Global Secure Access vs. Always On VPN vs. DirectAccess

Die Optionen

• Microsoft Entra Private Access (Global Secure Access)

  CHF 4.00

  Benutzer/Monat

  Microsoft-Listenpreis für die Schweiz, exkl. MwSt., Stand 25. September 20261

  Enthält

  • ✓ZTNA zu privaten Apps über beliebige Ports/Protokolle, Quick Access, App-basiertes TCP/UDP, privates DNS, Kerberos-SSO; baut auf Entra Application Proxy auf2
  • ✓Clients für Windows, macOS, iOS, Android2
  • ✓In Microsoft Entra Suite (CHF 9.70) und damit in Microsoft 365 E7 enthalten3

  Setzt voraus

  • →Benutzer benötigen Entra ID P1 oder P22
  • →Private Network Connector on-premises (derselbe Connector wie beim Application Proxy)4

• Microsoft Entra Internet Access (Global Secure Access)

  CHF 4.00

  Benutzer/Monat

  Microsoft-Listenpreis für die Schweiz, exkl. MwSt., Stand 25. September 20261

  Enthält

  • ✓SWG: Webinhaltsfilterung, TLS-Inspektion, Schutz vor Prompt-Injection, DLP2
  • ✓Microsoft-Traffic-Profil (Internet Access for Microsoft services: universelle Mandanteneinschränkungen, Compliant-Network-Prüfung, Quell-IP-Wiederherstellung) ist in Entra ID P1/P2 ohne Zusatzkosten enthalten2

  Grenzen

  • –Remote-Netzwerke (Branch-Konnektivität) benötigen >=50 kombinierte Entra ID P1 + Internet Access Lizenzen2

  Setzt voraus

  • →Entra ID P1 oder P22

• Always On VPN (Windows Server RRAS)

  CHF 967.72

  16-Core-Lizenz für Windows Server 2025 Standard · einmaliger UVP; Windows Server CALs zusätzlich erforderlich für jeden Benutzer oder jedes Gerät, das auf den Server zugreift

  Umgerechnet aus USD 1'176.00 zu 0.8229 (EZB, 23. September 2026) – kein CHF-Preis veröffentlicht5

  Enthält

  • ✓Integrierter Windows-VPN-Client, IKEv2 mit SSTP-Fallback, Benutzer- + Gerätetunnel, App-basiertes VPN, Traffic-Filter, Conditional-Access-Integration (kurzlebiges, von Entra ausgestelltes Zertifikat), Intune-/ConfigMgr-Bereitstellung von ProfileXML6
  • ✓Serverseitig: RRAS-VPN-Server + NPS (RADIUS); Windows-Client in allen Windows-Editionen verfügbar6

  Grenzen

  • –Gerätetunnel nur auf domänengebundenem Windows 10/11 Enterprise oder Education (1709+)6
  • –Remote Access (VPN/DirectAccess) wird auf Azure-VMs nicht unterstützt7

  Setzt voraus

  • →Windows Server Lizenz (Core-basiert) + Windows Server CALs; Azure-Arc-Pay-as-you-go-Alternative $33.58 pro Core/Monat5

• DirectAccess (veraltet)

  Kein separater Listenpreis – siehe Voraussetzungen

  Enthält

  • ✓Ständig verbundener Remote-Zugriff für domänengebundene Clients ohne benutzerinitiiertes VPN7

  Grenzen

  • –Veraltet (angekündigt im Juni 2024) und wird in einer zukünftigen Windows-Version entfernt; Microsoft empfiehlt die Migration zu Always On VPN. Kein Entfernungsdatum veröffentlicht.8
  • –Microsoft empfiehlt für Neuinstallationen dringend Always On VPN anstelle von DirectAccess7
  • –Nur domänengebundene Windows-Enterprise-Clients7

  Setzt voraus

  • →Windows Server mit Remote-Access-Rolle + domänengebundene Windows-Enterprise-Clients7

• Azure VPN Gateway Point-to-Site (Switzerland North)

  CHF 111.47

  Gateway/Monat (VpnGw1, 730 Std. x CHF 0.1527/Std.) · Azure Pay-as-you-go Retail, exkl. Daten-Egress

  Listenpreis, exkl. MwSt., Stand 24. September 20269

  Enthält

  • ✓Protokolle: OpenVPN (Windows/macOS/Linux/iOS/Android), SSTP (Windows), IKEv2; Authentifizierung über Zertifikat, RADIUS/AD oder Microsoft Entra ID (nur OpenVPN + Azure VPN Client; ermöglicht Conditional Access + MFA)10
  • ✓CHF pro Stunde (switzerlandnorth): Basic 0.0289 (~CHF 21.10/Mt.), VpnGw1 0.1527, VpnGw1AZ 0.1688 (~CHF 123.22/Mt.), VpnGw2 0.3939 (~CHF 287.55/Mt.), VpnGw3 1.0048, VpnGw4 1.6881, VpnGw5 2.9341; P2S-Verbindung über das Inklusivkontingent hinaus 0.008/Std.; S2S-Verbindung 0.0121/Std.9
  • ✓Die ersten 128 P2S-Verbindungen sind inklusive; max. P2S pro SKU: Basic 128, VpnGw1 250, VpnGw2 500, VpnGw3 1,000, VpnGw4 5,000, VpnGw5 10,000; Egress wird zu Standard-Datenübertragungstarifen verrechnet11

