwenden, während Sie aktiv aktive PaaS-Workloads skalieren.

Cloud-übergreifender Schwerpunkt: Verwenden Sie AVNM, um in Ihrer gesamten Azure-Umgebung, die mit Ihren anderen Clouds und Niederlassungen verbunden ist, konsistente Netzwerkgruppen und Sicherheitsverwaltungsregeln durchzusetzen.

Azure Virtual Network Manager-Funktionen

Azure Virtual Network Manager bietet vier Funktionen, die zusammenarbeiten, um zentrale Netzwerkgovernance bereitzustellen.

Netzwerkgruppen

Netzwerkgruppen sind logische Container, die virtuelle Netzwerke für richtlinienanwendung organisieren. Sie definieren, welche virtuellen Netzwerke zu einer Gruppe gehören. Anschließend wenden Sie Konfigurationen (Konnektivität oder Sicherheit) auf die gesamte Gruppe gleichzeitig an.

Netzwerkgruppen unterstützen zwei Mitgliedschaftsmethoden:

Methode	So funktioniert es	Am besten geeignet für:
Statische Mitgliedschaft	Sie fügen manuell einzelne virtuelle Netzwerkressourcen-IDs hinzu. Änderungen sind sofort wirksam.	Kleine Umgebungen, Ausnahmen oder Pilotbereitstellungen
Dynamische Mitgliedschaft	Azure Policy wertet Bedingungen (Namensmuster, Tags, Abonnement oder Ressourcengruppe) aus und fügt virtuelle Netzwerke automatisch hinzu oder entfernt sie. Verwendet den Microsoft.Network.Data Richtlinienmodus mit dem Effekt addToNetworkGroup.	Große Umgebungen, in denen virtuelle Netzwerke erstellt und häufig gelöscht werden

Kombinieren Sie beide Methoden in einer einzelnen Netzwerkgruppe. Dynamische Mitgliedschaft erfordert keine erneute Bereitstellung, wenn virtuelle Netzwerke der Gruppe beitreten oder diese verlassen, da Azure Policy kontinuierlich Bedingungen auswertet und die Mitgliedschaft aktualisiert.

Note

Dynamische Mitgliedschaftsrichtlinien bleiben in Azure Policy auch dann erhalten, wenn Sie die Azure Virtual Network Manager Instanz löschen. Entfernen Sie diese Richtlinien manuell, um verwaiste Richtlinienzuweisungen zu vermeiden.

Konnektivitätskonfigurationen

Konnektivitätskonfigurationen definieren die Netzwerktopologie für eine Gruppe virtueller Netzwerke. Azure Virtual Network Manager unterstützt zwei Topologien:

• Hub-and-Spoke-Topologie: Ein zentrales virtuelles Hubnetzwerk ist mit allen Spoke-Netzwerken in der Gruppe verbunden. Speichen-zu-Speichen-Datenverkehr wird standardmäßig über den Hub geleitet. Sie können optional die direkte Konnektivität zwischen Spokes aktivieren, wodurch innerhalb der Spoke-Gruppe ein Mesh gebildet und der Umweg über den Hub für den Datenverkehr zwischen Spokes entfernt wird. Der Hub kann als Gateway für die VPN- und ExpressRoute-Übertragung dienen.
• Gittertopologie: Alle virtuellen Netzwerke in der Gruppe verbinden bidirektional ohne einen zentralen Hub. Azure Virtual Network Manager verwendet verbundene Gruppen (nicht herkömmliche Peerings), um eine Gitterverbindung herzustellen. Regionales Gitter verbindet virtuelle Netzwerke innerhalb einer Region. Das globale Gitter erweitert die Konnektivität über Regionen hinweg.

Stellen Sie mehrere Verbindungskonfigurationen gleichzeitig in einer Region bereit. Sie sind additiv. Sie können auch vorhandene manuelle Peerings wiederverwenden, ohne die bestehende Konnektivität während der Migration zu unterbrechen.

