Azure Private Link einfach erklärt

Fast jeder hat schon von Azure Private Link gehört, aber nur wenige können klar erklären, was dahintersteckt. Die Option taucht beim Einrichten eines Speicherkontos oder einer SQL-Datenbank auf. Doch was bewirkt sie, und braucht man sie wirklich?

Ein weit verbreiteter Irrtum lautet: Ein Dienst, der in Azure läuft, ist automatisch privat und vom Internet abgeschottet. Das stimmt nicht. Dieser Artikel erklärt, was Private Link ist, warum es existiert, wie private Endpunkte und DNS zusammenspielen und worauf Sie bei Sicherheit, Kosten und Einrichtung achten sollten.

Öffentliche Endpunkte in Azure: Das Standardproblem

Die meisten Azure-PaaS-Dienste wie Storage, SQL oder Key Vault haben standardmäßig einen öffentlichen Endpunkt. Legen Sie ein Speicherkonto an, erhalten Sie eine URL im Stil von meinspeicherkonto.blob.core.windows.net. Diese URL wird in eine öffentliche IP-Adresse aufgelöst. Jeder mit Internetzugang kann versuchen, sich zu verbinden, sofern er die richtige URL und gültige Anmeldedaten hat.

Besonders unerwartet ist der Weg des Datenverkehrs. Angenommen, eine virtuelle Maschine in Ihrem virtuellen Azure-Netzwerk liest Dateien aus dem Blob Storage. Man würde erwarten, dass der Verkehr in Azure bleibt, schließlich liegen beide Ressourcen in derselben Cloud. Tatsächlich verlässt die VM ihr virtuelles Netzwerk, geht über das öffentliche Internet und gelangt erst dann zurück zum Speicherkonto.

Das ist, als müssten Sie in einem Bürogebäude etwas aus dem Vorratsschrank holen, gehen aber zuerst nach draußen, um den Block herum und durch eine andere Tür wieder hinein. Der Verkehr ist zwar verschlüsselt, läuft aber über Router und Switches, die Sie nicht kontrollieren.

Warum „im eigenen Abonnement" nicht „privat" heißt

Viele denken, eine Ressource im eigenen Abonnement sei automatisch privat. Doch ein Abonnement ist eine Abrechnungs- und Verwaltungsgrenze, keine Netzwerkgrenze. Standardmäßig schützen Sie nur Authentifizierung, Autorisierung, Schlüssel, Passwörter und Firewall-Regeln. Der Netzwerkpfad selbst bleibt öffentlich. Genau hier setzt Private Link an.

Privater Endpunkt und DNS: So funktioniert Azure Private Link

Private Link ist der Gesamtdienst. Das Kernstück ist der private Endpunkt: eine virtuelle Netzwerkschnittstellenkarte (NIC) in Ihrem virtuellen Netzwerk, die eine Verbindung zu einem PaaS-Dienst herstellt.

Die virtuelle NIC im eigenen Subnetz

Erstellen Sie einen privaten Endpunkt für Ihr Speicherkonto, legt Azure eine virtuelle NIC mit einer privaten IP-Adresse aus Ihrem Subnetz an. Diese NIC verbindet sich im Backend über Private Link mit dem Speicherkonto. Für Ihre VM wirkt das Konto nun wie jede andere Ressource im eigenen Netzwerk. Der Verkehr trifft auf die private IP der NIC und läuft über das Microsoft-Backbone-Netzwerk, nie über das öffentliche Internet. Im Bild des Bürogebäudes gehen Sie einfach den Flur entlang direkt zum Vorratsschrank.

Wichtig: Private Link ist nicht dasselbe wie ein VPN oder ExpressRoute. Es ermöglicht den Zugriff auf einen bestimmten Dienst und verbindet nicht Ihr gesamtes Netzwerk mit Azure.

Private DNS-Zone: Wie die VM die private IP findet

Ihre VM kennt nicht die private IP, sondern nur den Namen des Speicherkontos. Damit dieser Name zur privaten IP aufgelöst wird, kommt DNS ins Spiel. Wählen Sie beim Erstellen des privaten Endpunkts die Integration in eine private DNS-Zone, legt Azure diese automatisch an. Für Blob Storage heißt sie privatelink.blob.core.windows.net. Darin steht ein A-Eintrag, der den Namen des Speicherkontos der privaten IP des Endpunkts zuordnet.

