Was ist Azure Virtual Network?What is Azure Virtual Network?

Azure Virtual Network (VNET) ist der grundlegende Baustein für Ihr privates Netzwerk in Azure.Azure Virtual Network (VNet) is the fundamental building block for your private network in Azure. Mit VNET können zahlreiche Arten von Azure-Ressourcen (beispielsweise virtuelle Azure-Computer) sicher untereinander sowie mit dem Internet und mit lokalen Netzwerken kommunizieren.VNet enables many types of Azure resources, such as Azure Virtual Machines (VM), to securely communicate with each other, the internet, and on-premises networks. VNET ähnelt einem herkömmlichen Netzwerk, das Sie in Ihrem Rechenzentrum betreiben, bietet jedoch zusätzliche Vorteile der Infrastruktur von Azure, z. B. Skalierbarkeit, Verfügbarkeit und Isolation.VNet is similar to a traditional network that you'd operate in your own data center, but brings with it additional benefits of Azure's infrastructure such as scale, availability, and isolation.

VNET-KonzepteVNet concepts

  • Adressraum: Beim Erstellen eines VNET müssen Sie einen benutzerdefinierten privaten IP-Adressraum mit öffentlichen und privaten Adressen (RFC 1918) eingeben.Address space: When creating a VNet, you must specify a custom private IP address space using public and private (RFC 1918) addresses. Azure weist Ressourcen in einem virtuellen Netzwerk eine private IP-Adresse aus dem von Ihnen zugewiesenen Adressraum zu.Azure assigns resources in a virtual network a private IP address from the address space that you assign. Wenn Sie beispielsweise einen virtuellen Computer in einem VNET mit dem Adressraum 10.0.0.0/16 bereitstellen, wird er einer privaten IP-Adresse zugewiesen, z. B. 10.0.0.4.For example, if you deploy a VM in a VNet with address space, 10.0.0.0/16, the VM will be assigned a private IP like 10.0.0.4.
  • Subnetze: Mithilfe von Subnetzen können Sie das virtuelle Netzwerk in ein oder mehrere Subnetze segmentieren und jedem Subnetz einen Teil des Adressraums des virtuellen Netzwerks zuordnen.Subnets: Subnets enable you to segment the virtual network into one or more sub-networks and allocate a portion of the virtual network's address space to each subnet. Dann können Sie Azure-Ressourcen in einem bestimmten Subnetz bereitstellen.You can then deploy Azure resources in a specific subnet. Wie in einem herkömmlichen Netzwerk können Sie mit Subnetzen Ihren VNET-Adressraum in Segmente unterteilen, die für das interne Netzwerk des Unternehmens geeignet sind.Just like in a traditional network, subnets allow you to segment your VNet address space into segments that are appropriate for the organization's internal network. Dadurch wird auch die Adresszuordnung optimiert.This also improves address allocation efficiency. Sie können Ressourcen in Subnetzen mit Netzwerksicherheitsgruppen sichern.You can secure resources within subnets using Network Security Groups. Weitere Informationen finden Sie unter Sicherheitsgruppen.For more information, see Security groups.
  • Regionen: Ein VNET ist auf eine Region oder einen Standort begrenzt. Mehrere virtuelle Netzwerke aus verschiedenen Regionen können jedoch über Peering virtueller Netzwerke miteinander verbunden werden.Regions: VNet is scoped to a single region/location; however, multiple virtual networks from different regions can be connected together using Virtual Network Peering.
  • Abonnement: Ein VNET ist auf ein Abonnement begrenzt.Subscription: VNet is scoped to a subscription. Sie können in jedem Azure-Abonnement und in jeder Azure-Region mehrere virtuelle Netzwerke implementieren.You can implement multiple virtual networks within each Azure subscription and Azure region.

Bewährte MethodenBest practices

Beim Erstellen Ihres Netzwerks in Azure sind folgende allgemeine Entwurfsprinzipien zu beachten:As you build your network in Azure, it is important to keep in mind the following universal design principles:

  • Stellen Sie sicher, dass sich Adressräume nicht überschneiden.Ensure non-overlapping address spaces. Stellen Sie sicher, dass der Adressraum Ihres VNET (CIDR-Block) sich nicht mit anderen Netzwerkbereichen Ihrer Organisation überschneidet.Make sure your VNet address space (CIDR block) does not overlap with your organization's other network ranges.
  • Die Subnetze sollten nicht den gesamten Adressraum des VNET ausmachen.Your subnets should not cover the entire address space of the VNet. Planen Sie voraus, und reservieren Sie Adressraum für die Zukunft.Plan ahead and reserve some address space for the future.
  • Es empfiehlt sich, einige große VNETs und nicht viele kleine VNETs zu erstellen.It is recommended you have fewer large VNets than multiple small VNets. Dadurch verringert sich der Verwaltungsaufwand.This will prevent management overhead.
  • Schützen Sie Ihr VNET mit Netzwerksicherheitsgruppen (NSGs).Secure your VNet using Network Security Groups (NSGs).

Kommunikation mit dem InternetCommunicate with the internet

Alle Ressourcen in einem VNET können standardmäßig in ausgehender Richtung mit dem Internet kommunizieren.All resources in a VNet can communicate outbound to the internet, by default. Zur Kommunikation in eingehender Richtung muss der entsprechenden Ressource eine öffentliche IP-Adresse oder eine öffentliche Load Balancer-Instanz zugewiesen werden.You can communicate inbound to a resource by assigning a public IP address or a public Load Balancer. Die öffentliche IP-Adresse bzw. die öffentliche Load Balancer-Instanz kann auch zum Verwalten der ausgehenden Verbindungen verwendet werden.You can also use public IP or public Load Balancer to manage your outbound connections. Weitere Informationen zu ausgehenden Verbindungen in Azure finden Sie unter Ausgehende Verbindungen in Azure, Erstellen, Ändern oder Löschen einer öffentlichen IP-Adresse und Was versteht man unter Azure Load Balancer?.To learn more about outbound connections in Azure, see Outbound connections, Public IP addresses, and Load Balancer.

Hinweis

Wenn Sie nur eine interne Instanz von Load Balancer Standard verwenden, ist ausgehende Konnektivität erst verfügbar, wenn Sie definieren, wie ausgehende Verbindungen mit einer öffentlichen IP auf Instanzebene oder einer öffentlichen Load Balancer-Instanz verwendet werden sollen.When using only an internal Standard Load Balancer, outbound connectivity is not available until you define how you want outbound connections to work with an instance-level public IP or a public Load Balancer.

Kommunikation zwischen Azure-RessourcenCommunicate between Azure resources

Azure-Ressourcen können auf eine der folgenden Arten sicher miteinander kommunizieren:Azure resources communicate securely with each other in one of the following ways:

  • Über ein virtuelles Netzwerk: Sie können virtuelle Computer und verschiedene andere Arten von Azure-Ressourcen in einem virtuellen Netzwerk bereitstellen, wie beispielsweise Azure App Service-Umgebungen, den Azure Kubernetes Service (AKS) und Azure Virtual Machine Scale Sets.Through a virtual network: You can deploy VMs, and several other types of Azure resources to a virtual network, such as Azure App Service Environments, the Azure Kubernetes Service (AKS), and Azure Virtual Machine Scale Sets. Eine vollständige Liste mit Azure-Ressourcen, die Sie in einem virtuellen Netzwerk bereitstellen können, finden Sie unter Integration virtueller Netzwerke für Azure-Dienste.To view a complete list of Azure resources that you can deploy into a virtual network, see Virtual network service integration.
  • Über einen VNET-Dienstendpunkt: Erweitern Sie den Bereich privater Adressen und die Identität Ihres virtuellen Netzwerks über eine direkte Verbindung auf Azure-Dienstressourcen wie Azure Storage-Konten und Azure SQL-Datenbank-Instanzen.Through a virtual network service endpoint: Extend your virtual network private address space and the identity of your virtual network to Azure service resources, such as Azure Storage accounts and Azure SQL databases, over a direct connection. Mithilfe von Dienstendpunkten können Sie Ihre kritischen Azure-Dienstressourcen auf ein virtuelles Netzwerk beschränken und so schützen.Service endpoints allow you to secure your critical Azure service resources to only a virtual network. Weitere Informationen finden Sie in der Übersicht über VNET-Dienstendpunkte.To learn more, see Virtual network service endpoints overview.
  • Über VNET-Peering: Sie können virtuelle Netzwerke mittels VNet-Peering miteinander verbinden und so die Kommunikation zwischen Ressourcen in beiden virtuellen Netzwerken ermöglichen.Through VNet Peering: You can connect virtual networks to each other, enabling resources in either virtual network to communicate with each other, using virtual network peering. Die verbundenen virtuellen Netzwerke können sich in der gleichen Azure-Region oder in verschiedenen Azure-Regionen befinden.The virtual networks you connect can be in the same, or different, Azure regions. Weitere Informationen finden Sie unter Peering in virtuellen Netzwerken.To learn more, see Virtual network peering.

Kommunikation mit lokalen RessourcenCommunicate with on-premises resources

Sie können Ihre lokalen Computer und Netzwerke unter Verwendung einer beliebigen Kombination der folgenden Optionen mit einem virtuellen Netzwerk verbinden:You can connect your on-premises computers and networks to a virtual network using any combination of the following options:

  • Point-to-Site-VPN (virtuelles privates Netzwerk) : Wird zwischen einem virtuellen Netzwerk und einem einzelnen Computer in Ihrem Netzwerk eingerichtet.Point-to-site virtual private network (VPN): Established between a virtual network and a single computer in your network. Jeder Computer, der eine Verbindung mit einem virtuellen Netzwerk herstellen möchte, muss eine eigene Verbindung konfigurieren.Each computer that wants to establish connectivity with a virtual network must configure its connection. Dieser Verbindungstyp ist gut geeignet, wenn Azure noch neu für Sie ist, oder wenn Sie ein Entwickler sind, da keine oder nur sehr geringe Änderungen Ihres vorhandenen Netzwerks erforderlich sind.This connection type is great if you're just getting started with Azure, or for developers, because it requires little or no changes to your existing network. Die Kommunikation zwischen Ihrem Computer und einem virtuellen Netzwerk wird durch einen verschlüsselten Tunnel über das Internet gesendet.The communication between your computer and a virtual network is sent through an encrypted tunnel over the internet. Weitere Informationen finden Sie unter Point-to-Site (VPN über IKEv2 oder SSTP).To learn more, see Point-to-site VPN.
  • Site-to-Site-VPN: Wird zwischen Ihrem lokalen VPN-Gerät und einem Azure-VPN-Gateway eingerichtet, das in einem virtuellen Netzwerk bereitgestellt ist.Site-to-site VPN: Established between your on-premises VPN device and an Azure VPN Gateway that is deployed in a virtual network. Bei diesem Verbindungstyp können alle lokalen Ressourcen, die von Ihnen autorisiert werden, auf ein virtuelles Netzwerk zugreifen.This connection type enables any on-premises resource that you authorize to access a virtual network. Die Kommunikation zwischen Ihrem lokalen VPN-Gerät und einem Azure-VPN-Gateway wird durch einen verschlüsselten Tunnel über das Internet gesendet.The communication between your on-premises VPN device and an Azure VPN gateway is sent through an encrypted tunnel over the internet. Weitere Informationen finden Sie unter Site-to-Site und Multi-Site (IPsec-/IKE-VPN-Tunnel).To learn more, see Site-to-site VPN.
  • Azure ExpressRoute: Wird zwischen Ihrem Netzwerk und Azure über einen ExpressRoute-Partner eingerichtet.Azure ExpressRoute: Established between your network and Azure, through an ExpressRoute partner. Diese Verbindung ist privat.This connection is private. Der Datenverkehr wird nicht über das Internet übertragen.Traffic does not go over the internet. Weitere Informationen finden Sie unter ExpressRoute (private Verbindung).To learn more, see ExpressRoute.

