Optimización del rendimiento con reglas de CDN

El motor de reglas de Azure Front Door (denominado Rule sets en Standard/Premium) permite interceptar y modificar solicitudes y respuestas HTTP en el PoP perimetral antes de almacenarlas en caché o reenviarlas al origen. Sin un motor de reglas, tendría que gestionar tareas como los redireccionamientos de HTTP a HTTPS, los encabezados de respuesta de seguridad y el bloqueo geográfico dentro del código de la aplicación de origen, lo que añadiría latencia y vincularía las cuestiones de seguridad a la lógica de negocio. Las reglas en el perímetro se ejecutan más rápido y reducen la carga del origen.

Uno de los casos de uso más habituales del motor de reglas es exigir HTTPS. Cuando un cliente solicita su sitio mediante HTTP, una regla de redireccionamiento en el perímetro de Front Door devuelve inmediatamente una respuesta 301 Moved Permanently (o 302 Found) que apunta a la URL HTTPS, sin que la solicitud llegue al origen. Esto es más rápido que los redireccionamientos en el origen y garantiza que todo el tráfico esté cifrado durante el tránsito. Configúrelo como una acción de redireccionamiento en las solicitudes cuya condición RequestScheme sea igual a HTTP.

Los navegadores modernos admiten encabezados de seguridad HTTP que previenen ataques habituales. Puede agregar estos encabezados a todas las respuestas mediante acciones de reglas del tipo Append response header, sin modificar el servidor de origen. Entre los encabezados clave se incluyen: Strict-Transport-Security (fuerza el uso de HTTPS durante un periodo), X-Content-Type-Options: nosniff (evita la detección automática de MIME), X-Frame-Options: DENY (evita el clickjacking) y Content-Security-Policy (restringe las fuentes de contenido). Agregarlos en el perímetro garantiza una aplicación coherente en todos los orígenes.

El motor de reglas permite invalidar el TTL de caché predeterminado para patrones de URL específicos. Por ejemplo, puede querer almacenar en caché /static/images/* durante 30 días, pero almacenar las respuestas de /api/* solo durante 60 segundos. Use una condición de coincidencia en RequestUri y una acción de Route configuration override que establezca una duración de caché personalizada. Esto permite controlar detalladamente la caché sin crear varias rutas independientes para cada tipo de contenido.

Las acciones de reescritura de URL modifican la URL de la solicitud antes de reenviarla al origen, sin cambiar la URL que ve el cliente. Esto resulta útil para enviar solicitudes desde una estructura de URL a una ruta de backend diferente. Por ejemplo, puede reescribir /products/item/{id} como /catalog/v2/products/{id} para adaptarse a un cambio en la API de backend sin actualizar los vínculos del cliente. La reescritura de URL es una acción del motor de reglas que modifica la URL path mediante el reemplazo de cadenas o grupos de captura.

El filtrado geográfico en el nivel del motor de reglas permite redirigir o bloquear usuarios de países específicos según la ubicación geográfica derivada de la IP del cliente. A diferencia del filtrado geográfico de CDN (que devuelve 403), el filtrado geográfico del motor de reglas ofrece más flexibilidad: puede redirigir los países bloqueados a una página de destino que explique la disponibilidad regional o dirigir determinados países a grupos de orígenes específicos de la región (por ejemplo, usuarios de la UE a orígenes de la UE para cumplir el RGPD). La coincidencia geográfica de RemoteAddress usa la base de datos de IP a país de MaxMind.

El motor de reglas puede agregar, sobrescribir o eliminar encabezados de solicitud antes de reenviarlos al origen. Un uso habitual es agregar un encabezado X-Forwarded-For o uno personalizado como X-Front-Door-Id para que el origen sepa que las solicitudes pasaron por Front Door y pueda validarlas. También puede eliminar el encabezado Host original y reemplazarlo por el nombre de host del origen, algo importante cuando el origen valida el encabezado Host. Esto le proporciona control total sobre lo que ve el servidor de origen.

Las condiciones del motor de reglas pueden coincidir con valores de encabezados de solicitud, lo que permite una lógica de enrutamiento sofisticada. Por ejemplo, puede dirigir las solicitudes que contengan el encabezado X-API-Version: 2 a un grupo de orígenes diferente que ejecute la API v2, mientras que las solicitudes sin ese encabezado se dirigen al origen v1. Esto permite implementar el versionado de API blue-green en el perímetro sin necesitar nombres de host independientes para cada versión de la API. El enrutamiento basado en encabezados también se utiliza para pruebas A/B mediante el enrutamiento basado en una cookie personalizada de segmento de usuario.

La compresión de respuestas en Front Door comprime respuestas basadas en texto (HTML, CSS, JavaScript y JSON) mediante gzip o Brotli antes de servirlas desde los PoP. La compresión es especialmente eficaz para paquetes grandes de JavaScript y puede reducir el tamaño de transferencia hasta un 70 %. Habilite la compresión en la configuración de la ruta y especifique los tipos MIME que se deben comprimir. El contenido comprimido se almacena en caché en formato comprimido en el PoP; por tanto, solo la primera solicitud de cada recurso activa la compresión y las solicitudes posteriores sirven al instante el archivo comprimido almacenado en caché.

Origin Shield es una capa de almacenamiento en caché adicional opcional que Front Door coloca entre los nodos perimetrales de los PoP y el origen. Cuando está habilitada, en lugar de que cada uno de los más de 100 PoP perimetrales solicite de forma independiente el contenido no almacenado en caché al origen, todos reenvían las omisiones de caché a un único PoP regional de Origin Shield, que después las reenvía al origen. Esto reduce significativamente el número de solicitudes que llegan al origen (lo que se denomina tasa de descarga del origen) y mantiene al mismo tiempo la entrega global de contenido desde los PoP perimetrales.

Antes de implementar cambios del motor de reglas en producción, valídelos mediante las herramientas de diagnóstico y prueba del portal. La hoja Diagnostic settings, con los registros de WAF en modo de detección, muestra con qué reglas coinciden las solicitudes. Para el motor de reglas, también puede inspeccionar los encabezados reales de solicitud y respuesta en las herramientas de desarrollo del navegador después de implementar los cambios en un entorno de prueba, o usar curl -v para enviar solicitudes específicas y comprobar que los encabezados de respuesta y el comportamiento de los redireccionamientos sean los esperados antes de pasar a producción.

Compruebe su comprensión de los conceptos de Microsoft Azure Fundamentals (AZ-900) de esta lección.

En esta lección ha aprendido que el motor de reglas de Front Door gestiona redireccionamientos de HTTP a HTTPS, encabezados de respuesta de seguridad y anulaciones del TTL de caché en el perímetro sin cambios en el origen; la reescritura de URL modifica silenciosamente las rutas de solicitud reenviadas al origen, mientras que el redireccionamiento de URL cambia la URL que ve el cliente; y Origin Shield reduce la carga del origen al consolidar las solicitudes por omisión de caché a través de un nodo de protección regional. A continuación, exploraremos Azure AI Services para agregar inteligencia a sus aplicaciones.