Azure-nätverksingenjör: praktisk guide till AZ-700

Azure-nätverk omfattar anslutning, segmentering och privat åtkomst för arbetslaster i Azure, och området blir allt viktigare när fler organisationer flyttar workloads till Azure och hybridmiljöer blir norm.

AZ-700, Designing and Implementing Microsoft Azure Networking Solutions, är provet för den som vill visa praktisk kompetens inom Azure-nätverk. Det handlar om att kunna designa, implementera och felsöka lösningar för hybridanslutning, kärnnätverk, routing, säkerhet, övervakning och privat åtkomst till Azure-tjänster.

Granskad och uppdaterad: juli 2026. Microsoft kan ändra provets färdighetsområden, frågetyper och bokningsvillkor över tid, så den officiella examenssidan bör alltid kontrolleras före bokning: Microsofts sida för Azure Network Engineer Associate.

Vad AZ-700 egentligen testar

AZ-700 är inte ett allmänt Azure-prov. Det är riktat mot nätverksrollen och kräver att kandidaten kan koppla tekniska val till arkitekturkrav. En fråga kan handla om att välja mellan VPN Gateway och ExpressRoute, men den verkliga bedömningen ligger ofta i varför valet passar krav på latens, tillgänglighet, rutning, segmentering och driftsbarhet.

Provets områden rör i huvudsak hybridnätverk, Azure Virtual Network, IP-adressering, namnupplösning, routing, lastbalansering, nätverkssäkerhet, övervakning och privat åtkomst till plattformstjänster. En kandidat behöver därför vara bekväm med både designbeslut och konkret konfiguration. Det räcker sällan att känna igen tjänstnamn; scenariobaserade frågor kräver att kandidaten förstår hur tjänsterna beter sig tillsammans.

En vanlig fallgrop är att studera varje tjänst isolerat. I verkliga Azure-nätverk uppstår problemen ofta i gränsytorna: överlappande adressutrymmen mellan lokalt nät och VNet, UDR-regler som konkurrerar med BGP-propagerade rutter, eller Private Endpoint-lösningar där DNS-upplösningen pekar mot fel mål. Den som bygger labbar kring dessa samband får en tydligare förståelse än den som enbart läser tjänstedokumentation.

Hybridanslutning: VPN Gateway, ExpressRoute eller Virtual WAN

Hybridnätverk är ett av de områden där AZ-700 snabbt skiljer mellan ytlig och praktisk kunskap. VPN Gateway passar ofta när organisationen behöver krypterad anslutning över internet, exempelvis för mindre filialer, testmiljöer eller när anslutningen ska etableras snabbt. Punkt-till-plats-VPN är särskilt relevant för administratörer och utvecklare som behöver säker åtkomst utan att hela kontorsnätet kopplas in.

ExpressRoute blir mer relevant när organisationen kräver privat anslutning, förutsägbar prestanda och tydligare separation från publikt internet. Det kan gälla datacenterintegration, verksamhetskritiska system eller miljöer där nätverksvägen måste vara stabil och kontrollerad. För provet är det viktigt att förstå peering, routingannonsering, redundans och hur ExpressRoute samverkar med lokala nät och Azure-regioner.

Virtual WAN kommer in när skalan och styrningen blir viktigare än en enskild tunnel eller krets. Det är ofta aktuellt vid många filialer, flera regioner, centraliserad säkerhet och behov av en mer sammanhållen kontrollplan för hubbar, anslutningar och rutter. Beslutet bör inte bygga på tjänstens namn, utan på kraven: SLA och latens, antal platser, segmentering, BGP-kontroll, policyhantering och observability.

Det är också här många praktiska fel börjar. Om en organisation annonserar för breda prefix via BGP kan trafik ta oväntade vägar. Om en UDR skickar all trafik till en brandvägg kan den bryta önskad systemrouting om undantag saknas. Om lokala adressutrymmen överlappar med Azure-VNet går peering och hybridrutning från designproblem till blockerande hinder. Den typen av detaljer återkommer ofta i både drift och provscenarier.

