Microsoft AZ-104: Azure Virtual Networking — Studiegids

By Laurynas Brazys · 6 August 2026 · #microsoft #az-104 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Azure Administrator Associate AZ-104 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Azure Virtual Networking legt de basis voor de software-defined datacenter-fabric voor IaaS- en PaaS-workloads. U ontwerpt een adresplan met CIDR, deelt subnetten in volgens vertrouwensgrenzen, beveiligt oost-west- en noord-zuid-verkeersstromen met Network Security Groups (NSG’s) en Azure Firewall, verbindt omgevingen met VNet-peering, VPN Gateway of ExpressRoute, stuurt verkeer met user-defined routes en zorgt voor betrouwbare naamresolutie met Azure DNS. Een correcte opzet van deze constructies maakt schaalbare hub-and-spoke-ontwerpen, veilige PaaS-toegang via Private Endpoints en voorspelbare routing mogelijk die voldoet aan compliance- en prestatie-eisen.

Adressering, Segmentatie en Beleid (VNet’s, Subnetten, NSG’s, ASG’s, UDR)

Een virtual network definieert een of meer niet-overlappende RFC1918-adresruimten met behulp van CIDR-notatie (bijvoorbeeld 10.0.0.0/16). U kunt later extra adresprefixes toevoegen als er geen conflicten zijn met peers. Subnetten segmenteren het VNet in routeerbare blokken (bijvoorbeeld 10.0.1.0/24 voor web, 10.0.2.0/24 voor app). Reserveer een speciaal GatewaySubnet voor VPN/ExpressRoute-gateways; wijs dit ruim toe (minimaal /27) om toekomstige schaalbeperkingen te voorkomen. IP-toewijzing is standaard dynamisch; u kunt indien nodig statische privé-IP’s instellen op NIC’s.

Standaard systeemroutes staan verkeer binnen het VNet toe en sturen 0.0.0.0/0 naar het internet (afhankelijk van de aanwezigheid van een public IP). User-defined routes (UDR) overschrijven deze standaardinstellingen op subnetniveau. Maak een route table aan en koppel deze aan een subnet; vermeldingen omvatten:

Next hop: Virtual appliance (een IP van een NVA op hetzelfde VNet), Virtual network gateway (om via VPN/ExpressRoute naar on-prem te sturen), Internet (om internet-egress af te dwingen), of None (blackhole).
Forced tunneling: Stuur 0.0.0.0/0 naar een virtual network gateway om al het uitgaande verkeer on-prem te forceren, of naar een NVA/Azure Firewall voor gecentraliseerde egress-controle. Als u BGP gebruikt met een gateway die een default route adverteert, overweeg dan om gateway route propagation uit te schakelen op specifieke subnetten om onbedoelde padselectie te voorkomen.

NSG’s dwingen stateful L3–L4-beleid af op NIC’s of subnetten; beide scopes kunnen tegelijkertijd worden gebruikt en verkeer moet door alle toepasselijke NSG’s worden toegestaan. Regels worden geëvalueerd op basis van prioriteit (100–4096; lagere nummers eerst) en richting (inbound/outbound). Standaardregels omvatten:

Inbound: AllowVnetInBound (65000), AllowLoadBalancerInBound (65001), DenyAllInBound (65500)
Outbound: AllowVnetOutBound (65000), AllowInternetOutBound (65001), DenyAllOutBound (65500) Overschrijf de standaardinstellingen met aangepaste regels met een hogere prioriteit. Gebruik service tags (bijvoorbeeld Internet, AzureLoadBalancer, Storage) om onderhoud te vereenvoudigen, en IP Groups voor herbruikbare adreslijsten.

Application Security Groups (ASG’s) ontkoppelen IP-adressering van beleid. Wijs NIC’s toe aan ASG’s die rollen vertegenwoordigen (bijvoorbeeld Web, App, DB) en verwijs naar die ASG’s in NSG-regels. Dit maakt beleidswijzigingen mogelijk zonder IP’s of subnetten aan te passen en helpt bij consistente, op rollen gebaseerde segmentatie binnen een VNet.

Connectiviteitsopties: Peering, VPN Gateway en ExpressRoute

VNet-peering verbindt VNets via de Microsoft-backbone met lage latentie en hoge bandbreedte. Lokale peering is binnen één regio; globale peering overspant regio’s. Peering is niet-transitief en vereist niet-overlappende adresruimtes. Belangrijke vlaggen:

Allow virtual network access maakt gerouteerde connectiviteit tussen peers mogelijk.
Allow forwarded traffic staat verkeer toe dat door NVA’s wordt doorgestuurd om de peering te doorkruisen.
Use remote gateways laat een VNet een VPN/ER-gateway gebruiken in een ‘hub’ waarmee gepeerd is. De hub moet Allow gateway transit hebben ingeschakeld. Een VNet kan remote gateways van slechts één peer gebruiken. Gepeerde VNets ontvangen niet automatisch P2S-clientroutes; eindgebruikers moeten bijgewerkte VPN-clientconfiguraties installeren die routes naar nieuwe spokes bevatten.

