Azure

Azure ExpressRoute

Overview

Azure ExpressRoute verbindet Rechenzentren und Standorte über eine private Layer-3-Verbindung mit dem Microsoft-Netz. Der Verkehr läuft über einen Konnektivitätsanbieter oder bei ExpressRoute Direct über eigene Ports (10, 100 oder 400 Gbit/s) an einem Peering-Standort, nicht über das Internet.

Es gibt zwei Peering-Arten: Private Peering für VNets in Azure und Microsoft Peering für öffentliche Microsoft-Dienste. Microsoft 365 ist für den Zugriff über das Internet ausgelegt. ExpressRoute für Microsoft 365 empfiehlt Microsoft nur für bestimmte Szenarien.

Neben dem klassischen Circuit mit einem Peering-Standort gibt es ExpressRoute Metro, das zwei Peering-Standorte in derselben Metropolregion nutzt und laut Microsoft zum gleichen Preis wie ein Standard-Circuit mehr Ausfallsicherheit bietet. Global Reach verbindet eigene Standorte über das Microsoft-Backbone miteinander. Abgrenzung: Das VPN Gateway nutzt verschlüsselte Tunnel über das Internet und ist schneller bereitgestellt, ExpressRoute bietet planbare Latenz und höhere Bandbreiten.

How it works

Bereitstellung in Schritten:

  1. Du bestellst in Azure einen Circuit mit Bandbreite (50 Mbit/s bis 10 Gbit/s über Provider), SKU und Abrechnungsmodell und erhältst einen Service Key.
  2. Der Provider schaltet mit diesem Key die Leitung zum Peering-Standort, etwa Frankfurt.
  3. Jeder Circuit hat zwei Verbindungen zu zwei Microsoft-Edge-Routern (MSEE). Microsoft verlangt zwei BGP-Sitzungen, eine pro Router.
  4. Im VNet entsteht ein ExpressRoute-Gateway im GatewaySubnet, das per Connection mit dem Circuit verknüpft wird.
  5. Für maximale Ausfallsicherheit empfiehlt Microsoft zwei Circuits an zwei Peering-Standorten.

SKUs: Local erreicht nur ein oder zwei Regionen nahe dem Peering-Standort, ausgehender Verkehr ist inklusive. Standard erreicht alle Regionen derselben geopolitischen Zone. Premium erweitert auf alle Regionen weltweit und erhöht die Routenlimits beim Private Peering von 4.000 auf 10.000. Abrechnung erfolgt Metered (ausgehend pro GB) oder Unlimited. ExpressRoute verschlüsselt nicht automatisch: Bei ExpressRoute Direct steht MACsec zur Verfügung, sonst ein IPsec-VPN über die Leitung.

Benefits

  • Planbare Latenz und Bandbreite, weil der Verkehr nicht über das Internet und dessen wechselnde Pfade läuft.
  • Hohe Bandbreiten bis in den zweistelligen Gbit/s-Bereich für Datenmigrationen, Backups oder SAP-Systeme.
  • Redundanz ist eingebaut (zwei Verbindungen, zwei BGP-Sitzungen) und mit Metro oder zwei Circuits weiter ausbaubar.
  • Global Reach ersetzt teils eigene WAN-Strecken zwischen Rechenzentren, weil der Verkehr über das Microsoft-Backbone läuft.

Practical example

Ein Chemieunternehmen mit Rechenzentren in Ludwigshafen und Köln betreibt SAP und Labor-Datenbanken teilweise in Azure. Die VPN-Anbindung schwankte in der Latenz, nächtliche Datenübertragungen liefen in die Arbeitszeit. Die IT bestellt über ihren Carrier je einen ExpressRoute-Circuit mit Standard-SKU am Peering-Standort Frankfurt, verbindet beide über Global Reach und behält das bestehende Site-to-Site-VPN als Backup-Pfad. Die Latenz ist seitdem stabil und die nächtlichen Jobs enden zuverlässig vor Schichtbeginn.

Things to keep in mind

  • Plane Vorlaufzeiten für Bestellung und Schaltung beim Provider ein. Die Azure-Seite ist in Minuten fertig, die Leitung oft erst nach Wochen.
  • Ein einzelner Circuit an einem Standort ist laut Microsoft nur für Nicht-Produktion ausreichend. Plane für Produktion zwei Standorte oder ExpressRoute Metro.
  • Verschlüsselung ist nicht automatisch aktiv. Prüfe, ob Deine Compliance MACsec oder IPsec über ExpressRoute verlangt.
  • Achte auf Routenlimits und Filter: Zu viele angekündigte Präfixe führen zum Abbruch der BGP-Sitzung.
  • Berücksichtige neben dem Circuit die Kosten für ExpressRoute-Gateway, Provider-Leitung und gegebenenfalls Premium-Add-on.

Licensing & availability

Abrechnung über das Azure-Abonnement nach Bandbreite, SKU (Local, Standard, Premium) und Datenplan (Metered: ausgehender Verkehr pro GB, Unlimited: Pauschale). ExpressRoute Direct und Global Reach haben eigene Preismodelle, das ExpressRoute-Gateway im VNet wird separat pro Stunde berechnet. Hinzu kommen die Kosten des Konnektivitätsanbieters. Stand: Oktober 2026.

Conclusion

ExpressRoute lohnt sich, wenn Latenz, Bandbreite oder Compliance eine private Anbindung verlangen. Plane Redundanz über zwei Standorte und behalte ein VPN als Rückfallpfad.

Further reading

Related articles