Azure

Azure VPN Gateway

Overview

Das Azure VPN Gateway ist ein von Microsoft betriebenes Gateway im Subnetz GatewaySubnet eines VNets. Es baut Site-to-Site-Tunnel (IPsec/IKE) zu lokalen Firewalls, VNet-zu-VNet-Verbindungen und Point-to-Site-Verbindungen für einzelne Clients auf (OpenVPN, IKEv2 oder SSTP, Anmeldung per Zertifikat, RADIUS oder Microsoft Entra ID).

Wichtige Änderungen: Die nicht zonenredundanten SKUs VpnGw1 bis VpnGw5 werden laut Microsoft zum 30. September 2026 eingestellt. Neue Gateways dieser SKUs lassen sich seit 1. November 2025 nicht mehr erstellen, bestehende werden auf die AZ-Varianten (VpnGw1AZ bis VpnGw5AZ) migriert. Die alten SKUs Standard und High Performance sind seit 30. September 2025 abgekündigt. Für Gateways mit öffentlicher Basic-IP endete die kundengesteuerte Migration auf Standard-IP am 30. Juni 2026, ab August 2026 migriert Microsoft verbleibende Gateways im Hintergrund.

Die Basic-SKU des Gateways bleibt bestehen, ist aber stark eingeschränkt und laut Microsoft nicht für Produktion gedacht. Abgrenzung: ExpressRoute ist eine private Leitung ohne Internetweg, Azure Virtual WAN bündelt viele VPN-Standorte in verwalteten Hubs.

How it works

Aufbau und Ablauf einer Site-to-Site-Verbindung:

  1. Im VNet entsteht das Subnetz GatewaySubnet. Microsoft verlangt für die Basic-IP-Migration mindestens /27, dieselbe Größe ist auch für neue Gateways sinnvoll.
  2. Du erstellst das Gateway (routenbasiert) mit SKU, Generation und einer oder zwei öffentlichen Standard-IPs. Die Bereitstellung dauert oft 30 Minuten oder länger.
  3. Ein Local Network Gateway beschreibt die Gegenstelle mit öffentlicher IP und lokalen Adressräumen oder BGP-Peer.
  4. Die Verbindung (Connection) legt Pre-Shared Key und optional eine eigene IPsec/IKE-Richtlinie fest.
  5. Aktiv-Aktiv-Betrieb mit zwei Tunneln und BGP sorgt für Ausfallsicherheit und dynamisches Routing.

Laut Microsoft-Tabelle reichen die AZ-SKUs von 650 Mbit/s (VpnGw1AZ, Gen1) bis 10 Gbit/s (VpnGw5AZ, Gen2). Die Basic-SKU schafft 100 Mbit/s, maximal 10 Site-to-Site-Tunnel, kein BGP, kein Aktiv-Aktiv und Point-to-Site nur per SSTP. Gateways mit Standard-IP werden laut Microsoft bis etwa Ende März 2027 automatisch auf Generation 2 angehoben.

Benefits

  • Schnelle Hybridanbindung über vorhandene Internetleitungen, ohne auf einen Provider warten zu müssen.
  • Zonenredundante AZ-SKUs überstehen den Ausfall einer Verfügbarkeitszone, weil die Instanzen auf mehrere Zonen verteilt sind.
  • BGP und Aktiv-Aktiv ermöglichen redundante Tunnel zu zwei lokalen Firewalls mit automatischem Failover.
  • Point-to-Site mit Entra-ID-Anmeldung erlaubt Admin-Zugriff mit MFA und Conditional Access.
  • Das Gateway dient auch als Backup-Pfad für ExpressRoute, da beide im selben GatewaySubnet koexistieren können.

Practical example

Ein Zulieferer der Automobilindustrie mit zwei Werken in Baden-Württemberg verbindet beide Standorte per Site-to-Site-VPN mit dem Hub-VNet in Germany West Central. Ursprünglich lief ein VpnGw1 ohne Zonenredundanz. Im Zuge der angekündigten SKU-Konsolidierung plant die IT die Migration auf VpnGw2AZ in einem Wartungsfenster, stellt beide Tunnel auf Aktiv-Aktiv mit BGP um und testet den Failover durch Trennen eines Tunnels. Die Produktionsplanung in Azure bleibt bei Ausfall einer lokalen Firewall erreichbar.

Things to keep in mind

  • Prüfe Deine Gateways auf alte SKUs: Mit „az network vnet-gateway show --query sku.name“ siehst Du, ob noch VpnGw1 bis 5 ohne AZ oder eine öffentliche Basic-IP im Einsatz sind.
  • Lokale und Azure-Adressräume dürfen sich nicht überlappen. Plane IP-Bereiche vor dem ersten Tunnel.
  • Verwende die Basic-SKU nur für Tests: Sie hat kein BGP, kein IKEv2/OpenVPN für Clients und keine Zonenredundanz.
  • Stimme IPsec/IKE-Parameter mit der Gegenstelle ab und hinterlege bei Bedarf eine eigene Richtlinie, statt Standardwerten zu vertrauen.
  • Nach Migrationen ändern sich teils die Instanz-IPs des Gateways. Passe UDRs, NVA-Regeln und Firewall-Objekte entsprechend an.

Licensing & availability

Abrechnung pro Gateway-Stunde je nach SKU sowie für ausgehenden Datenverkehr, Point-to-Site-Verbindungen teils zusätzlich nach Verbindungszahl. Microsoft hat die Preise der AZ-SKUs im Zuge der Konsolidierung gesenkt. Nicht-AZ-SKUs VpnGw1 bis 5: Neuanlage seit 1. November 2025 gesperrt, Retirement 30. September 2026. Basic-SKU wird nicht eingestellt. Stand: Oktober 2026.

Conclusion

Das VPN Gateway ist der Standardweg für die Hybridanbindung kleiner und mittlerer Umgebungen. Setze auf AZ-SKUs mit Aktiv-Aktiv und BGP und prüfe Bestandsgateways auf alte SKUs und Basic-IPs.

Further reading

Related articles