# Entra Internet Access & Private Access Entra Internet Access & Private Access

Security Service Edge mit Microsoft Entra Internet Access und Microsoft Entra Private Access – identitätszentriertes Netzwerk-Sicherheitsmodell. Security Service Edge with Microsoft Entra Internet Access and Microsoft Entra Private Access – identity-centric network security model.

Internet Access Internet Access

SWG (Secure Web Gateway) für Internet-Traffic mit Webkategoriefilterung und FQDN-Regeln.SWG (Secure Web Gateway) for internet traffic with web category filtering and FQDN rules.

Private Access Private Access

Zero-Trust Network Access (ZTNA) für on-prem und private Cloud-Applikationen ohne VPN.Zero-Trust Network Access (ZTNA) for on-premises and private cloud applications without VPN.

Microsoft 365 Traffic Microsoft 365 Traffic

Optimiertes Routing für M365-Datenverkehr mit Source-IP-Wiederherstellung für CA.Optimized routing for M365 traffic with source IP restoration for CA.

Continuous Access Continuous access

CAE-Integration: Netzwerkstatus wird in Echtzeit in Token-Entscheidungen einbezogen.CAE integration: network state is incorporated into token decisions in real time.

## Überblick – Security Service Edge Overview – Security Service Edge

Global Secure Access (GSA) ist Microsofts Security Service Edge (SSE) Lösung, die in Microsoft Entra ID integriert ist. Sie ersetzt klassische VPN- und Perimeter-basierte Modelle durch ein identitäts- und kontextbasiertes Netzwerkzugriffsmodell. Der Client leitet Datenverkehr über die Microsoft Global Network Edge-PoPs, wo Policies durchgesetzt werden. Global Secure Access (GSA) is Microsoft's Security Service Edge (SSE) solution integrated into Microsoft Entra ID. It replaces traditional VPN and perimeter-based models with an identity- and context-based network access model. The client routes traffic through Microsoft Global Network Edge PoPs where policies are enforced.

ℹ️ Lizenzierung ℹ️ Licensing

Entra Internet Access und Entra Private Access sind separate SKUs (Teil von Microsoft Entra Suite oder einzeln). Für M365-Traffic-Profil ist Microsoft Entra ID P1 ausreichend, aber die erweiterten Filterfeatures brauchen Internet Access oder Suite. Prüfen Sie das aktuelle Lizenz-Guidance, da GSA noch aktiv weiterentwickelt wird. Entra Internet Access and Entra Private Access are separate SKUs (part of Microsoft Entra Suite or individual). For the M365 traffic profile Microsoft Entra ID P1 is sufficient, but advanced filtering features require Internet Access or Suite. Check current licensing guidance as GSA is still being actively developed.

## Architektur und Komponenten Architecture and components

Komponente Component | Beschreibung Description | Ort Location
--- | --- | ---
Global Secure Access Client Global Secure Access Client | Leichtgewichtiger Agent auf Windows-Geräten; leitet konfigurierten Traffic in den GSA-Tunnel Lightweight agent on Windows devices; routes configured traffic into the GSA tunnel | Endgerät (Windows 10/11)Endpoint (Windows 10/11)
Private Network Connector Private Network Connector | Dienst im Unternehmensnetzwerk oder privater Cloud; nimmt Private-Access-Traffic vom Microsoft-Edge an Service in the corporate network or private cloud; accepts Private Access traffic from the Microsoft edge | On-premises / Azure VNet On-premises / Azure VNet
Microsoft Edge Network Microsoft Edge Network | Globale PoP-Infrastruktur von Microsoft; Policy-Engine, TLS-Inspection, Web-Filterung Microsoft's global PoP infrastructure; policy engine, TLS inspection, web filtering | Microsoft-Cloud Microsoft cloud
Traffic Forwarding Profiles Traffic Forwarding Profiles | Konfigurieren, welcher Traffic durch GSA geleitet wird (M365, Internet, Private Access)Configure which traffic is routed through GSA (M365, internet, Private Access) | Entra Admin Center Entra Admin Center

## Traffic Forwarding Profile Traffic forwarding profiles

Traffic Forwarding Profile bestimmen, welcher Datenverkehr vom GSA-Client abgefangen und umgeleitet wird. Es gibt drei vordefinierte Profile, die unabhängig aktiviert werden können. Traffic forwarding profiles determine which network traffic is intercepted and redirected by the GSA client. There are three predefined profiles that can be activated independently.

Profil Profile | Traffic-Typ Traffic type | Hauptfunktion Main function
--- | --- | ---
Microsoft 365 Microsoft 365 | Exchange Online, SharePoint, Teams, etc.Exchange Online, SharePoint, Teams, etc. | Source-IP-Wiederherstellung für CA; optimiertes Routing; Token-Schutz Source IP restoration for CA; optimized routing; token protection
Microsoft Entra Private Access Microsoft Entra Private Access | Privater Datenverkehr zu konfigurierten Apps/Segmenten Private traffic to configured apps/segments | ZTNA-Zugriff auf interne Apps ohne VPN ZTNA access to internal apps without VPN
Microsoft Entra Internet Access Microsoft Entra Internet Access | Gesamter oder ausgewählter Internet-Traffic All or selected internet traffic | Secure Web Gateway, FQDN/Kategoriefilterung, TLS-Inspektion Secure Web Gateway, FQDN/category filtering, TLS inspection

## Microsoft Entra Private Access Microsoft Entra Private Access

Entra Private Access ist ein identitätsbasierter VPN-Ersatz für den Zugriff auf On-Premises- und private Cloud-Applikationen. Anders als ein klassisches VPN gewährt Private Access keinen Netzwerk-Zugriff, sondern nur App-spezifischen Zugriff, der durch Conditional Access abgesichert ist. Entra Private Access is an identity-based VPN replacement for access to on-premises and private cloud applications. Unlike a classical VPN, Private Access does not grant network access but only app-specific access secured by Conditional Access.

Konzept Concept | Beschreibung Description
--- | ---
Private Network Connector Private Network Connector | Lightweight-Service im Unternehmensnetzwerk; ausgehende Verbindung zum Microsoft-Edge (kein Inbound-Firewall-Port erforderlich)Lightweight service in the corporate network; outbound connection to Microsoft edge (no inbound firewall port required)
Connector Group Connector Group | Gruppe von Connectoren für HA und geografische Verteilung Group of connectors for HA and geographic distribution
Private Access App Private Access App | Enterprise-App-Objekt mit konfigurierten Ziel-FQDNs, IPs und Ports Enterprise app object with configured destination FQDNs, IPs, and ports
Quick Access Quick Access | Schnelles App-Segment ohne vollständige App-Konfiguration; für einfachen Einstieg Quick app segment without full app configuration; for simple onboarding
Conditional Access für Private Access Conditional Access für Private Access | CA-Policy greift bei jedem Private-Access-Zugriffsversuch; Device-Compliance, MFA, Risikosignale anwendbar CA policy applies to every Private Access access attempt; device compliance, MFA, risk signals applicable

### Connector-Anforderungen Connector requirements

Anforderung Requirement | Detail Detail
--- | ---
Betriebssystem Betriebssystem | Windows Server 2016+ oder Windows 10/11 (für Tests)Windows Server 2016+ oder Windows 10/11 (für Tests)
Ausgehende Ports Outbound ports | TCP 443, TCP 80 (zur Installation)TCP 443, TCP 80 (zur Installation)
Ausgehende URLs Outbound URLs | *.msappproxy.net, *.servicebus.windows.net, login.microsoftonline.com*.msappproxy.net, *.servicebus.windows.net, login.microsoftonline.com
Entra-Rolle für Installation Entra role for installation | Global Administrator oder Application Administrator Global Administrator oder Application Administrator
Mindest-Speicher/CPU Minimum memory/CPU | 1,5 GB RAM, 1 vCPU (empfohlen: 2 vCPU, 3,5 GB RAM)1,5 GB RAM, 1 vCPU (empfohlen: 2 vCPU, 3,5 GB RAM)

## Microsoft Entra Internet Access Microsoft Entra Internet Access

Entra Internet Access ist ein Secure Web Gateway (SWG), das Internet-Traffic über das Microsoft-Edge-Netzwerk leitet. Es bietet Webkategoriefilterung, FQDN-basierte Filterung, TLS-Inspektion und Integration mit dem Conditional-Access-Signalfluss. Entra Internet Access is a Secure Web Gateway (SWG) that routes internet traffic through the Microsoft edge network. It provides web category filtering, FQDN-based filtering, TLS inspection, and integration with the Conditional Access signal flow.

Feature Feature | Beschreibung Description
--- | ---
Webkategoriefilterung Web category filtering | Sperren oder Erlauben von Websitekategorien (z. B. Social Media, Glücksspiel, Malware)Block or allow website categories (e.g. social media, gambling, malware)
FQDN / URL-Filterung FQDN / URL-Filterung | Feingranulare Regeln für einzelne Domains oder Pfade Fine-grained rules for individual domains or paths
TLS-Inspektion TLS-Inspektion | Entschlüsselung und Inspection von HTTPS-Traffic; CA-Zertifikat auf Clients erforderlich Decryption and inspection of HTTPS traffic; CA certificate on clients required
Threat Intelligence Threat intelligence | Blockierung bekannter bösartiger Domains und IPs Blocking of known malicious domains and IPs
Source IP Restoration Source IP Restoration | M365-Ressourcen erhalten Originalquelladresse des Clients statt Microsoft-Edge-IP M365 resources receive original source address of the client instead of Microsoft edge IP
Profilbasierte Policies Profile-based policies | Unterschiedliche Filterprofile für Benutzergruppen (z. B. Admins, Dev, Standard-User)Different filter profiles per user group (e.g. admins, dev, standard users)

## Microsoft 365 Traffic Profil Microsoft 365 traffic profile

Das M365-Profil ist das einfachste Einsteigsprofil. Es leitet nur Microsoft 365-Datenverkehr durch das GSA-Netzwerk und bietet dadurch Source IP Restoration: Entra CA sieht die tatsächliche Client-IP statt einer anonymisierten Verbindung. The M365 profile is the simplest entry profile. It routes only Microsoft 365 traffic through the GSA network and thereby provides Source IP Restoration: Entra CA sees the actual client IP instead of an anonymized connection.

✅ Token-Schutz mit GSA✅ Token protection with GSA

Mit dem M365-Profil können Sie Token Protection in Conditional Access aktivieren: Das Access Token ist an ein bestimmtes Gerät oder eine Session gebunden und kann nicht gestohlen und auf einem anderen Gerät genutzt werden (Token-Replay-Angriffe). With the M365 profile you can enable Token Protection in Conditional Access: the access token is bound to a specific device or session and cannot be stolen and used on another device (token replay attacks).

## Conditional Access Integration Conditional Access integration

GSA ist tief mit Conditional Access integriert. Der Netzwerkstandort des Clients (via GSA) wird als CA-Signal verwendet, und CA-Policies können den Netzwerkzustand als Bedingung einschließen. GSA is deeply integrated with Conditional Access. The network location of the client (via GSA) is used as a CA signal, and CA policies can include network state as a condition.

CA-Integration CA integration | Funktion Function
--- | ---
Source IP Restoration Source IP Restoration | CA Named Location (Trusted IP) funktioniert wieder zuverlässig trotz GSA-Tunnel CA Named Location (Trusted IP) works reliably again despite GSA tunnel
Compliant Network Check Compliant Network Check | CA kann verlangen, dass der Benutzer über GSA verbunden ist (Compliant Network Condition)CA can require that the user is connected through GSA (Compliant Network Condition)
Token Protection (Preview)Token Protection (Preview) | Token an Gerät/Client binden; Replay auf anderen Devices verhindern Bind token to device/client; prevent replay on other devices
Kontinuierliche Zugriffsevaluierung Continuous access evaluation | Netzwerkänderungen (IP-Wechsel über GSA) lösen Token-Re-Evaluierung aus Network changes (IP change via GSA) trigger token re-evaluation

