Azure

Azure Virtual Network Manager (AVNM)

Allgemeine Infos

Azure Virtual Network Manager (AVNM) ist ein Verwaltungsdienst für viele virtuelle Netzwerke gleichzeitig. Eine Network-Manager-Instanz erhält einen Bereich aus Subscriptions oder Management Groups und kann darin VNets gruppieren, Topologien aufbauen, globale Sicherheitsregeln durchsetzen, Routen verteilen und IP-Adressräume vergeben. Konfigurationen sind über Subscriptions, Tenants und Regionen hinweg möglich.

Sinnvoll wird AVNM ab einer Größe, bei der Peerings, NSGs und Routentabellen pro VNet nicht mehr per Hand zu pflegen sind, typischerweise in Landing Zones mit vielen Spokes oder bei Teams, die eigene Subscriptions verwalten.

Abgrenzung: VNet Peering verbindet genau zwei Netze, AVNM erzeugt und pflegt solche Verbindungen für ganze Gruppen. Network Security Groups gehören den Workload-Teams, die Sicherheitsadministratorregeln von AVNM gehören der zentralen Netzwerk- oder Security-Abteilung und werden vor den NSGs ausgewertet. Azure Virtual WAN ist ein von Microsoft betriebenes Hub-Netz, Azure Firewall Manager verwaltet Firewall-Richtlinien. Seit Februar 2025 rechnet Microsoft AVNM pro verwaltetem VNet statt pro Subscription ab.

Funktionsweise & Details

Die Bausteine einer AVNM-Instanz:

  1. Netzwerkgruppen fassen VNets statisch (manuell ausgewählt) oder dynamisch über Azure-Policy-Bedingungen zusammen, etwa alle VNets mit dem Tag env=prod.
  2. Konnektivitätskonfigurationen bauen Hub-and-Spoke oder Mesh. Bei Hub-and-Spoke legt AVNM die Peerings an und kann Spokes direkt miteinander verbinden, Mesh nutzt eine eigene Gruppenverbindung (Connected Group) ohne klassisches Peering.
  3. Sicherheitsadministratorkonfigurationen enthalten Regeln mit den Aktionen Allow, Deny und Always Allow. Sie werden vor den NSG-Regeln ausgewertet, ein Deny blockiert also unabhängig von NSGs. Pro Region kann nur eine solche Konfiguration aktiv sein.
  4. Routingkonfigurationen verteilen benutzerdefinierte Routen (UDR) auf viele Subnetze, etwa die Standardroute zur zentralen Firewall.
  5. IP Address Management (IPAM) vergibt nicht überlappende Adressbereiche aus Pools, die Erreichbarkeitsprüfung (Virtual Network Verifier) zeigt, welche Regel oder Konfiguration Verkehr blockiert.

Konfigurationen wirken erst nach dem Deployment in die jeweiligen Zielregionen. Du steuerst Reihenfolge und Zeitpunkt pro Region und kannst so stufenweise ausrollen und zurückrollen. Fällt die Region der Instanz aus, bleiben angewendete Konfigurationen aktiv, nur Änderungen sind bis dahin nicht möglich.

Vorteile & Nutzen

  • Neue Spokes erhalten Peering, Routen und Sicherheitsregeln automatisch, sobald sie über dynamische Mitgliedschaft in eine Netzwerkgruppe fallen
  • Zentrale Deny-Regeln, etwa gegen RDP aus dem Internet, lassen sich von Workload-Teams nicht per NSG aushebeln, weil sie vorher greifen
  • Always Allow sichert Verkehr von Scannern oder Monitoring ab, auch wenn ein Team ihn per NSG versehentlich sperrt
  • IPAM verhindert überlappende Adressräume zwischen Azure, Rechenzentrum und anderen Clouds, die später Peering und VPN blockieren würden
  • Regionales Deployment erlaubt kontrollierte Rollouts mit Rückweg statt globaler Big-Bang-Änderungen

Praxisbeispiel

Ein Automobilzulieferer mit Standorten in Deutschland und Tschechien betreibt rund 40 Spoke-VNets in mehreren Subscriptions, die Fachbereiche legen regelmäßig neue an. Die zentrale IT richtet AVNM auf der Management Group ein und definiert eine dynamische Netzwerkgruppe für alle VNets mit dem Tag landingzone=corp. Eine Hub-and-Spoke-Konfiguration verbindet sie mit dem Hub, eine Routingkonfiguration schickt den Internetverkehr zur Azure Firewall, eine Sicherheitsadministratorregel verbietet eingehendes RDP und SSH aus dem Internet. Neue Spokes sind damit beim Anlegen sofort richtig angebunden und abgesichert.

Worauf sollte man achten?

  • Sicherheitsadministratorregeln zuerst in einer Testregion mit wenigen VNets ausrollen, weil ein falsches Deny alle Netzwerke der Gruppe gleichzeitig trifft
  • Always Allow sparsam einsetzen, weil der Verkehr damit an allen NSGs vorbei zugelassen wird
  • Instanzen aus der Zeit vor Februar 2025 auf das VNet-basierte Preismodell umstellen, spätestens am 6. Februar 2028 stellt Microsoft automatisch um
  • Region, Resource Group und Subscription der Instanz bewusst wählen, ein späteres Verschieben unterstützt AVNM nicht
  • Zum Entfernen einer Konfiguration in jeder betroffenen Region eine leere Konfiguration deployen, Löschen allein nimmt sie nicht zurück

Lizenz & Verfügbarkeit

Abrechnung pro virtuellem Netzwerk mit aktiv deployter Konfiguration (Konnektivität, Sicherheitsadministrator oder Routing), mehrere Konfigurationen derselben Instanz auf einem VNet zählen einmal. Dieses Modell gilt seit Februar 2025 für neue Instanzen. Das alte Modell pro Subscription läuft am 6. Februar 2028 aus, verbleibende Instanzen wechseln dann automatisch. Peering-Datenverkehr wird zusätzlich berechnet. Stand: Oktober 2026.

Fazit

AVNM lohnt sich, sobald Du viele VNets über mehrere Subscriptions hinweg einheitlich verbinden und absichern musst. Für wenige Netze reichen Peering, NSGs und Routentabellen weiterhin aus.

Weiterführende Links

Verwandte Artikel