Microsoft AZ-305: Netzwerk und Konnektivität — Lernleitfaden

By Laurynas Brazys · 11 August 2026 · #microsoft #az-305 #certification #exam-prep #study-guide

Teil des Microsoft Azure Solutions Architect Expert AZ-305 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Netzwerk- und Konnektivitätsdesigns in Azure müssen ein Gleichgewicht herstellen zwischen der Hygiene des Adressraums, dem sicheren Zugriff auf PaaS-Dienste, hybrider Konnektivität im großen Maßstab, Namensauflösung, Schutz vor Bedrohungen und tiefgehender Beobachtbarkeit (Observability). Eine robuste Architektur basiert in der Regel auf einem Hub-and-Spoke-Muster für virtuelle Netzwerke oder einem verwalteten Hub in Azure Virtual WAN, mit klarer Routensteuerung, privatem Zugriff auf Dienste und einer standardisierten Firewall-Implementierung. Die folgenden Abschnitte beschreiben die Dienste und Funktionen, die am häufigsten in Unternehmensdesigns kombiniert werden.

Virtuelle Netzwerke, IP-Strategie und privater Zugriff auf PaaS

Eine robuste Adressplanung verhindert Nacharbeiten und ermöglicht hybride Skalierung. Verwenden Sie RFC1918-Bereiche mit klaren Abgrenzungen pro Umgebung und Region. Vermeiden Sie überlappende Präfixe über VNets und lokale Netzwerke hinweg; wenn Fusionen oder Partnerkonnektivität wahrscheinlich sind, lassen Sie Spielraum für die Zusammenfassung (Summarization) (z. B. weisen Sie /16 pro Region zu und teilen davon /20-Spokes ab). Ziehen Sie Dual-Stack IPv4/IPv6 für Anwendungen mit Internetzugang und für regulierte Regionen in Betracht. Halten Sie das GatewaySubnet auf /27 oder größer, wenn Sie die Koexistenz von VPN/ExpressRoute und zukünftige Skalierung planen.

Das Subnetzdesign segmentiert den Datenverkehr nach Funktion und Vertrauensstufe. Subnetze sollten jeweils eine einzige Sicherheitsabsicht verfolgen und durch NSGs und UDRs geschützt sein. Wählen Sie die richtige Größe für Präfixe (z. B. /26 bis /24), um eine Neunummerierung zu vermeiden; reservieren Sie separate Subnetze für Azure Firewall, Application Gateway, Bastion und Private Endpoints. Deaktivieren Sie den standardmäßigen ausgehenden Internetzugriff für sensible Subnetze über eine UDR zu einer Firewall.

Service-Endpunkte und private Endpunkte sichern beide den PaaS-Datenverkehr, jedoch mit unterschiedlichem Explosionsradius (Blast Radius) und Routing:

Service-Endpunkte erweitern die Identität Ihres VNet auf Azure-Dienste über das Microsoft-Backbone, während der Datenverkehr weiterhin auf die öffentliche IP des Dienstes abzielt. Sie können den Dienst auf bestimmte VNets/Subnetze beschränken und Service-Endpunkt-Richtlinien für granulare Positivlisten (Allow-Lists) von Speicherkonten verwenden. Sie sind einfach zu aktivieren, steuern den Zugriff jedoch auf der Ebene des Ressourcentyps oder des Kontos und nicht pro Instanz-NIC.
Private Endpoints erstellen eine NIC mit einer privaten IP in Ihrem Subnetz, die über Private Link einer bestimmten PaaS-Ressource zugeordnet ist. Dies bietet eine Isolierung auf Instanzebene und den stärksten Schutz vor Datenexfiltration, da der Dienst nur über die private IP erreichbar ist, die an Ihren Endpunkt (bzw. Ihre Endpunkte) gebunden ist. Planen Sie das DNS sorgfältig: Überschreiben Sie öffentliche Zonen (z. B. privatelink.blob.core.windows.net, privatelink.database.windows.net) mit Azure Private DNS-Zonen, die mit Ihren VNets verknüpft sind; lokale Resolver müssen für die Split-Horizon-Auflösung an Azure weiterleiten. Private Link unterstützt auch mandantenübergreifende Consumer/Provider-Szenarien mit Genehmigungsworkflows, was Partnern einen sicheren Zugriff ermöglicht, ohne öffentliche Endpunkte preiszugeben.