Sicherheitsadministratorregeln

Sicherheitsadministratorregeln ermöglichen die organisationsweite Sicherheitsdurchsetzung, die Vorrang vor Regeln für Netzwerksicherheitsgruppen (NSG) hat. Sie definieren diese Regeln zentral. Azure Virtual Network Manager wendet diese dann auf alle virtuellen Netzwerke in der Zielnetzwerkgruppe an.

Azure Virtual Network Manager wertet Sicherheitsadministratorregeln vor NSG-Regeln aus. Das Verhalten hängt vom Aktionstyp ab:

Maßnahme	Auswertungsverhalten	Anwendungsfall
Deny (Verweigern)	Blockiert den Datenverkehr sofort. NSG-Regeln werden nie ausgewertet.	Organisationsweite Sperren durchsetzen (z. B. eingehende SSH-Verbindungen aus dem Internet blockieren)
Immer zulassen	Ermöglicht sofort den Verkehr. NSG-Regeln werden nie ausgewertet.	Garantieren des Zugriffs auf kritischen Verwaltungsdatenverkehr unabhängig von der lokalen NSG-Konfiguration
Erlauben	Übergibt den Datenverkehr an die NSG-Auswertung. NSGs können den Datenverkehr weiterhin ablehnen.	Datenverkehrskategorien zulassen und Teams das Anwenden zusätzlicher Einschränkungen ermöglichen

Sicherheitsadministratorregeln verwenden einen Prioritätsbereich von 1 bis 4.096 (niedrigere Zahl entspricht höherer Priorität). Pro Region pro Netzwerk-Manager-Instanz kann nur eine Sicherheitsadministratorkonfiguration aktiv sein.

Important

Sicherheitsadministratorregeln gelten nicht für private Endpunkte in verwalteten virtuellen Netzwerken. Bestimmte Subnetze sind ebenfalls ausgenommen, einschließlich Azure Application Gateway, Azure Bastion, Azure Firewall, Azure Route Server, VPN Gateway, Virtual WAN und ExpressRoute-Gatewaysubnetze.

Regeln für Sicherheitsadministratoren verwenden ein Eventual-Consistency-Modell: Es kommt zu einer kurzen Verzögerung, bevor die Regeln auf neu erstellte Ressourcen im Geltungsbereich angewendet werden.

IP-Adressverwaltung (IPAM)

IPAM bietet eine zentrale IP-Adressplanung und -zuordnung. Sie erstellen Adresspools, und Azure Virtual Network Manager weist virtuellen Netzwerken automatisch nicht überlappende CIDR-Blöcke zu. Dieser Ansatz verhindert die Adressraumkonflikte, die auftreten, wenn Teams Adressen unabhängig voneinander zuordnen. Benutzer können virtuelle Netzwerke außerhalb der IPAM-Poolzuweisungen erstellen oder ändern, z. B. wenn sie Adressraum direkt zuweisen. Verwenden Sie in diesen Fällen Azure Policy, um die IPAM-Compliance zu erzwingen und nicht autorisierte Adresszuweisungen zu verhindern.

Wichtige IPAM-Features:

• Hierarchische Pools: Erstellen Sie Stammpools und bis zu sieben Ebenen untergeordneter Pools für die Organisationsstruktur (z. B. nach Region, Geschäftseinheit oder Umgebung).
• Automatische nicht überlappende Zuordnung: Wenn ein virtuelles Netzwerk einen Adressbereich von einem Pool anfordert, garantiert IPAM keine Überlappung mit anderen Zuordnungen in derselben Poolhierarchie.
• IPv4- und IPv6-Unterstützung: Verwalten Sie beide Adressfamilien in einem einheitlichen Zuordnungsmodell.
• Regionsübergreifende Pools: Ein einzelner Pool kann Adressen virtuellen Netzwerken in mehreren Regionen zuordnen.
• Veröffentlichtes CIDR-Recycling: Wenn Sie eine Ressource löschen, wird der zugeordnete CIDR zur Wiederverwendung an den Pool zurückgegeben.
• Delegatierbare Berechtigungen: Gewähren Sie teams die Rolle "IPAM-Poolbenutzer", die Adressen nutzen müssen, ohne Pooldefinitionen zu verwalten.

