Netzwerk und Firewall

Netzwerke sind ein zentraler Bestandteil jeder Cloud-Infrastruktur. Microsoft Azure stellt verschiedene Komponenten zur Verfügung, um Netzwerke zu planen, zu strukturieren und vor Angriffen zu schützen.

Schichten der Netzwerksicherheit

Azure verfolgt einen mehrstufigen Sicherheitsansatz, um Angriffe auf unterschiedlichen Ebenen zu blockieren:

Ebene	Massnahmen
Perimeter	DDoS Protection, Azure Firewall
Netzwerk	Network Security Groups
Anwendung	Web Application Firewall, Zero Trust
Daten	Verschlüsselung, Zugriffskontrollen

Zugriffsmöglichkeiten

Azure bietet verschiedene Wege, um z. B. auf VMs zuzugreifen:

Direkter Zugriff

Über SSH, RDP oder öffentliche IP-Adresse

Azure Bastion

Sicherer Browser-Zugriff ohne geöffnete Ports

Drittanbieter

VPNs, Remote Tools, oder Plattformintegrationen

Azure Bastion ist dabei besonders sicher, da keine Ports nach aussen geöffnet werden müssen – der Zugriff erfolgt über das Azure-Portal via HTTPS.

Globale Infrastruktur

Region

Geografisches Gebiet mit einem oder mehreren Rechenzentren

Region Pair

Zwei verbundene Regionen für Replikation und Ausfallsicherheit

Availability Sets

Schutz vor Hardwareausfällen innerhalb eines Rechenzentrums durch Trennung in Fault und Update Domains

Availability Zones

Trennung über mehrere Gebäude (Netz, Strom, Kühlung)

Diese Konzepte bilden die Grundlage für hochverfügbare Cloud-Anwendungen.

Netzwerkkomponenten

Virtual Network

• Privates Netzwerk in Azure mit eigenen IP-Bereichen

• Kann in Subnets unterteilt werden

• Ermöglicht sichere Kommunikation zwischen Diensten

Load Balancer

• Verteilt eingehende Anfragen auf mehrere Ressourcen

• Unterstützt Health-Probes

• Varianten:

  • Public Load Balancer

  • Internal Load Balancer

Traffic Manager

• DNS-basierter Lastverteiler

• Bietet Multi-Region Routing

• Routing-Strategien:

  • Performance

  • Priority (Failover)

  • Geographic

VPN Gateway

• Baut eine sichere Verbindung zwischen Azure und lokalen Netzwerken auf

• Unterstützt:

  • Policy-based VPN (statisch)

  • Route-based VPN (flexibel)

Netzwerksicherheit

Network Security Groups

• Regelt den Zugriff auf Subnets oder Netzwerkinterfaces

• Regeln bestehen aus:

  • Richtung (Inbound / Outbound)

  • Quelle / Ziel / Port / Protokoll

• Azure hat bereits Grundregeln vordefiniert

Die erste zutreffende Regel wird angewendet

Azure Firewall

• Vollständig verwaltete, statusbehaftete Firewall-as-a-Service

• Unterstützt Regeln auf Layer 3 bis 7 (Netzwerk- bis Anwendungsschicht)

• Bietet:

  • NAT-Regeln

  • Netzwerkregeln (IP/Port-basiert)

  • Anwendungsregeln (FQDN-basiert)

Azure DDoS Protection

• Erkennt und entschärft Angriffe, bevor sie Azure-Ressourcen erreichen

• Zwei Varianten:

  • Basic: Für alle Kunden automatisch aktiviert

  • Standard: Zusätzliche Schutzfunktionen, z. B. Analyse, Alerts, SLA