Azure Front Door: equilibrio de carga global

Azure Front Door es una red de entrega de aplicaciones distribuida globalmente que funciona en la capa 7 (HTTP/HTTPS). Enruta las solicitudes de los clientes al origen backend disponible más rápido entre varias regiones de Azure mediante redes anycast: el tráfico entra en la red troncal de Azure a través del PoP perimetral más cercano, en lugar de atravesar Internet público hasta llegar al origen. Front Door proporciona equilibrio de carga global, descarga de SSL, almacenamiento en caché de CDN y un Web Application Firewall integrado en un único servicio.

Azure Front Door está disponible en dos niveles. Standard incluye almacenamiento en caché de CDN, dominios personalizados con TLS administrado, un motor de reglas y WAF básico. Premium añade WAF avanzado con conjuntos de reglas administradas (Microsoft Default y conjuntos de reglas de OWASP), protección contra bots, informes de seguridad, integración con Private Link (para enviar tráfico a los orígenes mediante un endpoint privado sin una IP pública) e integración con Azure Defender. La mayoría de las aplicaciones web de producción utilizan Premium por sus capacidades de WAF y Private Link.

En Front Door, un origen es un servidor backend: un App Service, una IP pública, un sitio web estático de Blob Storage o cualquier endpoint HTTP(S). Los orígenes se agrupan en grupos de orígenes. La configuración del equilibrio de carga y de las comprobaciones de estado se realiza por grupo de orígenes. Por ejemplo, podría tener un grupo de orígenes con backends de App Service en Este de EE. UU. y Oeste de EE. UU. Front Door enruta las solicitudes dentro del grupo según la prioridad, el peso o la latencia, y quita automáticamente los orígenes que no están en buen estado según los resultados de las comprobaciones de estado.

Las comprobaciones de estado son solicitudes HTTP/HTTPS periódicas que los PoP de Front Door envían a cada origen para medir la latencia y verificar que el origen funciona correctamente. Puede configurar la ruta, el protocolo y el intervalo de la comprobación, así como el número de errores consecutivos necesarios para marcar un origen como no saludable. Cuando un origen no supera las comprobaciones de estado, Front Door lo quita automáticamente del grupo de enrutamiento y envía todas las solicitudes nuevas a los orígenes saludables restantes. Esto permite una conmutación por error automática sin intervención manual.

Front Door admite tres métodos de equilibrio de carga dentro de un grupo de orígenes. El enrutamiento basado en la latencia (predeterminado) envía cada solicitud al origen con el menor tiempo de ida y vuelta medido desde el PoP más cercano al cliente, lo que resulta ideal para el rendimiento. El método ponderado distribuye el tráfico según los pesos asignados (por ejemplo, 80 % al principal y 20 % al secundario), lo que resulta útil para implementaciones canary. El método de prioridad envía todo el tráfico al origen con mayor prioridad y conmuta a orígenes de menor prioridad solo si el principal no está saludable, lo que resulta ideal para la recuperación ante desastres activa-pasiva.

Una ruta en Front Door asigna un dominio y un patrón de ruta URL a un grupo de orígenes. Puede crear varias rutas para implementar el enrutamiento basado en rutas: por ejemplo, /api/* se dirige a un App Service de API backend, /static/* se dirige a un origen de Blob Storage con almacenamiento en caché de CDN agresivo y /* se dirige al frontend web. Cada ruta tiene su propia configuración de almacenamiento en caché, compresión y protocolo de reenvío.

Front Door proporciona un certificado TLS administrado para cada dominio personalizado que asocia a un endpoint. El certificado se aprovisiona automáticamente mediante DigiCert y se renueva automáticamente antes de caducar, sin coste adicional. Para validar la propiedad del dominio, agregue un registro CNAME que apunte el dominio raíz o subdominio al endpoint de Front Door. También puede utilizar su propio certificado almacenado en Azure Key Vault. Front Door termina TLS en el PoP perimetral, lo que reduce la latencia de los handshakes TLS en comparación con la terminación de TLS en el origen.

El motor de reglas (denominado Rule sets en Standard/Premium) permite modificar el comportamiento del enrutamiento según los atributos de la solicitud: puede realizar coincidencias con la ruta URL, la cadena de consulta, el método de solicitud, los encabezados HTTP, la geolocalización o el tipo de dispositivo. Entre las acciones se incluyen redirigir URL, reenviar a otro grupo de orígenes, modificar encabezados de solicitud o respuesta, o reemplazar la configuración de almacenamiento en caché. Un uso habitual es exigir HTTPS redirigiendo todo el tráfico HTTP a HTTPS mediante una regla de redirección antes de que llegue al origen.

En el nivel Premium, Front Door puede conectarse a los orígenes mediante Private Link en lugar de Internet público. Esto significa que el origen de App Service o Blob Storage no necesita una IP pública: el tráfico de los PoP de Front Door viaja por la red troncal privada de Microsoft hasta un endpoint privado de su VNet. Puede aprobar la solicitud de conexión de Private Link en el portal o mediante la CLI. Después, el tráfico entre Front Door y el origen nunca atraviesa Internet público, lo que elimina la necesidad de reglas de firewall de entrada en el origen.

La afinidad de sesión (también denominada sesiones persistentes) garantiza que las solicitudes del mismo cliente se enruten sistemáticamente al mismo origen durante toda la sesión. Front Door lo consigue mediante un mecanismo basado en cookies: establece una cookie de sesión en la primera respuesta y las solicitudes posteriores que incluyen esa cookie quedan vinculadas al mismo origen. La afinidad de sesión sacrifica una distribución uniforme de la carga en favor de la compatibilidad de la aplicación cuando el estado se almacena localmente en el servidor de origen en lugar de hacerlo en una caché o base de datos compartida.

Front Door emite métricas a Azure Monitor, entre ellas solicitudes totales, porcentaje de estado del origen, proporción de aciertos de solicitudes, latencia del origen y recuento de solicitudes de WAF por acción. Puede crear reglas de alerta de métricas para recibir notificaciones cuando el estado del origen caiga por debajo de un umbral o aumente inesperadamente el número de bloqueos del WAF. Front Door también proporciona informes integrados en el nivel Premium que muestran el tráfico por geografía, las URL más solicitadas y las reglas coincidentes del WAF.

Compruebe sus conocimientos sobre los conceptos de Microsoft Azure Fundamentals (AZ-900) de esta lección.

En esta lección ha aprendido que Azure Front Door utiliza redes anycast y la conmutación por error basada en comprobaciones de estado para enrutar el tráfico HTTP al origen disponible más rápido de forma global; las rutas y el enrutamiento basado en rutas permiten dirigir distintas rutas URL a diferentes backends; y el nivel Premium añade orígenes de Private Link y capacidades avanzadas de WAF. A continuación, exploraremos cómo asociar un Web Application Firewall a Front Door para mejorar la seguridad.