IPAM ist immer für jede Azure Virtual Network Manager Instanz verfügbar, unabhängig davon, ob Sie Konnektivitäts- oder Sicherheitsfeatures aktivieren.

So wählen Sie Ihren Managementansatz aus

Verwenden Sie die folgenden Entscheidungskriterien, um zu bestimmen, ob Azure Virtual Network Manager für Ihre Umgebung geeignet ist:

Umgebungsgröße	Empfohlener Ansatz
Weniger als 10 VNets in einem einzigen Abonnement	Manuelle Verwaltung: Konfigurieren von Peering, NSGs und IP-Adressen einzeln
10–50 VNets über Abonnements hinweg	Azure Virtual Network Manager mit Konnektivitätskonfigurationen und Netzwerkgruppen für die Topologieautomatisierung
Mehr als 50 VNets über Verwaltungsgruppen hinweg	Vollständige Azure Virtual Network Manager: alle vier Funktionen (Netzwerkgruppen, Konnektivität, Sicherheitsadministratorregeln und IPAM)
Security-Governance ist unabhängig von der Größe erforderlich	Hinzufügen von Sicherheitsadministratorregeln, wenn NSGs allein keinen ausreichenden Schutz vor lokalen Außerkraftsetzungen bieten

Mit und ohne Azure Virtual Network Manager

Verwaltungsbereich	Ohne AVNM	Mit AVNM
Peering	Manuelles Erstellen bidirektionaler Peerings für jedes VNet-Paar	Konnektivitätskonfigurationen automatisieren Peering für ganze Gruppen
Topologieänderungen	Aktualisieren der einzelnen Peerings, wenn sich die Topologie ändert	Ändern Sie die Konfiguration und stellen Sie sie erneut bereit. Alle VNets in der Gruppe sind aktualisiert.
Sicherheitsbaselines	Wenden Sie NSG-Regeln pro Subnetz an; Lokale Administratoren können ändern oder entfernen	Regeln für Sicherheitsadministratoren zentral erzwingen und können nicht außer Kraft gesetzt werden (Ablehnen/Immer zulassen)
IP-Adressplanung	Verwenden Sie eine Kalkulationstabelle oder manuelle Nachverfolgung; Risiko einer Überlappung	Verwenden von IPAM-Pools mit automatischer nicht überlappender CIDR-Zuordnung
Neues VNet-Onboarding	Manuelles Erstellen von Peerings, Anwenden von NSGs, Zuweisen von IPs	Bei der dynamischen Mitgliedschaft wird der Gruppe automatisch VNet hinzugefügt; Konfigurationen gelten für die nächste Bereitstellung
Abonnementübergreifende Sichtbarkeit	Beschränkt auf Ansichten pro Abonnement	Einheitliche Ansicht für alle VNets im Geltungsbereich (Verwaltungsgruppe oder Abonnement)

Überlegungen zum Entwurf

AVNM-Designfokus für Lift-and-shift

• Bei einem kleinen neu gehosteten Bestand (unter ca. 10 virtuellen Netzwerken in einem Abonnement) reicht die manuelle Peering- und NSG-Verwaltung in der Regel aus.
• Führen Sie AVNM ein, sobald Migrationswellen Sie über diese Schwelle hinausbringen, damit neue Spokes automatisch in die Hub-Topologie integriert werden, anstatt dies durch manuelles Peering zu bewerkstelligen.
• Verwenden Sie die AVNM-IP-Adressverwaltung, um Zuordnungen nachzuverfolgen, während Sie Subnetze aus Ihrem Landing-Zone-CIDR ableiten.
• Führen Sie AVNM-Sicherheitsadministratorregeln schrittweise ein, sodass sie vorhandene subnetzspezifische NSGs ergänzen, nicht mit ihnen in Konflikt geraten.