Hybride Konnektivität: VPN, ExpressRoute, Virtual WAN und Routensteuerung

Die SKUs des Azure VPN Gateway definieren Durchsatz und Skalierung. Verwenden Sie routenbasierte Gateways (VpnGw1–VpnGw5 und ihre zonenredundanten VpnGwXAZ-Varianten) für Site-to-Site, VNet-to-VNet und BGP; vermeiden Sie die veraltete Basic-SKU für den Produktionseinsatz. Der Aktiv-Aktiv-Modus stellt zwei Instanzen mit zwei öffentlichen IPs bereit, was die Ausfallsicherheit und den Gesamtdurchsatz erhöht. BGP mit privaten ASNs ermöglicht dynamischen Routenaustausch, Konvergenz und pfadbasierte Steuerung pro Tunnel (AS Path, MED) über mehrere Verbindungen hinweg. Azure verwendet standardmäßig ASN 65515 auf dem Gateway; passen Sie dies an, wenn Sie Multihoming zu mehreren Providern betreiben.

ExpressRoute bietet private Konnektivität zum Microsoft-Backbone mit vorhersagbarer Latenz und hohem Durchsatz. Die Circuit-SKUs bestimmen den Umfang und die Limits:

Local: Egress nur in dieselbe Metro-Region, geringere Kosten, kein Any-to-Any zwischen VNets über die Metro-Region hinaus.
Standard: Konnektivität zu Azure-Regionen innerhalb derselben geopolitischen Region des Peering-Standorts, standardmäßige Routenlimits.
Premium: globale VNet-Konnektivität über geopolitische Grenzen hinweg und höhere Routen-/Verbindungslimits. Zu den Peering-Typen gehören privates Peering (zu VNets) und Microsoft-Peering (zu Microsoft SaaS/PaaS über Routenfilter). Öffentliches Peering (Public Peering) wird nicht mehr angeboten. ExpressRoute Global Reach ermöglicht es Ihnen, lokale Standorte über verschiedene ExpressRoute-Leitungen über das Microsoft-Backbone zu verbinden. FastPath reduziert die Latenz der Datenebene, indem es das ExpressRoute-Gateway für Pakete zwischen Ihrem Edge und VMs umgeht; es wird pro VNet-Verbindung aktiviert und mit UltraPerformance- oder ErGw3AZ-ExpressRoute-Gateways auf privatem Peering unterstützt, wobei das VNet direkt an die Leitung angeschlossen ist (kein Gateway-Transit).

Die Koexistenz von ExpressRoute und VPN ermöglicht Failover oder Split-Traffic. Stellen Sie beide Gateways in einem ausreichend großen GatewaySubnet bereit und verwenden Sie BGP, um ExpressRoute für überlappende Präfixe zu bevorzugen (ExpressRoute hat eine höhere Präferenz als S2S-VPN, wenn die Routenattribute gleich sind). Verwenden Sie AS-Path-Prepending oder MEDs auf dem VPN, um ein deterministisches Fallback sicherzustellen.

Azure Virtual WAN (vWAN) zentralisiert die groß angelegte Konnektivität von Zweigstellen, Benutzern und Standorten mit verwalteten Hubs. Wählen Sie den Standard-Tarif für Any-to-Any-Routing zwischen Hubs und ExpressRoute; aktivieren Sie einen gesicherten virtuellen Hub (Secured Virtual Hub), wenn Sie eine Integration mit Azure Firewall benötigen. Routing Intents in gesicherten Hubs leiten Verkehrsklassen – Internet, Privat und Microsoft – zu Sicherheitsdiensten (z. B. den gesamten ins Internet gehenden und privaten Verkehr zu Azure Firewall Premium). vWAN vereinfacht die SD-WAN-Integration, die Partnerautomatisierung und groß angelegte P2S/S2S-VPNs und bietet gleichzeitig weltweit konsistente Richtlinien.

Azure Route Server (ARS) fügt dynamisches Routing in ein klassisches Hub-Spoke-VNet ein, ohne NVAs als Route Reflectors bereitstellen zu müssen. ARS baut BGP-Peering mit NVAs auf, teilt gelernte Routen mit dem VNet und kann bei aktiviertem Routenaustausch Routen zwischen NVAs und dem VPN/ExpressRoute-Gateway propagieren. Dies eliminiert die manuelle Wartung von UDRs für Präfixe, die von lokalen Systemen gelernt oder von NVAs angekündigt werden. ARS verwendet standardmäßig ASN 65515 und unterstützt die Routenfilterung über Route Maps, um die Ankündigung (Advertisement) zu steuern und Route Leaks zu verhindern.

Namensauflösung, Firewalling und DDoS-Schutz

Azure DNS bietet autoritatives Hosting für öffentliche und private Zonen. Öffentliche Zonen werden über das globale Anycast von Azure im Internet veröffentlicht. Private DNS-Zonen ermöglichen eine Split-Horizon-Namensgebung für Ressourcen, die nur innerhalb verknüpfter VNets erreichbar sind. Aktivieren Sie die automatische Registrierung für eine Verknüpfung mit einer privaten DNS-Zone, um A-Records für Azure-VMs in diesem VNet dynamisch zu registrieren und zu aktualisieren, was die Lifecycle-Operationen vereinfacht.

Azure DNS Private Resolver bietet eine verwaltete eingehende und ausgehende DNS-Weiterleitung. Stellen Sie eingehende Endpunkte bereit, um Abfragen von lokalen (On-Premises) Resolvern über private IPs zu empfangen, und ausgehende Endpunkte plus Regelsätze, um Abfragen von Azure-VMs an das lokale DNS für Unternehmenszonen weiterzuleiten. Verknüpfen Sie Regelsätze mit mehreren VNets, um die Auflösung in einer Hub-Spoke-Topologie zu standardisieren. Dies ist der Anker für die Namensauflösung von Private Endpoints aus der lokalen Umgebung, der es bedingten Weiterleitungen (Conditional Forwarders) vor Ort ermöglicht, über den Resolver auf private Azure-DNS-Zonen zuzugreifen.

Azure Firewall zentralisiert die Filterung von Egress-, Ingress- (DNAT) und Ost-West-Verkehr. Der Standard-SKU bietet L3-L4-Filterung, FQDN-Tags und eine auf Threat Intelligence basierende Filterung. Der Premium-SKU fügt TLS-Inspektion (ausgehend und eingehend mit durch Key Vault gestützten Zertifikaten), IDPS mit signaturbasierter Erkennung/Prävention und URL-Filterung mit Kategorien und Richtlinien auf Pfadebene hinzu. Die Bereitstellung erfolgt in einem gesicherten virtuellen Hub für vWAN oder als Firewall-Instanz in einem Hub-VNet. Verwenden Sie Firewall-Richtlinien, die im Azure Firewall Manager verwaltet werden, mit einer Hierarchie von über- und untergeordneten Richtlinien, um globale Baselines durchzusetzen und regionale oder anwendungsspezifische Regeln anzuwenden; die Prioritäten von Regelsammlungsgruppen bestimmen die Auswertungsreihenfolge. Planen Sie SNAT-Ports mit mehreren öffentlichen IPs auf Hubs mit hohem Durchsatz, um eine Port-Erschöpfung zu vermeiden, wenn viele kurzlebige Verbindungen erwartet werden.

Azure DDoS Protection schützt öffentliche IP-Ressourcen. Der Basic-Tarif ist immer aktiv und wird von der Plattform verwaltet. Der Standard-Tarif ist ein Plan, den Sie pro VNet aktivieren; er stimmt die Abwehrmaßnahmen pro geschützter öffentlicher IP (Load Balancer, Application Gateway, VM-NICs) automatisch ab, bietet Kostenschutz bei Angriffen und stellt Telemetriedaten bereit. Konfigurieren Sie Benachrichtigungen und Streaming an Log Analytics, um Berichte über Abwehrmaßnahmen, Angriffsmetriken (pps/bps, Vektoren) und schnellen Support über DDoS Rapid Response zu erhalten. Kombinieren Sie dies mit einer WAF und Ratenbegrenzung (Rate-Limiting) für L7-Resilienz.