  Grenzen

  • –Erreicht Azure-VNets (on-premises nur über S2S/ExpressRoute); Basic-SKU verfügt nicht über IKEv2, IPv6 und RADIUS10
  • –Azure VPN Client for Linux (Preview) eingestellt am 2026-08-31; manuell registrierte Azure-VPN-Client-App-IDs werden am 2028-03-31 eingestellt10

  Setzt voraus

  • →Azure-Abonnement; für die Entra-ID-Authentifizierung selbst wird in der Dokumentation keine separate Lizenz genannt (Conditional-Access-Richtlinien erfordern Entra ID P1)10

• Microsoft Entra application proxy

  Kein separater Listenpreis – siehe Voraussetzungen

  Enthält

  • ✓Veröffentlicht On-Premises-Web-Apps (IWA/KCD, header-basiert, Formulare, SAML, RD Gateway, MSAL-Rich-Clients, WebSockets) über einen rein ausgehenden Private Network Connector mit Entra-Vorauthentifizierung und Conditional Access12

  Grenzen

  • –Nur HTTP/HTTPS-Webveröffentlichung (externe URL auf TCP 80/443); keine Client-Zertifikatsauthentifizierung zum Back-End; nicht für interne Benutzer vorgesehen4
  • –Läuft die Lizenz ab, wird der Application Proxy automatisch deaktiviert (Konfiguration bleibt bis zu 1 Jahr erhalten)4

  Setzt voraus

  • →Microsoft Entra ID P1 oder P2 Lizenz4

• Windows 365 Enterprise (Cloud PC als Zugriffsmuster)

  CHF 35.90

  Benutzer/Monat · Standard 2 vCPU/8 GB/128 GB, exkl. MwSt. (de-ch-Seite; zeigte dem Abrufer «currently unavailable in your region»)

  Listenpreis, exkl. MwSt., Stand 24. September 202613

  Enthält

  • ✓Weitere de-ch-Konfigurationen: Basic 2vCPU/4GB CHF 27.10, Premium 4vCPU/16GB CHF 57.70, GPU Standard CHF 271.2013
  • ✓Switzerland North ist eine unterstützte Cloud-PC-Region14

  Setzt voraus

  • →Benutzer benötigen Windows E3, Intune, Microsoft Entra ID P1 und Windows 365 Lizenzen (z. B. über M365 E3/E5)14

• Azure Virtual Desktop

  Kein separater Listenpreis – siehe Voraussetzungen

  Enthält

  • ✓Zugriffsrechte enthalten in M365 E3/E5/A3/A5/F3/Business Premium, Windows Enterprise E3/E5, Windows VDA pro Benutzer; Azure-Compute/-Storage werden separat verrechnet15

  Setzt voraus

  • →Windows Server Session Hosts erfordern RDS CALs mit SA oder RDS User Subscription Licences15
  • →Externe kommerzielle Benutzer: Preise pro Benutzerzugriff über registriertes Azure-Abonnement15

Die wichtigsten Unterschiede

1. 1Application Proxy = nur Web-Apps; Private Access = beliebige TCP/UDP-App mit demselben Connector, App-basiertes ZTNA2
2. 2Entra ID P1 umfasst das Microsoft-Traffic-Profil von Global Secure Access und den Application Proxy; Private/Internet Access für anderen Traffic sind kostenpflichtig (je CHF 4.00 oder Entra Suite CHF 9.70)3
3. 3Always On VPN ist der von Microsoft empfohlene Nachfolger von DirectAccess; beide sind Windows Server Remote-Access-Rollen, lizenziert über Windows Server + CALs8
4. 4Windows 365 / AVD verlagern die Sitzung in die Cloud, statt das Gerät ins Netzwerk zu bringen15

Für wen

• Entra Private Access: Organisationen, die VPN durch identitätszentriertes ZTNA ersetzen
• Application Proxy: Veröffentlichung einer Handvoll interner Web-Apps mit Entra-SSO
• Always On VPN: Organisationen mit Windows-Server-Infrastruktur, die Full-Tunnel-/Gerätetunnel-VPN benötigen
• Azure VPN Gateway P2S: Remote-Zugriff auf in Azure gehostete Workloads
• Windows 365 / AVD: externe Mitarbeitende, BYOD oder Apps, die im Rechenzentrum/in der Cloud bleiben müssen

Einordnung von ClearSource anhand der Dokumentation von Microsoft – keine Empfehlung für Ihre Situation.

Was sich kürzlich geändert hat

1. 2024-06

   Ausserbetriebnahme von DirectAccess angekündigt (Juni 2024)8

2. 31. August 2026

   Azure VPN Client for Linux (Preview) eingestellt10

3. Windows 365 Frontline in Windows 365 Flex umbenannt14