Azure VPN Gateway GW1: Warum deine hybride Cloud-Verbindung hinkt & wie du sie fixst

💡 Warum dein Azure VPN Gateway GW1 in der Schweiz zum Flaschenhals wird

Kennst du das? Du hast dein Site-to-Site VPN von der Zürcher Filiale nach Azure West Europe (Amsterdam) am Laufen, alles grün im Portal – aber sobald das nächtliche Backup losläuft oder das Dev-Team große Docker-Images pulled, kracht die Performance in den Keller. Willkommen im Club der GW1-Leidenden. Die “Basic” SKU (intern oft noch GW1 genannt) ist nämlich seit Jahren auf max. 650 Mbit/s Durchsatz und 10 Tunnels limitiert – hardcoded, kein Weg dran vorbei. Und das in einer Zeit, wo selbst Schweizer KMU längst 10 Gbit/s Glasfaser (Swisscom, Sunrise, Init7) im Keller haben.

Das Problem: Viele Admins wählen beim ersten Setup “Basic”, weil’s im Cost Calculator am günstigsten aussieht (ca. CHF 25.–/Monat). Aber die SKU-Grenzen sind hart – kein Burst, kein Credits, keine Fair-Use-Policy. Wenn dein Traffic die 650 Mbit/s auch nur kurz küsst, droht Packet Loss, TCP-Retransmits, und deine Applikationen (SAP, Dynamics, SQL AlwaysOn) melden Timeouts. Ich hab’s letztens bei einem Kunden in Bern gesehen: Nacht-Backup von 2 TB auf Azure Blob Storage – 14 Stunden statt geplanten 3, weil der GW1-Tunnel vollgelaufen war. Die Lösung war kein Bandbreiten-Upgrade beim ISP, sondern SKU-Resize auf VpnGw1 (1,25 Gbit/s) für +CHF 120.–/Monat. Problem gelöst.

Noch was: Die Basic SKU unterstützt kein BGP und keine Active-Active-Redundanz. Heisst: Ein Gateway-Neustart (Patch, SKU-Change, Azure-Wartung) reißt alle Tunnels down. Für Produktions-Workloads in der Schweiz (Finanz, Pharma, MedTech) oft ein No-Go. Microsoft selbst empfiehlt Basic nur für “Dev/Test/Proof-of-Concept” – steht sogar in der Doku. Also: Finger weg von GW1 für alles, was Geld verdient oder Compliance braucht.

Preise ca. für West Europe Region, Stand Okt 2026, exkl. Egress-Traffic. Gen2 = Standard seit 2020, Gen1 (Basic/Standard/HighPerf) deprecated.

Was die Tabelle zeigt: Der Sprung von Basic auf VpnGw1 kostet ~CHF 120.– mehr/Monat, bringt aber 2x Bandbreite, 3x Tunnels, BGP und Active-Active. Das ist der beste ROI in ganz Azure Networking. VpnGw2/3 lohnen sich erst bei sustained >1 Gbit/s (z. B. tägliche 10 TB Backups, SQL Data Sync, VM-Replication). Für 90% der Schweizer KMU mit Filialen in Zürich, Genf, Basel, Lausanne: VpnGw1 Gen2 ist der Sweet Spot. Und: Generation 2 ist Pflicht – Gen1 SKUs (Standard, HighPerformance) sind seit 2023 im “Legacy”-Modus, keine neuen Features, langsamerer CPU, höherer Preis pro Gbit/s. Check im Portal: Gateway Generation muss “Generation 2” stehen.

😎 MaTitie SHOW TIME

Hi, ich bin MaTitie – Autor dieses Posts, Cloud-Netzwerk-Nerd und jemand, der schon mehr Azure VPN Gateways resized hat, als er zählen kann.
Ich weiss, wie nervig es ist, wenn die Leitung dichtmacht – gerade in der Schweiz, wo wir tolle Infrastruktur haben, aber Azure “nur” über Amsterdam/Paris peert. Wenn du Privatsphäre, Speed und echten Streaming-Zugang brauchst – rat nicht, test.
👉 🔐 NordVPN jetzt testen – 30 Tage risikofrei. 💥
🎁 Läuft in der Schweiz wie ein Uhrwerk, und du kriegst volles Geld zurück, falls nicht.
Kein Risiko. Kein Drama. Einfach Zugang.

