Azure

Azure NAT Gateway

Overview

Azure NAT Gateway ist ein vollständig verwalteter Dienst für Network Address Translation. Er wird einem oder mehreren Subnetzen eines VNets zugeordnet und übersetzt deren ausgehenden Verkehr auf eine oder mehrere feste öffentliche IP-Adressen oder ein IP-Präfix. Von außen lassen sich keine Verbindungen aufbauen, durch das Gateway kommen nur Antworten auf ausgehende Verbindungen.

Wichtig ist der Dienst seit dem 31. März 2026: Neue virtuelle Netzwerke legen Azure seitdem standardmäßig mit privaten Subnetzen an, der implizite Standardzugang ins Internet (Default Outbound Access) entfällt. VMs brauchen dann eine explizite Methode für ausgehenden Verkehr, auch für Windows-Aktivierung und Windows Update. Microsoft empfiehlt dafür NAT Gateway.

Es gibt zwei SKUs: Standard ist zonal und arbeitet nur mit IPv4, StandardV2 ist zonenredundant, unterstützt IPv4 und IPv6, NAT64, ICMP Echo und Flow Logs. Ein direktes Upgrade von Standard auf StandardV2 gibt es nicht, Du legst ein neues Gateway an und tauschst es am Subnetz aus. StandardV2 ist nicht in allen Regionen verfügbar.

Abgrenzung: Eine Network Security Group filtert Verkehr, übersetzt aber keine Adressen. Azure Firewall prüft und filtert zentral und kann für mehr SNAT-Kapazität selbst ein NAT Gateway nutzen. Outbound-Regeln am Azure Load Balancer sind die ältere Alternative für ausgehenden Verkehr.

How it works

Die Einrichtung läuft in drei Schritten, Routen musst Du dafür nicht anlegen:

  1. NAT Gateway anlegen (Standard zonal oder ohne Zone, StandardV2 zonenredundant).
  2. Öffentliche IP-Adressen oder ein Präfix zuweisen, bis zu 16 IPv4-Adressen, bei StandardV2 zusätzlich bis zu 16 IPv6-Adressen. StandardV2 braucht StandardV2-IPs, Basic-IPs und Basic Load Balancer werden nicht unterstützt.
  3. Subnetze zuordnen. Das Gateway ersetzt damit das Standard-Internetziel des Subnetzes, SNAT-Ports vergibt es dynamisch.

Für neue Verbindungen hat NAT Gateway Vorrang vor öffentlichen IPs an VMs, Outbound-Regeln des Load Balancers und dem Standard-Internetpfad. Eine benutzerdefinierte Route 0.0.0.0/0 zu einer Firewall-Appliance oder einem VPN- bzw. ExpressRoute-Gateway geht dem NAT Gateway vor. Ein Subnetz kann nur ein NAT Gateway haben, ein Gateway arbeitet nur innerhalb eines VNets und darf nicht im GatewaySubnet oder in einem Subnetz mit SQL Managed Instance stehen.

Das TCP-Leerlauf-Timeout liegt standardmäßig bei 4 Minuten und lässt sich auf bis zu 120 Minuten erhöhen, für UDP gilt fest 4 Minuten. In Hub-and-Spoke-Netzen hängt das Gateway am Firewall-Subnetz im Hub und übernimmt dort den ausgehenden Verkehr der Spokes.

Benefits

  • Feste, bekannte Absender-IPs für alle VMs eines Subnetzes, weil der Verkehr über die zugeordneten öffentlichen Adressen läuft und Partner sie freischalten können
  • Keine öffentlichen IPs an einzelnen VMs nötig, das verkleinert die Angriffsfläche, weil von außen keine Verbindung aufgebaut werden kann
  • Dynamische SNAT-Port-Vergabe senkt das Risiko erschöpfter Ports, das bei Load-Balancer-Outbound-Regeln und Default Outbound Access auftritt
  • StandardV2 bleibt beim Ausfall einer Verfügbarkeitszone erreichbar, ohne dass Du mehrere zonale Gateways planen musst
  • Erfüllt die Pflicht zur expliziten Outbound-Methode in neuen VNets mit privaten Subnetzen

Practical example

Ein Maschinenbauer aus Baden-Württemberg mit 400 Mitarbeitenden betreibt in Azure ein ERP-Backend, das Daten an das Portal eines Lieferanten sendet. Der Lieferant akzeptiert nur freigeschaltete Absender-IPs, die VMs hatten bisher wechselnde Adressen über den Default Outbound Access. Die IT legt ein NAT Gateway StandardV2 mit einem kleinen IP-Präfix an, ordnet es den beiden Anwendungssubnetzen zu und entfernt die öffentlichen IPs von den VMs. Der Lieferant schaltet das Präfix frei. Weil die Subnetze jetzt eine explizite Outbound-Methode haben, sind sie auch für private Subnetze vorbereitet, die neue VNets seit dem 31. März 2026 standardmäßig erhalten.

Things to keep in mind

  • Neue VNets seit 31. März 2026 von Anfang an mit NAT Gateway oder einer anderen expliziten Outbound-Methode planen, sonst schlagen Windows-Aktivierung und Updates fehl
  • Das Hinzufügen eines StandardV2-Gateways kann bestehende ausgehende Verbindungen über Load Balancer, Firewall oder VM-IPs unterbrechen, deshalb in einem Wartungsfenster umstellen
  • Bei Dual-Stack mit IPv6 über Load-Balancer-Outbound-Regeln stört StandardV2 den IPv6-Verkehr, dort Standard-Gateway für IPv4 plus Outbound-Regeln für IPv6 einsetzen
  • Für zentrale Filterung den Verkehr per UDR zur Azure Firewall leiten und das NAT Gateway am Firewall-Subnetz anbinden, nicht an jedem Spoke einzeln
  • Lange Leerlaufzeiten von Anwendungen mit TCP-Keepalives abfangen, weil das Gateway unbekannte Flows mit einem TCP-Reset beendet

Licensing & availability

Abrechnung nach Betriebsstunden der Gateway-Ressource ab dem Anlegen und nach verarbeiteter Datenmenge, wobei ausgehender und zurückkommender Verkehr zählt. Bandbreitenkosten kommen hinzu, Flow Logs von StandardV2 werden eigens berechnet. Standard und StandardV2 kosten gleich viel. Stand: Oktober 2026.

Conclusion

NAT Gateway ist seit dem Wegfall des Default Outbound Access die Standardlösung für ausgehenden Verkehr aus Azure-Subnetzen. Setze für neue Umgebungen auf StandardV2 und kombiniere es bei Bedarf mit Azure Firewall.

Further reading

Related articles