Het AZ-700-examen is een scenario-gericht examen voor Azure-networking, niet slechts een toets in het onthouden van Azure-netwerkservices. Het beoordeelt of iemand ontwerpkeuzes, routering, beveiliging en operationele gevolgen in praktijksituaties kan afwegen.
Gepubliceerd: 2026. Laatst bijgewerkt: 2026.
AZ-700, Designing and Implementing Microsoft Azure Networking Solutions, is het Microsoft-examen voor professionals die Azure-netwerken ontwerpen, implementeren en beheren. Het past bij Azure Network Engineers, Azure-beheerders met een netwerkfocus en architecten-in-opleiding die al begrijpen hoe virtuele netwerken, IP-adressering, DNS, firewalls, gateways en load balancing in cloudomgevingen samenwerken.
De voorbereiding vraagt daarom om meer dan een lijst met services. Een kandidaat moet kunnen uitleggen waarom een hub-spoke-ontwerp geschikt is, wanneer ExpressRoute meer voor de hand ligt dan een VPN, hoe Azure Firewall verschilt van een Network Security Group en waarom VNet-peering geen transitieve routering biedt. Microsoft Learn blijft de primaire bron voor actuele examendoelen en productdetails; de waarde van een studieplan zit in het omzetten van die doelen naar realistische ontwerp- en troubleshooting-scenario’s.
Wat AZ-700 daadwerkelijk toetst
Het examen richt zich op Azure-netwerkontwerp en -implementatie, niet op algemene netwerkkennis alleen. Basiskennis van subnetting, DNS, routing en beveiliging blijft noodzakelijk, maar de vragen plaatsen die kennis meestal in Azure-context: welke service past bij de eis, welke configuratie ontbreekt, of welke route krijgt de voorkeur bij hybride connectiviteit.
Microsoft beschrijft de examendomeinen op Microsoft Learn, waaronder kernnetwerkinfrastructuur, hybride connectiviteit, application delivery, private access, monitoring en beveiliging. Die indeling is belangrijk, omdat scenario’s zelden één onderwerp isoleren. Een vraag over een applicatie kan tegelijk gaan over Private Endpoint, DNS-resolutie, NSG-regels, Azure Firewall en het pad dat verkeer door een hub-netwerk volgt.
Het actuele examformat bestaat doorgaans uit vraagtypen zoals meerkeuzevragen, meerdere juiste antwoorden, case studies, drag-and-drop en hot area-vragen. Kandidaten moeten geen live hands-on labs in het examen verwachten. De praktijkervaring is wel essentieel, omdat scenario’s vaak zijn geschreven alsof iemand een echte omgeving analyseert: een route werkt niet, een gateway is verkeerd gekozen, of een beveiligingsservice dekt een ander niveau van het OSI-model dan de vraag vereist.
De kern: virtuele netwerken, IP-adressering en DNS
Virtuele netwerken vormen de basis van vrijwel elk AZ-700-scenario. Een kandidaat moet subnets kunnen ontwerpen zonder overlap, service-integratie begrijpen en weten hoe netwerksegmentatie later invloed heeft op routing, beveiliging en private connectivity. Een te krap CIDR-plan is in de praktijk lastig te herstellen en in examenvragen vaak de oorzaak van onnodig complexe oplossingen.
IP-adressering wordt niet alleen getoetst als rekenvaardigheid. Het examen verwacht dat kandidaten herkennen wanneer adresruimtes overlappen tussen on-premises netwerken en VNets, wanneer subnetdelegatie nodig is en waarom bepaalde Azure-services eigen subnetvereisten hebben. IPv4 blijft dominant in veel scenario’s, maar kennis van IPv6-concepten helpt bij het interpreteren van moderne netwerkontwerpen.
DNS-resolutie verdient bijzondere aandacht. Azure Private DNS zones, custom DNS servers, conditional forwarding en Private Endpoints komen vaak samen in vragen over private toegang tot PaaS-diensten. Verouderde naamresolutieconcepten zijn hierbij niet de focus; het gaat vooral om consistente resolutie tussen VNets, gekoppelde private zones en hybride omgevingen.
VNet-connectiviteit: peering is geen transitief netwerk
VNet-peering maakt directe communicatie tussen twee virtuele netwerken mogelijk, maar peering is niet transitief. Als VNet A met een hub is gekoppeld en VNet B ook met die hub is gekoppeld, betekent dit niet automatisch dat A en B via de hub met elkaar communiceren. Daarvoor is een expliciet ontwerp nodig, bijvoorbeeld met user-defined routes, Azure Firewall, een netwerkvirtual appliance of Azure Virtual WAN.
Deze nuance is een veelvoorkomende examenvalluil. Een antwoordoptie die alleen extra peerings toevoegt, lijkt soms aantrekkelijk, maar lost transitieve routering niet op als het scenario centraal verkeer door een inspectiepunt vereist. Bij hub-spoke-architecturen moet de kandidaat steeds bepalen of de vraag directe workloadcommunicatie, gecentraliseerde inspectie, gedeelde services of hybride doorvoer beschrijft.
Een eenvoudig mentaal model helpt: een spoke praat via peering met de hub; de hub kan gedeelde services bevatten; verkeer tussen spokes moet bewust via routes en een geschikt transitmechanisme worden gestuurd. In productie is dat ontwerp ook operationeel relevant, omdat logging, firewallregels en routebeheer anders verspreid raken over losse peerings.
Hybride connectiviteit: VPN, ExpressRoute of Virtual WAN
AZ-700 toetst hybride connectiviteit vaak via keuzevragen. Site-to-Site VPN is meestal passend wanneer organisaties versleutelde verbindingen via internet nodig hebben, beperkte of variabele bandbreedte accepteren en relatief snel locaties willen koppelen. Een belangrijk detail: Site-to-Site VPN gebruikt IPsec/IKE, waaronder IKEv2; SSTP hoort bij Point-to-Site VPN en mag niet als Site-to-Site-protocol worden gelezen.
Point-to-Site VPN is gericht op individuele clients die veilig met een VNet verbinden. Het scenario gaat dan meestal over beheerders, ontwikkelaars of externe gebruikers, niet over permanente netwerk-naar-netwerkconnectiviteit. Let daarbij op certificaat- of Microsoft Entra ID-gebaseerde authenticatie, clientadresgroepen en DNS-resolutie voor resources achter private endpoints.
ExpressRoute past beter bij private, voorspelbare connectiviteit tussen een datacenter, colocatie of provideromgeving en Azure. De examenvraag zal dan vaak verwijzen naar eisen rond latentie, betrouwbaarheid, private bereikbaarheid, dataverkeer buiten het openbare internet of integratie met bestaande WAN-contracten. ExpressRoute is geen automatische vervanging voor elke VPN; kosten, provisioning, routing en operationeel beheer moeten bij de eis passen.
Azure Virtual WAN wordt relevant wanneer meerdere locaties, hubs, verbindingstypen en routingdomeinen centraal beheerd moeten worden. Het is vooral belangrijk dat kandidaten begrijpen wanneer Virtual WAN een hub-architectuur vereenvoudigt en wanneer een klassiek hub-spoke-ontwerp voldoende is. Verdere verdieping in keuzecriteria rond hybride connectiviteit staat in Azure Virtual WAN in de praktijk en ExpressRoute versus VPN.
Beveiliging: NSG, Azure Firewall, Front Door en DDoS niet verwarren
Veel foutieve antwoorden ontstaan doordat beveiligingsservices op hetzelfde hoopje worden gelegd. Een Network Security Group filtert verkeer op subnet- of netwerkinterface-niveau met regels op basis van bron, bestemming, poort en protocol. Azure Firewall is een centraal beheerde firewallservice met netwerk- en applicatieregels, threat intelligence-integratie, DNAT en SNAT-scenario’s, en logging die beter past bij gecentraliseerde inspectie.
Azure Front Door werkt op de applicatielaag voor wereldwijde webapplicaties en kan Web Application Firewall-functionaliteit bieden voor HTTP- en HTTPS-verkeer. Bescherming tegen volumetrische DDoS-aanvallen op netwerklaag hoort bij Azure DDoS Protection, niet bij Front Door als algemene L3/L4-oplossing. Examenvragen gebruiken deze verwarring regelmatig door termen als WAF, DDoS, load balancing en firewall in één scenario te mengen.
Een praktische manier om antwoordopties te beoordelen is door eerst de laag en het verkeerspad te bepalen. Gaat het om subnettoegang, dan ligt NSG voor de hand. Gaat het om gecentraliseerde inspectie of egress-controle, dan kan Azure Firewall passend zijn. Gaat het om een publieke webapplicatie met WAF-eisen, dan komt Front Door of Application Gateway in beeld, afhankelijk van het scenario en de gewenste architectuur.
Application delivery en load balancing
Application delivery in Azure bestaat uit meerdere services met overlappende woorden maar verschillende doelen. Azure Load Balancer werkt op laag 4 en verdeelt TCP- en UDP-verkeer. Application Gateway werkt op laag 7 en is geschikt voor HTTP(S)-routing, TLS-beëindiging en WAF-scenario’s. Azure Front Door is een globale entry point-service voor webapplicaties, met routing en beveiligingsmogelijkheden aan de rand van het Microsoft-netwerk.
AZ-700-vragen vragen meestal niet simpelweg welke service “load balancing” biedt. Ze beschrijven bijvoorbeeld wereldwijde gebruikers, path-based routing, private backendpools, inbound NAT-regels, TLS-eisen, failover of health probes. Het verschil tussen SNAT en DNAT is daarbij belangrijk: DNAT publiceert inbound verkeer naar een interne resource, terwijl SNAT bronadressen wijzigt voor uitgaand verkeer of retourpaden in specifieke ontwerpen.
Load Balancer-scenario’s bevatten vaak details over SKU’s, frontend-IP-configuraties, backendpools, health probes en outbound connectivity. Kandidaten die alleen de servicebeschrijving kennen, missen vaak de vraag achter de vraag: welk verkeer moet waarheen, welke laag wordt gebruikt, en waar vindt bron- of bestemmingsvertaling plaats?
Monitoring en troubleshooting: oefenen met bewijs
Netwerkproblemen in Azure zijn zelden op te lossen door alleen naar één configuratiescherm te kijken. Network Watcher, connection troubleshoot, IP flow verify, effective routes, NSG flow logs en Azure Monitor helpen om te bewijzen welk pad verkeer neemt en welke regel of route effect heeft. Voor het examen is dit belangrijk omdat veel scenario’s draaien om uitsluiten: ligt het probleem bij DNS, routing, NSG, firewall, gateway of de applicatie zelf?
Hands-on oefenen moet kostenbewust gebeuren. VPN gateways, ExpressRoute-gerelateerde configuraties en Virtual WAN-resources kunnen doorlopende kosten veroorzaken zodra ze actief zijn. Een veilige oefenaanpak is werken met tijdelijke resourcegroepen, deployment via Bicep of ARM-templates, korte testsessies en directe cleanup zodra het scenario is gevalideerd.
Een goede labroutine begint met een klein doel: bijvoorbeeld twee VNets koppelen, effectieve routes bekijken, daarna bewust een NSG-regel blokkeren en met IP flow verify bevestigen waarom verkeer faalt. Daarna kan hetzelfde scenario worden uitgebreid met een hub, Azure Firewall of een VPN Gateway. Door telkens eerst een verwachte uitkomst te formuleren en die daarna met Network Watcher te valideren, ontstaat de redeneervaardigheid die examenvragen vragen.
Een studieplan dat bij AZ-700 past
Een sterke voorbereiding begint met het vergelijken van de officiële exam skills op Microsoft Learn met de eigen praktijkervaring. Kandidaten met een achtergrond als netwerkbeheerder hebben vaak minder moeite met routing en IP-adressering, maar moeten wennen aan Azure-specifieke services zoals Private Link, Azure Firewall Policy, Virtual WAN en Application Gateway. Azure-beheerders kennen de portal vaak goed, maar onderschatten soms BGP, routepreferentie en hybride connectiviteit.
Daarna is het verstandig om per domein een klein lab of scenario te bouwen. Voor kernnetwerken kan dat een hub-spoke-ontwerp zijn. Voor beveiliging kan het gaan om een vergelijking tussen NSG-regels en firewallregels. Voor hybride connectiviteit kan een kandidaat de configuratiestappen van een VPN Gateway oefenen en vervolgens documenteren welke routes zichtbaar worden. Een gestructureerde AZ-700 Azure Network Engineer-training kan hierbij helpen wanneer iemand begeleiding, examengerichte uitleg en oefenvragen wil combineren.
Oefenexamens zijn nuttig, maar alleen wanneer foute antwoorden worden geanalyseerd. Het is minder waardevol om dezelfde vragen te herhalen dan om te noteren waarom een alternatief onjuist was. Veel kandidaten ontdekken dan patronen: peering verkeerd geïnterpreteerd, Front Door verward met DDoS Protection, of een laag 4-service gekozen voor een laag 7-eis.
Hoe examenvragen gelezen moeten worden
Case studies en lange scenario’s bevatten vaak meer informatie dan nodig is. De kunst is om eerst harde eisen te markeren: privéverbinding, publieke webapplicatie, gecentraliseerde inspectie, laagste operationele complexiteit, bestaande BGP-configuratie, of toegang vanaf individuele clients. Daarna kan de kandidaat antwoordopties schrappen die een eis negeren, ook als de service op zichzelf technisch bruikbaar lijkt.
Bij BGP-scenario’s draait het vaak om routepreferentie, advertised routes en de vraag welk pad Azure of on-premises apparatuur kiest. AS path en local preference kunnen relevant zijn in hybride ontwerpen, terwijl user-defined routes binnen Azure bepalen hoe verkeer naar een next hop wordt gestuurd. Bij Microsoft-examens helpt een vaste vraagtechniek; aanvullende strategieën staan in de gids voor tijdmanagement en vraagtechnieken.
Een goede controlevraag bij elke netwerkcase is: waar ontstaat het verkeer, welke route kiest het, welke beveiligingscontrole passeert het, en waar wordt het antwoordverkeer verwacht? Deze volgorde voorkomt dat een kandidaat een beveiligingsprobleem oplost met een routingservice, of een DNS-probleem met extra firewallregels.
Voor wie AZ-700 geschikt is
AZ-700 is vooral geschikt voor professionals die al met Azure-infrastructuur werken of die hun rol willen verdiepen richting netwerkontwerp. Een Azure Administrator met ervaring in VNets, NSG’s en private endpoints kan het examen gebruiken om zich sterker te positioneren op hybride connectiviteit en netwerkbeveiliging. Een traditionele netwerkengineer moet vooral investeren in Azure-specifieke implementatiepatronen en servicegrenzen.
Het examen is minder geschikt als eerste kennismaking met Azure. Kandidaten die nog niet vertrouwd zijn met resourcegroepen, identity, basale governance en de Azure-portal zullen veel tijd verliezen aan context. In dat geval is het praktischer om eerst Azure-fundamenten en beheerervaring op te bouwen, en daarna AZ-700 te benaderen als specialisatie.
De voorbereiding afronden
Slagen voor AZ-700 vraagt om nauwkeurigheid in details en volwassenheid in ontwerpkeuzes. De belangrijkste correcties zijn helder: Site-to-Site VPN gebruikt IPsec/IKE en niet SSTP; Front Door is geen algemene L3/L4-DDoS-oplossing; VNet-peering is niet transitief; en NSG, Azure Firewall, Application Gateway, Front Door en DDoS Protection lossen verschillende problemen op.
De meest effectieve volgende stap is een kort, herhaalbaar studieproces: controleer de actuele Microsoft Learn-examendoelen, bouw kleine labs, valideer netwerkgedrag met Network Watcher, verwijder kostbare resources na gebruik en analyseer oefenvragen op redeneerfouten. Wie meerdere Microsoft-certificeringen wil combineren, kan ook kijken naar Microsoft-trainingen of Unlimited Microsoft Training van Readynez. Voor vragen over een passend traject is contact opnemen een praktische vervolgstap.
FAQ
Wat zijn de belangrijkste onderwerpen in AZ-700?
AZ-700 behandelt onder meer virtuele netwerken, IP-adressering, DNS, VNet-connectiviteit, hybride connectiviteit, Azure Firewall, Network Security Groups, Private Link, load balancing, application delivery, monitoring en troubleshooting. De onderwerpen worden meestal in scenario’s getoetst, waardoor ontwerpkeuzes belangrijker zijn dan losse definities.
Welk vraagtype kan een kandidaat verwachten?
Het examen bevat doorgaans meerkeuzevragen, vragen met meerdere juiste antwoorden, case studies, drag-and-drop en hot area-vragen. Kandidaten moeten geen live hands-on labs verwachten, maar praktische ervaring blijft belangrijk om scenario’s goed te kunnen interpreteren.
Hoe kan iemand het beste oefenen zonder onnodige Azure-kosten?
Gebruik tijdelijke resourcegroepen, kleine labscenario’s en deployment-scripts zodat resources snel opnieuw kunnen worden opgebouwd en verwijderd. Let vooral op gateways, Virtual WAN en andere services die kosten kunnen blijven maken zolang ze actief zijn. Controleer na elke oefensessie of alle resources zijn verwijderd.
Wat is een veelgemaakte fout bij Site-to-Site VPN-vragen?
Een veelgemaakte fout is SSTP koppelen aan Site-to-Site VPN. In Azure gebruikt Site-to-Site VPN IPsec/IKE, waaronder IKEv2. SSTP hoort bij Point-to-Site VPN-scenario’s voor clientverbindingen.
Is AZ-700 geschikt voor iemand zonder Azure-ervaring?
AZ-700 is meestal te specialistisch als eerste Azure-examen. Basiservaring met Azure-resources, virtuele netwerken, identity en beheer maakt de voorbereiding aanzienlijk zinvoller. Zonder die basis moet een kandidaat eerst veel platformcontext opbouwen voordat de netwerkonderwerpen goed landen.
