Azure Virtual Networks (VNets) nach März 2026 ohne Default Outbound Access

Bei Microsoft Azure werden neu erstellte Azure Virtual Networks (VNets) ab dem 31. März 2026 standardmäßig keinen aktivierten ausgehenden Internetzugang mehr erhalten.

Das Thema ist bereits zum 11. Februar 2026 im Techcommunity-Artikel Azure Default Outbound Access Changes: Guidance for Windows 365 ANC Customers aufgetaucht und mir über nachfolgenden Tweet untergekommen.

Als Default Outbound Access (DOA) wird das bisherige Verhalten von Azure beschrieben, das es allen Ressourcen in einem virtuellen Netzwerk ermöglichte, auf das öffentliche Internet zuzugreifen, ohne einen bestimmten Internet-Ausgangspfad konfigurieren zu müssen. Dadurch konnten Telemetrie, Windows-Aktivierung und Dienstabhängigkeiten externe Endpunkte erreichen, auch wenn keine explizite Methode für die ausgehende Konnektivität konfiguriert war.

Nach dem 31. März 2026 wird Azure DOA für neue virtuelle Netzwerke standardmäßig nicht mehr aktivieren. Stattdessen wird das VNet für die Option "Privates Subnetz" konfiguriert. So können Administratoren Subnetze ohne Internetzugang für eine verbesserte Isolierung und Compliance festlegen. Diese Änderungen sollen laut Microsoft eine bewusstere, sicherere Netzwerkkonfigurationen fördern. Gleichzeitig bieten diese Änderungen Flexibilität für unterschiedliche Workload-Anforderungen.

Durch Deaktivieren der Option "Privates Subnetz" können Administratoren die DOA-Funktionen für das VNet wiederherstellen. Microsoft empfiehlt jedoch dringend stattdessen die Verwendung von Azure NAT Gateway.

Was heißt das?

Bei Bereitstellungen von Windows 365 Azure Network Connection (ANC), die virtuelle Netzwerke verwenden, werden neue VNets nach dem 31. März 2026 beim Erstellen standardmäßig auf private Subnetze eingestellt. Der ausgehende Internetzugang muss für das VNet explizit konfiguriert werden, da sonst die Bereitstellung von Cloud-PCs fehlschlägt. Bestehende virtuelle Netzwerke sind davon nicht betroffen und verwenden weiterhin ihre aktuelle Internetzugangskonfiguration.

Bei Bereitstellungen in einem von Microsoft gehosteten Netzwerk für Windows 365 wird die zugrunde liegende Konnektivität in Azure vollständig für den Administrator bereitgestellt und verwaltet. Weitere Details lassen sich bei Bedarf im Techcommunity-Artikel nachlesen.