Microsoft Azure hat kürzlich angekündigt, dass die Unterstützung für den Standardzugriff auf das Internet für neue virtuelle Maschinen (VMs), die nach dem 31. März 2026 erstellt werden, enden wird. Weitere Einzelheiten finden Sie unter Feature-Update: Das Standardverhalten für neu erstellte virtuelle Netzwerke wird privat sein.
Diese Änderung wirkt sich nicht auf bestehende VMs aus, jedoch erfordert jede VM, die nach diesem Datum erstellt wird, eine explizite Methode, um ausgehenden Internetzugriff zu ermöglichen.
Diese Änderung betrifft speziell Subnetze innerhalb virtueller Azure-Netzwerke. Jede Ressource, die mit einem Subnetz verbunden ist, verwendet den definierten ausgehenden Zugriff des Subnetzes, um Datenverkehr zu senden. Alle Subnetze, die vor der Frist erstellt wurden, verfügen über eine integrierte Route zum Internet, die es VMs und anderen Ressourcen ermöglicht, eine Verbindung zum Internet und zu anderen öffentlich zugänglichen Endpunkten herzustellen. Subnetze, die nach der Frist erstellt werden, haben dies jedoch nicht standardmäßig aktiviert. Diese Änderung steht im Einklang mit der Vision von Microsoft, sicherzustellen, dass alle Cloud-Ressourcen standardmäßig sicher sind. Um dies zu ermöglichen, bietet Azure verschiedene Optionen, damit VMs eine Verbindung zu öffentlichen Endpunkten herstellen können, wie z. B. öffentliche IP-Adressen auf Instanzebene, ausgehende Regeln für Azure Load Balancer, das Azure NAT Gateway sowie anbieterbasierte oder Azure-native Firewall-Lösungen.
Bei den meisten Groß- und Unternehmenskunden ist in der Regel eine Netzwerklösung zur Verwaltung des ausgehenden Datenverkehrs vorhanden, meist über eine Azure- oder Drittanbieter-Firewall. Diese Kunden müssen sicherstellen, dass alle Ressourcen-Subnetze, die ausgehenden Zugriff erfordern, nach Ablauf der Frist in dieser Firewall definiert sind.
Für Kunden aus kleinen und mittleren Unternehmen (KMU) ist möglicherweise keine Azure- oder Drittanbieter-Firewall vorhanden. In solchen Fällen wäre ein Azure NAT Gateway wahrscheinlich die am besten geeignete Lösung, da es in allen Subnetzen innerhalb eines virtuellen Netzwerks verwendet werden kann, um Datenverkehr über eine definierte öffentliche SNAT-IP-Adresse weiterzuleiten.
Wir empfehlen keine öffentlichen IP-Adressen auf Instanzebene oder ausgehende Load Balancer-Regeln, da diese erhebliche Sicherheitsbedenken aufwerfen können, insbesondere bei Produktions-Workloads.
Eine Herausforderung für alle Kunden besteht darin, zu bestimmen, welche Dienste ausgehenden Internetzugriff benötigen. Während eine VM möglicherweise nur interne oder Azure-Dienste erreichen muss, sind viele, einschließlich von Microsoft verwalteter Dienste, nur über öffentliche Endpunkte zugänglich. Azure PaaS-Angebote wie Storage, Key Vault und SQL fallen oft in diese Kategorie, wenn keine privaten Endpunkte konfiguriert sind. Dies ist besonders kritisch für AVD-Administratoren, die Entra ID Join verwenden. Der Join-Prozess von Entra basiert vollständig auf öffentlichen Endpunkten, und ohne Internetzugang schlägt der Cloud-Join fehl. Viele VM-Erweiterungen sind ebenfalls von internetbasierten Endpunkten abhängig, wie z. B. DSC oder der Monitoring Agent. Diese VM-Erweiterungen lassen sich nicht bereitstellen, wenn keine ausgehende Konnektivität konfiguriert ist, was zu fehlerhafter Automatisierung und fehlgeschlagener Host-Einrichtung führt. In diesen Fällen benötigt das Subnetz, mit dem der Host verbunden ist, Internetzugang, um den Build-Prozess abzuschließen.
Nerdio Manager bietet eine skriptbasierte Aktion, um ein NAT-Gateway zu erstellen und es mit einem oder mehreren gewünschten Subnetzen zu verknüpfen.
Darüber hinaus verfügt Nerdio Manager über Netzwerk-Tools zum nativen Erstellen und Verlinken von Azure-virtuellen Netzwerken und Network Security Groups (NSGs). Weitere Informationen finden Sie unter Azure-Umgebung: verknüpfte Netzwerke und Ressourcengruppen.
Obwohl Microsoft angibt, dass diese Änderung nur neu erstellte Subnetze betrifft, wird davon ausgegangen, dass diese Änderung letztendlich auf alle bestehenden Subnetze übertragen wird. Daher ist die Implementierung einer sinnvollen Lösung für alle Ressourcen innerhalb von Azure langfristig sinnvoll. Wenn Sie Fragen haben oder Unterstützung bei der Konzeption und Implementierung einer Lösung für ausgehenden Internetzugriff benötigen, kontaktieren Sie uns bitte, um einen Gesprächstermin zu vereinbaren.
Kommentare (0 Kommentare)