Azure

Azure Virtual WAN

Allgemeine Infos

Azure Virtual WAN ist eine Netzwerkdienstplattform, in der Microsoft die Hubs betreibt. Ein virtueller Hub ist ein verwaltetes VNet, in dem VPN-Gateways (Site-to-Site und Point-to-Site), ExpressRoute-Gateways, Azure Firewall oder zugelassene NVAs laufen. VNets und Standorte verbinden sich mit dem Hub statt untereinander.

Es gibt zwei Typen: Basic unterstützt nur Site-to-Site-VPN. Standard bringt ExpressRoute, Point-to-Site, Transit zwischen VNets und Hubs, Azure Firewall und NVAs im Hub. Ein Upgrade von Basic auf Standard ist möglich, der Rückweg nicht. In einem Standard-WAN sind alle Hubs automatisch vollvermascht.

Abgrenzung: Klassisches Hub-and-Spoke mit VNet-Peering baust Du selbst, inklusive Routing und Gateways. Virtual WAN übernimmt das Transit-Routing, verlangt dafür aber, dass Du Dich auf die Möglichkeiten des verwalteten Hubs beschränkst. Für wenige Standorte reicht meist das selbst gebaute Hub-and-Spoke.

Funktionsweise & Details

Aufbau eines Virtual WAN:

  1. Du legst die Virtual-WAN-Ressource (Typ Standard) und pro Region einen Hub mit eigenem Adressraum an.
  2. In den Hub stellst Du die benötigten Gateways bereit und skalierst sie über Scale Units.
  3. VNets werden per Hub-VNet-Verbindung angehängt und brauchen kein eigenes Gateway.
  4. Standorte (VPN Sites) verbinden sich per Site-to-Site-VPN. Zugelassene SD-WAN-Partner automatisieren die Konfiguration der Endgeräte.
  5. Routing Intent legt fest, dass Internetverkehr und privater Verkehr (RFC1918, auch zwischen Hubs) über Azure Firewall, eine NVA oder eine SaaS-Sicherheitslösung im Hub geführt werden. Ein solcher Hub heißt gesicherter Hub (Secured Virtual Hub).

Laut Microsoft unterstützt jeder Hub-Router bis zu 50 Gbit/s Gesamtdurchsatz. Die Hub-Infrastruktureinheiten sind standardmäßig auf 2.000 VMs in verbundenen VNets ausgelegt und lassen sich erhöhen. Routing Intent ist der einzige Weg, Verkehr zwischen Hubs durch Sicherheitsgeräte im Hub zu prüfen.

Vorteile & Nutzen

  • Transit zwischen Standorten, VNets und Regionen ist eingebaut, ohne eigene Routentabellen und Peering-Ketten pflegen zu müssen.
  • Viele Standorte lassen sich mit SD-WAN-Partnern weitgehend automatisch anbinden, was Rollouts beschleunigt.
  • Gesicherte Hubs mit Routing Intent setzen eine einheitliche Prüfung des Verkehrs über die Firewall durch.
  • Skalierung erfolgt über Scale Units und Infrastruktureinheiten statt über den Umbau eigener Gateways.

Praxisbeispiel

Ein Baustoffhändler mit 45 Niederlassungen in Deutschland und Österreich hat bisher jede Filiale per eigenem VPN-Tunnel an ein Hub-VNet angebunden und Routen von Hand gepflegt. Die IT führt Azure Virtual WAN Standard mit je einem Hub in Germany West Central und Austria East ein und bindet die Filialen über die SD-WAN-Geräte des Partners an. Routing Intent leitet Internet- und Filialverkehr über Azure Firewall in beiden Hubs. Neue Filialen sind jetzt in wenigen Stunden statt Tagen angebunden, Routing-Fehler durch manuelle Pflege entfallen.

Worauf sollte man achten?

  • Kalkuliere die Kosten pro Hub, Verbindungseinheit und Scale Unit vorab, da Virtual WAN für wenige Standorte deutlich teurer sein kann als selbst gebautes Hub-and-Spoke.
  • Lege die Routing-Architektur früh fest: Das Aktivieren von Routing Intent schreibt statische Routen um, und das Entfernen stellt den alten Zustand nicht wieder her.
  • Sichere vor Änderungen an Routing Intent die Konfiguration von Gateways, Verbindungen und Routentabellen.
  • Beachte die Limits, etwa 600 direkt verbundene VNet-Adressräume pro Hub mit Routing Intent. Plane neue Hubs, bevor Du 90 Prozent erreichst.
  • Für NVAs im Hub sind nur bestimmte Hersteller zugelassen. Prüfe die Partnerliste vor der Auswahl.

Lizenz & Verfügbarkeit

Abrechnung über das Azure-Abonnement: Basic-Hubs ohne Grundgebühr, Standard-Hubs pro Stunde, dazu Verbindungseinheiten für VPN, Point-to-Site und ExpressRoute, Scale Units der Gateways, Datenverarbeitung im Hub und gegebenenfalls Azure Firewall oder NVA. Stand: Oktober 2026.

Fazit

Virtual WAN lohnt sich bei vielen Standorten, mehreren Regionen oder SD-WAN. Kleine Umgebungen fahren mit Hub-and-Spoke und Peering günstiger.

Weiterführende Links

Verwandte Artikel