Azure Front Door: Globaler Load Balancer

Azure Front Door ist ein global verteiltes Netzwerk für die Anwendungsbereitstellung, das auf Schicht 7 (HTTP/HTTPS) arbeitet. Mithilfe von Anycast-Netzwerken leitet es Clientanfragen an den schnellsten verfügbaren Backend-Origin in mehreren Azure-Regionen weiter. Der Datenverkehr gelangt dabei am nächstgelegenen Edge-PoP in das Azure-Backbone, statt das öffentliche Internet bis zu Ihrem Origin zu durchqueren. Front Door bietet globales Load Balancing, SSL-Offloading, CDN-Caching und eine integrierte Web Application Firewall als gemeinsamen Dienst.

Azure Front Door ist in zwei Tarifen verfügbar. Standard umfasst CDN-Caching, benutzerdefinierte Domänen mit verwaltetem TLS, eine Regel-Engine und eine grundlegende WAF. Premium ergänzt eine erweiterte WAF mit verwalteten Regelsätzen (Microsoft-Standard- und OWASP-Regelsätze), Bot-Schutz, Sicherheitsberichte, die Integration von Private Link (um Datenverkehr über einen privaten Endpunkt ohne öffentliche IP an Origins zu senden) sowie die Integration von Azure Defender. Die meisten Webanwendungen in Produktionsumgebungen verwenden Premium wegen der WAF- und Private-Link-Funktionen.

In Front Door ist ein Origin ein Backendserver – etwa ein App Service, eine öffentliche IP-Adresse, eine statische Website in Blob Storage oder ein beliebiger HTTP(S)-Endpunkt. Origins werden zu Origin-Gruppen zusammengefasst. Einstellungen für Load Balancing und Zustandsprüfungen werden pro Origin-Gruppe konfiguriert. Beispielsweise können Sie eine Origin-Gruppe mit App-Service-Backends in East US und West US einrichten. Front Door leitet Anfragen innerhalb der Gruppe anhand von Priorität, Gewichtung oder Latenz weiter und entfernt nicht fehlerfreie Origins auf Grundlage der Ergebnisse der Zustandsprüfungen automatisch.

Zustandsprüfungen sind regelmäßig von Front-Door-PoPs an die einzelnen Origins gesendete HTTP/HTTPS-Anfragen, mit denen die Latenz gemessen und der fehlerfreie Zustand des Origins überprüft wird. Sie konfigurieren den Prüfpfad, das Protokoll, das Intervall und die Anzahl aufeinanderfolgender Fehler, bevor ein Origin als fehlerhaft markiert wird. Wenn ein Origin die Zustandsprüfungen nicht besteht, entfernt Front Door ihn automatisch aus dem Routing-Pool. Alle neuen Anfragen werden an die verbleibenden fehlerfreien Origins gesendet. Dadurch wird ein automatisches Failover ohne manuelles Eingreifen ermöglicht.

Front Door unterstützt innerhalb einer Origin-Gruppe drei Load-Balancing-Methoden. Latenzbasiertes Routing (Standard) sendet jede Anfrage an den Origin mit der niedrigsten gemessenen Round-Trip-Zeit vom nächstgelegenen PoP des Clients – ideal für eine hohe Leistung. Gewichtetes Routing verteilt den Datenverkehr anhand zugewiesener Gewichtungen (z. B. 80 % an den primären und 20 % an den sekundären Origin) und eignet sich für Canary-Bereitstellungen. Prioritätsbasiertes Routing sendet den gesamten Datenverkehr an den Origin mit der höchsten Priorität und wechselt nur dann zu Origins mit niedrigerer Priorität, wenn der primäre Origin fehlerhaft ist – ideal für ein aktiv-passives Notfallwiederherstellungsszenario.

Eine Route in Front Door ordnet eine Domäne und ein URL-Pfadmuster einer Origin-Gruppe zu. Sie können mehrere Routen erstellen, um pfadbasiertes Routing zu implementieren: Beispielsweise leitet /api/* an einen API-App-Service im Backend weiter, /static/* an einen Blob-Storage-Origin mit aggressivem CDN-Caching und /* an das Web-Frontend. Jede Route verfügt über unabhängige Einstellungen für Caching, Komprimierung und Weiterleitungsprotokoll.