Kärnnätverk i Azure: VNet, subnät, peering och DNS

Azure Virtual Network är grunden för de flesta AZ-700-frågor. Kandidaten behöver kunna planera adressutrymmen, dela upp subnät efter funktion, använda VNet-peering korrekt och förstå skillnaden mellan systemrutter, egna rutttabeller och rutter från gateway. En stabil VNet-design börjar med IP-planering, eftersom adresskonflikter är svåra att reparera när många arbetslaster redan är driftsatta.

Hub-spoke är ett vanligt mönster eftersom det separerar delade nätverkstjänster från arbetslastnät. Hubben kan innehålla VPN Gateway, ExpressRoute Gateway, Azure Firewall, DNS-resolvers eller andra centrala komponenter, medan spoke-nät isolerar applikationer, miljöer eller affärsområden. På provet är det viktigt att förstå när gateway transit används, när peering behöver tillåta vidarebefordrad trafik och hur rutttabeller styr trafik via en central säkerhetspunkt.

DNS förtjänar mer studietid än många ger det. Private Endpoint använder privata IP-adresser i ett VNet, men klienter måste också slå upp rätt privat namn. Om privat DNS-zon saknas, inte är länkad till rätt VNet eller krockar med lokal DNS, kan anslutningen misslyckas trots att nätverket i övrigt ser korrekt ut. Den som kan förklara sambandet mellan Private Endpoint, privat DNS-zon och hybrid namnupplösning står bättre rustad för både AZ-700 och produktion.

När en kandidat vill gå från egenstudier till strukturerad träning kan en lärarledd AZ-700-kurs hos Readynez vara ett sätt att få provområden, labbar och repetition samlade i ett tydligare format. Det bör ses som ett komplement till praktisk labbning, inte som ersättning för egen konfiguration och felsökning.

Tre mini-labbar som gör teorin användbar

En effektiv AZ-700-labb behöver inte vara stor, men den bör vara realistisk. Målet är att bygga samma beroenden som förekommer i verkliga miljöer: hub-spoke, centraliserad kontroll, privat åtkomst, punkt-till-plats-anslutning och felsökning av trafikflöden. Använd gärna Bicep eller Terraform så att miljön kan återskapas, ändras och rivas utan manuell osäkerhet.

• Bygg ett hub-spoke-nät med separata adressutrymmen, peering och en rutttabell som skickar spoke-trafik mot en central säkerhetspunkt.
• Konfigurera punkt-till-plats-VPN och verifiera autentisering, klientadresspool, rutter och DNS-beteende från en verklig klient.
• Skapa Private Endpoint för en plattformstjänst, länka privat DNS-zon och felsök NSG-regler, effektiva rutter och flödesloggar.

Följande Bicep-exempel visar en liten hub-spoke-grund. Det är användbart när kandidaten vill öva på adressplanering, subnät och peering utan att börja med hela säkerhetsarkitekturen på en gång.

Exempel — hub-spoke med Bicep

param location string = resourceGroup().location

resource hubVnet 'Microsoft.Network/virtualNetworks@2023-11-01' = {
  name: 'vnet-hub-se'
  location: location
  properties: {
    addressSpace: { addressPrefixes: [ '10.10.0.0/16' ] }
    subnets: [
      { name: 'AzureFirewallSubnet', properties: { addressPrefix: '10.10.0.0/26' } }
      { name: 'GatewaySubnet', properties: { addressPrefix: '10.10.1.0/27' } }
    ]
  }
}

resource spokeVnet 'Microsoft.Network/virtualNetworks@2023-11-01' = {
  name: 'vnet-app-se'
  location: location
  properties: {
    addressSpace: { addressPrefixes: [ '10.20.0.0/16' ] }
    subnets: [
      { name: 'snet-app', properties: { addressPrefix: '10.20.1.0/24' } }
    ]
  }
}

resource hubToSpoke 'Microsoft.Network/virtualNetworks/virtualNetworkPeerings@2023-11-01' = {
  name: 'peer-hub-to-app'
  parent: hubVnet
  properties: {
    remoteVirtualNetwork: { id: spokeVnet.id }
    allowVirtualNetworkAccess: true
    allowForwardedTraffic: true
    allowGatewayTransit: true
  }
}

resource spokeToHub 'Microsoft.Network/virtualNetworks/virtualNetworkPeerings@2023-11-01' = {
  name: 'peer-app-to-hub'
  parent: spokeVnet
  properties: {
    remoteVirtualNetwork: { id: hubVnet.id }
    allowVirtualNetworkAccess: true
    allowForwardedTraffic: true
    useRemoteGateways: true
  }
}

Exemplet visar de centrala beroendena: separata adressutrymmen, särskilda subnät för gateway och brandvägg samt peering med stöd för gateway transit. Kontrollera alltid att adressprefixen inte överlappar med lokala nät innan en sådan design kopplas till VPN eller ExpressRoute.

