Microsoft AZ-305: Netwerken en Connectiviteit — Studiegids

By Laurynas Brazys · 11 August 2026 · #microsoft #az-305 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Azure Solutions Architect Expert AZ-305 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Ontwerpen voor netwerken en connectiviteit in Azure vereisen een balans tussen het beheer van de adresruimte, veilige toegang tot PaaS-diensten, hybride connectiviteit op schaal, naamresolutie, dreigingsbescherming en diepgaande observeerbaarheid. Een robuuste architectuur is meestal gecentreerd rond een hub-and-spoke virtueel netwerkpatroon of een beheerde hub in Azure Virtual WAN, met duidelijk routebeheer, privétoegang tot diensten en gestandaardiseerde firewalling. De volgende secties beschrijven de diensten en mogelijkheden die het vaakst worden gecombineerd in bedrijfsontwerpen.

Virtuele Netwerken, IP-Strategie en Privétoegang tot PaaS

Een robuuste adresplanning voorkomt herzieningen en maakt hybride schaalvergroting mogelijk. Gebruik RFC1918-bereiken met duidelijke grenzen per omgeving en regio. Vermijd overlappende prefixes tussen VNets en on-premise netwerken; als fusies of partnerconnectiviteit waarschijnlijk zijn, laat dan ruimte voor samenvatting (bijvoorbeeld, wijs een /16 per regio toe en snijd /20 spokes uit). Overweeg dual-stack IPv4/IPv6 voor internetgerichte apps en in gereguleerde regio’s. Houd de GatewaySubnet op /27 of groter als u co-existentie van VPN/ExpressRoute en toekomstige schaalvergroting plant.

Het ontwerp van subnets segmenteert verkeer op basis van functie en vertrouwen. Subnets moeten elk één veiligheidsintentie hebben, beveiligd met NSG’s en UDR’s. Kies de juiste prefixgrootte (bijvoorbeeld /26 tot /24) om hernummering te voorkomen; reserveer afzonderlijke subnets voor Azure Firewall, Application Gateway, Bastion en Private Endpoints. Schakel standaard uitgaand internetverkeer uit voor gevoelige subnets via een UDR naar een firewall.

Zowel Service endpoints als private endpoints beveiligen PaaS-verkeer, maar met een verschillende blast radius en routering:

Service endpoints breiden de identiteit van uw VNet uit naar Azure-diensten via de Microsoft-backbone, terwijl het verkeer nog steeds gericht is op het openbare IP-adres van de dienst. U kunt de dienst vergrendelen voor specifieke VNets/subnets en service endpoint policies gebruiken voor granulaire allow-lists voor storage accounts. Ze zijn eenvoudig in te schakelen, maar regelen de toegang op het niveau van het resourcetype of account, in plaats van per NIC van een instantie.
Private Endpoints maken een NIC aan met een privé-IP-adres in uw subnet, dat via Private Link wordt gekoppeld aan een specifieke PaaS-resource. Dit biedt isolatie op instantieniveau en de sterkste bescherming tegen data-exfiltratie, omdat de dienst alleen bereikbaar is via het privé-IP-adres dat aan uw endpoint(s) is gekoppeld. Plan DNS zorgvuldig: overschrijf openbare zones (bijvoorbeeld privatelink.blob.core.windows.net, privatelink.database.windows.net) met Azure Private DNS-zones die aan uw VNets zijn gekoppeld; on-premise resolvers moeten doorsturen naar Azure voor split-horizon resolution. Private Link ondersteunt ook scenario’s met consumenten/providers over meerdere tenants met goedkeuringsworkflows, waardoor partners veilige toegang krijgen zonder openbare endpoints bloot te stellen.

Hybride Connectiviteit: VPN, ExpressRoute, Virtual WAN en Routebeheer

De SKU’s van Azure VPN Gateway bepalen de doorvoersnelheid en schaal. Gebruik route-based gateways (VpnGw1–VpnGw5 en hun zone-redundante VpnGwXAZ-varianten) voor site-to-site, VNet-to-VNet en BGP; vermijd de verouderde Basic SKU voor productieomgevingen. De Active-active modus implementeert twee instanties met twee openbare IP-adressen, wat de veerkracht en de geaggregeerde doorvoersnelheid verhoogt. BGP met privé-ASN’s biedt dynamische route-uitwisseling, convergentie en padbeheer per tunnel (AS Path, MED) over meerdere verbindingen. Azure gebruikt standaard ASN 65515 op de gateway; pas dit aan bij multihoming naar meerdere providers.