Beobachtbarkeit und Datenverkehrsanalyse

Azure Network Watcher bietet tiefe Einblicke in den Zustand und den Datenverkehr des Netzwerks. Der Connection Monitor testet kontinuierlich die Erreichbarkeit und Leistung zwischen Quellen und Zielen (Azure-VMs, lokale Endpunkte, URLs) über ICMP, TCP oder HTTP/S und korreliert Änderungen des Topologiezustands mit Ausfällen. NSG Flow Logs zeichnen 5-Tupel-Flows und die Entscheidung (erlauben/verweigern) an NSG-Schnittstellen auf; exportieren Sie sie in ein Speicherkonto und aktivieren Sie Traffic Analytics in Log Analytics für Einblicke in die Hauptkommunikationspartner (Top Talkers), offene Ports und Bedrohungserkennungen. Packet Capture erfasst Pakete an einer VM-NIC mithilfe einer Erweiterung, bei Bedarf oder geplant, mit Filtern für BPF-ähnliche Ausdrücke und Ausgabe in ein Speicherkonto; verwenden Sie es zur Fehlerbehebung bei MTU-, Handshake- oder asymmetrischen Routing-Problemen. Kombinieren Sie diese Tools mit Azure Monitor-Metriken für Gateways, ExpressRoute-Circuits und vWAN-Hubs, um Sättigung, BGP-Flaps oder den Verlust der Resilienz zu erkennen.

Mandantenübergreifende Private Link-Szenarien und DNS-Nuancen

Private Link ermöglicht sichere Consumer-Provider-Muster über Mandantengrenzen hinweg. Der Provider stellt einen Private Link-Dienst oder eine PaaS-Ressource bereit; der Consumer erstellt einen Private Endpoint und fordert die Genehmigung an. Bei PaaS erfolgt die Genehmigung auf Ebene der Ressourceninstanz, was eine enge Kontrolle des Blast-Radius ermöglicht. Das DNS muss den öffentlichen FQDN des Dienstes zur IP des Private Endpoints des Consumers auflösen. Im Consumer-Mandanten erstellen oder verwenden Sie die entsprechende privatelink.<zone> und verknüpfen diese mit dem konsumierenden VNet; für On-Prem-Benutzer leiten Sie diese Zonen an die eingehenden Endpunkte des Azure DNS Private Resolver weiter. Wenn Provider Vanity-Domains benötigen, verwenden Sie CNAMEs, die auf den Namen des öffentlichen Endpunkts verweisen, damit Split-Horizon-Überschreibungen transparent funktionieren. Stellen Sie sicher, dass keine überlappenden Private Endpoints für denselben FQDN in verschiedenen VNets ohne beabsichtigtes Scoping existieren, da Clients basierend auf dem DNS-Abfragepfad zur nächstgelegenen verknüpften Zone auflösen.

Praktisches Problemszenario

Die Siemens AG baut eine globale Fertigungsplattform in Azure, bei der regionale Werke über MPLS und das Internet angebunden sind. Die Anforderungen umfassen den privaten Zugriff auf Azure SQL und Storage, eine resiliente hybride Konnektivität, die das private Backbone bevorzugt, eine zentralisierte Sicherheitsüberprüfung mit TLS-Entschlüsselung und IDPS, eine standardisierte DNS-Auflösung von den Werken zu Azure Private Endpoints und eine tiefgreifende Überwachung der Konnektivität. Partner in einem separaten Azure-Mandanten müssen ausgewählte, von Siemens gehostete APIs privat konsumieren können.

Implementieren Sie eine Hub-and-Spoke-Architektur pro Region mit einem Secured Virtual Hub in Azure Virtual WAN Standard.

Warum: vWAN bietet eine verwaltete, skalierbare S2S/P2S/ER-Konnektivität und Any-to-Any-Routing zwischen den Hubs. Ein Secured Hub integriert Azure Firewall Premium mit Routing Intents, um Internet- und privaten Datenverkehr global durch die Sicherheitsüberprüfung zu leiten.

Richten Sie ExpressRoute-Leitungen mit dem Premium-SKU in Europa und Nordamerika ein; aktivieren Sie Global Reach zwischen ihnen. Stellen Sie UltraPerformance- oder ErGw3AZ-ExpressRoute-Gateways bereit und aktivieren Sie FastPath für VNets, die direkt mit den Leitungen verbunden sind.

Warum: Der Premium-SKU ermöglicht geopolitisch übergreifende Konnektivität für VNets und höhere Routenlimits; Global Reach bietet private On-Prem-zu-On-Prem-Konnektivität über das Microsoft-Backbone. FastPath reduziert die Latenz und Gateway-Engpässe für den Datenverkehr auf der Datenebene.