Modernisieren des AVNM-Designfokus

• Verwenden Sie AVNM-Netzwerkgruppen und Konnektivitätskonfigurationen, um Hub-and-Spoke- oder Gittertopologie konsistent über viele modernisierte Speichen hinweg anzuwenden.
• Erzwingen Sie organisationsweite Regeln für Sicherheitsadministratoren, die App-Teams nicht außer Kraft setzen können, um sicherzustellen, dass der Datenverkehr über die Hub-Firewall geleitet wird.
• Kombinieren Sie die dynamische Gruppenmitgliedschaft mit der Trennung nach Abonnements und RBAC, sodass neue App-Team-Spokes die Plattformrichtlinie automatisch erben.
• Verwenden Sie IPAM-Pools, um nicht überlappenden Adressraum in primären und Sicherungsregionen zu gewährleisten.

Cloudübergreifender AVNM-Designfokus

• Verwenden Sie AVNM, um eine einheitliche Ansicht der Topologie und der IP-Nutzung in den Azure Netzwerken zu erhalten, die Ihre Clouds und Zweigstellen verbinden.
• Wenden Sie Sicherheitsadministratorregeln zentral an, sodass der cloud- und zweigübergreifende Datenverkehr konsistent über überprüfte Hubs geleitet wird.
• Verwenden Sie IPAM, um sicherzustellen, dass sich der Azure-Adressraum in allen Regionen nicht mit AWS VPCs und Google Cloud-Netzwerken überschneidet.
• Automatisieren Sie die Topologiemitgliedschaft so, dass neue Azure Regionen, die Sie während der Cloudmigration hinzufügen, dem richtigen Virtual WAN oder Hubdesign beitreten.

Voraussetzungen

Bevor Sie Azure Virtual Network Manager bereitstellen:

• Bereichsauswahl: Erstellen Sie eine Azure Virtual Network Manager Instanz, die auf eine Verwaltungsgruppe oder ein Abonnement ausgerichtet ist. Der Bereich definiert die Grenze von Ressourcen, die von der Instanz verwaltet werden können. Wenn Sie eine Verwaltungsgruppe auswählen, schließen Sie automatisch alle untergeordneten Abonnements ein.
• Berechtigungen: Weisen Sie die Rolle "Netzwerkmitwirkender" im entsprechenden Bereich (Verwaltungsgruppe oder Abonnement) Benutzern zu, die Azure Virtual Network Manager Konfigurationen verwalten.
• Regionsunterstützung: Stellen Sie sicher, dass sich Ihre virtuellen Zielnetzwerke in Regionen befinden, die Azure Virtual Network Manager unterstützen.
• Bereitstellungsworkflow: Grundlegendes zum Commit-and-Deploy-Modell: Konfigurationen werden erst wirksam, wenn Sie sie explizit in einer Zielregion bereitstellen. Schließen Sie bei der Bereitstellung alle gewünschten Konfigurationen für diese Region ein. Die Bereitstellung verwendet ein Zielstatusmodell, bei dem nur explizit eingeschlossene Konfigurationen aktiv bleiben.
• Konfliktvermeidung: Erstellen Sie nicht mehrere Azure Virtual Network Manager Instanzen mit überlappenden Bereichen, die dieselben Features verwalten. In Konfliktfällen hat der Netzwerkmanager mit höherem Umfang Vorrang.

Note

Das Commit-and-Deploy-Modell bietet einen Sicherheitsmechanismus. Überprüfen Sie Konfigurationsänderungen, validieren Sie sie mit dem Netzwerkprüfer, und stellen Sie sie bereit, wenn Sie bereit sind. Wenn die Region eines Netzwerkmanagers einen Ausfall erlebt, bleiben bereits bereitgestellte Konfigurationen für virtuelle Zielnetzwerke wirksam.

Sicherheitsüberlegungen

Regeln für Sicherheitsadministratoren schaffen eine Aufgabentrennung zwischen der zentralen Netzwerkverwaltung und den lokalen Workload-Teams:

• Standardmäßig durchgesetztes Modell: Verwenden Sie Verweigerungsregeln, um Datenverkehr zu blockieren, den Sie niemals zulassen sollten, unabhängig von den Workload-Anforderungen. Häufige Beispiele sind das Blockieren eingehender RDP oder SSH aus dem Internet und das Blockieren von Datenverkehr zu bekannten bösartigen IP-Bereichen.
• Garantierte Zugriffspfade: Verwenden Sie Always Allow-Regeln, um sicherzustellen, dass kritischer Verwaltungsdatenverkehr (z. B. Azure Plattformintegritätssonden oder Überwachungs-Agents) Ressourcen erreicht, auch wenn eine lokale NSG-Fehlkonfiguration sie andernfalls blockieren würde.
• Mehrschichtige Absicherung: Verwenden Sie Regeln vom Typ „Zulassen“ für Datenverkehrskategorien, bei denen Sie die jeweilige Datenverkehrsklasse zulassen möchten, und erlauben Sie es den Workload-Teams, auf Grundlage ihrer spezifischen Anforderungen zusätzliche NSG-Einschränkungen anzuwenden.
• Überwachungsprotokoll: Azure protokolliert alle Bereitstellungen von Regeln für Sicherheitsadministratoren als Ressourcenvorgänge. Überprüfen Sie den Bereitstellungsverlauf und Konfigurationsänderungen über Azure Aktivitätsprotokoll.
• Bereitstellungsüberprüfung: Verwenden Sie network Verifier, um die Konnektivität zwischen Ressourcen innerhalb Ihres Azure Virtual Network Manager Bereichs zu überprüfen, bevor Konfigurationsänderungen in der Produktion bereitgestellt werden.

Verwandte Artikel

• Hub-Spoke-Netzwerktopologie: Azure Virtual Network Manager automatisiert Hub-Spoke-Peering und unterstützt Hub als Gateway für die Transitkonnektivität.
• Virtual WAN-Netzwerktopologie: Azure Virtual Network Manager bietet eine Alternative für Organisationen, die eine benutzerdefinierte Hub-Spoke-Topologie gegenüber Azure Virtual WAN bevorzugen.
• IP-Adressplanung: IPAM erweitert die zentralisierte IP-Planung mit automatischer nicht überlappender Zuordnung über Abonnements hinweg.
• Netzwerksicherheitsgruppen und ASGs: Sicherheitsadministratorregeln wenden organisationsweite Sicherheitsgrundwerte an, die Vorrang vor Netzwerksicherheitsgruppenregeln haben.
• Netzwerküberwachung und Beobachtbarkeit: Koppeln Sie zentrales Management mit zentraler Überwachung über Ihre virtuelle Netzwerkfläche hinweg.

Weitere Informationen

• Übersicht über Azure Virtual Network Manager
• Sicherheitsadministratorregeln
• Übersicht über die IP-Adressverwaltung (IPAM)

Nächste Schritte

Tip

Auf eigene Faust erkunden? Kehren Sie zum Übersichtsnavigator zurück, um Ihren nächsten Artikel nach Funktion zu finden.

Sie haben den Lift-and-Shift-Netzwerkpfad abgeschlossen. Ihr Azure Netzwerk ist vollständig konzipiert, gesichert und verwaltet.

Kehren Sie zur Übersicht zurück: Erkunden Sie andere Funktionen, überprüfen Sie ein anderes Szenario, oder erhalten Sie weitere Details zu bestimmten Diensten.

Sie haben den Lernpfad zur Netzwerkmodernisierung abgeschlossen. Ihr Azure Netzwerk ist vollständig konzipiert, gesichert und verwaltet.

Kehren Sie zur Übersicht zurück: Erkunden Sie andere Funktionen, überprüfen Sie ein anderes Szenario, oder erhalten Sie weitere Details zu bestimmten Diensten.

Sie haben den cloudübergreifenden Netzwerkpfad abgeschlossen. Ihr Azure Netzwerk ist vollständig konzipiert, gesichert und verwaltet.

Kehren Sie zur Übersicht zurück: Erkunden Sie andere Funktionen, überprüfen Sie ein anderes Szenario, oder erhalten Sie weitere Details zu bestimmten Diensten.