Azure-Subnetze: Virtual Networks in Microsoft Azure entwerfen
Microsoft Azure ist eine der weltweit führenden Cloud-Plattformen, und im Herzen jeder Azure-Bereitstellung steht das Virtual Network (VNet). Innerhalb jedes VNet bieten Subnetze die grundlegende Netzwerksegmentierung, die sichere, organisierte und skalierbare Cloud-Architekturen ermöglicht. Ob Sie eine einfache virtuelle Maschine oder eine komplexe mehrstufige Anwendung bereitstellen, das Verständnis von Azure-Subnetzen ist entscheidend für den Aufbau zuverlässiger Cloud-Infrastruktur auf Azure.
Was ist ein Azure-Subnetz?
Ein Azure-Subnetz ist eine logische Partition eines Virtual Network, das einen IP-Adressbereich innerhalb des VNet-Adressraums definiert. Subnetze ermöglichen es Ihnen, Ihr Netzwerk für Sicherheit, Traffic-Management und Ressourcenorganisation zu segmentieren. Jedes Azure-Subnetz hat einen einzigartigen CIDR-Block, der im Adressbereich des übergeordneten VNet liegen muss. Im Gegensatz zu AWS-Subnetzen, die an eine einzige Availability Zone gebunden sind, können Azure-Subnetze mehrere Availability Zones innerhalb derselben Region überspannen und geben Ihnen Flexibilität bei der Verteilung von Ressourcen über Fehlter domaine.
Azure reserviert 5 IP-Adressen in jedem Subnetz: die erste Adresse (Netzwerk), die zweite (Azure Standard-Gateway), die dritte und vierte (Azure DNS und reserviert) und die letzte (Broadcast). Das bedeutet, dass ein /24-Subnetz in Azure nur 251 nutzbare Adressen hat, nicht die erwarteten 254. Die minimale Subnetzgröße, die Azure erlaubt, ist /29, das 8 Gesamtadressen, aber nur 3 nutzbare bietet—generell unpraktisch für den Produktionsbetrieb. /28 oder größer wird empfohlen. Der Azure-Subnetz-Rechner berücksichtigt diese Reservierungen automatisch bei der Planung Ihres VNet.
Azure VNet und Subnetz-Architektur
Ein Azure VNet ist die Grundlage der Netzwerkkonnektivität in Azure. Es definiert einen IP-Adressbereich (typischerweise RFC 1918 private Bereiche wie 10.0.0.0/8 oder 172.16.0.0/12) und dient als Container für Subnetze. Subnetze erben die auf das VNet angewandten Routing- und Sicherheitsrichtlinien und fügen ihre eigene Zugriffskontrollschicht über Network Security Groups (NSGs) hinzu. NSGs wirken als verteilter Firewall und ermöglichen es Ihnen, Ein- und Ausgangsregeln basierend auf Quell-/Ziel-IP, Port und Protokoll zu definieren. Im Gegensatz zu AWS NACLs, die stateless sind, können Azure NSGs stateful sein, was die Erstellung von Regeln vereinfacht.
Azure unterstützt sowohl regionale Subnetze (die alle Availability Zones in einer Region überspannen) als auch zone-redundante Bereitstellungen. Dies ist ein wesentlicher Unterschied zu AWS, wo jedes Subnetz auf eine einzige Availability Zone beschränkt ist. In Azure implementieren Sie Ressourcen in ein Subnetz und geben dann die Availability Zone auf Ressourcenebene an. Diese Architektur bietet mehr Flexibilität bei der IP-Adressplanung, da Sie keine dedizierten Subnetze für jede AZ benötigen. Der Azure-Subnetz-Rechner hilft Ihnen, die optimale CIDR-Größe zu wählen und den nutzbaren Adressbereich nach Azures Reservierungen zu sehen.
Subnetz-Sicherheit und Konnektivität
Die Sicherheit auf Subnetzebene in Azure wird über Network Security Groups (NSGs) und Service-Endpoints verwaltet. NSGs filtern Traffic auf Subnetz- oder NIC-Ebene basierend auf von Ihnen definierten Regeln. Service-Endpoints ermöglichen es Ihnen, den Zugriff auf Azure-Dienste (wie Azure Storage oder SQL Database) nur auf Ihr VNet zu beschränken und die Exposition über das öffentliche Internet zu eliminieren. VNet-Peering ermöglicht die Konnektivität zwischen VNets in derselben oder unterschiedlichen Regionen, wobei Traffic über das Microsoft Backbone-Netzwerk fließt. Azure Bastion bietet sicheren RDP/SSH-Zugang zu VMs ohne Exposition von öffentlichen IPs.
Für hybride Konnektivität unterstützt Azure VPN-Gateways (Site-to-Site und Point-to-Site) und Azure ExpressRoute für dedizierte private Verbindungen zu lokalen Netzwerken. Diese Verbindungen werden auf VNet-Ebene angehängt und bieten Zugang zu allen Subnetzen innerhalb des VNet. Eine ordnungsgemäße Subnetzplanung stellt sicher, dass Ihr IP-Adressbereich sich nicht mit lokalen Netzwerken überlappt, was VPN- oder ExpressRoute-Konnektivität verhindern würde.
Eine gut entworfene Azure-Subnetz-Strategie folgt Best Practices: Verwenden Sie ein /16 VNet, um Raum für Wachstum zu lassen, implementieren Sie /24 oder größere Subnetze für Produktions-Workloads, trennen Sie Anwendungsschichten in verschiedene Subnetze, verwenden Sie NSGs für Micro-Segmentation und planen Sie regionale Expansion. Der Azure-Subnetz-Rechner auf dieser Seite erleichtert das Erkunden verschiedener CIDR-Konfigurationen und das Verständnis der Auswirkungen von Azures reservierten Adressen auf Ihren nutzbaren IP-Raum. Egal ob Sie sich auf die AZ-900- oder AZ-104-Zertifizierung vorbereiten oder eine Produktions-Azure-Umgebung entwerfen, das Beherrschen der Subnetzplanung ist eine grundlegende Fähigkeit.
Warum ordnungsgemäße Subnetzplanung wichtig ist
Azure-Subnetze unterscheiden sich grundlegend von AWS-Subnetzen dadurch, dass sie nicht an eine einzige Availability Zone gebunden sind. Das bedeutet, dass Sie ein einzelnes Subnetz über mehrere Zonen bereitstellen können, was Ihre Netzwerkarchitektur vereinfacht. Es bedeutet jedoch auch, dass Sie zonenbewusste Ressourcen sorgfältig planen müssen. Der Azure-Subnetz-Rechner hilft Ihnen, den Adressraum Ihres VNet zu visualisieren und Subnetze zu planen, die Azures reservierte IPs berücksichtigen und gleichzeitig ausreichend Platz für Ihre Workloads bieten.