Azure Front Door: global load balancing

Azure Front Door er et globalt distribueret netværk til levering af programmer, som fungerer på lag 7 (HTTP/HTTPS). Det dirigerer klientanmodninger til den hurtigst tilgængelige backend-oprindelse på tværs af flere Azure-regioner ved hjælp af anycast-netværk — trafikken kommer ind på Azure-backbone-netværket ved den nærmeste edge-PoP i stedet for at gå gennem det offentlige internet til din oprindelse. Front Door leverer global belastningsfordeling, SSL-aflastning, CDN-cachelagring og en indbygget Web Application Firewall i én tjeneste.

Azure Front Door fås i to niveauer. Standard omfatter CDN-cachelagring, brugerdefinerede domæner med administreret TLS, en regelmotor og grundlæggende WAF. Premium tilføjer avanceret WAF med administrerede regelsæt (Microsoft Default- og OWASP-regelsæt), botbeskyttelse, sikkerhedsrapporter, Private Link-integration (til at sende trafik til oprindelser via et privat slutpunkt uden offentlig IP) og Azure Defender-integration. De fleste webprogrammer i produktion bruger Premium på grund af funktionerne til WAF og Private Link.

I Front Door er en oprindelse en backend-server — en App Service, en offentlig IP-adresse, et statisk Blob Storage-websted eller et vilkårligt HTTP(S)-slutpunkt. Oprindelser grupperes i oprindelsesgrupper. Indstillinger for belastningsfordeling og tilstandskontroller konfigureres pr. oprindelsesgruppe. Du kan f.eks. have én oprindelsesgruppe med App Service-backends i East US og West US. Front Door dirigerer anmodninger inden for gruppen baseret på prioritet, vægt eller ventetid og fjerner automatisk oprindelser, der ikke er sunde, baseret på resultaterne af tilstandskontrollerne.

Tilstandskontroller er periodiske HTTP/HTTPS-anmodninger, der sendes fra Front Door-PoP'er til hver oprindelse for at måle ventetid og kontrollere, at oprindelsen fungerer korrekt. Du konfigurerer kontrolstien, protokollen, intervallet og antallet af efterfølgende fejl, før en oprindelse markeres som usund. Når en oprindelse ikke består tilstandskontrollerne, fjerner Front Door den automatisk fra rutepuljen — alle nye anmodninger sendes til de resterende sunde oprindelser. Det muliggør automatisk failover uden manuel indgriben.

Front Door understøtter tre metoder til belastningsfordeling inden for en oprindelsesgruppe. Ventetidsbaseret ruting (standard) sender hver anmodning til den oprindelse, der har den laveste målte rundrejsetid fra klientens nærmeste PoP — ideelt til ydeevne. Vægtet fordeler trafikken baseret på tildelte vægte (f.eks. 80 % til den primære og 20 % til den sekundære) — nyttigt til canary-udrulninger. Prioritet sender al trafik til oprindelsen med højest prioritet og skifter kun til oprindelser med lavere prioritet, hvis den primære oprindelse er usund — ideelt til aktiv-passiv DR.

En rute i Front Door knytter et domæne og et URL-stimønster til en oprindelsesgruppe. Du kan oprette flere ruter for at implementere stibaseret ruting: /api/* kan f.eks. føre til en backend-API-App Service, /static/* kan føre til en Blob Storage-oprindelse med aggressiv CDN-cachelagring, og /* kan føre til webfrontend'en. Hver rute har uafhængige indstillinger for cachelagring, komprimering og videresendelsesprotokol.

Front Door leverer et administreret TLS-certifikat til hvert brugerdefineret domæne, du knytter til et slutpunkt — det klargøres automatisk via DigiCert og fornys automatisk før udløb uden ekstra omkostninger. Du bekræfter ejerskabet af domænet ved at tilføje en CNAME-post, der peger fra dit apex-domæne eller underdomæne til Front Door-slutpunktet. Du kan også bruge dit eget certifikat, der er gemt i Azure Key Vault. Front Door afslutter TLS ved edge-PoP'en, hvilket reducerer ventetiden for TLS-håndtryk sammenlignet med TLS, der afsluttes ved oprindelsen.

Regelmotoren (kaldet Rule sets i Standard/Premium) giver dig mulighed for at ændre rutingadfærd baseret på anmodningens attributter: match på URL-sti, forespørgselsstreng, anmodningsmetode, HTTP-headere, geografisk placering eller enhedstype. Handlinger omfatter omdirigering af URL'er, videresendelse til en anden oprindelsesgruppe, ændring af anmodnings- eller svarheadere eller tilsidesættelse af cachelagringsindstillinger. En almindelig anvendelse er at håndhæve HTTPS ved at omdirigere al HTTP-trafik til HTTPS med en omdirigeringsregel, før trafikken når din oprindelse.

På Premium-niveauet kan Front Door oprette forbindelse til oprindelser via Private Link i stedet for det offentlige internet. Det betyder, at din App Service- eller Blob Storage-oprindelse ikke behøver en offentlig IP-adresse — trafik fra Front Door-PoP'er går via Microsofts private backbone-netværk til et privat slutpunkt i dit VNet. Du godkender anmodningen om Private Link-forbindelse i portalen eller via CLI, hvorefter trafik mellem Front Door og oprindelsen aldrig går gennem det offentlige internet. Dermed er der ikke behov for indgående firewallregler på oprindelsen.

Sessionsaffinitet (også kaldet sticky sessions) sikrer, at anmodninger fra den samme klient konsekvent dirigeres til den samme oprindelse under en session. Front Door opnår dette med en cookiebaseret mekanisme — den angiver en sessionscookie i det første svar, og efterfølgende anmodninger med denne cookie fastholdes på den samme oprindelse. Sessionsaffinitet bytter en jævn belastningsfordeling for kompatibilitet med programmer, hvor tilstanden gemmes lokalt på oprindelsesserveren i stedet for i en delt cache eller database.

Front Door sender målepunkter til Azure Monitor, herunder samlet antal anmodninger, procentdel af sunde oprindelser, hit-forhold for anmodninger, ventetid for oprindelser og antal WAF-anmodninger pr. handling. Du kan oprette regler for målepunktsalarmer på disse for at få besked, når oprindelsernes sundhed falder under en tærskel, eller når antallet af blokeringer fra WAF pludselig stiger. Front Door indeholder også indbyggede rapporter på Premium-niveauet, som viser trafik efter geografisk område, de mest efterspurgte URL'er og regler, der blev matchet af WAF.

I denne lektion har du lært, at Azure Front Door bruger anycast-netværk og failover baseret på tilstandskontroller til at dirigere HTTP-trafik til den hurtigst tilgængelige oprindelse globalt, at ruter og stibaseret ruting giver dig mulighed for at sende forskellige URL-stier til forskellige backends, og at Premium-niveauet tilføjer Private Link-oprindelser og avancerede WAF-funktioner. Derefter undersøger vi, hvordan du knytter en Web Application Firewall til Front Door for at opnå sikkerhed.