Was ist Azure Virtual Network TAP?
Azure Virtual Network TAP (Terminal Access Point) ermöglicht es, den Netzwerkverkehr virtueller Maschinen kontinuierlich an einen Network Packet Collector oder ein Analyse-Tool zu streamen. Collector und Analyse-Tool stammen von Partnern für Network Virtual Appliances; Microsoft führt eine Liste validierter Partnerlösungen.
Microsoft weist ausdrücklich darauf hin: „Virtual network TAP is now in public preview in select Azure regions.“ Der Dienst ist damit noch nicht allgemein verfügbar und unterliegt den Preview-Bedingungen. Die Konfiguration erfolgt über eine TAP-Konfiguration auf einer Netzwerkschnittstelle, die an eine virtuelle Maschine im Virtual Network angehängt ist.
Kernfunktionen
Kontinuierliches Traffic-Mirroring: Der Verkehr einer VM-Netzwerkschnittstelle wird fortlaufend an das definierte Ziel gespiegelt.
Aggregation über Subscriptions hinweg: Eine Virtual-Network-TAP-Ressource kann Verkehr aus mehreren Netzwerkschnittstellen aggregieren, auch aus unterschiedlichen Subscriptions, sofern diese demselben Microsoft-Entra-Tenant zugeordnet sind.
Hochverfügbarer Collector: Die Collector-Lösung lässt sich hinter einem Azure Internal Load Balancer betreiben.
Rollenbasierte Steuerung: Für das Anlegen und Ändern von TAP-Konfigurationen sind definierte Berechtigungen erforderlich, etwa die Rolle „Network Contributor“.
Breites Partner-Ökosystem: Validierte Lösungen aus den Bereichen Network Packet Broker, Security Analytics sowie Netzwerk- und Application-Performance-Management.
Typische Anwendungsfälle
Network Detection and Response: Sicherheitslösungen analysieren den Originalverkehr, um Angriffe und ungewöhnliches Verhalten zu erkennen.
Forensik und Incident Response: Der gespiegelte Verkehr steht für nachgelagerte Auswertungen zur Verfügung.
Performance-Analyse: Netzwerk- und Application-Performance-Management auf Basis realer Paketdaten.
Zentrale Paketverteilung: Network Packet Broker verteilen den gespiegelten Verkehr an mehrere Analysewerkzeuge.
Vorteile
- Zugriff auf den Originalverkehr virtueller Maschinen ohne Agenten auf der Quell-VM
- Aggregation mehrerer Netzwerkschnittstellen über Subscriptions desselben Tenants hinweg
- Anbindung etablierter Partnerlösungen für Security- und Performance-Analyse
- Hochverfügbarkeit des Collectors über einen internen Load Balancer
- Feingranulare Berechtigungssteuerung über Azure RBAC
Integration mit innFactory
Als Microsoft Solutions Partner unterstützt innFactory Sie bei der Bewertung und Einführung von Azure Virtual Network TAP: Prüfung der Preview-Einschränkungen, Auswahl und Dimensionierung der Collector-Lösung, Netzwerkdesign für Quell- und Zielnetze sowie Integration in bestehende Security-Prozesse.
Kontaktieren Sie uns für eine unverbindliche Beratung zu Azure Virtual Network TAP.
Typische Anwendungsfälle
Technische Spezifikationen
Häufig gestellte Fragen
Ist Azure Virtual Network TAP allgemein verfügbar?
Nein. Die Microsoft-Dokumentation weist ausdrücklich darauf hin: „Virtual network TAP is now in public preview in select Azure regions.“ Die unterstützten Regionen sind in der Dokumentation aufgeführt.
Wohin wird der gespiegelte Verkehr gesendet?
Das Ziel ist eine IP-Adresse im selben Virtual Network wie die überwachte Netzwerkschnittstelle oder in einem gepeerten Virtual Network. Der gespiegelte Verkehr kann nur an einen Load Balancer oder an eine VM-Netzwerkschnittstelle gesendet werden.
Welche Partnerlösungen werden unterstützt?
Microsoft listet unter anderem Network Packet Broker von Gigamon (GigaVUE Cloud Suite for Azure) und Keysight (CloudLens) sowie Security- und Performance-Lösungen von Darktrace, Netscout, Corelight, Vectra, Fortinet, cPacket, Trend Micro, ExtraHop, Progress, Bitdefender, eSentire, LinkShadow, AttackFence, Arista Networks und Rapid7.
Welche Berechtigungen werden benötigt?
Die verwendeten Konten müssen der Rolle „Network Contributor“ oder einer Custom Role zugewiesen sein, die die Aktionen Microsoft.Network/virtualNetworkTaps/*, Microsoft.Network/networkInterfaces/read und Microsoft.Network/tapConfigurations/* umfasst.
Gibt es Einschränkungen beim Hinzufügen von Quell-VMs?
Ja. In der Public Preview muss eine VM nach dem Anlegen der Virtual-Network-TAP-Ressource einmalig gestoppt (deallocated) und wieder gestartet werden, bevor sie als Quelle dient. Beim Hinzufügen oder Entfernen einer Quelle kann die VM bis zu 60 Sekunden Netzwerkausfall erleben, und Live Migration wird für Quell-VMs deaktiviert.
Hinweis: Alle Produktinformationen auf dieser Seite wurden sorgfältig zusammengestellt, sind jedoch ohne Gewähr und können veraltet oder unvollständig sein. Cloud-Services entwickeln sich schnell weiter — Funktionen, Preise, SLAs und Verfügbarkeit ändern sich laufend. Verbindliche und aktuelle Informationen finden Sie ausschließlich auf der offiziellen Produktseite von Azure (offizielle Dokumentation). Diese Seite stellt kein Angebot von Azure dar.