Azure VPN Gateway levert IPSec/IKE-tunnels:

Site-to-site (S2S) verbindt on-premises VPN-apparaten met Azure; gebruik route-based VPN (IKEv2) voor de meeste scenario’s, vooral met BGP en meerdere tunnels.
Point-to-site (P2S) stelt individuele clients (Windows, macOS, Linux) in staat om verbinding te maken via OpenVPN, IKEv2 of SSTP. De clientconfiguratie bevat statische routes naar Azure-prefixes; download deze opnieuw wanneer adresruimtes veranderen of wanneer u bereikbare spokes achter een hub toevoegt.
VNet-to-VNet gebruikt S2S binnen Azure-regio’s/tenants en vereist niet-overlappende adressen. Handig wanneer peering niet mogelijk is (bijvoorbeeld cross-tenant met administratieve grenzen).
SKU’s: Geef de voorkeur aan VpnGw1–VpnGw5 (en AZ-varianten voor zoneredundantie). Basic is verouderd en mist functies (geen IKEv2/BGP). Route-based ondersteunt P2S, BGP en active-active. Policy-based is beperkt (alleen S2S, geen BGP).
BGP adverteert prefixes dynamisch, ondersteunt transitverkeer over meerdere tunnels en vereenvoudigt route-failover. VPN NAT-regels kunnen overlappende on-prem/Azure-prefixes vertalen wanneer dit onvermijdelijk is.

ExpressRoute levert private, door SLA ondersteunde connectiviteit via een circuit van een partner naar de edge van Microsoft:

Een circuit wordt geleverd door de provider (bandbreedte, meting, SKU) en gekoppeld aan uw subscription via een service key. Redundantie is ingebouwd: elk circuit biedt dubbele primaire/secundaire verbindingen; uw router moet dubbele BGP-sessies opzetten voor HA.
Peeringtypes:
- Private peering transporteert privaat RFC1918-verkeer naar VNets via een ExpressRoute virtual network gateway (ErGw1AZ–ErGw3AZ). Ondersteunt BGP, snelle failover en optioneel FastPath voor versnelling van het datavlak.
- Microsoft peering stelt publieke Microsoft-services (bijvoorbeeld Storage, SQL, Microsoft 365) beschikbaar via publieke IP’s met route filters. Gebruik dit voor internetgerichte endpoints terwijl u van het publieke internet afblijft. Microsoft 365 vereist aanvullende goedkeuring.
Gebruik ExpressRoute Global Reach om on-prem-locaties met elkaar te verbinden via de backbone van Microsoft. Voor forced tunneling, adverteer een default route over private peering, of combineer met UDR’s/Azure Firewall voor selectieve egress.

Co-existentie: Een VNet kan zowel een VPN- als een ExpressRoute-gateway hebben die hetzelfde GatewaySubnet gebruiken; gebruik gateway transit en UDR’s om de verkeersstromen te beheren. ExpressRoute heeft de voorkeur voor stabiel bedrijfsverkeer; VPN dient als back-up of voor de bereikbaarheid van filialen/kleine kantoren.

Naamresolutie en Veilige Toegang tot PaaS (Azure DNS, Endpoints)

Azure DNS host publieke zones zodat uw internetgerichte records op het wereldwijde DNS-platform van Azure staan met hoge beschikbaarheid. Voor resolutie binnen een VNet bieden Azure DNS Private Zones een split-horizon naamdienst. Koppel VNets aan een private zone om resolutie mogelijk te maken; schakel optioneel auto-registratie in zodat VM A-records zich automatisch registreren en bijwerken bij wijzigingen van het NIC IP-adres. Voor hybride naamresolutie en conditional forwarding tussen Azure en on-premises, implementeer een Azure DNS Private Resolver met inbound/outbound endpoints en regelsets die geselecteerde domeinen doorsturen (bijvoorbeeld corp.contoso.com naar on-prem DNS, of privatelink.* terug naar Azure).

Service Endpoints breiden de identiteit van uw VNet uit naar geselecteerde Azure-services (bijvoorbeeld Storage, SQL) via de Microsoft-backbone, waarbij het publieke IP-adres van de service behouden blijft. Beperk op de PaaS-firewall de toegang tot specifieke VNet/subnetten. Ze zijn eenvoudig in te schakelen per subnet en per service, vereisen geen DNS-wijzigingen en werken goed voor eenvoudige, uitsluitend op Azure gerichte scenario’s. De resource heeft echter nog steeds een publiek IP-adres en is niet privaat adresseerbaar vanaf on-prem zonder via het publieke endpoint te gaan.

Private Endpoints plaatsen via Private Link een NIC met een privaat IP-adres uit uw subnet op de PaaS-resource. Het verkeer blijft op het private netwerk, wat fijnmazige controle op data-exfiltratie en toegang vanaf on-prem via VPN/ExpressRoute mogelijk maakt. Correcte DNS is essentieel: overschrijf de publieke FQDN van de resource zodat deze wordt omgezet naar de privatelink FQDN, die naar uw private IP-adres wijst. Gebruik Azure Private DNS-zones (bijvoorbeeld privatelink.blob.core.windows.net) die aan VNets zijn gekoppeld. Kies voor Private Endpoints wanneer u echte private adressering, cross-premises toegang en strikte egress-controles nodig heeft.

← Azure Virtual Machines en Compute · Alle domeinen · Azure Load Balancing en Verkeersbeheer →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →