Verbinden von eigenständigen Servern mithilfe des Azure-Netzwerkadapters

Diese Referenzarchitektur zeigt, wie Sie einen lokalen eigenständigen Server mit virtuellen Microsoft Azure-Netzwerken verbinden können, indem Sie den Azure-Netzwerkadapter verwenden, den Sie über Windows Admin Center (WAC) bereitstellen. Der Azure-Netzwerkadapter erstellt eine gesicherte virtuelle Verbindung über das Internet, wodurch Ihr lokales Netzwerk in Azure erweitert wird.

Aufbau

Laden Sie eine Visio-Datei mit dieser Architektur herunter.

Workflow

Die Architektur umfasst die folgenden Komponenten:

• Lokales Netzwerk. Diese Komponente ist das private LAN (Local Area Network) einer Organisation.
• Zweigstelle. Diese Komponente ist ein privates LAN in einer Zweigniederlassung, das über ein WAN (Wide Area Network) verbunden ist.
• Anderer Cloudanbieter. Diese Komponente ist ein privates virtuelles Netzwerk, das ein Cloudanbieter anbietet. Die Verbindung wird über ein virtuelles privates Netzwerk (VPN) hergestellt.
• Windows Server mit installiertem Windows Admin Center. Der Server, mit dem Sie den Azure-Netzwerkadapter bereitstellen.
• Windows Server (eigenständig) . Der Server, auf dem der Azure-Netzwerkadapter installiert ist. Dieser Server kann sich in einem Zweigstellennetzwerk oder im Netzwerk eines anderen Cloudanbieters befinden.
• Azure Virtual Network (VNet) . Die virtuellen Server und andere Dienste und Komponenten für das Azure VPN-Gateway, die im selben virtuellen Netzwerk in Azure sind.
• Azure VPN Gateway. Der VPN Gateway-Dienst, mit dem Sie das virtuelle Netzwerk über eine VPN-Appliance oder Azure-Netzwerkadapter mit dem lokalen Netzwerk oder eigenständigen Servern verbinden können. Weitere Informationen finden Sie unter Verbinden eines lokalen Netzwerks mit einem Microsoft Azure Virtual Network. Für VPN-Gateways gibt es mehrere Preisstufen oder Stock Keeping Units (SKUs). Jede SKU unterstützt unterschiedliche Anforderungen, basierend auf den Arten von Workloads, Durchsatz, Funktionen und Vereinbarungen zum Servicelevel (SLAs). Das VPN Gateway enthält die folgenden Komponenten:
  • Gateway des virtuellen Netzwerks (aktiv) . Diese Azure-Ressource stellt eine virtuelle VPN-Appliance für das virtuelle Netzwerk bereit und ist dafür verantwortlich, den Datenverkehr zwischen dem lokalen Netzwerk und dem virtuellen Netzwerk weiterzuleiten.
  • Gateway des virtuellen Netzwerks (passiv) . Diese Azure-Ressource stellt eine virtuelle VPN-Appliance für das virtuelle Netzwerk zur Verfügung und ist die Standbyinstanz des aktiven Azure VPN-Gateways. Weitere Informationen finden Sie unter Informationen zur Redundanz von Azure VPN-Gateways.
  • Gatewaysubnetz. Das virtuelle Netzwerkgateway befindet sich in einem eigenen Subnetz, das verschiedenen Anforderungen unterliegt, die im folgenden Abschnitt „Empfehlungen“ ausführlich beschrieben werden.
  • Verbindung. Die Verbindung verfügt über Eigenschaften, die den Verbindungstyp angeben. Zu diesen Eigenschaften zählen Internet Protocol Security (IPSec ) und der Schlüssel, der für das lokale VPN-Gerät freigegeben wird, um Datenverkehr zu verschlüsseln.
• Cloudanwendung. Diese Komponente ist die Anwendung, die in Azure gehostet wird. Sie kann viele Ebenen mit mehreren Subnetzen umfassen, die über Azure-Lastenausgleiche eine Verbindung herstellen. Weitere Informationen zur Anwendungsinfrastruktur finden Sie unter Ausführen von Windows-VM-Workloads und Ausführen von Linux-VM-Workloads.
• Interner Load Balancer. Netzwerkverkehr aus dem VPN Gateway wird über einen internen Load Balancer an die Cloudanwendung weitergeleitet, der sich im Produktionssubnetz der Anwendung befindet.
• Azure Bastion. Mit Azure Bastion können Sie sich bei VMs im virtuellen Azure-Netzwerk anmelden, ohne die VMs direkt dem Internet auszusetzen. Es wird Secure Shell (SSH) oder Remotedesktopprotokoll (RDP) verwendet. Wenn die VPN-Verbindung unterbrochen wird, können Sie Ihre VMs im virtuellen Azure-Netzwerk weiterhin mit Azure Bastion verwalten. Allerdings wird die Verwaltung von lokalen Servern über Azure Bastion nicht unterstützt.

Komponenten

• Virtuelles Netzwerk. Azure Virtual Network (VNET) ist der grundlegende Baustein für Ihr privates Netzwerk in Azure. Mit VNET können zahlreiche Arten von Azure-Ressourcen (beispielsweise virtuelle Azure-Computer) sicher untereinander sowie mit dem Internet und mit lokalen Netzwerken kommunizieren.

• Azure Bastion. Azure Bastion ist ein vollständig verwalteter Dienst, der sichereren und nahtloseren Zugriff auf virtuelle Computer (VMs) per RDP (Remotedesktopprotokoll) und SSH (Secure Shell-Protokoll) ohne jegliche Verfügbarkeit über öffentliche IP-Adressen bietet.

• VPN Gateway. VPN Gateway sendet verschlüsselten Datenverkehr zwischen einem virtuellen Azure-Netzwerk und einem lokalen Standort über das öffentliche Internet. Ein VPN-Gateway kann aber auch verwendet werden, um verschlüsselten Datenverkehr zwischen virtuellen Azure-Netzwerken über das Microsoft-Netzwerk zu senden. Ein VPN-Gateway ist eine spezifische Art eines Gateways für ein virtuelles Netzwerk.

• Windows Admin Center. Windows Admin Center ist eine lokal bereitgestellte, browserbasierte App zum Verwalten von Windows-Servern, Clustern, hyperkonvergenter Infrastruktur und Windows 10-PCs. Es handelt sich um ein kostenloses Produkt, das einsatzbereit für Produktionsumgebungen ist.

Empfehlungen

Die folgenden Empfehlungen gelten für die meisten Szenarios. Sofern Sie keine besonderen Anforderungen haben, die Vorrang haben, sollten Sie diese Empfehlungen befolgen.

Verbinden eines eigenständigen Servers

Um einen eigenständigen Server über WAC zu verbinden, müssen Sie den Server der Liste der verwalteten Server in der WAC-Installation des dedizierten Servers hinzufügen. Nachdem Sie den Server dieser Liste hinzugefügt haben, können Sie den Server auswählen, für den Sie den Azure-Netzwerkadapter installieren möchten, und dann Netzwerk aus den Tools auswählen, gefolgt von der Option „+ Azure-Netzwerkadapter hinzufügen (Vorschau)“ im Bereich Netzwerk.

Wenn Sie die Option + Azure-Netzwerkadapter hinzufügen (Vorschau) auswählen, wird das Konfigurationsblatt Azure-Netzwerkadapter hinzufügen in einem Browserfenster geöffnet. Es gibt mehrere Optionen, die Sie auf diesem Blatt konfigurieren können.

Folgende Informationen sind erforderlich:

Nachdem Sie alle erforderlichen Felder ausgefüllt haben, wird die Schaltfläche Erstellen aktiviert, und Sie sollten sie auswählen, um die Bereitstellung des Azure-Netzwerkadapters auf dem ausgewählten Server zu starten.

Der Bereitstellungsprozess besteht aus zwei Hauptteilen, wobei es sich bei der ersten um die Bereitstellung und Auswahl des Azure VPN Gateways handelt. Wenn Sie Ihr Azure VPN Gateway zuerst bereitstellen müssen, sollten Sie 25 bis 45 Minuten für den Abschluss der Bereitstellung einplanen. (Die Bereitstellung einiger Konfigurationen kann so lange dauern.) Das WAC stellt Informationen zum Fortschritt der Bereitstellung bereit. Der zweite Teil ist die eigentliche Installation des Azure-Netzwerkadapters, die 10 Minuten dauern kann. Das WAC benachrichtigt Sie auch über den Installationsfortschritt.

Nachdem die Bereitstellung begonnen hat, können Sie den Fokus von WAC ändern, indem Sie andere Tools oder Server auswählen. Der Bereitstellungsprozess wird im Hintergrund fortgesetzt.

Wenn Sie die Option Automatisch generiertes selbstsigniertes Stamm- und Clientzertifikat auswählen, werden die beiden erforderlichen Zertifikate von Azure automatisch erstellt und im Zertifikatspeicher des ausgewählten Servers gespeichert. Sie können das Tool Zertifikate in WAC verwenden, um nach den Zertifikaten zu suchen. Anschließend können Sie ein Stammzertifikat im Container „Local Machine/Root“ ermitteln. Der Name des Zertifikats beginnt mit Windows Admin Center-Created-vpngw und enthält die Zeichenfolge P2SRoot. Am Ende der Zeichenfolge ist ein Zeitstempel enthalten, der mit dem Erstellungsdatum des Zertifikats codiert ist. Dieses Zertifikat wird ebenfalls im Container „Local Machine/CA“ gespeichert. Das zweite Zertifikat wird im Container „Local Machine/My container“ gespeichert. Der Name dieses Zertifikats beginnt mit Windows Admin Center-Created-vpngw und enthält die Zeichenfolge P2SClient. Am Ende der Zeichenfolge ist ein Zeitstempel enthalten, der mit dem Erstellungsdatum des Zertifikats codiert ist.

Nachdem die Bereitstellung abgeschlossen wurde, wird das Tool Netzwerke des ausgewählten Servers mit dem neuen Azure-Netzwerkadapter aktualisiert, der nach Beendigung der Bereitstellung automatisch gestartet wird und einen aktiven Status angibt. Sie können den Adapter auswählen, um die Dropdownliste Mehr zu aktivieren, die Sie auswählen können, um den Adapter zu trennen oder zu löschen. Auf dem eigentlichen Server wird der Azure-Netzwerkadapter als VPN-Verbindung installiert. Der Name des Adapters beginnt mit Windows Admin CenterVPN, gefolgt von einer zufälligen dreistelligen Zahl.

Wenn der Azure-Netzwerkadapter installiert und verbunden ist, können Sie diese neue Netzwerkverbindung verwenden, um eine direkte Verbindung mit den Azure-VNETs und ihren Systemen herzustellen. Dieser Verbindungstyp wird normalerweise verwendet, um eine Remotedesktopsitzung über die interne IP-Adresse einer Azure-VM anstatt mithilfe der öffentlichen IP-Adresse der VM einzurichten.

Verwenden eines dedizierten WAC-Servers

Für eine zentralisierte Verwaltung wird empfohlen, dass Sie eine dedizierte Windows-Verwaltungsserverinstallation verwenden, von der aus Sie andere Server hinzufügen können. Dieser Ansatz bedeutet, dass keine verwalteten Server zusätzliche Software erfordern. Weitere Informationen finden Sie unter Windows Admin Center.

Vorbereiten eines dedizierten VNETs

Die Installationsschnittstelle des Azure-Netzwerkadapters entspricht möglicherweise nicht Ihren Anforderungen bezüglich Benennungskonventionen oder Tarif. Um diesen Konflikt zu vermeiden, können Sie die erforderlichen Azure-Ressourcen erstellen, bevor Sie den Adapter bereitstellen. Während der Bereitstellung wählen Sie die bereits vorhandenen Ressourcen aus, anstatt sie über die Installationsschnittstelle zu erstellen.