Die Auflösungskette sieht so aus:

1. Die VM fragt nach der URL des Speicherkontos.
2. DNS antwortet mit einem CNAME, der auf die privatelink-Adresse verweist.
3. Diese liegt in der privaten DNS-Zone, die mit Ihrem virtuellen Netzwerk verknüpft ist, und wird zur privaten IP aufgelöst.
4. Die VM verbindet sich mit dieser privaten IP, der Verkehr bleibt im Azure-Netz.

Die private DNS-Zone wirkt wie ein Empfangsmitarbeiter, der Besucher im Gebäude zum richtigen Flur schickt, statt sie nach draußen zu lassen.

Wie viel Aufwand das bedeutet, hängt vom Standort der VM ab:

• Im selben virtuellen Netzwerk: Die Zone ist verknüpft, die Auflösung läuft automatisch.
• In einem Peering-Netzwerk: Die Zone muss auch mit diesem Netzwerk verknüpft werden.
• Lokal über VPN oder ExpressRoute: Hier braucht es in der Regel eine DNS-Weiterleitung oder den Azure DNS Private Resolver.

Praxisbeispiel: Private Link mit Azure Blob Storage

Eine VM soll Dateien aus einem Blob-Storage-Konto abrufen, etwa weil eine Anwendung Benutzer-Uploads speichert oder ein Datenverarbeitungsjob aus einem Container liest. Ohne Private Link erhält die VM eine öffentliche IP, und der Verkehr macht den unnötigen Umweg über das Internet.

Mit Private Link stellen Sie einen privaten Endpunkt für die Blob-Ressource des Speicherkontos bereit. Azure erstellt die NIC mit privater IP und richtet die private DNS-Zone ein. Löst die VM dieselbe URL wie zuvor auf, erhält sie nun die private IP. Der Verkehr fließt vom privaten Endpunkt über das Microsoft-Backbone zum Speicherkonto.

Die Anwendung selbst ändert sich nicht. Verbindungszeichenfolgen und Konfigurationsdateien bleiben unverändert, die URL ist dieselbe. Geändert hat sich nur der Weg, den der Verkehr nimmt.

Wer den vollen Schutz will, deaktiviert zusätzlich den öffentlichen Endpunkt. Dann ist das Speicherkonto nur noch über den privaten Endpunkt erreichbar, und niemand kann von außen auch nur versuchen, sich zu verbinden.

Speicherkonten haben außerdem mehrere Unterressourcen: Blob, File, Table und Queue. Jede kann einen eigenen privaten Endpunkt bekommen, etwa einen für Blob- und einen separaten für File-Verkehr. Je nach Bedarf lässt sich auch ein einzelner Endpunkt für alle nutzen.

Private Link, VPN, ExpressRoute und Service-Endpunkte im Vergleich

Diese Optionen klingen ähnlich, lösen aber unterschiedliche Probleme und werden oft kombiniert.

• VPN: Ein verschlüsselter Tunnel verbindet Ihr lokales Netzwerk über das öffentliche Internet mit Azure. Der Tunnel ist sicher, die Straße darunter bleibt öffentlich.
• ExpressRoute: Eine dedizierte private Leitung von Ihrem Rechenzentrum zu Azure, ohne Berührung mit dem öffentlichen Internet. Allein bietet sie aber keinen privaten Zugriff auf PaaS-Dienste, denn das Speicherkonto behält seinen öffentlichen Endpunkt.
• Service-Endpunkte: Die ältere Technologie beschränkt den Zugriff auf einen Dienst auf Verkehr aus Ihrem virtuellen Netzwerk. Der Dienst behält jedoch seinen öffentlichen Endpunkt, es kommt nur eine Firewall-Regel hinzu.
• Private Link: Der Endpunkt liegt wirklich in Ihrem virtuellen Netzwerk und hat eine private IP. Es gibt keinen öffentlichen Endpunkt, den man angreifen könnte.

Als Merkhilfe: Ein VPN ist ein sicherer Tunnel durch eine öffentliche Straße. ExpressRoute ist eine Privatstraße direkt zu Azure. Service-Endpunkte sind ein Wachmann am öffentlichen Tor, der Ausweise kontrolliert. Private Link ist ein direkter Flur im Gebäude.