## Deployment-Schritte Deployment steps

## | Schritt Step | Beschreibung Description
--- | --- | ---
1 1 | Lizenz prüfen Verify license | Entra Suite oder Internet/Private Access SKU im Tenant aktiviert Entra Suite or Internet/Private Access SKU activated in tenant
2 2 | GSA im Admin Center aktivieren Activate GSA in admin center | Entra Admin Center → Global Secure Access → Aktivierung Entra admin center → Global Secure Access → Activation
3 3 | Traffic-Profil auswählen Select traffic profile | M365 als erster Schritt empfohlen; dann Private Access oder Internet Access M365 recommended as first step; then Private Access or Internet Access
4 4 | Connector installieren (Private Access)Install connector (Private Access) | Private Network Connector im Unternehmensnetzwerk oder Azure VNet installieren Install Private Network Connector in corporate network or Azure VNet
5 5 | GSA-Client deployen Deploy GSA client | Via Intune oder MDM auf Windows 10/11-Geräte; macOS/iOS in Preview Via Intune or MDM on Windows 10/11 devices; macOS/iOS in preview
6 6 | CA-Policies anpassen Adjust CA policies | Compliant Network und Token Protection Policies konfigurieren Configure Compliant Network and Token Protection policies
7 7 | Logs überwachen Monitor logs | Network Access Traffic Logs in Monitoring/Diagnoseeinstellungen aktivieren Activate Network Access Traffic Logs in Monitoring/Diagnostic settings

## Traffic-Protokolle und Monitoring Traffic logs and monitoring

GSA erzeugt Network Access Traffic Logs, die per Diagnoseeinstellung nach Log Analytics exportiert werden können. Sie enthalten Informationen über alle durch den Tunnel geleiteten Verbindungen. GSA generates Network Access Traffic Logs that can be exported to Log Analytics via diagnostic settings. They contain information about all connections routed through the tunnel.

KQL – GSA Traffic nach Ziel GSA traffic by destination

    NetworkAccessTrafficLogs
    | where TimeGenerated > ago(24h)
    | summarize Connections = count() by DestinationFqdn, DestinationPort
    | sort by Connections desc
    | take 30

KQL – Blockierte Verbindungen Blocked connections

    NetworkAccessTrafficLogs
    | where TimeGenerated > ago(24h)
    | where Action == "block"
    | summarize BlockedCount = count() by UserPrincipalName, DestinationFqdn, PolicyName
    | sort by BlockedCount desc

## Remote Networks (Branch Office Verbindungen)Remote networks (branch office connections)

Neben dem Client-Agent unterstützt Global Secure Access auch Remote-Network-Verbindungen für Standorte oder SD-WAN-Geräte. Dabei wird ein IPSec/BGP-Tunnel von einem physischen oder virtuellen Netzwerkgerät zur Microsoft Edge-Infrastruktur aufgebaut. In addition to the client agent, Global Secure Access also supports remote network connections for sites or SD-WAN devices. This establishes an IPSec/BGP tunnel from a physical or virtual network device to the Microsoft edge infrastructure.

Verbindungstyp Connection type | Einsatz Use case | Anforderungen Requirements
--- | --- | ---
CPE / Router (IKEv2)CPE / Router (IKEv2) | Physische Bürostandorte ohne Client-Agent Physical office sites without client agent | IKEv2 IPSec, BGP, statische IPs IKEv2 IPSec, BGP, statische IPs
SD-WAN Integration SD-WAN Integration | Bestehende SD-WAN-Infrastruktur Existing SD-WAN infrastructure | Herstellerabhängig; Partner-Integrationen verfügbar Vendor-dependent; partner integrations available
Azure VNet Azure VNet | Azure-gehostete Workloads ohne Client Azure-hosted workloads without client | Azure VPN Gateway oder Virtual WAN Azure VPN Gateway oder Virtual WAN

## ZTNA vs. VPN – Vergleich ZTNA vs. VPN – comparison

Merkmal Aspect | Klassisches VPN Klassisches VPN | Entra Private Access (ZTNA)Entra Private Access (ZTNA)
--- | --- | ---
Netzwerkzugang Network access | Gesamtes Netz-Segment Entire network segment | Nur einzelne Apps/Ports Only specific apps/ports
MFA / CA MFA / CA | Nur beim VPN-Aufbau Only at VPN establishment | Bei jedem App-Zugriff erzwungen Enforced at each app access
Gerätecompliance Device compliance | Optional, oft nicht erzwungen Optional, often not enforced | Über CA-Policy erzwingbar Enforceable via CA policy
Lateral Movement Lateral movement | Möglich nach VPN-Zugang Possible after VPN access | Verhindert durch App-spezifischen Zugang Prevented by app-specific access
Benutzeridentität User identity | IP-basiert IP-based | Identitätsbasiert (Entra ID)Identity-based (Entra ID)
Skalierung Scalability | Eingehende Firewall-Ports erforderlich Inbound firewall ports required | Nur ausgehende Verbindungen vom Connector Only outbound connections from connector

## Troubleshooting Global Secure Access Troubleshooting Global Secure Access

Problem Issue | Diagnose Diagnosis | Lösung Solution
--- | --- | ---
Client verbindet nicht Client not connecting | Windows Event Log → GlobalSecureAccess Windows Event Log → GlobalSecureAccess | TLS-Inspektion auf GSA-Endpoints prüfen; Port 443 freischalten Check TLS inspection on GSA endpoints; open port 443
Private Access App nicht erreichbar Private Access app not reachable | Connector Health im Admin Center prüfen Check Connector Health in admin center | Connector-Service neu starten; DNS-Auflösung auf Connector prüfen Restart connector service; check DNS resolution on connector
M365-Traffic nicht durch GSA M365 traffic not through GSA | GSA Client Status in System Tray; Traffic Profile Status GSA client status in system tray; traffic profile status | M365-Profil in den Tenant-Einstellungen aktivieren; Client neustarten Enable M365 profile in tenant settings; restart client

PowerShell – GSA Client Status prüfen Check GSA client status

    # Global Secure Access Client Status
    Get-Service -Name "Global Secure Access Client"
    Get-EventLog -LogName "Application" -Source "GlobalSecureAccess*" -Newest 20

    # Connector Health per Graph API
    GET https://graph.microsoft.com/beta/networkAccess/connectivity/branches
    GET https://graph.microsoft.com/beta/networkAccess/connectivity/remoteNetworks

## Web-Filterung und Sicherheitsprofile Web filtering and security profiles

Sicherheitsprofile in Entra Internet Access definieren, welche Web-Kategorien, FQDNs oder Threat Intelligence-basierte Sperrlisten für eine Benutzergruppe gelten. Unterschiedliche Profile können verschiedenen Entra-ID-Gruppen zugewiesen werden. Security profiles in Entra Internet Access define which web categories, FQDNs, or threat intelligence-based block lists apply to a user group. Different profiles can be assigned to different Entra ID groups.

Filterkategorie Filter category | Beispiele Examples | Standardaktion Default action
--- | --- | ---
Malware / Phishing Malware / Phishing | Known malware distribution, phishing pages Known malware distribution, phishing pages | Blockieren (empfohlen)Block (recommended)
Soziale Medien Social media | Facebook, Instagram, TikTok Facebook, Instagram, TikTok | Erlauben oder je nach Gruppe Allow or group-dependent
Produktivitätsverlust Productivity loss | Gaming, Streaming, Adult content Gaming, Streaming, Adult content | Blockieren für Standard-User Block for standard users
Anonymizer / VPN Anonymizer / VPN | Proxy services, Tor, VPN sites Proxy services, Tor, VPN sites | Blockieren Block

## GSA Graph API Endpunkte GSA Graph API endpoints

HTTP – GSA Konfiguration lesen Read GSA configuration

    # Traffic Forwarding Profile
    GET https://graph.microsoft.com/beta/networkAccess/forwardingProfiles

    # Private Access Apps (Enterprise App Segments)
    GET https://graph.microsoft.com/beta/applications?$filter=tags/any(t:t eq 'PrivateAccessApplication')

    # Connector Groups und Connector Health
    GET https://graph.microsoft.com/beta/onPremisesPublishingProfiles/applicationProxy/connectorGroups
    GET https://graph.microsoft.com/beta/onPremisesPublishingProfiles/applicationProxy/connectors

    # Network Access Tenanteinstellungen
    GET https://graph.microsoft.com/beta/networkAccess/settings

## GSA-Diagnose & Troubleshooting GSA Diagnostics & Troubleshooting

Der Global Secure Access Client bietet ein integriertes Diagnose-Dashboard und Ereignisprotokollierung für die Fehlerbehebung.The Global Secure Access client provides a built-in diagnostics dashboard and event logging for troubleshooting.

Symptom Symptom | Mögliche Ursache Possible Cause | Lösung Resolution
--- | --- | ---
Tunnel verbindet nicht Tunnel not connecting | Firewall blockiert Port 443/UDP Firewall blocking port 443/UDP | Ausgehende Verbindungen zu *.globalsecureaccess.microsoft.com zulassen Allow outbound to *.globalsecureaccess.microsoft.com
Private App nicht erreichbar Private app unreachable | App Connector nicht verbunden App Connector not connected | Connector-Status im Entra Portal prüfen Check connector status in Entra portal
Hohe Latenz High latency | Suboptimaler Edge-Standort Suboptimal edge location | Nearest PoP in Network Health-Dashboard prüfen Check nearest PoP in network health dashboard
Zugriff verweigert (CA)Access denied (CA) | Compliant Network-Bedingung nicht erfüllt Compliant Network condition not met | GSA-Client-Version und Registrierungsstatus prüfen Check GSA client version and enrolment status
Web-Kategorien werden nicht gefiltert Web categories not filtered | Internet Access Profil nicht zugewiesen Internet Access profile not assigned | Security Profile Assignment prüfen Check security profile assignment

## Global Secure Access Client Global Secure Access client

Der Global Secure Access (GSA) Client ist ein leichtgewichtiger Agent, der auf Windows-Endgeräten installiert wird und den Netzwerktraffic an die Microsoft-SSE-Infrastruktur weiterleitet. Der Client ist für Entra Joined und Hybrid Joined Geräte verfügbar. The Global Secure Access (GSA) Client is a lightweight agent installed on Windows endpoints that forwards network traffic to Microsoft's SSE infrastructure. The client is available for Entra Joined and Hybrid Joined devices.

Aspekt Aspect | Detail Detail
--- | ---
Unterstützte Plattformen Supported platforms | Windows 10/11 (GA), macOS (Preview), Android/iOS (Preview)Windows 10/11 (GA), macOS (Preview), Android/iOS (Preview)
Deployment Deployment | Intune, SCCM, GPO, manuelle Installation Intune, SCCM, GPO, manuelle Installation
Authentifizierung Authentication | Nutzt den Primary Refresh Token des Geräts Uses the device's Primary Refresh Token
Split-Tunneling Split tunneling | Nur definierter Traffic wird weitergeleitet; anderer Traffic geht direkt ins Internet Only defined traffic is forwarded; other traffic goes directly to the internet

PowerShell

    # GSA Client Status prüfen (auf dem Endgerät)
    # Check GSA client status (on the endpoint)
    Get-Service -Name GlobalSecureAccessTunnelService | Select-Object Status, StartType

    # Client-Logs abrufen
    Get-WinEvent -LogName "Microsoft-Windows-GlobalSecureAccess/Operational" -MaxEvents 50

## Global Secure Access Dashboard Global Secure Access dashboard

Das Global Secure Access Dashboard im Entra Admin Center bietet einen Überblick über Traffic-Volumen, Richtlinientreffer, Gerätezustand und Sicherheitswarnungen. Es ist der zentrale Ausgangspunkt für Monitoring und Troubleshooting. The Global Secure Access Dashboard in the Entra Admin Center provides an overview of traffic volume, policy hits, device health, and security alerts. It is the central starting point for monitoring and troubleshooting.

Dashboard-Widget Dashboard widget | Inhalt Content
--- | ---
Traffic-Übersicht Traffic overview | Gesamttraffic nach Profil (M365, Internet, Private Access)Total traffic by profile (M365, Internet, Private Access)
Aktive Geräte Active devices | Anzahl Geräte mit aktivem GSA-Client Number of devices with active GSA client
Gesperrte Transaktionen Blocked transactions | Anzahl und Grund der blockierten Anfragen Number and reason for blocked requests
Alerts Alerts | Sicherheitswarnungen (Token-Exfiltration, unbekannte Geräte)Security alerts (token exfiltration, unknown devices)

## Private Access – PowerShell-Referenz Private Access – PowerShell Reference

PowerShell

    # Alle Enterprise App Connectors auflisten
    Get-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $spId

    # Private Access Segmente über Graph
    $params = @{
        name = "Intern-SSH"
        destinationType = "ip"
        destinations = @(@{ value = "10.0.0.0/8"; ports = @("22"); protocol = "tcp" })
    }
    New-MgNetworkAccessFilteringPolicyRule -FilteringPolicyId $policyId -BodyParameter $params

    # Connector-Gruppen auflisten
    Get-MgOnPremisesPublishingProfile -OnPremisesPublishingProfileId "applicationProxy" |
        Select-Object -ExpandProperty ConnectorGroups |
        Format-Table Id, Name, ConnectorGroupType

## Sicherheitsprofile & Weiterleitungsrichtlinien Security Profiles & Forwarding Policies

Sicherheitsprofile bündeln Filterrichtlinien und werden Benutzergruppen oder Geräten zugewiesen.Security profiles bundle filtering policies and are assigned to user groups or devices.

Komponente Component | Funktion Function | Beispiel Example
--- | --- | ---
Security Profile Security Profile | Container für Filterrichtlinien Container for filtering policies | "Corporate Standard""Corporate Standard"
Filtering Policy Filtering Policy | Regeln für Kategorien/FQDNs/IPs Rules for categories/FQDNs/IPs | Gambling blockieren Block gambling
Forwarding Profile Forwarding Profile | Steuert welcher Traffic GSA-Tunnel nutzt Controls which traffic uses GSA tunnel | M365, Private Apps, Internet M365, Private apps, Internet
Traffic Log Traffic Log | Alle Verbindungen mit Policy-Ergebnis All connections with policy result | Erlaubt / Blockiert / Umgeleitet Allowed / Blocked / Bypassed

✅ Best Practice Best Practice

Beginnen Sie mit dem Traffic Profil „Microsoft 365" im Audit-Modus (nur Logging), bevor Sie die Weiterleitung aktivieren. So vermeiden Sie Unterbrechungen bei bestehenden M365-Verbindungen.Start with the Microsoft 365 traffic profile in audit mode (log only) before enabling forwarding to avoid disrupting existing M365 connections.

ℹ️ Netzwerk-Gesundheit Network Health

Das Network Health Dashboard im Entra Portal zeigt die Verbindungsqualität zu jedem GSA-Edge-Standort (PoP) in Echtzeit, einschließlich Latenz, Paketverlust und Tunnelstatus. Konfigurieren Sie Alerts für Degradierungen über Azure Monitor.The Network Health Dashboard in the Entra portal shows real-time connectivity quality to each GSA edge location (PoP), including latency, packet loss, and tunnel status. Configure alerts for degradations via Azure Monitor.

## Verwandte Seiten Related pages

- Conditional Access Conditional Access
- Geräte Devices
- Monitoring & Audit Monitoring & Audit
- Auth-Protokolle Authentication Protocols