Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Azure Network Foundation Services bieten die Kernkonnektivität, die Ihre Ressourcen in Azure benötigen. Diese Dienste sind Azure Virtual Network, Azure Private Link und Azure DNS. Sie bauen aufeinander auf und bilden das Fundament Ihres Azure-Netzwerks. Wenn Sie Workloads in die Cloud verlagern, benötigen Sie ein privates, isoliertes Netzwerk, das Ihre Ressourcen miteinander und mit lokalen Netzwerken verbindet, Azure-Plattformdienste erreicht, ohne den Datenverkehr ins öffentliche Internet zu legen, und diese Dienste namensabhängig auflöst. Zusammen erfüllen diese drei Dienstleistungen diesen Bedarf.
Dieser Artikel erklärt, was jeder Foundation-Dienst macht und wie Azure Virtual Network, Azure Private Link und Azure DNS zusammenarbeiten, um ein sicheres, privates Netzwerk in Azure zu bilden.
In der folgenden Tabelle sind die einzelnen Foundation-Dienste und deren Verwendung zusammengefasst:
| Service | Purpose | Wann verwenden? |
|---|---|---|
| Virtuelles Azure-Netzwerk | Privates Netzwerk und Segmentierung in Azure | Isolieren Sie Azure-Ressourcen, segmentieren Sie Workloads und verbinden Sie sie mit On-Premises-Netzwerken |
| Azure Private Link | Private Konnektivität mit Azure Plattformdiensten | Zugriff auf Azure PaaS-Dienste (z. B. Azure Storage oder Azure SQL), ohne dem öffentlichen Internet ausgesetzt zu sein |
| Azure DNS | Hosting und Auflösung von öffentlichen und privaten Domänennamen | DNS-Zonen für Ihre Domänen hosten und private Endpunkte innerhalb virtueller Netzwerke auflösen |
Das folgende Diagramm zeigt ein Beispiel dafür, wie diese Dienste in einem einfachen Azure-Netzwerk zusammenarbeiten.
Azure Network Foundation Services bauen in einer bestimmten Reihenfolge aufeinander auf. Azure Virtual Network legt die private, isolierte Netzwerkgrenze fest, die Ihre Azure-Ressourcen hostet und verbindet sie mit lokalen Netzwerken. Innerhalb dieser Grenze projiziert Azure Private Link Azure-Plattformdienste (wie Azure Storage oder Azure SQL-Datenbank) über private Endpunkte in Ihr virtuelles Netzwerk, sodass der Datenverkehr zu diesen Diensten außerhalb des öffentlichen Internets bleibt. Azure DNS löst dann die Namen dieser privaten Endpunkte und anderer Ressourcen auf ihre privaten IP-Adressen um, sodass Clients innerhalb des virtuellen Netzwerks jeden Dienst über seinen vollständig qualifizierten Domainnamen (FQDN) erreichen.
Um zu verfolgen, wie ein sicheres, privates Netzwerk entsteht, lesen Sie die folgenden Abschnitte der Reihe nach: Azure Virtual Network, dann Azure Private Link, dann Azure DNS. Jeder Abschnitt verweist auf detailliertere Hinweise zu diesem Service.
Virtuelles Azure-Netzwerk
Durch die Nutzung des Azure Virtual Network können Sie private Netzwerke in der Cloud erstellen und Azure-Ressourcen, das Internet und lokale Netzwerke sicher verbinden.
Das folgende Beispiel stellt zwei virtuelle Netzwerke bereit:
- Nutzen Sie das Hub-Virtual-Netzwerk, um Azure-Dienste bereitzustellen und Zugriff auf Datenressourcen bereitzustellen. Optional können Sie den Hub mit einem lokalen Netzwerk verbinden.
- Koppeln Sie den Hub mit einem virtuellen Spoke-Netzwerk, das ein Subnetz der Geschäftsebene mit virtuellen Maschinen für die Verarbeitung von Benutzerinteraktionen sowie ein Anwendungssubnetz zur Datenspeicherung und zur Abwicklung von Transaktionen enthält.
Weitere Informationen zum Entwerfen virtueller Netzwerke finden Sie unter Planen virtueller Netzwerke. Informationen zum Erstellen eines virtuellen Netzwerks finden Sie unter Verwenden des Azure-Portals zum Erstellen eines virtuellen Netzwerks.
Azure Private Link
Azure Private Link bietet eine sichere, private Verbindung von Ihrem virtuellen Netzwerk zu Diensten, die nicht das öffentliche Internet durchqueren. Azure Private Link baut auf Azure Virtual Network auf: Es führt Azure-Plattformdienste (wie Azure Storage oder Azure SQL-Datenbank) über einen privaten Endpunkt in das virtuelle Netzwerk ein, sodass der Datenverkehr zu diesen Diensten innerhalb der Netzwerkgrenze bleibt.
Die folgende Abbildung zeigt einen privaten Endpunkt im Anwendungssubnetz eines Speichen-virtuellen Netzwerks. Ein privater Endpunkt ist eine private IP-Adresse (in diesem Beispiel 10.1.1.135) innerhalb des virtuellen Netzwerks, die mit einem Dienst verbunden ist, der von Azure Private Link betrieben wird.
Private Endpunkte verbinden Azure-Plattformdienste sicher mit virtuellen Netzwerken. Azure DNS löst dann das FQDN des privaten Endpunkts auf diese private IP-Adresse um, wie im Abschnitt Azure DNS beschrieben.
Note
Private Endpunkte bieten während der Erstellung DNS-Integrationsoptionen. Du kannst dich mit einer privaten DNS-Zone integrieren. Diese Konfiguration bleibt flexibel, sodass Sie sie nach der Bereitstellung hinzufügen, entfernen oder anpassen können. Das Beispiel zeigt, wie man die Integration der privaten DNS-Zonen auswählt, was eine unkomplizierte DNS-Einrichtung bietet, die ideal für virtuelle Netzwerk-Workloads ohne Azure DNS Private Resolver ist. Weitere Informationen finden Sie unter DNS-Konfiguration für private Azure-Endpunkte.
Eine Übersicht über private Links und private Endpunkte finden Sie unter "Was ist der Azure Private Link-Dienst " und "Was ist ein privater Endpunkt". Informationen zum Erstellen eines privaten Endpunkts finden Sie unter Erstellen eines privaten Endpunkts.
Azure DNS
Azure DNS bietet cloudbasiertes Hosting und Auflösung von öffentlichen und privaten Domänennamen. Es umfasst drei DNS-Hosting- und Auflösungsdienste sowie einen DNS-basierten Lastenausgleich:
- Azure Public DNS bietet Hochverfügbarkeitshosting für öffentliche DNS-Domänen.
- Azure Privates DNS ist ein DNS-Benennungs- und Auflösungsdienst für virtuelle Netzwerke und die privaten Dienste, die in diesen Netzwerken gehostet werden.
- Azure DNS Private Resolver ist ein vollständig verwalteter hochverfügbarer DNS-Dienst, mit dem Sie private DNS-Zonen von einer lokalen Umgebung aus abfragen können und umgekehrt, ohne VM-basierte DNS-Server bereitzustellen.
- Azure Traffic Manager ist ein DNS-basierter Lastenausgleich, der den Datenverkehr auf öffentlich zugängliche Anwendungen über Azure-Regionen hinweg verteilen kann.
Azure DNS stellt auch interne DNS-Auflösung für private und öffentliche Ressourcen (Internet) aus virtuellen Netzwerken bereit. Standardmäßig lösen virtuelle Netzwerke DNS-Datensätze mithilfe von Azure bereitgestelltem DNS unter 168.63.129.16 auf.
Azure DNS vervollständigt die Netzwerkgrundlage, die durch Azure Virtual Network und Azure Private Link geschaffen wurde: Es löst die privaten Endpunkte auf, die Private Link in Ihr virtuelles Netzwerk projiziert, auf deren private IP-Adressen, sodass Clients jeden Dienst über dessen FQDN erreichen. Betrachten Sie einen privaten Endpunkt für ein Azure Blob Storage-Konto, der in einem virtuellen Spoke-Netzwerk bereitgestellt wird und dem die private IP 10.1.1.135 zugewiesen ist. Dieser private Endpunkt ist der privaten DNS-Zone privatelink.blob.core.windows.netzugeordnet. Der Ressourcentyp bestimmt den Zonennamen (in diesem Fall Blob-Speicher). Weitere Informationen zu privaten DNS-Zonen und privaten Endpunkten finden Sie unter Private DNS-Zonenwerte von Azure Private Endpoint.
Eine virtuelle Netzwerkverbindung verbindet die privatelink.blob.core.windows.net Zone außerdem mit dem virtuellen Hub-Netzwerk. Dieser Link ermöglicht es allen Ressourcen im virtuellen Hub-Netzwerk, die Zone mithilfe von Azure bereitgestelltem DNS (168.63.129.16) aufzulösen und über dessen FQDN auf den privaten Endpunkt zuzugreifen.
Standardmäßig können Sie private Endpunkte nur innerhalb von Azure auflösen. Um ein Speicherkonto zu lösen, das über einen privaten Endpunkt von On-premises verfügbar ist, oder um On-Premises-Ressourcen innerhalb von Azure zu lösen, können Sie einen Azure DNS Private Resolver im Hub-virtuellen Netzwerk konfigurieren (nicht angezeigt).
Informationen zu privaten Endpunktszenarien mit einem Azure DNS Private Resolver finden Sie unter DNS-Konfigurationsszenarien für private Endpunkte.
Weitere Informationen zur Konfiguration eines Azure DNS Private Resolvers finden Sie unter Resolve Azure and on-premises domains.
Azure-Portal-Benutzeroberfläche
Das Azure-Portal bietet eine zentrale Benutzeroberfläche für die ersten Schritte mit Netzwerk-Foundation-Diensten. Informationen und Links helfen Ihnen, ein isoliertes Netzwerk zu schaffen, Netzwerkdienste zu verwalten, den Zugriff auf Ressourcen zu sichern, hybride Namenslösungen zu verwalten und Netzwerkprobleme zu beheben.
Ressourcenlinks im linken Servicebaum helfen Ihnen außerdem, unterstützende Komponenten der Network Foundation Services zu verstehen, zu erstellen und anzuzeigen.