Nästa exempel är avsett för punkt-till-plats-övning. Det visar den typ av konfiguration kandidaten behöver förstå: gateway-SKU, klientadresspool, tunneltyp och autentiseringsmetod. Certifikat- och identitetsdetaljer bör hanteras enligt organisationens säkerhetskrav.

Exempel — punkt-till-plats-VPN med Azure CLI

az network public-ip create \
  --resource-group rg-az700-lab \
  --name pip-vpngw-se \
  --sku Standard \
  --allocation-method Static

az network vnet-gateway create \
  --resource-group rg-az700-lab \
  --name vpngw-hub-se \
  --vnet vnet-hub-se \
  --public-ip-addresses pip-vpngw-se \
  --gateway-type Vpn \
  --vpn-type RouteBased \
  --sku VpnGw1 \
  --client-protocol OpenVPN \
  --address-prefixes 172.16.50.0/24

Efter distributionen bör klientpaket, autentisering och rutter verifieras från en faktisk klient. Vanliga fel är felaktig klientadresspool, saknad DNS-konfiguration och att administratören underskattar skillnaden mellan certifikatbaserad autentisering och Microsoft Entra ID-baserade alternativ.

Det tredje exemplet fokuserar på privat åtkomst. Det är särskilt relevant eftersom många provscenarier beskriver att en tjänst ska nås privat utan publik exponering, men där DNS och nätverksregler avgör om lösningen faktiskt fungerar.

Exempel — Private Endpoint och privat DNS

az network private-dns zone create \
  --resource-group rg-az700-lab \
  --name privatelink.blob.core.windows.net

az network private-dns link vnet create \
  --resource-group rg-az700-lab \
  --zone-name privatelink.blob.core.windows.net \
  --name link-app-vnet \
  --virtual-network vnet-app-se \
  --registration-enabled false

az network private-endpoint create \
  --resource-group rg-az700-lab \
  --name pe-staz700lab-blob \
  --vnet-name vnet-app-se \
  --subnet snet-app \
  --private-connection-resource-id /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/rg-az700-lab/providers/Microsoft.Storage/storageAccounts/staz700lab \
  --group-id blob \
  --connection-name peconn-staz700lab-blob

Det viktiga är inte att memorera varje parameter, utan att förstå beroendet mellan endpoint, privat DNS-zon, VNet-länk och klientens namnupplösning. I en riktig labb bör resurs-ID:t ersättas med en faktisk lagringsresurs i den egna prenumerationen och därefter verifieras med namnuppslagning från en virtuell maskin i spoke-nätet.

Säkerhet, routing och övervakning i samma design

AZ-700 behandlar säkerhet som en del av nätverksdesignen, inte som ett separat lager som läggs till i efterhand. NSG-regler styr trafik till och från subnät eller nätverkskort, Application Security Groups kan förenkla regelhantering för grupper av virtuella maskiner, och Azure Firewall Policy ger central policyhantering för filtrering, DNAT, applikationsregler och nätverksregler.

För routing behöver kandidaten förstå hur Azure väljer rutt när systemrutter, BGP-rutter och användardefinierade rutter finns samtidigt. En vanlig driftfälla är att skicka trafik mot en NVA eller Azure Firewall via UDR men glömma returvägen, eller att oavsiktligt låta BGP annonsera en mer specifik rutt än väntat. Därför bör labbar innehålla felsökning av effektiva rutter, inte bara lyckade distributioner.

Övervakning är en annan del där provkunskap och drift möts. Network Watcher hjälper till att kontrollera IP-flöden, nästa hopp och anslutningsproblem. NSG-flödesloggar och Traffic Analytics kan ge mönster över tillåten och nekad trafik. Connection Monitor är användbart när anslutning mellan miljöer behöver mätas över tid, och Azure Monitor kan samla mått, loggar och varningar för till exempel gatewayhälsa, brandväggsloggar och degraderad nätverksanslutning.

En studieplan på fyra till sex veckor

En rimlig studieplan för AZ-700 bör växla mellan teori, labb och repetition. Den största risken är att läsa mycket men konfigurera lite. En annan är att hoppa över DNS, BGP och felsökning eftersom de känns mindre synliga än att skapa VNet och gateways. I scenariobaserade frågor är det ofta just dessa detaljer som avgör svaret.

Under repetitionen bör kandidaten skriva ned felbeslut, inte bara fel svar. Om ett svar blev fel på grund av ExpressRoute-peering, Private Endpoint-DNS eller UDR kontra BGP, bör nästa labb riktas mot just den mekanismen. Den metoden ger bättre överföring till verkliga frågor än att enbart upprepa flervalsövningar.

Provformat, bokning och praktiska detaljer

Microsoft anger aktuella detaljer om prov, bokning, språk, omtag och eventuella stödåtgärder på den officiella certifieringssidan. Där framgår också aktuella färdighetsområden och om en practice assessment finns tillgänglig. Undvik att förlita dig på äldre blogginlägg för provlängd, pris eller antal frågor, eftersom sådant kan ändras.

Provet innehåller vanligtvis en blandning av frågetyper, där fallstudier och scenariobaserade frågor kräver noggrann läsning. Kandidaten bör särskilt notera begränsningar i scenariot: om trafik inte får gå över internet, om offentliga IP-adresser är förbjudna, om anslutning ska vara centraliserad eller om administration ska ske utan direkt exponering av virtuella maskiner.

Vid onlineprov bör tekniska krav, identifiering, rumskontroll och språkstöd kontrolleras i god tid. Om särskilda anpassningar behövs ska de begäras genom Microsofts officiella process innan provtillfället. Omtagspolicyer kan också ändras, så kandidaten bör läsa dem direkt hos Microsoft i samband med bokning.

Vanliga frågor om AZ-700

Vilken poäng krävs för att klara AZ-700?

Microsoft använder normalt en skala där 700 anges som godkänt resultat för många rollbaserade prov. Den officiella examenssidan och provinformationen vid bokning bör kontrolleras för aktuell information.

Behöver kandidaten kunna skriva kod för AZ-700?

AZ-700 är ett nätverksprov, men praktisk vana vid Azure CLI, PowerShell, ARM, Bicep eller Terraform hjälper. Kandidaten behöver främst förstå konfiguration, beroenden och felsökning, inte utveckla applikationskod.

Är ExpressRoute viktigare än VPN Gateway i provet?

Båda är viktiga eftersom de löser olika typer av hybridanslutning. Kandidaten bör kunna jämföra dem utifrån privat anslutning, latens, kostnadsmodell, redundans, BGP, skala och driftskrav, snarare än att behandla den ena som ett generellt bättre alternativ.

Hur mycket labb behövs före provet?

Det finns ingen officiell labbtid som garanterar ett visst resultat. En praktisk nivå är att kandidaten självständigt kan bygga ett hub-spoke-nät, konfigurera hybridanslutning på grundnivå, skapa Private Endpoint med fungerande DNS och felsöka NSG- och routingproblem.

Kan provet göras online?

Microsoft erbjuder normalt alternativ för onlineprov eller testcenter beroende på region och tillgänglighet. Kandidaten bör kontrollera identitetskrav, systemtest, rumskrav och språkstöd innan bokning.

Att göra AZ-700-kunskapen användbar i drift

Den starkaste förberedelsen för AZ-700 är att koppla varje provområde till ett verkligt driftproblem. VNet-design handlar om framtida adressutrymme och segmentering. Hybridanslutning handlar om tillförlitliga vägar mellan miljöer. Private Link handlar om privat åtkomst utan att tappa DNS-kontroll. Övervakning handlar om att snabbt kunna visa var trafiken stoppas och varför.

Efter certifieringen är nästa steg ofta att bredda kunskapen mot säkerhet, identitet, drift och arkitektur. Readynez kan vara ett stöd för den som vill planera en längre Azure-lärväg, och Readynez Unlimited Training kan ge tillgång till fler närliggande områden utan att AZ-700-fokuset behöver försvinna. Den viktigaste principen är ändå densamma: läs målen, bygg miljön, bryt den kontrollerat och lär av felsökningen.