Fügen Sie in jeder Region Aktiv-Aktiv Azure VPN Gateways (VpnGw5AZ) als Backup für ExpressRoute hinzu; konfigurieren Sie BGP mit AS-Path-Prepending auf dem VPN, um ExpressRoute zu bevorzugen.

Warum: Aktiv-Aktiv plus BGP sorgt für ein resilientes Failover. Pfadattribute erzwingen ein deterministisches Routing, sodass ExpressRoute immer primär ist.

Stellen Sie Azure Firewall Premium in jedem Secured Hub mit über-/untergeordneten Firewall-Richtlinien über den Azure Firewall Manager bereit; aktivieren Sie TLS-Inspektion und IDPS; weisen Sie mehrere öffentliche IPs für die SNAT-Skalierung zu.

Warum: Zentralisierte, einheitliche Sicherheit mit Entschlüsselung und signaturbasierter Bedrohungsabwehr erfüllt die Inspektionsanforderungen im großen Maßstab. Die Richtlinienhierarchie erzwingt eine globale Baseline und ermöglicht gleichzeitig regionale Abweichungen.

Verwenden Sie Private Endpoints für Azure SQL Database und Storage; erstellen Sie Azure Private DNS-Zonen für privatelink.database.windows.net und privatelink.blob.core.windows.net, verknüpfen Sie diese mit den Spokes und aktivieren Sie den Azure DNS Private Resolver im Hub mit eingehenden und ausgehenden Endpunkten sowie Weiterleitungsregelsätzen.

Warum: Private Endpoints bieten Isolation auf Instanzebene und eliminieren das Risiko der Datenexfiltration. Der DNS Private Resolver standardisiert die Split-Horizon-Namensauflösung sowohl für Azure- als auch für Werksnetzwerke, ohne dass benutzerdefinierte DNS-Appliances erforderlich sind.

On-Prem-DNS-Server leiten Anfragen für Azure Private Link-Zonen an den eingehenden Endpunkt des Resolvers weiter; für Unternehmenszonen, die in Azure benötigt werden, erstellen Sie ausgehende Regeln zum On-Prem-DNS.

Warum: Diese bidirektionale Weiterleitung gewährleistet eine konsistente Namensauflösung über Grenzen hinweg bei minimalem Verwaltungsaufwand.

Für den Partnerzugriff stellen Sie die Siemens-APIs hinter einem internen Load Balancer bereit und veröffentlichen sie über einen Private Link-Dienst; Partner in ihrem eigenen Mandanten erstellen Private Endpoints und lassen diese genehmigen. Geben Sie partnerspezifische DNS-Anleitungen, um öffentliche Namen auf die IPs ihrer Private Endpoints umzuleiten.

Warum: Mandantenübergreifender Private Link bietet privaten, instanzbezogenen Zugriff, ohne öffentliche Endpunkte preiszugeben oder Gastidentitäten verwalten zu müssen.

Stellen Sie Azure Route Server in Hub-VNets bereit, die NVAs für spezialisiertes Routing hosten, und aktivieren Sie den Routenaustausch mit dem ExpressRoute-Gateway.

Warum: Der Route Server orchestriert den dynamischen Routenaustausch zwischen NVAs und Gateways, wodurch fehleranfällige UDR-Aktualisierungen vermieden und eine schnelle Konvergenz sichergestellt werden.

Aktivieren Sie Azure DDoS Protection Standard auf den Hub-VNets, um öffentliche IPs (Azure Firewall und eingehende Endpunkte) zu schützen; konfigurieren Sie Warnungen und integrieren Sie diese mit Log Analytics.

Warum: Automatische, abgestimmte L3/L4-Mitigation mit Telemetrie und Support reduziert das Risiko und bietet Sichtbarkeit bei Angriffen mit Kostenschutz.

Aktivieren Sie den Azure Network Watcher Connection Monitor für Schlüsselpfade (Werk zu Azure SQL über ER, Azure VM zu Storage über Private Endpoint), NSG Flow Logs mit Traffic Analytics auf Spoke-Subnetzen und On-Demand Packet Capture auf kritischen VMs.

Warum: Kontinuierliche Erreichbarkeitstests, Traffic-Baselining und Forensik auf Paketebene geben dem Betrieb die nötige Transparenz, um Leistungs- und Routing-Anomalien schnell zu diagnostizieren.

← Compute- und Anwendungsarchitektur · Alle Domänen · Hochverfügbarkeit →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →