Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Dieses Handbuch hilft Ihnen beim Planen und Entwerfen Ihres Azure Netzwerks. Es zeigt Ihnen, welche Azure Netzwerkdienste verfügbar sind, und hilft Ihnen bei der Auswahl der richtigen Dienste, je nachdem, was Ihre Workload benötigt. Beginnen Sie hier für Anwendungsmigrationen und neue cloudeigene Designs.
Was ist Azure Netzwerk?
In Azure ist das Netzwerk softwaredefiniert. Im Gegensatz zu lokalen Netzwerken, in denen Sie physische Kabel, Switches und Hardwaregeräte verwalten, ist Azure Netzwerk eine Reihe von Diensten, die Sie erstellen und konfigurieren. Verwenden Sie das Azure-Portal, Azure CLI oder Infrastruktur-as-Code-Tools wie Bicep und Terraform. Die Bausteine (virtuelle Netzwerke, Gateways, Lastenausgleichsgeräte und Firewalls) sind Ressourcen, die Sie bei Bedarf bereitstellen und unabhängig voneinander skalieren.
Denken Sie daran: In einem herkömmlichen Rechenzentrum ist das Netzwerk vorhanden, bevor Sie etwas bereitstellen. Kabel werden verlegt, Switches werden in Racks montiert und konfiguriert, und Firewalls werden Wochen im Voraus eingerichtet. In Azure erstellen Sie die Netzwerkressourcen als Teil der Bereitstellung. Sie definieren den Adressraum, erstellen Subnetze, fügen Sicherheitsregeln an und stellen eine Verbindung mit dem Internet oder Ihrer lokalen Umgebung her. Diese Konfiguration dauert Minuten anstelle von Wochen.
Dieser softwaredefinierte Ansatz bietet Ihnen Flexibilität, die physische Netzwerke nicht bieten:
- On-Demand-Bereitstellung: Erstellen, Ändern oder Löschen von Netzwerkressourcen ohne Hardwarebeschaffung oder physischen Zugriff.
- Deklarative Konfiguration: Definieren Des Zielnetzwerkstatus in Vorlagen. Azure behandelt die Implementierungsdetails.
- Unabhängige Skalierung: Skalieren eines Lastenausgleichs, Hinzufügen von Subnetzen oder Erweitern eines Adressraums ohne Auswirkungen auf andere Ressourcen.
- Integrierte Redundanz: Viele Azure Netzwerkdienste enthalten standardmäßig zonenredundante und georedundante Optionen.
Bevor Sie eine Workload in Azure bereitstellen, benötigen Sie ein Netzwerk. Jeder virtuelle Computer, jede Datenbank, jeder Container und jede Webanwendung wird in einem virtuellen Netzwerk ausgeführt. Azure Virtual Network integriert sich direkt in mehr als 16 andere Azure Dienste: von Azure Firewall bis Azure Application Gateway zu Azure Private Link und Azure Bastion. Dieser Leitfaden hilft Ihnen, zu entscheiden, welche Dienste einbezogen werden sollen und wie sie zusammenpassen.
Azure Netzwerkdienste auf einen Blick
Azure Netzwerk umfasst mehrere Kategorien. Sie brauchen nicht alle. Wählen Sie die Dienste aus, die den Anforderungen Ihrer Workload entsprechen:
- Virtuelle Netzwerke: Virtuelle Netzwerke, Subnetze, IP-Adressen und Netzwerkschnittstellen. Die Grundlage für alles andere.
- Konnektivität: VPN Gateway, ExpressRoute und virtuelle Netzwerk-Peering. Verbinden Sie Azure mit Ihrer lokalen Umgebung, anderen Azure-Regionen oder anderen Clouds.
- Lastenausgleich und Anwendungsbereitstellung: Azure Load Balancer, Azure Application Gateway, Azure Front Door und Azure Traffic Manager. Verteilen sie Datenverkehr, optimieren Sie die Leistung und verbessern Sie die Verfügbarkeit.
- Sicherheit: Netzwerksicherheitsgruppen, Azure Firewall, Azure Web Application Firewall und Azure DDoS-Schutz. Steuern sie den Datenverkehrsfluss, und schützen Sie Ihre Ressourcen.
- Privater Zugriff: Azure Private Link und private Endpunkte. Stellen Sie eine Verbindung mit Azure PaaS-Diensten her, ohne den Datenverkehr für das öffentliche Internet verfügbar zu machen.
- DNS: Azure DNS, private DNS-Zonen und Azure DNS Private Resolver. Namensauflösung für Ihre Azure- und Hybridumgebungen.
- Überwachung und Verwaltung: Azure Network Watcher, Azure Monitor und Azure Virtual Network Manager. Beobachten Sie Datenverkehr, diagnostizieren Sie Probleme und verwalten Sie Netzwerke im großen Maßstab.
In diesem Leitfaden werden alle diese Kategorien behandelt. Jeder Artikel konzentriert sich auf einen Funktionsbereich und hilft Ihnen bei der Auswahl zwischen den Diensten in diesem Bereich.
Auswählen Ihres Szenarios
Beginnen Sie hier. Ein Szenariopfad ist die empfohlene Methode für die Verwendung dieses Leitfadens. Wählen Sie den Pfad aus, der Ihrem Projekt entspricht, und folgen Sie dem Ende bis zum Ende. Jeder Pfad sequenziert jede Entwurfsentscheidung in der richtigen Reihenfolge:
| Scenario | Am besten geeignet für: | Guide |
|---|---|---|
| Lift & Shift | Verschieben lokaler Workloads auf Azure IaaS ohne erneute Architektur | Netzwerkpfad für Lift-and-Shift |
| Migrieren und Modernisieren | Übernehmen von PaaS-Diensten, Containern und verwalteten Datenbanken | Modernisierungsnetzwerkpfad |
| Cloudübergreifend | Verbinden von Azure mit AWS oder Google Cloud oder Migrieren von einer anderen Cloud | Cloudübergreifender Netzwerkpfad |
Tip
Sie wissen nicht, welches Szenario passt? Lesen Sie die vorstehenden Beschreibungen, oder fahren Sie mit der funktionsbasierten Erkundung fort.
Note
Sind Sie sich nicht sicher, ob es sich um Lift-and-Shift oder um Modernisierung handelt? Wenn Ihre Workloads auf virtuellen Computern mit minimalen Änderungen ausgeführt werden, beginnen Sie mit "Lift" und "Shift". Wenn Sie PaaS-Dienste wie AKS, App Service oder Azure SQL einführen, beginnen Sie mit der Migration und Modernisierung. Überprüfen Sie den anderen Pfad später nach Bedarf. Die Artikel überlappen sich.
Ihr Entwurfspfad
Wählen Sie Ihr Szenario oben in diesem Artikel aus, um den Rest des Handbuchs anzupassen. Hier erfahren Sie, wie sich Ihr Pfad unterscheidet:
Ihr Lift-and-Shift-Pfad: Sie migrieren On-Premises-Workloads per Rehosting zu Azure IaaS mit minimalen Änderungen.
- Grundlagen: Ein virtuelles Netzwerk pro Anwendung und ein Subnetz pro Komponente, das Die lokale Segmentierung spiegelt. Dimensionieren Sie den Adressraum mit ausreichend Spielraum für künftiges Wachstum und vermeiden Sie Überlappungen mit lokalen Adressbereichen.
- Konnektivität: VPN Gateway oder ExpressRoute in einem Hub für den lokalen Zugriff, Azure Bastion für den Administratorzugriff und eine private DNS-Zone mit Aliaseinträgen, um hartcodierte Legacynamen beizubehalten.
