Grundlagen von Azure DNS und Load Balancer

DNS (Domain Name System) übersetzt für Menschen lesbare Domänennamen wie api.mycompany.com in IP-Adressen, die Computer für die Kommunikation verwenden. Azure bietet zwei DNS-Dienste: Azure DNS zum Hosten öffentlicher DNS-Zonen – also internetseitig erreichbarer Domänen – und Azure Private DNS für die interne Namensauflösung innerhalb von VNets. Ohne eine korrekte DNS-Konfiguration müssen Azure-Ressourcen über ihre IP-Adressen angesprochen werden, wodurch Architekturen fragil werden: Jede Änderung einer IP-Adresse führt zum Ausfall aller davon abhängigen Konfigurationen. Azure DNS ist ein hochverfügbarer, global verteilter Dienst, der durch Microsofts Anycast-Netzwerk unterstützt wird.

Öffentliche Azure-DNS-Zonen hosten DNS-Einträge für Domänen, die über das Internet erreichbar sind. Sie delegieren Ihre Domäne, die bei einem Registrar wie GoDaddy registriert ist, an Azure DNS, indem Sie die NS-Einträge der Domäne so aktualisieren, dass sie auf die Nameserver von Azure verweisen. Nach der Delegierung verwalten Sie alle DNS-Einträge – A, CNAME, MX, TXT usw. – über das Azure-Portal oder die CLI statt über einen separaten DNS-Anbieter. Öffentliche Azure-DNS-Zonen bieten eine 100-prozentige SLA-Verfügbarkeit, eine globale Weitergabe innerhalb von unter einer Sekunde und RBAC-gesteuerten Zugriff, sodass nur autorisierte Teammitglieder DNS-Einträge ändern können.

Private Azure-DNS-Zonen ermöglichen die Namensauflösung für Ressourcen innerhalb von VNets, ohne DNS-Einträge öffentlich zugänglich zu machen. Sie können beispielsweise eine private Zone myapp.internal erstellen und Ihre VMs registrieren, sodass diese über ihren Namen – db.myapp.internal – statt über ihre IP-Adresse aufgelöst werden. Private DNS-Zonen werden mit VNets verknüpft; nur Ressourcen in verknüpften VNets können die privaten Einträge auflösen. Sie können außerdem die automatische Registrierung aktivieren. Dadurch werden beim Beitritt von VMs zum VNet automatisch DNS-Einträge erstellt, sodass DNS ohne manuelle Verwaltung synchron bleibt.

Private Endpoints – etwa für Azure SQL, Blob Storage und Key Vault – erfordern, dass DNS den öffentlichen Hostnamen des Dienstes in die private IP-Adresse statt in die öffentliche IP-Adresse auflöst. Azure stellt private DNS-Zonen für jeden Dienst bereit, beispielsweise privatelink.blob.core.windows.net für Blob Storage. Wenn Sie einen Private Endpoint erstellen, legt Azure in dieser privaten Zone einen DNS-A-Eintrag an, der auf die private IP-Adresse verweist. Verknüpfen Sie diese Zone mit Ihrem VNet, werden alle DNS-Abfragen für die URL des Speicherkontos automatisch in die private IP-Adresse aufgelöst. Der Datenverkehr wird dadurch über das private Backbone geleitet, ohne dass Änderungen am Anwendungscode erforderlich sind.

Azure Load Balancer verteilt eingehenden Netzwerkdatenverkehr auf mehrere Back-End-Ressourcen – VMs oder Instanzen in einer Skalierungsgruppe –, damit keine einzelne Ressource überlastet wird. Er arbeitet auf Layer 4 (Transportschicht) des OSI-Modells. Dabei routet er TCP- und UDP-Pakete anhand von Quell- und Ziel-IP-Adresse sowie Port, ohne den HTTP-Inhalt zu untersuchen. Azure Load Balancer ist ein hochverfügbarer, zonenredundanter Dienst mit einer SLA von 99,99 % (Standard-SKU) und unterstützt sowohl eingehenden Load Balancing-Datenverkehr aus dem Internet oder einem VNet als auch ausgehendes SNAT für den Internetzugriff von VMs.

Azure Load Balancer besteht aus vier Hauptkomponenten: Frontend-IP-Konfiguration – die öffentliche oder private IP-Adresse, mit der sich Clients verbinden. Back-End-Pool – die Gruppe von VMs oder Instanzen einer Skalierungsgruppe, die den Datenverkehr empfängt. Load-Balancing-Regeln – ordnen eine Frontend-IP-Adresse und einen Port einem Back-End-Port zu und legen den Algorithmus für die Lastverteilung fest, standardmäßig einen 5-Tupel-Hash. Integritätstests – prüfen regelmäßig jede Back-End-Instanz. Instanzen, die Integritätsprüfungen nicht bestehen, erhalten bis zu ihrer Wiederherstellung keine neuen Verbindungen. Zusammen bestimmen diese Komponenten, wie Datenverkehr empfangen, geprüft und verteilt wird.