Dieser Post enthält Affiliate-Links. Wenn du darüber kaufst, bekommt MaTitie eine kleine Provision.
(Danke, Bruder – Geld ist wichtig. Merci vielmal ❤️)

💡 Praxis-Tipps: So holst du das Maximum aus deinem Azure VPN in der Schweiz

Jetzt, wo du die SKU kennst – hier sind drei Dinge, die ich bei jedem Kunden in der Schweiz als Erstes checke:

1. MTU/MSS Clamping auf der On-Prem Firewall (FortiGate, Palo Alto, Sophos, Swisscom UTM):
   Azure IPsec-Tunnel default MTU 1.350 Bytes (wegen Overhead). Wenn deine On-Prem-Seite 1.500 sendet → Fragmentierung → Performance-Killer. Setz TCP MSS Clamping auf 1.300 (IPv4) / 1.280 (IPv6). Bei Swisscom Business Firewall: config system interface -> edit "wan1" -> set tcp-mss 1300. Spart Stunden Troubleshooting.

2. Traffic Selectors (Local/Remote Network) so eng wie möglich:
   Nicht 0.0.0.0/0 als Remote Network! Definiere nur die Subnets, die wirklich in Azure liegen (z. B. 10.100.0.0/16 für Hub-VNet + Spokes). Warum? Weniger Encryption Domain = weniger SPD-Einträge = schnellerer SA-Aufbau, weniger Rekey-Verhandlungen, stabilere Tunnels. Ich hab Kunden gesehen, die 0.0.0.0/0 hatten und alle 8 Stunden Rekey-Storms bekamen – nach Fix: Wochenlang stabil.

3. Monitoring: Nicht nur “Tunnel Up/Down” – schau auf Byte/Packet Counters & Retransmits:
   Nutze Azure Monitor Metrics (TunnelEgressBytes, TunnelIngressBytes, PacketDropCount) + Log Analytics Workspace mit Kusto-Query für Alerting:

   AzureDiagnostics
   | where ResourceType == "VIRTUALNETWORKGATEWAYS"
   | where TunnelAvgBandwidth > 500_000_000  // 500 Mbit/s sustained
   | summarize max(TunnelAvgBandwidth) by bin(TimeGenerated, 5m), _ResourceId
   | where max_TunnelAvgBandwidth > 600_000_000
   

   Alert an Teams/Slack: “VPN Gateway nähert sich SKU-Limit – Resize prüfen”. Kostet nix extra, rettet deinen Samstag.

Pro-Tipp für Schweizer Regulierung (FINMA, DSG, RevDSG):
Wenn du Kundendaten über das VPN schiebst (Core Banking, Patientenakten), prüf: VpnGw1+ mit Zone-Redundant Deployment (Availability Zones) in Switzerland North (Zürich) Region – seit 2024 GA. Damit bleibt der Gateway in der Schweiz, Traffic verlässt nie CH-Grenzen (außer Peering zu Azure Global). Kostet ~20% Aufpreis, aber Audit-Ready. Basic SKU kann das gar nicht.

🙋 Frequently Asked Questions

❓ Question 1: Reicht die Basic SKU (GW1) für eine kleine Filialanbindung in Zürich?

💬 Antwort 1: Für reines Management-Traffic (RDP, SSH, bisschen Dateiabgleich) ja. Sobald aber Backups, SQL-Replikation oder Teams-Medien dazukommen, stösst du an die 650 Mbit/s Deckel – und die Latenz geht durch die Decke. Lieber gleich VpnGw1 (1,25 Gbit/s) nehmen, kostet nur paar Franken mehr im Monat.

🛠️ Question 2: Kann ich von Basic auf VpnGw1 upgraden ohne die IPsec-Tunnel neu zu bauen?

