- Start met de officiële AZ-700-skills outline op Microsoft Learn en vertaal elk domein naar een eigen lab.
- Plan dagelijks korte hands-on oefeningen in plaats van alleen documentatie te lezen.
- Oefen scenario’s waarin routing, DNS, beveiliging en applicatielevering tegelijk meespelen.
Het AZ-700 examen, Designing and Implementing Microsoft Azure Networking Solutions, is de Microsoft-certificeringstoets voor Azure Network Engineers die netwerkinfrastructuur in Azure moeten ontwerpen, implementeren, beveiligen, bewaken en oplossen. De nadruk ligt daarom minder op losse begrippen dan op beslissingen: welke connectiviteitsoptie past bij een hybride omgeving, waar hoort inspectie plaats te vinden, en welke route of DNS-instelling verklaart een storing?
Een kandidaat die al dagelijks met Azure VNets, gateways, firewalls of load balancing werkt, kan meestal sneller naar examengerichte voorbereiding gaan. Wie vooral uit een algemene systeembeheer- of cloudbeheerrol komt, doet er goed aan eerst de basis van Azure resource management, identity, monitoring en governance te verstevigen. AZ-700 sluit direct aan op de Azure Network Engineer Associate-rol; AZ-104 past eerder bij Azure Administrator Associate en AZ-305 bij Azure Solutions Architect Expert. De meest logische volgorde hangt af van het werk: wie dagelijks subnetten, routing, VPN’s en netwerkbeveiliging beheert, kan AZ-700 vroeg plannen, terwijl wie bredere platformverantwoordelijkheid heeft vaak eerst AZ-104 gebruikt als fundament.
Wat AZ-700 echt meet
De officiële examenpagina van Microsoft Learn blijft de primaire bron voor de actuele skills outline. Die outline moet niet worden gelezen als een woordenlijst, maar als een reeks ontwerp- en implementatiebeslissingen. Een vraag over VNet-peering kan bijvoorbeeld tegelijk gaan over DNS-resolutie, route propagation, firewall inspection en het verschil tussen regionale en globale connectiviteit.
De kerngebieden draaien rond virtuele netwerken, IP-adressering, naamresolutie, hybride connectiviteit, routing, netwerkbeveiliging, application delivery en monitoring. In de praktijk overlappen die gebieden voortdurend. Een hub-spoke-architectuur is geen los onderwerp; ze raakt peering, UDR’s, Azure Firewall, Private DNS-zones, VPN of ExpressRoute, en vaak ook logging via Network Watcher of Azure Monitor.
Een bruikbare voorbereiding vertrekt daarom niet van passief lezen per hoofdstuk. Ze koppelt elk concept aan een meetbaar resultaat: een route kunnen verklaren, een DNS-query kunnen volgen, een failoverpad kunnen beschrijven, of een fout in een firewall policy kunnen herkennen. Dat is ook de manier waarop veel examenvragen zijn opgebouwd: een scenario geeft eisen rond beveiliging, latentie, kost, beheerbaarheid of beschikbaarheid, waarna één optie duidelijk beter past dan de afleiders.
Een realistisch studieplan met meetpunten
Een haalbaar AZ-700-plan combineert theorie, labs en scenarioanalyse in korte cycli. De fout die veel kandidaten maken, is dat documentatie de agenda vult en labs naar het einde verschuiven. Daardoor voelen concepten herkenbaar aan, maar ontbreekt de vaardigheid om binnen enkele minuten een probleem te lokaliseren.
Een vier- tot zesweekse aanpak werkt voor veel ervaren Azure-beheerders, zolang elke week een concreet bewijs oplevert. In de eerste fase ligt de nadruk op VNets, subnetten, NSG’s, peering en IP-planning. Aan het einde van die fase moet de kandidaat een hub-spoke-ontwerp kunnen tekenen, de noodzakelijke peerings kunnen configureren en kunnen uitleggen waarom peering op zichzelf geen transitieve routing biedt.
De tweede fase hoort hybride connectiviteit te behandelen: site-to-site VPN, point-to-site VPN, ExpressRoute en Virtual WAN. Het meetpunt is hier niet alleen “een tunnel werkt”, maar ook dat de kandidaat weet welke routes worden geadverteerd, waar BGP wel of niet nodig is, en hoe on-premises DNS naar Azure Private DNS kan doorverwijzen zonder split-brain-problemen te veroorzaken.
De derde fase richt zich op beveiliging en application delivery. Azure Firewall, Firewall Policy, Front Door, Application Gateway, Load Balancer, Private Link en DDoS-bescherming komen dan samen. De laatste fase moet bestaan uit scenario reviews en timed practice: lange vraagstammen lezen, eisen markeren, afleiders uitsluiten en na elke oefenset vastleggen welke ontwerpregel ontbrak.