- Topologie und Resilienz: Eine Hub-and-Spoke-Topologie in einer einzelnen Region ist in der Regel ausreichend. Planen Sie die Notfallwiederherstellung mit Azure Site Recovery für Workloads, die keine Zonen oder Regionen umfassen können.
- Vorgeschlagene Reihenfolge: Virtuelle Netzwerke und Subnetze, IP-Planung, NSGs, Hub-and-Spoke, Hybridkonnektivität, Entwickler- und Administratorzugriff, DNS-Sicherheit, ausgehender Ausgang, Azure Firewall, Überwachung.
Ihr Migrations- und Modernisierungspfad: Sie setzen auf PaaS, Container und verwaltete Datenbanken, häufig mit Active-Active-Resilienz.
- Grundlagen: Konzipieren Sie Subnetze für Plattformdienste (dedizierte Subnetze für App Service-Umgebung und AKS mit CNI-Overlay) und reservieren Sie über Ihre Primär- und Sicherungsregionen hinweg sich nicht überschneidenden Adressraum.
- Konnektivität und Zustellung: Leiten Sie den Speichenausgang über eine Hubfirewall mit benutzerdefinierten Routen, Front-Web-Apps mit Azure Front Door und WAF weiter, und verwenden Sie Traffic Manager für Nicht-Web-Apps.
- Topologie und Betrieb: Stellen Sie eine Active-Active-Topologie über zwei Regionen hinweg mit zonenredundanten SKUs bereit, trennen Sie die Zuständigkeiten für Hub und Spokes durch Abonnements und RBAC, und verwenden Sie Azure Virtual Network Manager für konsistente Richtlinien.
- Vorgeschlagene Reihenfolge: Virtuelle Netzwerke und Subnetze, IP-Planung, NSGs, Hub-and-Spoke, Multiregion, Internet-Ingress, Anwendungsbereitstellung, PaaS privater Zugriff, Azure Firewall, WAF, DDoS, DNS-Sicherheit, Überwachung, AVNM.
Ihr cloudübergreifender Pfad: Sie verbinden Azure mit AWS oder Google Cloud oder migrieren von einer anderen Cloud.
- Entdecken Sie zuerst: Ordnen Sie Ihre vorhandenen AWS- und Google Cloud-Topologie- und DNS-Einträge zu, bevor Sie Azure entwerfen, und ordnen Sie jedem Quelldienst seine Azure Entsprechung zu.
- Topologie und Konnektivität: Verwenden Sie Azure Virtual WAN mit einem gesicherten Hub, und stellen Sie eine Verbindung mit AWS und Google Cloud über IPsec VPN her. Spiegeln Sie Ihre vorhandenen Sicherheitsgruppenregeln in NSGs.
- Namensauflösung und Bereitstellung: Verwenden Sie Azure DNS Private Resolver für die cloudübergreifende und On-Premises-Namensauflösung und platzieren Sie im Speichen eine Layer-7-WAF auf dem Application Gateway, anstatt öffentliche IP-Adressen auf VMs offenzulegen.
- Vorgeschlagene Reihenfolge: Regionsübergreifende und multicloud,Virtual WAN, virtuelle Netzwerke und Subnetze, IP-Planung, NSGs, Hybridkonnektivität, DNS-Sicherheit, Azure Firewall, Überwachung.
So verwenden Sie dieses Handbuch
Wenn ein Szenariopfad ihrem Projekt nicht entspricht, verwenden Sie diesen Leitfaden als Funktionsreferenz , und fahren Sie direkt mit dem Artikel für die benötigten Funktionen fort. Lesen Sie auf beide Weise zuerst die grundlegenden Artikel.
Für wen handelt es sich um diesen Leitfaden? Netzwerkadministratoren, Cloudarchitekten, IT-Entscheidungsträger und Entwickler, die Azure Netzwerk entwerfen oder verstehen müssen. Es ist keine vorherige Azure-Erfahrung erforderlich. Die grundlegenden Artikel beginnen mit den ersten Prinzipien.
