Cloud VPC VNet — Architektur, Sicherheit und hybride Konnektivität
Cloud VPC VNet ist das Netzwerk‑Fundament für AWS/Azure/GCP: öffentliche/private Subnetze, Peering, Hub‑and‑Spoke, Private Link/Endpoints, Verkehrssteuerung (SG/NSG, NACL/UDR) sowie hybride Konnektivität (VPN, Direct Connect, ExpressRoute). Zusammen mit IPAM und IPv6 bleibt die Adressierung konsistent, prüfbar und skalierbar.
Warum Cloud VPC VNet wichtig ist
Grenzen und Segmentierung
Public/Private‑Zonen, Routen‑Kontrolle, Isolation von Dev/Test/Prod und klare Integrationspunkte.
Wachstum und DR vereinfachen
Wiederverwendbare VPC/VNet‑Vorlagen pro Region/Umgebung, leichteres DR und Active/Active zwischen Regionen.
Bewusster Egress
Richtig dimensionierte NAT, Endpoints und Peering reduzieren Egress‑ und Gateway‑Gebühren.
9 VPC/VNet‑Architekturmuster
Die gängigsten Layouts in AWS, Azure und GCP — mit Routing‑ und Sicherheits‑Implikationen.
1. Public/Private + NAT
Private Services über NAT Gateways; Public mit ELB/ALB/NGINX und WAF.
2. Hub‑and‑Spoke
Zentraler Hub (Firewall, NVA, TGW/VGW/ER) und isolierte Spokes pro Domäne.
3. Peering
Niedrige Latenz in Region/Konto; auf Routenlimits und Asymmetrien achten.
4. Private Link/Endpoints
Traffic zu SaaS/PaaS über private Links, ohne öffentliches Internet.
5. Transit Gateway / vWAN
Skalierbares Routing für viele VPC/VNets; getrennte Routen‑Domänen.
6. Shared VPC/VNet
Geteiltes Netz mit delegierten Subnetzen für eigenständige Projekte/Abos.
7. Applikations‑DMZ
Zwischenzone für B2B‑Integrationen und Terminierung von Inbound‑Traffic.
8. Multi‑Region
Muster pro Region replizieren; Routing‑Policies und Split‑Horizon DNS.
9. Gemanagte Services
RDS/SQL/Storage hinter privaten Endpoints; Egress via FW/NAT steuern.
Dokus: AWS VPC, Azure Virtual Network, Google Cloud VPC.
Sicherheit: SG/NSG, NACL/UDR und Firewalls
Security Groups / NSG
Stateful‑Regeln an Interfaces; Service‑Labels und Least‑Privilege‑Zugriff.
NACL / UDR
Stateless‑Listen und Routen; Pfade via NVA/Firewall erzwingen und laterale Bewegung kontrollieren.
WAF und FWaaS
L7‑Schutz (WAF) und zentrale L3–L4‑Regeln; SIEM‑Logging und Alerting.
Hybride Konnektivität und Multi‑Cloud
VPN und BGP
Site‑to‑Site mit Redundanz, BGP für dynamische Routen und schnelle Rekonvergenz.
Direct Connect / ExpressRoute / Interconnect
Private Leitungen mit vorhersagbarer Latenz; Egress‑ und Port‑Gebühren beachten.
HYB‑Segmentierung
Getrennte VRF/VNet für On‑Prem und Cloud; Pfadsteuerung durch den Hub und Inspektion.
Adressierung, IPv6 und IPAM in der Cloud
Adressplan
Präfix‑Hierarchie (z. B. Region/Umgebung/Domäne), Reservierungen und Kollisionsvermeidung für Peering/Multi‑Cloud.
- ✓Präfixe und Subnetze taggen
- ✓Drift und Konflikte kontrollieren
- ✓Rollback mit Audit‑Trail
IPv6 von Anfang an
/56–/64‑Delegationen, strikte Routen‑Kontrolle, Private Endpoints und Split‑Horizon DNS unter IPv6. IPAM hält Konsistenz und Historie.
Standards & Guides: RFC 4291 (IPv6), Terraform, Ansible.
Automatisierung und IaC für VPC/VNet
Landing Zone
VPC/VNet‑Vorlagen, Policies, Accounts/Subscriptions und Guardrails als Code.
GitOps
Pull‑Request → Validierungen (Lint/Test) → Release; vollständige Änderungshistorie und SoD‑Konformität.
Observability
Flow Logs, Metriken für Routen/NAT/Endpoints, SLO‑Alerts für Verfügbarkeit und Latenz.
Anbieter‑Dokumentation und Best Practices
- AWS VPC — Leitfaden
- Azure VNet — Überblick
- Google Cloud VPC — Dokumentation
- VNet‑Peering, VPC‑Peering
- AWS PrivateLink, Azure Private Link
Links sind dofollow, damit Rank Math sie als ausgehende Verweise auf vertrauenswürdige Quellen zählt.
FAQ — Cloud VPC VNet
Worin unterscheiden sich Security Groups und NACL/UDR?
Hub‑and‑Spoke oder vollständiges Peering?
Wie lassen sich Egress/NAT‑Kosten reduzieren?
IPv6 in der Cloud — wann lohnt es sich?
Kann man das alles automatisieren?
Pillar & Clusters — verwandte Inhalte
IP‑Adressverwaltung (IPAM‑Pillar)
IPAM als Source of Truth, Change‑Governance und Audit.
IPAM‑Automatisierung und API
OpenAPI, Webhooks, GitOps sowie Terraform/Ansible.
IPv6‑Planung und Segmentierung
Delegationen, Routing‑Policies und IPv6‑Sicherheit.
Sie entwerfen VPC/VNet über mehrere Regionen oder Clouds?
Kostenlose 20‑minütige Beratung — Sie erhalten einen Architektur‑Entwurf, eine Sicherheits‑Checkliste und Automatisierungs‑Schritte.