Überlegungen

Diese Überlegungen beruhen auf den Säulen des Azure Well-Architected Frameworks, d. h. einer Reihe von Grundsätzen, mit denen die Qualität von Workloads verbessert werden kann. Weitere Informationen finden Sie unter Microsoft Azure Well-Architected Framework.

Skalierbarkeit

• VPN-Gateway SKU:
  • Die VPN Gateway-SKU, die Sie auswählen, bestimmt, wie viele Verbindungen parallel erfolgen können, sowie die Bandbreite, die für alle diese Verbindungen verfügbar ist. Die Anzahl der gleichzeitigen Verbindungen variiert bei Verwendung der Option P2S IKEv2/OpenVPN zwischen 250 und 1.000. IKE bezieht sich auf IPSec-Schlüsselaustausch. Es empfiehlt sich, mit VpnGw1 zu beginnen und später horizontal hochzuskalieren, wenn Sie weitere Verbindungen benötigen. Wenn Sie die VPN Gateway-Generierung wechseln müssen, müssen Sie ein neues Gateway installieren und einen neuen Azure-Netzwerkadapter bereitstellen, um eine Verbindung mit ihm herzustellen.
• Verbinden Sie mehrere Standalone-Server:
  • Sie können das WAC verwenden, um den Azure-Netzwerkadapter auf so vielen Servern wie nötig bereitzustellen. Sie können auch viele Azure-Netzwerkadapter zu einem einzelnen Server hinzufügen, um eine Verbindung mit verschiedenen Azure-VNets herzustellen. Nachdem die erste Bereitstellung des VPN Gateways fertiggestellt wurde, können Sie zusätzliche Server für die Verwendung desselben Gateways konfigurieren, indem Sie das vorhandene Gateway in der Installationsschnittstelle auswählen.
  • Eigenständige Server können sich im selben Netzwerk, in einem Zweigstellennetzwerk oder in einem anderen cloudbasierten Netzwerk befinden. Sie können die von Ihnen eingerichtete Netzwerkverbindung verwenden, z. B. Ihr Unternehmens-WAN oder ein dediziertes VPN zu einem anderen Cloudanbieter, wenn die erforderlichen Netzwerkports über diese Verbindungen verfügbar sind. Weitere Informationen finden Sie im Abschnitt „Sicherheitshinweise“ in diesem Artikel.
• Azure Site-to-Site-Verbindung:
  • Der Azure Network Adapter ist eine Einzelinstallation auf einem einzelnen Server. Wenn Sie mehrere Server verbinden wollen, kann ein erheblicher Verwaltungsaufwand entstehen. Sie können diesen Mehraufwand jedoch vermeiden, indem Sie Ihre lokalen Systeme mithilfe der Azure-Site-2-Site-Verbindungsmethode (S2S) verbinden, die ein vorhandenes lokales Netzwerk mit einem Azure-VNET und seinen Subnetzen verbindet. Der Kern dieser Verbindung ist ein Azure VPN Gateway, über das Sie ein lokales VPN Gateway mit dem Azure VPN-Remotegateway verbinden können. Diese sichere Verbindung ermöglicht, dass die beiden Netzwerksegmente transparent miteinander kommunizieren können.

Verfügbarkeit

• Der Azure-Netzwerkadapter unterstützt nur eine Aktiv-Passiv-Konfiguration des Azure VPN Gateways. Während der Konfiguration des Adapters können Sie auf ein vorhandenes Aktiv-Aktiv-Azure VPN Gateway verweisen. Das Gateway wird dann mit der Aktiv-Passiv-Konfiguration neu konfiguriert. Eine manuelle Gatewayneukonfiguration in den Aktiv-Aktiv-Status ist möglich, der Azure-Netzwerkadapter stellt jedoch keine Verbindung mit diesem Gateway her.

  Warnung

  Durch das Konfigurieren eines Azure-Netzwerkadapters für ein vorhandenes Azure VPN Gateway mit einer Aktiv-Aktiv-Konfiguration konfiguriert das Gateway in aktiv-passiv neu. Dies wirkt sich auf alle vorhandenen VPN-Verbindungen mit diesem Gateway aus. Wenn Sie von der Aktiv-Aktiv-Konfiguration in die Aktiv-Standby-Konfiguration wechseln, wird für jede Verbindung einer der beiden IPSec-VPN-Tunnel gelöscht. Fahren Sie nicht fort, ohne die allgemeinen Verbindungsanforderungen auszuwerten und sich mit Ihren Netzwerkadministratoren zu beraten.