Was diese Anleitung nicht ist: Dieses Handbuch ist kein Bereitstellungshandbuch. Es enthält keine Schritt-für-Schritt-Anleitungen für das Azure-Portal oder CLI-Befehle. Nachdem Sie Ihre Entwurfsentscheidungen getroffen haben, folgen Sie den Implementierungslinks im Abschnitt "Weitere Informationen" der einzelnen Artikel für schrittweise Bereitstellungsanweisungen.
Jeder Funktionsartikel folgt der gleichen Struktur (was er abdeckt, wer es benötigt, die Azure betreffenden Dienste, Entscheidungstabellen für die Auswahl, Voraussetzungen und Sicherheitsüberlegungen), damit Sie nach Ihren Anforderungen suchen können.
Struktur des Leitfadens
Die Anleitung enthält fünf Abschnitte:
| Abschnitt | Was es enthält | So verwenden Sie es |
|---|---|---|
| Grundlegende Artikel | Virtuelle Netzwerke, IP-Adressierung und Netzwerksicherheitsgruppen. Kernkonzepte, die von jeder Azure Bereitstellung verwendet werden. | Lesen Sie diese zuerst. Sie decken die Bausteine ab, auf denen alle anderen Artikel aufbauen. |
| Artikel zur Konnektivität | Hybridkonnektivität, Interneteingang, Anwendungsübermittlung, ausgehender Zugriff, privater PaaS-Zugriff, VM-Zugriff und regionsübergreifende Verbindungen. | Wechseln Sie zu den Artikeln, die der Art entsprechen, wie Ihre Workload eine Verbindung herstellt: mit dem Internet, lokal, mit anderen Azure Diensten oder regionenübergreifend. |
| Topologieartikel | Netzwerktopologien von einfachen flachen Netzwerken bis hin zu Hub-and-Spoke-, Azure Virtual WAN- und Multiregionendesigns. | Wählen Sie basierend auf der Skalierung und Komplexität Ihrer Umgebung aus. Beginnen Sie einfach und wachsen Sie. |
| Sicherheitsartikel | Azure Firewall, Azure Web Application Firewall, Azure DDoS-Schutz und DNS-Sicherheit. | Wechseln Sie zu den Artikeln, die Ihren Sicherheitsanforderungen entsprechen. Jeder Artikel in der Anleitung enthält auch einen Abschnitt zu Sicherheitsaspekten. |
| Operations-Artikel | Netzwerküberwachung, Beobachtbarkeit und zentrale Verwaltung mit Azure Virtual Network Manager. | Verwenden Sie diese Artikel, um zu planen, wie Sie Ihr Netzwerk nach der Bereitstellung überwachen, beheben und verwalten. |
Das folgende Diagramm zeigt, wie die Anleitung organisiert ist. Die Übersicht verbindet sich mit allen fünf Artikelgruppen, während die Szenariohandbücher und Die Phasenzusammenfassung den Lesern helfen, zu entscheiden, wie der Inhalt durchzugehen ist.
Wo beginnen Sie: Beginnen Sie für die meisten Projekte mit einem Szenariopfad. Das ist der empfohlene Einstieg, und jeder Pfad bringt Ihre Entscheidungen in die richtige Reihenfolge. Wenn Sie die benötigten Funktionen bereits kennen, verwenden Sie den Business-Need Navigator. Wenn Sie noch nicht mit Azure Networking vertraut sind, lesen Sie diese Übersicht weiter, oder legen Sie Ihre Eingaben mit der Bewertung der Anforderungen fest.