Integritätstests sind regelmäßige Prüfungen, die der Load Balancer an jede Back-End-Instanz sendet, um festzustellen, ob sie fehlerfrei ist und Datenverkehr empfangen soll. Sie konfigurieren das Protokoll des Tests – HTTP, HTTPS oder TCP –, den Port und das Intervall. Bei HTTP-/HTTPS-Tests sendet der Load Balancer eine GET-Anforderung an einen angegebenen URL-Pfad. Die Instanz gilt als fehlerfrei, wenn sie HTTP 200 zurückgibt. Bei TCP-Tests gilt eine erfolgreiche TCP-Verbindung als Zeichen für einen fehlerfreien Zustand. Wenn ein Back-End eine konfigurierbare Anzahl aufeinanderfolgender Tests nicht besteht, sendet der Load Balancer keine neuen Verbindungen mehr an diese Instanz, bis sie die Tests wieder besteht. Dies ermöglicht eine automatische Fehlertoleranz ohne manuellen Eingriff.

Azure Load Balancer ist in zwei SKUs verfügbar: Basic – kostenlos, unterstützt bis zu 300 Back-End-Instanzen, ohne SLA, ohne Unterstützung für Verfügbarkeitszonen und ohne verpflichtende standardmäßige Absicherung durch NSGs. Standard – kostenpflichtig, etwa 20 $ pro Monat als Grundgebühr, unterstützt bis zu 1.000 Back-End-Instanzen, mit einer SLA von 99,99 %, zonenredundantem Front-End, standardmäßiger Absicherung und mehreren Frontend-IP-Adressen. Die Standard-SKU ist für alle Produktions-Workloads dringend zu empfehlen. Microsoft stellt die Basic-SKU ein; neue Bereitstellungen sollten daher immer Standard verwenden.

Azure Load Balancer kann in zwei Konfigurationen bereitgestellt werden: öffentlicher (externer) Load Balancer – verfügt über eine öffentliche IP-Adresse am Frontend und verteilt den Internetdatenverkehr auf Back-End-VMs. Er wird für internetseitig erreichbare Anwendungen wie Webserver und API-Gateways verwendet. interner (privater) Load Balancer – verfügt über eine private IP-Adresse am Frontend innerhalb eines VNets und verteilt Datenverkehr innerhalb des VNets. Er wird für mehrschichtige Anwendungen eingesetzt, bei denen der Load Balancer der Anwendungsschicht nicht aus dem Internet erreichbar sein soll, sondern nur von der Webschicht im selben VNet. Sie können beide Varianten gleichzeitig bereitstellen: einen öffentlichen Load Balancer für die Webschicht und einen internen Load Balancer für die Anwendungsschicht.

Azure bietet zwei zentrale Load-Balancing-Dienste für unterschiedliche Szenarien: Azure Load Balancer – Layer 4, TCP/UDP, extrem geringe Latenz, verarbeitet Millionen von Verbindungen pro Sekunde. Optimal für Nicht-HTTP-Workloads oder wenn maximaler Durchsatz und minimale Latenz Priorität haben. Azure Application Gateway – Layer 7, HTTP/HTTPS, versteht URL-Pfade und Header und umfasst Web Application Firewall (WAF), SSL-Terminierung, cookiebasierte Sitzungspersistenz und URL-basiertes Routing. Optimal für Webanwendungen, die inhaltsabhängiges Load Balancing, TLS-Offloading und WAF-Schutz benötigen. Für einfaches TCP-Load-Balancing verwenden Sie Load Balancer. Für Webanwendungen bietet Application Gateway einen deutlichen Mehrwert.

DNS und Load Balancer arbeiten zusammen, um ausfallsichere und benutzerfreundliche Endpunkte zu erstellen. Ein gängiges Muster: 1) Erstellen Sie einen Azure Load Balancer mit einer öffentlichen Standard-IP-Adresse und einem Backendpool aus Webserver-VMs. 2) Erstellen Sie in Azure DNS einen DNS-CNAME-Eintrag, der www.mycompany.com auf die öffentliche IP-Adresse (oder den DNS-Namen) des Load Balancers verweist. 3) Wenn Benutzer www.mycompany.com aufrufen, wird der DNS-Name in die IP-Adresse des Load Balancers aufgelöst, und der Load Balancer verteilt die Anforderungen auf fehlerfreie VM-Instanzen. So erhalten Sie sowohl eine benutzerfreundliche URL als auch eine automatische Datenverkehrsverteilung mit Fehlertoleranz.

Testen Sie Ihr Verständnis der Konzepte von Microsoft Azure Fundamentals (AZ-900) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Azure DNS hostet öffentliche und private DNS-Zonen mit nahezu 100 % Verfügbarkeit und ermöglicht dadurch menschenlesbare Namen für Azure-Ressourcen, private DNS-Zonen mit automatischer Registrierung halten VNet-DNS-Einträge ohne manuelle Verwaltung aktuell und Azure Load Balancer verteilt TCP/UDP-Datenverkehr auf Layer 4 mithilfe von Integritätsprüfungen auf fehlerfreie Backend-VM-Instanzen und erkennt ausgefallene Instanzen automatisch und umgeht sie. Als Nächstes wechseln wir zum Kurs Azure-Datenbanken und beginnen mit Azure SQL Database.