Wie begeleiding wil combineren met eigen labs kan de Microsoft Azure Network Engineer-training voor AZ-700 gebruiken als gestructureerd referentiepunt. De waarde zit vooral in het ritme: theorie wordt pas nuttig wanneer ze meteen wordt gekoppeld aan configuratie, validatie en foutanalyse.
Labs die de examenstof tastbaar maken
Hands-on voorbereiding voor AZ-700 hoeft geen grote omgeving te zijn. Een beperkt abonnement met een hub-VNet, twee spoke-VNets, een test-VM of Bastion-host, een gateway-subnet en logging is voldoende om de meeste principes te oefenen. Het belangrijkste is dat de labomgeving bewust fouten bevat die later moeten worden opgelost.
Begin met VNet-peering en routing. Maak een hub en twee spokes, peer de spokes met de hub en test dat spoke-to-spoke-verkeer niet vanzelf werkt. Voeg daarna een route table toe die verkeer naar een centrale firewall of NVA stuurt. Deze oefening maakt meteen duidelijk waarom “allow forwarded traffic”, UDR-scoping en next hop-keuze zo vaak terugkomen in scenario’s.
Daarna volgt hybride connectiviteit. Een site-to-site VPN-lab kan in een oefenomgeving worden nagebootst met twee Azure VNets, twee VPN gateways en BGP, al blijft het concept hetzelfde als bij een on-premises apparaat. Point-to-site VPN is nuttig om client address pools, certificaten of Entra ID-authenticatie en split tunneling te begrijpen. ExpressRoute hoeft niet altijd volledig gebouwd te worden om examenwaarde te hebben; kandidaten moeten vooral private peering, route advertisement, gatewaykeuzes, redundantie en failover kunnen uitleggen.
Voor applicatielevering hoort de voorbereiding verder te gaan dan “welke service verdeelt verkeer”. Azure Front Door, Application Gateway en Load Balancer lossen verschillende problemen op. Front Door is logisch bij globale HTTP(S)-toegang, edge routing en WAF dichter bij gebruikers. Application Gateway past bij regionale laag-7-routing, path-based routing en WAF binnen een regio. Load Balancer is een laag-4-dienst voor TCP/UDP-verkeer, vaak dicht bij VM’s of interne services. Examenvragen verbergen dit verschil vaak in requirements zoals globale failover, TLS-terminatie, private toegang, latency of protocolniveau.
Example — hub-spoke-peering valideren met Azure CLI
Dit voorbeeld is geschikt wanneer een kandidaat wil controleren of de basis van een hub-spoke-lab correct staat voordat UDR’s, firewalling of DNS worden toegevoegd. De commands maken twee peerings tussen bestaande VNets en zetten forwarded traffic expliciet aan, omdat dat in veel centrale-inspectiescenario’s relevant is.
az network vnet peering create \
--name peer-hub-to-spoke-app \
--resource-group rg-az700-network-lab \
--vnet-name vnet-hub-weu \
--remote-vnet vnet-spoke-app-weu \
--allow-vnet-access \
--allow-forwarded-traffic
az network vnet peering create \
--name peer-spoke-app-to-hub \
--resource-group rg-az700-network-lab \
--vnet-name vnet-spoke-app-weu \
--remote-vnet vnet-hub-weu \
--allow-vnet-access \
--allow-forwarded-traffic
Na deze stap moet de kandidaat de effectieve routes op een netwerkinterface controleren en testen of de verwachte prefixes zichtbaar zijn. De leerwinst zit niet in het aanmaken van peering alleen, maar in het begrijpen dat spoke-to-spoke-connectiviteit, gateway transit en inspectie via een firewall aanvullende configuratie vereisen.
Troubleshooting zoals het examen het benadert
AZ-700-scenario’s geven vaak meer informatie dan nodig is. Een effectieve aanpak is om eerst te bepalen welk vlak faalt: naamresolutie, routekeuze, filtering, service endpoint of private endpoint, gatewayconfiguratie, of applicatielevering. Pas daarna is het zinvol om naar individuele resources te kijken.
Routingproblemen zijn een klassiek voorbeeld. Een User Defined Route kan BGP-routes overschrijven, maar alleen binnen de subnetten waaraan de route table is gekoppeld. Een NVA kan asymmetrische routing veroorzaken wanneer retourverkeer een ander pad neemt dan heenverkeer. VNet-peering voelt voor veel kandidaten als een “mesh”, maar peering is niet transitief. Een hub die twee spokes ziet, betekent niet automatisch dat de spokes elkaar zien.
DNS is minstens zo belangrijk. Bij Private Link moet de naam van de publieke service vaak naar een privé-IP in het eigen VNet resolven. Daarvoor zijn Azure Private DNS-zones en correcte zone links nodig. In hybride omgevingen komt Private DNS Resolver in beeld om on-premises queries naar Azure te forwarden en Azure workloads naar on-premises DNS te laten verwijzen. Zonder expliciet plan ontstaan snel split-brain-situaties waarbij dezelfde naam intern en extern naar verschillende endpoints wijst.
Example — effectieve routes bekijken met Azure CLI
Gebruik deze controle wanneer verkeer niet het verwachte pad volgt. De output helpt om te zien of een systeemroute, BGP-route of UDR de uiteindelijke next hop bepaalt.
az network nic show-effective-route-table \
--resource-group rg-az700-network-lab \
--name nic-vm-app-01 \
--output table
De kandidaat moet na dit command controleren welke route het meest specifiek is en welke next hop actief wordt gebruikt. Dat is precies het soort redenering dat nodig is bij vragen over firewall hairpinning, forced tunneling, ExpressRoute-advertenties of onverwachte internetuitgang.
Beveiliging, governance en kosten in netwerkvragen
Netwerkbeveiliging in Azure is niet beperkt tot NSG-regels. AZ-700 verwacht dat kandidaten begrijpen waar inspectie hoort plaats te vinden en welk beheerpatroon daarbij past. Azure Firewall Policy is bijvoorbeeld belangrijk omdat regels centraal kunnen worden beheerd en hergebruikt. Klassieke, losse firewallregels maken scenario’s vaak minder beheerbaar wanneer meerdere hubs, regio’s of teams betrokken zijn.
Ook SKU-keuzes kunnen doorslaggevend zijn. Basic-varianten lijken soms aantrekkelijk in een klein ontwerp, maar scenario’s met beschikbaarheid, schaal, zone-redundantie, private access of productievereisten sturen vaak naar Standard-opties. DDoS Network Protection moet bovendien bewust worden geplaatst en begroot; een vraag kan de kandidaat laten kiezen tussen bescherming op een hub, op spokes of op kritieke VNets afhankelijk van het governancemodel.
Bij perimeterdiensten is verwarring tussen Front Door en Application Gateway een veelvoorkomende fout. Front Door is geen regionale vervanger voor elke Application Gateway-configuratie, en Application Gateway is geen globale edge-dienst. Load Balancer hoort dan weer bij laag-4-verkeer. Wie die grenzen helder heeft, kan in examenvragen sneller afleiders uitsluiten.
Recente Azure-netwerkontwikkelingen om mee te nemen
Azure networking verandert vooral in de richting van meer policy-gedreven beheer, private connectiviteit en centraal DNS-ontwerp. Private DNS Resolver heeft het plannen van hybride naamresolutie belangrijker gemaakt, omdat organisaties minder afhankelijk willen zijn van zelfbeheerde DNS-forwarders in VM’s. In scenario’s kan dat terugkomen als een eis rond beheerbaarheid, beschikbaarheid of private endpoint-resolutie.
Firewallbeheer verschuift eveneens naar herbruikbare policies en rule collection groups. Dat heeft gevolgen voor hoe teams governance inrichten: netwerkplatformteams kunnen centrale policies beheren, terwijl applicatieteams binnen afgesproken grenzen werken. Kandidaten moeten daarom niet alleen weten hoe een regel wordt toegevoegd, maar ook waarom centraal policybeheer past bij schaal en auditbaarheid.
Microsoft wijzigt daarnaast geregeld SKU’s, mogelijkheden en aanbevolen configuraties. De veilige studiegewoonte is om vlak voor het examen de officiële Microsoft Learn-pagina voor AZ-700 en de Azure networking-documentatie opnieuw te controleren. Verouderde blogposts of screenshots kunnen nog nuttig zijn voor concepten, maar mogen niet de doorslag geven bij servicegedrag of beschikbaarheid van functies.
Voorbeeld van examengericht redeneren
Een typische vraag beschrijft een webapplicatie met gebruikers in meerdere regio’s, een eis voor WAF, TLS-terminatie en failover bij regionale storing. Een kandidaat die alleen “load balancing” herkent, kan naar Azure Load Balancer grijpen. De requirement “HTTP(S), globale toegang, WAF en failover” wijst echter eerder naar Azure Front Door. Als de vraag path-based routing binnen één regio en private backends benadrukt, komt Application Gateway sterker in beeld.
Een andere vraag kan stellen dat een VM in een spoke een private endpoint niet bereikt. Mogelijke oorzaken zijn een ontbrekende Private DNS-zone link, een UDR die verkeer naar een firewall stuurt zonder correcte regel, een NSG die uitgaand verkeer blokkeert, of een route table op het verkeerde subnet. De beste kandidaat springt niet meteen naar één dienst, maar werkt van DNS-resolutie naar routekeuze en daarna naar filtering.
Op examendag helpt het om lange scenario’s in eisen te ontleden. Compliance-eisen beperken vaak waar verkeer mag passeren. Latency-eisen sturen naar regionale of globale diensten. Beschikbaarheids- en failovereisen maken zone- of regio-ontwerp belangrijk. Wanneer twee antwoorden technisch mogelijk zijn, wint meestal de optie die het best voldoet aan alle expliciete requirements met de minste operationele complexiteit.
Bronnen en oefenmateriaal kiezen
De officiële Microsoft Learn-examenpagina en de Azure networking-documentatie vormen de basis. Ze geven de actuele scope, terminologie en servicegedrag. Aanvullende oefenvragen zijn nuttig, maar alleen wanneer de rationales worden gelezen. Een fout antwoord is pas waardevol wanneer duidelijk is welke requirement verkeerd werd geïnterpreteerd.
Labs mogen klein blijven, maar ze moeten herhaalbaar zijn. Kandidaten kunnen elke week dezelfde omgeving uitbreiden: eerst VNet en peering, daarna VPN, vervolgens firewalling, dan Private DNS en Private Link, en tot slot monitoring. Wie meerdere Microsoft-onderwerpen parallel wil oefenen, kan Readynez Unlimited Microsoft overwegen, maar de voorbereiding blijft alleen effectief wanneer elke leerweek eindigt met configuratiebewijs en scenarioanalyse.
De bredere Microsoft-trainingen kunnen nuttig zijn voor teams die AZ-700 willen plaatsen naast beheer-, architectuur- of securityrollen. Dat voorkomt dat netwerkvaardigheden geïsoleerd worden geleerd terwijl de echte omgeving afhankelijk is van identity, governance, monitoring en applicatiearchitectuur.
Een voorbereiding die standhoudt in de praktijk
AZ-700 vraagt om meer dan het herkennen van Azure-netwerkservices. De kandidaat moet kunnen verklaren waarom een architectuur werkt, waar ze faalt, en welke configuratie een requirement afdwingt. De sterkste voorbereiding bestaat daarom uit korte theorieblokken, dagelijkse mini-labs, wekelijkse scenario reviews en bewuste troubleshooting.
De praktische volgende stap is om de officiële skills outline naast de eigen labomgeving te leggen en per onderwerp één bewijsstuk te maken: een werkende configuratie, een route-output, een DNS-test, een firewall-log of een korte ontwerpnotitie. Readynez kan daarbij een gestructureerde leerroute bieden; wie wil afstemmen welke aanpak past bij een individuele kandidaat of teamplanning kan contact opnemen.
FAQ
Welke onderwerpen komen aan bod in AZ-700?
AZ-700 behandelt het ontwerpen, implementeren en beheren van Azure-netwerkoplossingen. Belangrijke thema’s zijn virtuele netwerken, IP-adressering, naamresolutie, VNet-peering, hybride connectiviteit met VPN en ExpressRoute, Azure Firewall, Front Door, Application Gateway, Load Balancer, Private Link, monitoring en troubleshooting.
Moet iemand eerst AZ-104 behalen voordat AZ-700 wordt gepland?
Dat is niet verplicht, maar het kan verstandig zijn voor wie nog weinig Azure-beheerervaring heeft. AZ-104 bouwt bredere administratorbasis op, terwijl AZ-700 dieper ingaat op netwerkarchitectuur en netwerkimplementatie. Kandidaten die al dagelijks VNets, gateways, routes en firewall policies beheren, kunnen vaak rechtstreeks naar AZ-700 werken.
Zijn hands-on labs onderdeel van het AZ-700-examen?
Het examenformaat kan wijzigen, en Microsoft is de officiële bron voor actuele details. Labs zijn vooral essentieel als voorbereiding omdat ze helpen om scenario’s sneller te begrijpen. Wie alleen definities kent, loopt vast wanneer een vraag routing, DNS en beveiliging combineert.
Welke fouten komen vaak terug bij AZ-700-voorbereiding?
Veel kandidaten onderschatten routing en DNS. Typische valkuilen zijn aannemen dat VNet-peering transitief is, Front Door verwarren met Application Gateway, UDR’s op het verkeerde subnet toepassen, BGP-routes verkeerd interpreteren en Private Link configureren zonder correcte Private DNS-resolutie.
Hoe worden oefenvragen het meest effectief gebruikt?
Oefenvragen zijn het nuttigst wanneer elke rationale wordt geanalyseerd. De kandidaat moet vastleggen welke requirement het juiste antwoord bepaalt, welke afleiders technisch mogelijk maar minder passend zijn, en welk lab nodig is om het gemiste concept te bevestigen.