Sammeln Sie zuerst Ihre Anforderungen
Ein guter Netzwerkentwurf beginnt mit der Ermittlung, nicht mit der Bereitstellung. Bevor Sie ein einzelnes virtuelles Netzwerk erstellen, sammeln Sie die Eingaben, die Ihre Entwurfsentscheidungen fördern. Jede Eingabe in der folgenden Tabelle entspricht einer Entscheidung, die Sie treffen, und dem Artikel, der Ihnen dabei hilft, sie zu treffen. Sammeln Sie diese Informationen für jede Workload, die Sie in Azure ausführen möchten – idealerweise für alles, was Sie in den nächsten drei bis fünf Jahren voraussichtlich migrieren oder neu aufbauen werden –, damit Ihr Adressraum und Ihre Topologie genügend Spielraum für Wachstum haben.
| Zu erfassende Eingabe | Entwurfsentscheidung, die davon bestimmt wird | Wohin geht's |
|---|---|---|
| Namen von Workloads und Anzahl der Komponenten (Ebenen) | Anzahl virtueller Netzwerke und Subnetze: ein virtuelles Netzwerk pro Workload, ein Subnetz pro Komponente | Virtuelle Netzwerke und Subnetze |
| Elementanzahl pro Komponente, jetzt und projiziert | Adressraum und Subnetzgröße; ob Sie einen Lastenausgleich benötigen | IP-Adressplanung, Anwendungsübermittlung |
| Bereitstellungsregionen | Bereichsauswahl und ob Sie ein Design mit mehreren Regionen benötigen | Netzwerk mit mehreren Regionen |
| Datenverkehrsflüsse zwischen Komponenten | Peering, Regeln für Netzwerksicherheitsgruppen und interne Namensauflösung | Netzwerksicherheitsgruppen, DNS-Sicherheit |
| Lokale Konnektivität und Bandbreite | VPN Gateway vs ExpressRoute; Adressbereiche, die Überlappungen vermeiden | Hybridkonnektivität, IP-Adressplanung |
| Anforderungen für Entwickler- und Administratorzugriff | Azure Bastion oder Point-to-Site-VPN | Entwickler- und Administratorzugriff |
| Anforderungen an das ausgehende Internet | NAT-Gateway, Azure Firewall oder beides; Ersetzen des standardmäßigen ausgehenden Zugriffs | Ausgehender Internetzugriff |
| Anforderungen an den eingehenden Internetverkehr | Anwendungsgateway, Azure Front Door, Traffic Manager, WAF und DDoS-Schutz | Interneteingang, Anwendungsübermittlung |
| Azure PaaS-Abhängigkeiten | Private Link, private Endpunkte oder Dienstendpunkte | Privater PaaS-Zugriff |
| Andere Clouds und regionenübergreifende Konnektivität | Hub-and-spoke vs. Virtual WAN; cloudübergreifender Transit | Hub-and-Spoke-Topologie, Virtual WAN, regionsübergreifende und multicloud-Konnektivität |
| Sicherheitsstufe (Isolation, Inspektion, Verschlüsselung) | Segmentierung, Firewall-Überprüfung und Perimeterschutzmaßnahmen | Netzwerksicherheitsgruppen, Azure Firewall |
| Resilienzniveau (Zonal vs regional) | Zonenredundante vs. regionale Service-SKUs | Netzwerk mit mehreren Regionen |
| Überwachungs- und Beobachtbarkeitsanforderungen | Network Watcher und Datenflussprotokolle | Netzwerküberwachung und Beobachtbarkeit |
Nachdem Sie diese Eingaben gesammelt haben, verwenden Sie den Business-Need Navigator , um jede Anforderung dem Artikel zuzuordnen, der ihn behandelt. Wenn Sie einem Szenariopfad folgen, sequenziert jede Anleitung diese Entscheidungen für Sie.
Beginnen Sie hier: Grundlegende Artikel
Bevor Sie bestimmte Funktionen erkunden, lesen Sie die drei grundlegenden Artikel. In diesen Artikeln werden die Bausteine behandelt, die von jedem Azure Netzwerk verwendet werden, unabhängig vom Workloadtyp oder der Komplexität.
| Artikel | Was es abdeckt | Warum es grundlegend ist |
|---|---|---|
| Azure Virtual Networks und Subnetze | Erstellung virtueller Netzwerke, Entwurf von Subnetzen, dedizierte Subnetze und Entscheidungen zum Adressraum | Jede Azure Workload lebt in einem virtuellen Netzwerk. Sie benötigen diesen Artikel vor etwas anderem. |
| IP-Adressplanung | Private und öffentliche IP-Zuweisung, RFC 1918-Bereiche, CIDR-Planung und IPv6-Entscheidungen | IP-Adressen untermauern jede Netzwerkentscheidung. Schlechte Planung verursacht Konflikte, die später teuer zu beheben sind. |
| Netzwerksicherheitsgruppen und Anwendungssicherheitsgruppen | Regeln für die Datenverkehrsfilterung, Sicherheitsgruppenzuweisung, Service Tags und Default-Deny-Ansatz | Die Verkehrssteuerung ist standardmäßig in Azure aktiv, funktioniert aber nur ordnungsgemäß, wenn Sie sie absichtlich konfigurieren. |
Nachdem Sie die grundlegenden Artikel abgeschlossen haben, wechseln Sie zu den Funktionsartikeln, die den Anforderungen Ihrer Workload entsprechen. Es gibt keine erforderliche Bestellung. Jeder Funktionsartikel ist eigenständig.
Navigator für Geschäftsanforderungen
Verwenden Sie diese Tabelle, um den richtigen Artikel basierend auf den Anforderungen Ihrer Arbeitsauslastung zu finden. Jede Zeile ordnet dem Artikel, der ihn behandelt, eine allgemeine Geschäftsanforderung zu.
| Ich muss ... | Gehe zu | Artikelcode |
|---|---|---|
| Einrichten meines virtuellen Kernnetzwerks und der Subnetze | Virtuelle Netzwerke und Subnetze | F1 |
| Planen und Zuweisen meines IP-Adressraums | IP-Adressplanung | F2 |
| Steuern des Datenverkehrs zwischen meinen Subnetzen und Ressourcen | Netzwerksicherheitsgruppen und ASGs | F3 |
| Verbinden meines lokalen Büros oder Rechenzentrums mit Azure | Hybridkonnektivität | C1 |
| Zulassen, dass Internetbenutzer meine Anwendung erreichen | Interneteingang | C2 |
| Optimieren der Anwendungsbereitstellung und -leistung global | Anwendungsbereitstellung und -leistung | C3 |
| Steuern, was meine Azure-Ressourcen im Internet erreichen können | Ausgehender Internetzugriff | C4 |
| Verbinden Azure VMs mit Azure Storage, Datenbanken oder anderen PaaS-Diensten, ohne über das öffentliche Internet zu gehen | Privater PaaS-Zugriff | C5 |
| Zulassen, dass Entwickler oder Administratoren sicher auf Azure VMs zugreifen können | Entwickler- und Administratorzugriff | C6 |
| Verbinden von Azure Ressourcen über Regionen hinweg oder Herstellen einer Verbindung mit AWS oder Google Cloud | Regionsübergreifende und Multicloudkonnektivität | C7 |
| Entwerfen eines einfachen Netzwerks für eine einzelne Workload | Flache Netzwerktopologie | T1 |
| Hosten mehrerer Workloads mit gemeinsamen Diensten wie einer Firewall oder einem Gateway | Hub-and-Spoke-Topologie | T2 |
| Verwalten von Netzwerken in vielen Zweigstellen und Regionen | Azure Virtual WAN | T3 |
| Meine Workload über mehrere Azure-Regionen hinweg zur Gewährleistung hoher Verfügbarkeit bereitstellen | Netzwerk mit mehreren Regionen | T4 |
| Überprüfen und Filtern des gesamten Datenverkehrs mit einer Firewall | Azure Firewall | S1 |
| Schützen meiner Webanwendung vor HTTP-Layer-Angriffen | Web Application Firewall | S2 |
| Schützen meiner öffentlich zugänglichen Ressourcen vor volumetrischen Angriffen | DDoS-Schutz | S3 |
| Einrichten der Auflösung von privaten Namen oder Sichern meines DNS | DNS-Sicherheit und Private Name-Auflösung | S4 |
| Meinen Netzwerkstatus und Datenverkehr überwachen | Netzwerküberwachung und Beobachtbarkeit | O1 |
| Verwalten virtueller Netzwerke über mehrere Abonnements zentral | Zentrale Netzwerkverwaltung mit Azure Virtual Network Manager | O2 |
Tip
Wenn Sie nicht sicher sind, wo Sie beginnen möchten, lesen Sie zuerst die drei grundlegenden Artikel (F1–F3), und kehren Sie zu dieser Tabelle zurück. Die meisten Workloads benötigen mindestens einen Verbindungsartikel (C1–C7) und einen Topologieartikel (T1–T4) zusammen mit den Grundlagen. Arbeitsbeispiele, die den vollständigen Artikelsatz für allgemeine Arbeitslasten zeigen, finden Sie unter "Allgemeine Arbeitsauslastungsmuster".
Entwurfsphasen auf einen Blick
In den folgenden Phasen wird die typische Entwicklung von planung zu Betrieb beschrieben. Jede Phase baut auf dem vorherigen auf.
| Phase | Fokus | Lift & Shift | Cloudbasiert | Wichtige Artikel |
|---|---|---|---|---|
| Phase 1: Planen | Definieren virtueller Netzwerke, Adressraum und Datenverkehrsfilterung | Zuordnen Azure VNets, Subnetze und Regeln zu vorhandenen Netzwerksegmenten und ACLs | Entwerfen von Workloadisolationsgrenzen, wachstumsfreundlichen CIDR-Bereichen und tagbasierter Filterung | Virtuelle Netzwerke und Subnetze, IP-Adressplanung, Netzwerksicherheitsgruppen |
| Phase 2: Erstellen | Auswählen des Netzwerktopologiemusters | Beginnen Sie mit der Topologie, die Ihr zentralisiertes On-Premises-Modell am besten widerspiegelt, häufig einer Hub-and-Spoke-Topologie | Beginnen Sie mit der einfachsten Topologie, die die Workload unterstützt, und fügen Sie dann nach Bedarf gemeinsame Dienste hinzu. | Flat network topology, Hub-and-spoke topology, Azure Virtual WAN, Multi-Region networking |
| Phase 3: Verbinden | Planen der Internet-, Hybrid-, privat- und regionsübergreifenden Konnektivität | Priorisieren von Hybridkonnektivität und kontrolliertem Eingangs- und Ausgang für migrierte Workloads | Priorisieren der Internetbereitstellung, privater PaaS-Zugriff und hinzufügen nur Hybridlinks bei Bedarf | Hybridkonnektivität, Internetausgang, Anwendungsübermittlung, ausgehender Internetzugang, privater PaaS-Zugriff, Entwickler- und Administratorzugriff, regionsübergreifende und multicloud-Konnektivität |
| Phase 4: Sichern | Anwenden von Netzwerkschutzebenen | Zentrale Inspektions- und Perimeterkontrollen in Azure wiederherstellen | Verlagern Sie Schutzmechanismen näher an den Edge-Bereich und an private Endpunkte, ohne dabei Zero-Trust-Grenzen aufzuweichen. | Azure Firewall, Web Application Firewall, DDoS-Schutz, DNS-Sicherheit und Private Name-Auflösung |
| Phase 5: Betrieb | Überwachen, Beheben von Problemen und Verwalten des Nachlasses | Frühzeitiges Überprüfen von migrierten Datenverkehrsmustern und zentralen Vorgängen | Ermöglichen Sie Observability und zentrale Richtlinienverwaltung ab der ersten Produktionsbereitstellung | Netzwerküberwachung und -observierbarkeit, zentrales Netzwerkmanagement mit Azure Virtual Network Manager |
Auswählen Ihres Sicherheitsstatus
Die Netzwerksicherheit in Azure umfasst drei Ziele (Einschränken, Überprüfen und Verschlüsseln des Datenverkehrs), und Sie wenden die einzelnen Ziele auf der Ebene an, die Ihre Workload erfordert. Verwenden Sie die folgende Matrix, um den Umfang Ihres Entwurfs festzulegen. Jede Stufe baut auf der vorherigen auf und nimmt zusätzliche Kosten oder Komplexität in Kauf, um stärkeren Schutz zu erreichen.
| Zielsetzung | Basic | Medium | Hoch |
|---|---|---|---|
| Einschränken des Datenverkehrs | Segmentieren Sie Workloads in virtuelle Netzwerke und Subnetze, wenden Sie Netzwerksicherheitsgruppen und ASGs an, und deaktivieren Sie den standardmäßigen ausgehenden Zugriff. | Fügen Sie Azure Firewall mit Bedrohungserkennung, DDoS-Netzwerkschutz und DNS-Sicherheitsrichtlinien hinzu. | Fügen Sie Azure Firewall Premium, Private Link für PaaS, Netzwerksicherheitsperimeter und eine ausschließlich private Bastion hinzu. |
| Überprüfen des Datenverkehrs | Verwenden Sie Azure Network Watcher für die Diagnose. | Exportieren Sie virtuelle Netzwerkflussprotokolle in ein SIEM, und fügen Sie eine Webanwendungsfirewall auf dem Anwendungsgateway oder vor der Tür hinzu. | Aktivieren Sie Azure Firewall Premium TLS-Inspektion und IDPS mit vollständiger Ablaufprotokollanalyse. |
| Verschlüsseln des Datenverkehrs | Beenden von TLS bei der Anwendung; verwenden Sie VPN Gateway für hybriden Datenverkehr. | Verwenden Sie ExpressRoute für private Verbindungen, die das öffentliche Internet umgehen. | Fügen Sie die Verschlüsselung des virtuellen Netzwerks und ExpressRoute Direct mit MACsec hinzu. |
Die meisten Produktionsarbeitslasten landen auf mittlerer Ebene. Wählen Sie eine hohe Option für regulierte oder kundenorientierte Workloads aus, bei denen die Sicherheit Kosten und Latenz überwiegt. Jeder Funktionsartikel enthält auch einen Abschnitt zu Sicherheitsaspekten mit spezifischen Anleitungen.
Verwandte Leitfäden
Dieser Leitfaden konzentriert sich auf Netzwerkdesignentscheidungen. Eine umfassendere Architektur und Einführungsleitfaden finden Sie unter:
- Netzwerktopologie und Konnektivität im Cloud Adoption Framework für die Vernetzung von Landing Zones im Unternehmensmaßstab.
- Empfehlungen für Netzwerke und Konnektivität im Well-Architected Framework für Sicherheit, Zuverlässigkeit und Kostenabwägungen.
- Netzwerkarchitekturdesign im Azure Architecture Center für Referenzarchitekturen und bewährte Muster.
Nächste Schritte
Starten Sie mit Lift-and-Shift:
Lift-and-Shift-Netzwerkentwurfspfad: Ein geführter Lesepfad für die Migration lokaler Workloads zu Azure IaaS ohne erneute Architektur.
Beginnen Sie Ihre Modernisierungsreise:
Entwurfspfad für Migration und Modernisierung von Netzwerken: Ein geführter Lesepfad für die Einführung von PaaS-Diensten, Containern und verwalteten Datenbanken in Azure.
Starten Sie Ihre cloudübergreifende Reise:
Cloudübergreifender Netzwerkentwurfspfad: Ein geführter Lesepfad zum Verbinden von Azure mit AWS oder Google Cloud oder zum Migrieren von einer anderen Cloud.