Filtern des NetzwerkdatenverkehrsFilter network traffic

Sie können den Netzwerkdatenverkehr zwischen Subnetzen filtern, indem Sie eine oder beide folgenden Optionen verwenden:You can filter network traffic between subnets using either or both of the following options:

  • Sicherheitsgruppen: Netzwerksicherheitsgruppen und Anwendungssicherheitsgruppen können mehrere Sicherheitsregeln für die eingehende und ausgehende Richtung enthalten, mit denen Sie den Datenverkehr in beiden Richtungen nach Quell- und Ziel-IP-Adresse, Port und Protokoll filtern können.Security groups: Network security groups and application security groups can contain multiple inbound and outbound security rules that enable you to filter traffic to and from resources by source and destination IP address, port, and protocol. Weitere Informationen siehe Netzwerksicherheitsgruppen und Anwendungssicherheitsgruppen.To learn more, see Network security groups or Application security groups.
  • Virtuelle Netzwerkgeräte: Ein virtuelles Netzwerkgerät ist ein virtueller Computer, der eine Netzwerkfunktion (Firewall, WAN-Optimierung oder Ähnliches) übernimmt.Network virtual appliances: A network virtual appliance is a VM that performs a network function, such as a firewall, WAN optimization, or other network function. Eine Liste mit verfügbaren virtuellen Netzwerkgeräten, die Sie in einem virtuellen Netzwerk bereitstellen können, finden Sie im Azure Marketplace.To view a list of available network virtual appliances that you can deploy in a virtual network, see Azure Marketplace.

Weiterleiten von NetzwerkdatenverkehrRoute network traffic

Azure leitet standardmäßig Datenverkehr zwischen Subnetzen, verbundenen virtuellen Netzwerken, lokalen Netzwerken und dem Internet weiter.Azure routes traffic between subnets, connected virtual networks, on-premises networks, and the Internet, by default. Sie können eine oder beide der folgenden Optionen implementieren, um die von Azure erstellten Standardrouten außer Kraft zu setzen:You can implement either or both of the following options to override the default routes Azure creates:

  • Routingtabellen: Sie können benutzerdefinierte Routingtabellen mit Routen erstellen, über die gesteuert wird, wohin der Datenverkehr für die einzelnen Subnetze geleitet wird.Route tables: You can create custom route tables with routes that control where traffic is routed to for each subnet. Weitere Informationen zu Routingtabellen finden Sie hier.Learn more about route tables.
  • BGP-Routen (Border Gateway Protocol) : Wenn Sie Ihr virtuelles Netzwerk mit Ihrem lokalen Netzwerk über ein Azure-VPN-Gateway oder eine ExpressRoute-Verbindung verbinden, können Sie Ihren virtuellen Netzwerken Ihre lokalen BGP-Routen weitergeben.Border gateway protocol (BGP) routes: If you connect your virtual network to your on-premises network using an Azure VPN Gateway or ExpressRoute connection, you can propagate your on-premises BGP routes to your virtual networks. Weitere Informationen zur Verwendung von BGP mit dem Azure-VPN-Gateway finden Sie hier. Informationen zur Verwendung mit ExpressRoute finden Sie hier.Learn more about using BGP with Azure VPN Gateway and ExpressRoute.

Einschränkungen von Azure VNETAzure VNet limits

Es gibt bestimmte Grenzwerte für die Anzahl der Azure-Ressourcen, die Sie bereitstellen können.There are certain limits around the number of Azure resources you can deploy. Die meisten Grenzwerte für Azure-Netzwerke sind auf die Maximalwerte festgelegt.Most Azure networking limits are at the maximum values. Sie können jedoch bestimmte Grenzwerte für Netzwerke erhöhen, wie unter Grenzwerte für Netzwerke angegeben.However, you can increase certain networking limits as specified on the VNet limits page.

PreisePricing

Die Verwendung von Azure VNET ist kostenlos, es fallen keine Gebühren an.There is no charge for using Azure VNet, it is free of cost. Für Ressourcen wie virtuelle Computer (VMs) und andere Produkte gelten Standardgebühren.Standard charges are applicable for resources, such as Virtual Machines (VMs) and other products. Weitere Informationen finden Sie unter Virtual Network – Preise und im Azure-Preisrechner.To learn more, see VNet pricing and the Azure pricing calculator.

Nächste SchritteNext steps

Erstellen Sie als Nächstes ein virtuelles Netzwerk, stellen Sie einige virtuelle Computer darin bereit, und kommunizieren Sie zwischen den virtuellen Computern, um sich mit der Verwendung virtueller Netzwerke vertraut zu machen.To get started using a virtual network, create one, deploy a few VMs to it, and communicate between the VMs. Eine entsprechende Anleitung finden Sie unter Erstellen eines virtuellen Netzwerks im Azure-Portal.To learn how, see the Create a virtual network quickstart.