💬 Antwort 2: Ja, geht per az network vnet-gateway update --gateway-type Vpn --sku VpnGw1 in-place. Der Tunnel bleibt stehen, nur das Gateway wird neu provisioniert (ca. 20–30 Min. Downtime). BGP-Peers reconnecten automatisch – teste es aber lieber im Wartungsfenster.

🧠 Question 3: Lohnt sich ExpressRoute statt VPN für Schweizer KMU mit Rechenzentrum in Zürich?

💬 Antwort 3: Wenn du < 500 Mbit/s brauchst und keine Compliance-Vorgaben (FINMA, Banken) hast: Nein, VPN ist billiger und schneller deployed. Ab 1 Gbit/s sustained oder wenn du SLA < 5 ms Latenz brauchst: ExpressRoute Local bei Equinix/Interxion Zürich evaluieren. Hybrid: VPN als Failover für ExpressRoute.

🧩 Final Thoughts…

Azure VPN Gateway Basic (GW1) ist 2026 für Produktions-Workloads in der Schweiz kaum noch vertretbar – zu wenig Bandbreite, keine HA, kein BGP, keine Zonen-Redundanz. Der Upgrade auf VpnGw1 Gen2 ist der No-Brainer: Doppelte Leistung, Enterprise-Features, ~CHF 120.–/Monat Mehrkosten. Kombiniert mit MTU/MSS-Tuning, engen Traffic Selectors und Azure Monitor Alerting hast du eine stabile, auditierbare Hybrid-Verbindung, die auch bei Swisscom 10G-Fiber nicht als Flaschenhals dient. Und falls du doch mal privat auf “gesperrte” Inhalte zugreifen musst (Research, Testing, oder einfach nur SRF/PlaySuisse aus dem Hotel-WLAN in den Ferien): NordVPN mit Schweizer Servern ist dein Freund – schnell, no-logs, 30 Tage Geld-zurück. Hier testen.

Bleib sicher, bleib schnell – und dimensioniere deine Gateways vor dem Go-Live, nicht danach. 🚀

📚 Further Reading

Hier sind 3 aktuelle Artikel, die mehr Kontext liefern – alle aus verifizierten Quellen. Schau rein 👇

🔸 Proton has launched its Black Friday VPN prices – and they might have restored my faith in this year’s deals
🗞️ Quelle: TechRadar – 📅 2026-10-26
🔗 Artikel lesen

🔸 Best Free VPN for Switzerland in 2026: Swiss Servers Compared
🗞️ Quelle: Gizmodo – 📅 2026-10-26
🔗 Artikel lesen

🔸 Windows 11 VPN Issues Persist After October Update — Here’s Microsoft’s Workaround
🗞️ Quelle: TechRepublic – 📅 2026-10-26
🔗 Artikel lesen

😅 A Quick Shameless Plug (Hope You Don’t Mind)

Let’s be honest — die meisten VPN-Review-Seiten setzen NordVPN ganz oben an – aus gutem Grund.
Bei Top3VPN ist es seit Jahren unser Favorit und zerlegt konsequent unsere Tests.

💡 Es ist schnell. Zuverlässig. Funktioniert fast überall.

Ja, es kostet etwas mehr als die Billig-Konkurrenz –
Aber wenn dir Privatsphäre, Speed und echter Streaming-Zugang wichtig sind: Das ist der Eine.

🎁 Bonus: 30 Tage Geld-zurück-Garantie.
Installieren, testen, volle Rückerstattung wenn’s passt nicht – ohne Wenn und Aber.

📌 Disclaimer

Dieser Post mischt öffentlich verfügbare Infos mit etwas KI-Unterstützung. Er dient dem Austausch und der Diskussion – nicht alle Details sind offiziell verifiziert. Bitte mit Vorsicht geniessen und bei Bedarf selbst prüfen. Wenn was komisch ist: Schuld ist die KI, nicht ich – kurz Bescheid geben, ich fix’s 😅.