ExpressRoute levert privéconnectiviteit met de backbone van Microsoft met voorspelbare latentie en hoge doorvoersnelheid. De circuit-SKU’s bepalen de reikwijdte en limieten:

Local: alleen egress naar dezelfde metropoolregio, lagere kosten, geen VNet any-to-any buiten de metropoolregio.
Standard: connectiviteit met Azure-regio’s binnen dezelfde geopolitieke regio als de peeringlocatie, standaard routelimieten.
Premium: wereldwijde VNet-connectiviteit over geopolitieke grenzen heen en hogere route-/verbindingslimieten. Peeringtypes omvatten Private peering (naar VNets) en Microsoft peering (naar Microsoft SaaS/PaaS via routefilters). Public peering is buiten gebruik gesteld. Met ExpressRoute Global Reach kunt u on-premise locaties verbinden via verschillende ExpressRoute-circuits over de backbone van Microsoft. FastPath vermindert de data-plane latentie door de ExpressRoute-gateway te omzeilen voor pakketten tussen uw edge en VM’s; het wordt per VNet-verbinding ingeschakeld en ondersteund met UltraPerformance of ErGw3AZ ExpressRoute-gateways op Private peering, waarbij het VNet rechtstreeks aan het circuit is gekoppeld (geen gateway-transit).

Co-existentie van ExpressRoute en VPN biedt failover of de mogelijkheid om verkeer te splitsen. Implementeer beide gateways in een voldoende grote GatewaySubnet en gebruik BGP om ExpressRoute de voorkeur te geven voor overlappende prefixes (ExpressRoute heeft een hogere voorkeur dan S2S VPN wanneer de route-attributen gelijk zijn). Gebruik AS Path prepending of MED’s op de VPN om een deterministische fallback te garanderen.

Azure Virtual WAN (vWAN) centraliseert grootschalige connectiviteit voor filialen, gebruikers en locaties met beheerde hubs. Kies de Standard-tier voor any-to-any inter-hub routing en ExpressRoute; schakel een beveiligde virtuele hub in als u Azure Firewall-integratie nodig heeft. Routing intents in beveiligde hubs sturen verkeersklassen—Internet, Private en Microsoft—naar beveiligingsdiensten (bijvoorbeeld al het internetgebonden en privéverkeer naar Azure Firewall Premium). vWAN vereenvoudigt SD-WAN-integratie, partnerautomatisering en grootschalige P2S/S2S VPN, terwijl het wereldwijd consistente beleidsregels biedt.

Azure Route Server (ARS) injecteert dynamische routering in een klassiek hub-spoke VNet zonder NVA’s als route reflectors te implementeren. ARS zet BGP-peering op met NVA’s, deelt geleerde routes met het VNet en kan, met route-uitwisseling ingeschakeld, routes propageren tussen NVA’s en de VPN/ExpressRoute-gateway. Dit elimineert het handmatige UDR-onderhoud voor prefixes die vanaf on-premise zijn geleerd of door NVA’s worden geadverteerd. ARS gebruikt standaard ASN 65515 en ondersteunt routefiltering via route maps om de advertentie van routes te beheren en route-lekkage te voorkomen.

Naamresolutie, Firewalling en DDoS-bescherming

Azure DNS biedt authoritatieve hosting voor publieke en private zones. Publieke zones publiceren naar het internet via Azure’s wereldwijde anycast. Private DNS zones bieden split-horizon naamgeving voor resources die alleen bereikbaar zijn binnen gekoppelde VNets. Activeer auto-registratie op een Private DNS zone-koppeling om A-records voor Azure VM’s in dat VNet dynamisch te registreren en bij te werken, wat lifecycle-operaties vereenvoudigt.

Azure DNS Private Resolver levert beheerde inkomende en uitgaande DNS-forwarding. Implementeer inbound endpoints om query’s van on-prem resolvers via een privaat IP te ontvangen, en outbound endpoints plus rulesets om query’s van Azure VM’s door te sturen naar on-prem DNS voor bedrijfszones. Koppel rulesets aan meerdere VNets om de naamresolutie in een hub-spoke-model te standaardiseren. Dit is het ankerpunt voor de naamresolutie van Private Endpoints vanaf on-prem, waardoor conditional forwarders on-prem Azure Private DNS zones kunnen bereiken via de resolver.

