Azure GatewaySubnet einrichten: Reservieren Sie es vor dem Gateway

Öffnen Sie das virtuelle Netzwerk im Portal und sehen Sie sich den Adressraum an, bevor Sie das Subnetz-Blade anfassen. Wenn dieses /24 bereits in Workload-Subnetze aufgeteilt ist und nichts frei bleibt, gibt es keinen Platz für eine /27-Reservierung, und am Ende teilen Sie neu auf oder erweitern das VNet – eine andere Änderung mit einer anderen Prüfung. Klären Sie zuerst den Platz, dann erstellen Sie das Subnetz.

Diese Reihenfolge zählt, weil das Gateway-Subnetz kein Workload-Subnetz mit einem besonderen Namen ist. Es ist die Adressreservierung für verwaltete Gateway-Instanzen, und Azure lehnt das Gateway ab, wenn die Reservierung falsch ist.

Beginnen Sie mit dem Adressraum

Schreiben Sie das VNet-Präfix, die Workload-Subnetze und die Gateway-Reservierung in eine Zeile, bevor Sie etwas eintippen. Ein VNet auf 10.60.0.0/16 hat Platz; wählen Sie einen Bereich am Ende, damit das Wachstum der Workloads zusammenhängend bleibt.

Zum Beispiel lässt 10.60.255.192/26 64 Adressen für das Gateway übrig, während Workloads in 10.60.0.0/20 bleiben. Das ist ein Beispiel für Adressplanung, kein Größenversprechen. Microsoft verlangt derzeit /27 oder größer für Nicht-Basic-VPN-Gateways, wobei größer mehr Adressen bedeutet: Ein /26 ergibt 64, ein /28 dagegen 16. Runden Sie auf, niemals ab, solange der Adressplan noch in Bewegung ist.

Erstellen Sie das Subnetz mit dem exakten Namen

Fügen Sie im Portal ein Subnetz hinzu und geben Sie den Namen GatewaySubnet exakt ein, großes G und großes S, ohne Leerzeichen oder Suffix. Azure gleicht diese Zeichenfolge ab, daher erzeugt Gateway-Subnet oder gateway ein Subnetz, das der Gatewaydienst nicht verwendet.

Derselbe Schritt über die CLI, der sich leichter in eine Prüfung schreiben lässt:

az network vnet subnet create --resource-group rg-hub --vnet-name vnet-hub --name GatewaySubnet --address-prefixes 10.60.255.192/26

Lassen Sie das Subnetz leer. Keine VM, kein privater Endpunkt, keine Dienstdelegierung. Wenn dort bereits etwas liegt, schlägt die Bereitstellung fehl, und der Fehler nennt selten die Ressource, die im Weg ist; prüfen Sie daher vor dem Start die Ressourcenliste des Subnetzes.

Halten Sie das verwaltete Subnetz frei von Workload-Regeln

Hängen Sie keine Netzwerksicherheitsgruppe an dieses Subnetz; Microsoft kennzeichnet das als nicht unterstützt. Verknüpfen Sie keine Routentabelle, deren Standardroute 0.0.0.0/0 irgendwohin schickt, denn das kann den Gatewaybetrieb stören, und lassen Sie die Gateway-Routenverteilung aktiviert.

Setzen Sie die Zugriffsbeschränkungen, die Sie wirklich wollten, auf das Workload-Subnetz oder an eine Inspektionsgrenze. GatewaySubnet wie ein normales Subnetz zu behandeln ist der Fehler, der ein Gateway erzeugt, das sauber bereitgestellt wird und dann keinen Verkehr durchlässt.

Erzwungenes Tunneling hat sein eigenes dokumentiertes Design. Eine improvisierte Standardroute auf dem Gateway-Subnetz ist es nicht.

Prüfen Sie die Abhängigkeiten, die das Portal nicht zeigt

Bevor Sie auf Erstellen drücken, gehen Sie die Liste durch: exakter Name, Präfix innerhalb des VNet-Adressraums, keine Überschneidung mit lokalen Bereichen, keine Workload-Ressourcen darin, keine NSG und keine Routentabelle mit einer Standardroute. Jeder dieser Punkte hat eine echte Bereitstellung gebrochen. Bestätigen Sie dann das weitere Design: das lokale Netzwerkgateway für die lokale Seite, die Adressräume, die Sie routen wollen, und ob aktiv-aktiv oder Koexistenz geplant ist. Diese Entscheidungen verändern das Gespräch über die Größe, und sie jetzt zu klären ist viel billiger.

Die Azure-Referenz zu Gatewayeinstellungen ist die Seite, die man zitiert, wenn jemand fragt, warum das Subnetz keine VM aufnehmen kann.

Wenn das Gateway bereits existiert

Die Größe eines Gateway-Subnetzes zu ändern oder es zu ersetzen ist keine Maskenbearbeitung. Prüfen Sie zuerst das unterstützte Änderungsverfahren für Gateway-SKU und -Generation und listen Sie die abhängigen Objekte auf: Verbindungen, öffentliche IP-Adressen, Routing und alle Wiederherstellungsanforderungen.

Wenn das Verfahren ein Neuerstellen des Gateways verlangt, planen Sie es als Dienstmigration mit Wartungsfenster und Rollback. Halten Sie die gewählte Reservierung fest, den Grund für die Größe und die Regeln, die Sie bewusst nicht angehängt haben, damit der nächste Prüfer das leere Subnetz nicht durch eine NSG repariert.