Um Ihr Büro mit Azure zu verbinden, kommen VPN oder ExpressRoute infrage. Für privaten Zugriff auf PaaS-Dienste ist Private Link der Goldstandard. Für höchste Sicherheit kombinieren Sie beides: ExpressRoute bringt den Verkehr privat nach Azure, Private Link ermöglicht von dort den privaten Zugriff auf die Dienste.

Eigene Anwendungen mit dem Private Link Service bereitstellen

Private Link dient nicht nur dem Zugriff auf Azure-Dienste. Mit dem Private Link Service können Sie auch eigene Anwendungen privat anbieten. Nehmen wir eine Anwendung auf virtuellen Maschinen hinter einem Standard Load Balancer, auf die Ihre Kunden zugreifen. Bisher gab es zwei Möglichkeiten: alles ins Internet stellen oder ein VPN zwischen beiden Netzwerken einrichten. Öffentliche Verfügbarkeit birgt Sicherheitsrisiken, VPNs sind aufwendig in Verwaltung und Wartung.

Mit dem Private Link Service erstellen Sie den Dienst und verknüpfen ihn mit dem Standard Load Balancer. Ihre Kunden legen in ihrem eigenen virtuellen Netzwerk einen privaten Endpunkt an, der sich direkt mit Ihrem Dienst verbindet. Es braucht kein Peering, kein VPN und keine öffentliche Exposition. Der Verkehr läuft über das Microsoft-Backbone.

Ihr Dienst erhält einen global eindeutigen Alias, den Kunden zur Verbindung nutzen. Sie steuern, wer ihn sehen darf:

• Sichtbarkeit über RBAC-Rollen oder bestimmte Abonnements einschränken
• oder jedem mit dem Alias eine Verbindungsanfrage erlauben

Jede Anfrage geht zur manuellen Genehmigung an Sie, sodass Sie immer wissen, wer sich verbindet. Für SaaS-Anbieter ist das ein großer Fortschritt: Statt Firewall-Regeln zu öffnen oder VPNs zu pflegen, geben sie dem Kunden den Alias, der Kunde stellt den privaten Endpunkt bereit, und Sie genehmigen ihn. Einschränkung: Der Dienst funktioniert nur mit Standard Load Balancern, nicht mit Basic. Wer noch einen Basic Load Balancer nutzt, muss zuerst upgraden.

Sicherheit, Compliance und Kosten von Private Link

Weniger Angriffsfläche, weniger Datenabfluss

Private Link reduziert die Angriffsfläche, weil öffentliche Endpunkte entfallen. Statt eines Speicherkontos oder einer SQL-Datenbank, die aus dem Internet erreichbar ist, haben Sie eine Ressource, die nur auf Verkehr aus Ihrem virtuellen Netzwerk reagiert. Es gibt keine öffentliche IP zum Scannen und keinen offenen Port zum Ausspähen.

Ein weiterer, oft unterschätzter Vorteil ist der Schutz vor Datenabfluss. Jeder private Endpunkt ist einer bestimmten Ressourceninstanz zugeordnet, nicht dem gesamten Dienst und nicht jedem Speicherkonto im Abonnement. Wird eine Arbeitslast in Ihrem Netzwerk kompromittiert, kann der Angreifer diesen Endpunkt nicht nutzen, um andere Speicherkonten zu erreichen.

Compliance

Vorschriften wie HIPAA, DSGVO und PCI verlangen häufig, dass sensible Daten nicht über öffentliche Netzwerke übertragen werden. Private Link bietet dafür einen sauberen Nachweis: Der Verkehr bleibt im Microsoft-Backbone, und die Auditlogs belegen es. In regulierten Branchen kann das allein die Investition rechtfertigen.

Kosten

Private Link ist nicht kostenlos. Es fällt eine stündliche Gebühr pro privatem Endpunkt an, dazu kommen Gebühren für die Datenverarbeitung. Je nach Nutzung kann das zwei- bis dreimal teurer sein als ein öffentlicher Endpunkt mit Firewall-Regeln, vor allem bei vielen Endpunkten.

Daher ist Private Link nicht immer die richtige Wahl:

• In Entwicklungs- und Testumgebungen ohne sensible Daten reichen öffentliche Endpunkte mit passenden Firewall-Regeln wahrscheinlich aus.
• Bei einer öffentlichen Website, die aus dem Internet erreichbar sein soll, hilft Private Link nicht weiter.
• Für Produktionsumgebungen in regulierten Branchen wie Finanzen, Gesundheitswesen oder Behörden ist es erforderlich.

Häufige Fehler und Stolpersteine bei der Einrichtung

Öffentlichen Zugriff nicht deaktiviert

Der größte Fehler: Der private Endpunkt wird erstellt, und man hält die Sache für erledigt. Der öffentliche Endpunkt bleibt jedoch standardmäßig aktiv, und der Verkehr kann weiter übers Internet fließen. Sie müssen den öffentlichen Netzwerkzugriff in den Netzwerkeinstellungen ausdrücklich ausschalten. Ohne diesen Schritt ist praktisch nichts abgesichert.

DNS für On-Premises-Clients

Geräte im Büro, die über VPN oder ExpressRoute verbunden sind, lösen die IP des privaten Endpunkts nicht automatisch auf. Die private DNS-Zone ist mit dem virtuellen Azure-Netzwerk verknüpft, nicht mit lokalen DNS-Servern. Nötig sind eine DNS-Weiterleitung oder der Azure DNS Private Resolver. Wird das übersehen, wundert man sich, warum lokale Anwendungen keine Verbindung bekommen.

Die Region des Endpunkts

Der private Endpunkt muss in derselben Region liegen wie das virtuelle Netzwerk. Der PaaS-Dienst selbst darf in einer anderen Region sein, der Endpunkt nicht. Planen Sie das von Anfang an ein.

Netzwerksicherheitsgruppen

Die virtuelle NIC des privaten Endpunkts liegt in Ihrem Subnetz und unterliegt denselben NSG-Regeln wie alles andere dort. Blockieren Sie den Verkehr zum Subnetz der NIC, funktioniert der Endpunkt nicht. Prüfen Sie, dass Ihre NSG-Regeln den Verkehr zulassen.

Praktische Takeaways

• Azure-PaaS-Dienste wie Storage, SQL und Key Vault haben standardmäßig einen öffentlichen Endpunkt, auch wenn alles im eigenen Abonnement liegt.
• Ein privater Endpunkt ist eine virtuelle NIC mit privater IP in Ihrem Subnetz, über die der Verkehr das Microsoft-Backbone nutzt.
• Binden Sie den privaten Endpunkt in eine private DNS-Zone ein, damit die bekannte URL zur privaten IP aufgelöst wird. Anwendungen müssen dafür nicht angepasst werden.
• Deaktivieren Sie nach dem Anlegen des Endpunkts den öffentlichen Netzwerkzugriff ausdrücklich.
• Planen Sie für lokale Clients eine DNS-Weiterleitung oder den Azure DNS Private Resolver ein.
• Der Endpunkt gehört in dieselbe Region wie das virtuelle Netzwerk, und die NSG-Regeln müssen den Verkehr zulassen.
• Private Link ergänzt VPN und ExpressRoute, ersetzt sie aber nicht. Für maximale Sicherheit kombinieren Sie ExpressRoute mit Private Link.
• Rechnen Sie mit höheren Kosten durch Stundengebühr und Datenverarbeitung, und setzen Sie Private Link dort ein, wo Schutzbedarf oder Compliance es verlangen.
• Für eigene Dienste brauchen Sie den Private Link Service mit einem Standard Load Balancer.

Fazit

Azure Private Link holt den Verkehr zu Ihren PaaS-Diensten aus dem öffentlichen Internet und führt ihn über private IP-Adressen und das Microsoft-Backbone. Dazu gehören ein privater Endpunkt, eine sauber eingerichtete private DNS-Zone und das konsequente Abschalten des öffentlichen Zugriffs. Das reduziert die Angriffsfläche, begrenzt das Risiko von Datenabfluss und erleichtert den Compliance-Nachweis. Dem stehen zusätzliche Kosten und etwas Planungsaufwand bei DNS, Region und NSGs gegenüber. Für Produktionsumgebungen mit sensiblen Daten, vor allem in regulierten Branchen, lohnt sich dieser Aufwand. Für einfache Test- oder öffentliche Szenarien genügen oft öffentliche Endpunkte mit Firewall-Regeln.