Azure Firewall centraliseert egress-, ingress- (DNAT) en east-west-filtering. De Standard SKU levert L3–L4-filtering, FQDN-tags en op threat intelligence gebaseerde filtering. De Premium SKU voegt TLS-inspectie (uitgaand en inkomend met door Key Vault ondersteunde certificaten), IDPS met op handtekeningen gebaseerde detectie/preventie, en URL-filtering met categorieën en beleid op padniveau toe. Implementeer in een beveiligde virtuele hub voor vWAN of als een firewall-instantie in een hub-VNet. Gebruik firewall policies die beheerd worden in Azure Firewall Manager met een hiërarchie van parent/child policies om wereldwijde basisconfiguraties af te dwingen en regionale of applicatiespecifieke regels toe te passen; de prioriteiten van rule collection groups bepalen de evaluatievolgorde. Plan SNAT-poorten met meerdere public IP’s op hubs met hoge doorvoer om poortuitputting te voorkomen wanneer veel kortstondige verbindingen worden verwacht.

Azure DDoS Protection beschermt public IP-resources. De Basic-tier staat altijd aan en wordt door het platform beheerd. De Standard-tier is een plan dat u per VNet activeert; het stemt mitigatiebeleid automatisch af per beschermd public IP (Load Balancer, Application Gateway, VM NIC’s), biedt kostenbescherming tijdens aanvallen en stelt telemetrie beschikbaar. Configureer alerting en streaming naar Log Analytics om mitigatierapporten, aanvalsstatistieken (pps/bps, vectoren) en snelle ondersteuning via DDoS Rapid Response te ontvangen. Combineer met WAF en rate-limiting voor L7-veerkracht.

Observeerbaarheid en Traffic Analytics

Azure Network Watcher geeft diepgaand inzicht in de netwerkstatus en het verkeer. Connection Monitor test continu de bereikbaarheid en prestaties tussen bronnen en bestemmingen (Azure VM’s, on-prem endpoints, URL’s) via ICMP, TCP of HTTP/S, en correleert wijzigingen in de topologiestatus met storingen. NSG Flow Logs registreren 5-tuple flows en de beslissing (allow/deny) op NSG-interfaces; exporteer ze naar een storage account en activeer Traffic Analytics in Log Analytics voor inzichten in top talkers, open poorten en dreigingsdetecties. Packet Capture legt pakketten vast op een VM NIC met behulp van een extensie, on-demand of gepland, met filters voor BPF-achtige expressies en uitvoer naar storage; gebruik het om problemen met MTU, handshake of asymmetrische routering op te lossen. Koppel deze met Azure Monitor-metrics voor gateways, ExpressRoute-circuits en vWAN-hubs om verzadiging, BGP-flap of verlies van veerkracht te detecteren.

Cross-Tenant Scenario’s voor Private Link en DNS-nuances

Private Link maakt veilige consumer-provider-patronen over tenants heen mogelijk. De provider stelt een Private Link-service of PaaS-resource beschikbaar; de consumer maakt een Private Endpoint aan en vraagt goedkeuring aan. Voor PaaS vindt goedkeuring plaats op het niveau van de resource-instantie, wat een strakke controle over de ‘blast radius’ biedt. DNS moet de publieke FQDN van de service omzetten naar het IP-adres van het Private Endpoint van de consumer. In de tenant van de consumer, maak of gebruik de juiste privatelink.<zone> en koppel deze aan het VNet van de consumer; voor on-premise gebruikers, stuur die zones door naar de inbound endpoints van Azure DNS Private Resolver. Wanneer providers ‘vanity domains’ vereisen, gebruik dan CNAME’s naar de publieke endpointnaam zodat ‘split-horizon’-overrides transparant werken. Valideer dat er geen overlappende Private Endpoints voor dezelfde FQDN bestaan in verschillende VNets zonder de bedoelde scoping, aangezien clients de naam omzetten naar de dichtstbijzijnde gekoppelde zone op basis van het DNS-querypad.

Praktisch Probleemscenario

Siemens AG bouwt een wereldwijd productieplatform in Azure, waarbij regionale fabrieken verbinding maken via MPLS en internet. De vereisten omvatten private toegang tot Azure SQL en Storage, een veerkrachtige hybride connectiviteit die de private backbone prefereert, gecentraliseerde security-inspectie met TLS-decryptie en IDPS, gestandaardiseerde DNS-resolutie van fabrieken naar Azure Private Endpoints, en diepgaande connectiviteitsmonitoring. Partners in een aparte Azure-tenant moeten privaat geselecteerde, door Siemens gehoste API’s kunnen gebruiken.

Implementeer een hub-and-spoke-model per regio met een beveiligde virtuele hub in Azure Virtual WAN Standard.