Verwaltbarkeit

• Administratives Konto:

  • WAC ist das Kerntool, das Sie verwenden, um den Azure-Netzwerkadapter bereitzustellen und die Kontoverarbeitung zu konfigurieren. Weitere Informationen zu den verfügbaren Optionen finden Sie unter Benutzerzugriffsoptionen in Windows Admin Center. Sie können ein einzelnes Konto pro Serververbindung konfigurieren.

    Hinweis

    Mit dem Dialogfeld, in dem Sie das Administratorkonto pro Server konfigurieren, werden Ihre Anmeldeinformationen überprüft, wenn Sie Fortsetzen auswählen. Um das Dialogfeld zu öffnen, wählen Sie in WAC die Zeile mit dem entsprechenden Servernamen aus, und wählen Sie dann Verwalten als aus. Wählen Sie nicht den Link aus, der den Server darstellt, da dies sofort eine Verbindung mit diesem Server herstellen würde.

  • Außerdem müssen Sie ein Benutzerkonto für die Azure-Verbindung konfigurieren, indem Sie das Dialogfeld Einstellungen in WAC öffnen und den Abschnitt „Konto“ ändern. Im Dialogfeld Einstellungen können Sie auch Benutzer wechseln oder sich von einer Benutzersitzung abmelden.

• Azure Recovery Vault-Integration:
  • Wenn Sie den Azure-Netzwerkadapter auf einem eigenständigen Server installieren, können Sie diesen Server als Port für Ihre Geschäftskontinuität in Erwägung ziehen. Sie können diesen Server mithilfe von Azure Recovery Vault-Diensten, die Sie konfigurieren, in Ihre Sicherungs- und Notfallwiederherstellungsverfahren integrieren, indem Sie Azure Backup im Abschnitt Tools in WAC auswählen. Azure Backup schützt Ihren Windows-Server vor Beschädigungen, Angriffen oder Notfällen, indem der Server direkt in Microsoft Azure gesichert wird.

Sicherheit

Sicherheit bietet Schutz vor vorsätzlichen Angriffen und dem Missbrauch Ihrer wertvollen Daten und Systeme. Weitere Informationen finden Sie unter Übersicht über die Säule „Sicherheit“.

• Erforderliche Netzwerkanschlüsse:

  • Netzwerkports für PowerShell-Remoting müssen geöffnet sein, wenn Sie WAC zum Bereitstellen des Azure-Netzwerkadapters verwenden möchten.

  • PowerShell-Remoting verwendet Windows-Remoteverwaltung (WinRM). Weitere Informationen finden Sie unter Sicherheitsüberlegungen zu PowerShell-Remoting und Standardeinstellungen von PowerShell-Remoting.

  • In einigen Szenarios müssen Sie zusätzliche Authentifizierungsmethoden verwenden. WAC kann PowerShell mit dem Credential Security Support Provider-Protokoll (CredSSP) zum Herstellen einer Verbindung mit Remoteservern verwenden. Weitere Informationen finden Sie unter PowerShell-Remoting und CredSSP sowie in der Beschreibung, wie Windows Admin Center CredSSP verwendet.

  • PowerShell-Remoting (und WinRM) verwendet die folgenden Ports:

    Protocol	Port
    HTTP	5985
    HTTPS	5986

  • Wie Sie eine Verbindung mit dem Server herstellen, auf dem Windows Admin Center (WAC) installiert ist, hängt vom Installationstyp Ihres WAC ab. Der Standardport variiert und kann Port 6516 sein, wenn die Installation unter Windows 10 erfolgt, oder Port 443 unter Windows Server. Weitere Informationen finden Sie unter Windows Admin Center installieren.

• Microsoft Defender für die Cloud-Integration:
  • Um den Server zu schützen, auf dem der Azure-Netzwerkadapter installiert ist, können Sie den Server in Microsoft Defender for Cloud integrieren, indem Sie Microsoft Defender for Cloud im Abschnitt Tools in WAC auswählen. Während der Integration müssen Sie einen vorhandenen Azure Log Analytics-Arbeitsbereich auswählen oder einen neuen Arbeitsbereich erstellen. Die Abrechnung erfolgt für jeden Server, den Sie in Microsoft Defender for Cloud integrieren, separat. Weitere Informationen finden Sie in der Microsoft Defender für Cloud: Preise.

DevOps

• Azure Automation:
  • WAC bietet Ihnen Zugriff auf den PowerShell-Code, der den Azure-Netzwerkadapter erstellt. Sie können ihn überprüfen, indem Sie das Tool Netzwerk und dann das Symbol PowerShell-Skripts anzeigen oben auf der WAC-Seite auswählen. Der Name des Skripts ist Complete-P2SVPNConfiguration, und es wird als PowerShell-Funktion implementiert. Der Code wird digital signiert und kann wiederverwendet werden. Sie können ihn in die Azure Automation integrieren, indem Sie weitere Dienste innerhalb des Azure-Portals konfigurieren.

Kostenoptimierung

Bei der Kostenoptimierung geht es um die Suche nach Möglichkeiten, unnötige Ausgaben zu reduzieren und die Betriebseffizienz zu verbessern. Weitere Informationen finden Sie unter Übersicht über die Säule „Kostenoptimierung“.

• Azure Pricing Calculator (Azure-Preisrechner):
  • Die Verwendung des Azure-Netzwerkadapters ist kostenlos, da es sich um eine Komponente handelt, die Sie in einem lokalen System bereitstellen. Azure VPN Gateway generiert als Teil der Lösung zusätzliche Kosten, ebenso wie dies die Verwendung andere Dienste tut, wie Azure Recovery Vault oder Microsoft Defender for Cloud. Weitere Informationen zu den tatsächlichen Kosten finden Sie unter Azure-Preisrechner. Es ist wichtig zu beachten, dass die tatsächlichen Kosten je nach Azure-Region und individuellem Vertrag variieren. Wenden Sie sich an einen Microsoft-Vertriebsmitarbeiter, um weitere Informationen zu den Preisen zu erhalten.
• Ausstiegskosten:
  • Für ausgehende Inter-VNet-Datenübertragungen fallen zusätzliche Kosten an. Diese Kosten sind abhängig von der SKU Ihres VPN Gateways und der tatsächlichen Datenmenge, die Sie nutzen. Weitere Informationen finden Sie beim Azure-Preisrechner. Es ist wichtig zu beachten, dass die tatsächlichen Kosten je nach Azure-Region und individuellem Vertrag variieren. Wenden Sie sich an einen Microsoft-Vertriebsmitarbeiter, um weitere Informationen zu den Preisen zu erhalten.

Beitragende

Dieser Artikel wird von Microsoft gepflegt. Er wurde ursprünglich von folgenden Mitwirkenden geschrieben:

Hauptautor:

• Frank Migacz | App Innovation Specialist

Melden Sie sich bei LinkedIn an, um nicht öffentliche LinkedIn-Profile anzuzeigen.

Nächste Schritte

Erfahren Sie mehr über die Komponententechnologien:

• Die 10 besten Netzwerkfunktionen in Windows Server 2019: Platz 3 – Azure-Netzwerkadapter
• Point-to-Site-VPN
• Testen Sie Windows Admin Center im Microsoft Evaluation Center
• Was ist Azure Virtual Network?
• Was ist Azure Bastion?
• Was ist VPN Gateway?
• Übersicht zu Windows Admin Center

Zugehörige Ressourcen

Erkunden Sie die verwandten Architekturen:

• Verwalten von Azure-Hybridworkloads mithilfe von Windows Admin Center
• Hub-Spoke-Netzwerktopologie in Azure
• Erweitern eines lokalen Netzwerks per VPN
• Entwerfen einer hybriden Domain Name System-Lösung mit Azure