Front Door stellt für jede benutzerdefinierte Domäne, die Sie einem Endpunkt zuordnen, ein verwaltetes TLS-Zertifikat bereit. Dieses wird über DigiCert automatisch bereitgestellt und vor Ablauf ohne zusätzliche Kosten automatisch verlängert. Sie bestätigen den Besitz der Domäne, indem Sie einen CNAME-Eintrag hinzufügen, der Ihre Apex-Domäne oder Subdomäne auf den Front-Door-Endpunkt verweist. Sie können auch Ihr eigenes in Azure Key Vault gespeichertes Zertifikat verwenden. Front Door beendet TLS am Edge-PoP, wodurch sich die Latenz bei TLS-Handshakes gegenüber einer TLS-Terminierung am Origin verringert.

Mit der Regel-Engine (in Standard/Premium Regelsätze genannt) können Sie das Routing anhand von Anfrageattributen ändern: Sie können URL-Pfad, Abfragezeichenfolge, Anfragemethode, HTTP-Header, geografischen Standort oder Gerätetyp abgleichen. Zu den Aktionen gehören das Umleiten von URLs, die Weiterleitung an eine andere Origin-Gruppe, das Ändern von Anfrage- oder Antwort-Headern sowie das Überschreiben von Caching-Einstellungen. Häufig wird die Regel-Engine verwendet, um HTTPS zu erzwingen, indem der gesamte HTTP-Datenverkehr mit einer Umleitungsregel an HTTPS weitergeleitet wird, bevor er den Origin erreicht.

Im Premium-Tarif kann Front Door über Private Link statt über das öffentliche Internet eine Verbindung zu Origins herstellen. Dadurch benötigt Ihr App-Service- oder Blob-Storage-Origin keine öffentliche IP-Adresse. Der Datenverkehr von den Front-Door-PoPs wird über Microsofts privates Backbone an einen privaten Endpunkt in Ihrem VNet übertragen. Sie genehmigen die Private-Link-Verbindungsanforderung im Portal oder über die CLI. Danach durchquert der Datenverkehr zwischen Front Door und dem Origin niemals das öffentliche Internet, sodass keine eingehenden Firewallregeln am Origin erforderlich sind.

Die Sitzungsaffinität (auch Sticky Sessions genannt) stellt sicher, dass Anfragen desselben Clients während einer Sitzung stets an denselben Origin weitergeleitet werden. Front Door erreicht dies mithilfe eines cookie-basierten Verfahrens: Bei der ersten Antwort wird ein Sitzungscookie gesetzt, und nachfolgende Anfragen mit diesem Cookie werden an denselben Origin gebunden. Die Sitzungsaffinität beeinträchtigt die gleichmäßige Lastverteilung zugunsten der Anwendungskompatibilität, wenn der Zustand lokal auf dem Origin-Server und nicht in einem gemeinsam genutzten Cache oder einer Datenbank gespeichert wird.

Front Door sendet Metriken an Azure Monitor, darunter Gesamtzahl der Anfragen, Prozentsatz fehlerfreier Origins, Request-Hit-Ratio, Origin-Latenz und WAF-Anzahl der Anfragen nach Aktion. Sie können für diese Metriken Warnungsregeln erstellen, um benachrichtigt zu werden, wenn der Zustand der Origins unter einen Schwellenwert fällt oder die Anzahl unerwartet blockierter WAF-Anfragen stark ansteigt. Front Door bietet im Premium-Tarif außerdem integrierte Berichte zum Datenverkehr nach geografischem Standort, zu den am häufigsten angeforderten URLs und zu den Regeln, die von der WAF ausgelöst wurden.

Testen Sie Ihr Verständnis der Konzepte aus Microsoft Azure Fundamentals (AZ-900) in dieser Lektion.

In dieser Lektion haben Sie gelernt: Azure Front Door verwendet Anycast-Netzwerke und ein auf Zustandsprüfungen basierendes Failover, um HTTP-Datenverkehr weltweit an den schnellsten verfügbaren Origin weiterzuleiten. Routen und pfadbasiertes Routing ermöglichen es, verschiedene URL-Pfade an unterschiedliche Backends weiterzuleiten, und der Premium-Tarif ergänzt Private-Link-Origins sowie erweiterte WAF-Funktionen. Als Nächstes sehen wir uns an, wie Sie eine Web Application Firewall für Front Door einbinden, um die Sicherheit zu erhöhen.