Waarom: vWAN biedt beheerde, schaalbare S2S/P2S/ER-connectiviteit en any-to-any-routing tussen hubs. Een beveiligde hub integreert Azure Firewall Premium met ‘routing intents’ om internet- en privaat verkeer wereldwijd door de inspectie te sturen.

Zet ExpressRoute-circuits op met de Premium SKU in Europa en Noord-Amerika; schakel Global Reach tussen hen in. Implementeer UltraPerformance of ErGw3AZ ExpressRoute-gateways en schakel FastPath in voor VNets die rechtstreeks met de circuits zijn verbonden.

Waarom: Premium maakt cross-geopolitieke connectiviteit voor VNets en hogere routelimieten mogelijk; Global Reach biedt private on-premise-naar-on-premise-connectiviteit via de backbone van Microsoft. FastPath vermindert de latentie en gateway-knelpunten voor data-plane-verkeer.

Voeg active-active Azure VPN Gateways (VpnGw5AZ) toe in elke regio als back-up voor ExpressRoute; configureer BGP met AS Path prepending op de VPN om ExpressRoute te prefereren.

Waarom: Active-active plus BGP levert veerkrachtige failover. Padattributen dwingen deterministische routing af, zodat ExpressRoute altijd primair is.

Implementeer Azure Firewall Premium in elke beveiligde hub met parent/child firewall policies via Azure Firewall Manager; schakel TLS-inspectie en IDPS in; wijs meerdere publieke IP’s toe voor SNAT-schaalbaarheid.

Waarom: Gecentraliseerde, uniforme beveiliging met decryptie en op handtekeningen gebaseerde dreigingspreventie voldoet aan de inspectie-eisen op schaal. De beleidshiërarchie dwingt een wereldwijde basislijn af, terwijl regionale variatie mogelijk blijft.

Gebruik Private Endpoints voor Azure SQL Database en Storage; maak Azure Private DNS-zones aan voor privatelink.database.windows.net en privatelink.blob.core.windows.net, koppel deze aan de spokes, en schakel Azure DNS Private Resolver in de hub in met inbound en outbound endpoints en forwarding rulesets.

Waarom: Private Endpoints bieden isolatie op instantieniveau en elimineren het risico van data-exfiltratie. DNS Private Resolver standaardiseert ‘split-horizon’ naamresolutie voor zowel Azure- als fabrieksnetwerken zonder aangepaste DNS-appliances.

On-premise DNS-servers sturen Azure Private Link-zones door naar het inbound endpoint van de resolver; voor bedrijfszones die in Azure nodig zijn, maak outbound rules aan naar de on-premise DNS.

Waarom: Deze bidirectionele forwarding zorgt voor consistente naamresolutie over grenzen heen met minimale administratie.

Voor partnertoegang, stel de Siemens API’s beschikbaar achter een interne load balancer en publiceer ze via een Private Link-service; partners in hun eigen tenant maken Private Endpoints aan en worden goedgekeurd. Geef partnerspecifieke DNS-richtlijnen om publieke namen te overschrijven naar hun Private Endpoint IP’s.

Waarom: Cross-tenant Private Link biedt private, op instanties afgestemde toegang zonder publieke endpoints bloot te stellen of gastidentiteiten te beheren.

Implementeer Azure Route Server in hub-VNets die NVA’s hosten voor gespecialiseerde routing, en schakel route-uitwisseling met de ExpressRoute-gateway in.

Waarom: Route Server orkestreert het dynamisch delen van routes tussen NVA’s en gateways, waardoor breekbare UDR-updates worden geëlimineerd en snelle convergentie wordt gegarandeerd.

Schakel Azure DDoS Protection Standard in op de hub-VNets die publieke IP’s beschermen (Azure Firewall en inbound endpoints); configureer alerts en integreer met Log Analytics.

Waarom: Automatische, afgestemde L3/L4-mitigatie met telemetrie en ondersteuning vermindert het risico en biedt zichtbaarheid van aanvallen met kostenbescherming.

Schakel Azure Network Watcher Connection Monitor in voor belangrijke paden (fabriek naar Azure SQL via ER, Azure VM naar Storage via Private Endpoint), NSG Flow Logs met Traffic Analytics op spoke-subnets, en on-demand Packet Capture op kritieke VM’s.

Waarom: Continue bereikbaarheidstests, het vaststellen van een traffic-baseline en forensisch onderzoek op pakketniveau geven de operationele teams de zichtbaarheid die nodig is om prestatie- en routeringsafwijkingen snel te diagnosticeren.

← Compute en Applicatiearchitectuur · Alle domeinen · Hoge Beschikbaarheid →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →