Azure DNS e nozioni fondamentali di Load Balancer

DNS (Domain Name System) traduce i nomi di dominio leggibili dalle persone, come api.mycompany.com, in indirizzi IP utilizzati dai computer per comunicare. Azure offre due servizi DNS: Azure DNS per ospitare zone DNS pubbliche, ovvero domini accessibili da Internet, e Azure Private DNS per la risoluzione dei nomi interna alle VNet. Senza una configurazione DNS corretta, è necessario fare riferimento alle risorse Azure tramite i relativi indirizzi IP, rendendo le architetture fragili: qualsiasi modifica dell'IP interrompe tutte le configurazioni dipendenti. Azure DNS è un servizio a disponibilità elevata e distribuito a livello globale, supportato dalla rete anycast di Microsoft.

Le zone pubbliche Azure DNS ospitano record DNS per domini accessibili da Internet. Si delega il dominio, registrato presso un registrar come GoDaddy, ad Azure DNS aggiornando i record NS del dominio in modo che puntino ai name server di Azure. Dopo la delega, tutti i record DNS (A, CNAME, MX, TXT e così via) vengono gestiti dal portale Azure o dalla CLI anziché tramite un provider DNS separato. Le zone pubbliche Azure DNS offrono una disponibilità SLA del 100%, propagazione globale in meno di un secondo e accesso controllato tramite RBAC, così solo i membri autorizzati del team possono modificare i record DNS.

Le zone private Azure DNS forniscono la risoluzione dei nomi per le risorse all'interno delle VNet senza esporre pubblicamente i record DNS. Ad esempio, è possibile creare la zona privata myapp.internal e registrare le VM affinché vengano risolte tramite nome (db.myapp.internal) anziché tramite IP. Le zone private DNS sono collegate alle VNet: solo le risorse nelle VNet collegate possono risolvere i record privati. È inoltre possibile abilitare la registrazione automatica, che crea automaticamente i record DNS per le VM quando queste entrano nella VNet, mantenendo il DNS sincronizzato senza gestione manuale.

Gli endpoint privati, per servizi come Azure SQL, Blob Storage e Key Vault, richiedono che il DNS risolva il nome host pubblico del servizio nell'IP privato anziché nell'IP pubblico. Azure offre zone DNS private per ogni servizio, ad esempio privatelink.blob.core.windows.net per Blob Storage. Quando si crea un endpoint privato, Azure crea un record DNS A in questa zona privata, associandolo all'IP privato. Colleghi questa zona alla VNet: tutte le ricerche DNS per l'URL dell'account di archiviazione verranno risolte automaticamente nell'IP privato, instradando il traffico sulla rete backbone privata senza modifiche al codice dell'applicazione.

Azure Load Balancer distribuisce il traffico di rete in ingresso tra più risorse backend, ovvero VM o istanze in un set di scalabilità, per evitare che una singola risorsa venga sovraccaricata. Opera al livello 4 (livello di trasporto) del modello OSI: instrada i pacchetti TCP e UDP in base all'IP e alla porta di origine e destinazione, senza analizzare il contenuto HTTP. Azure Load Balancer è un servizio a disponibilità elevata e con ridondanza di zona, con uno SLA del 99,99% (SKU Standard), e supporta sia il bilanciamento del carico in ingresso, da Internet o dalla VNet, sia lo SNAT in uscita per l'accesso delle VM a Internet.

Azure Load Balancer ha quattro componenti principali: configurazione IP frontend — l'IP pubblico o privato a cui si connettono i client. Pool backend — l'insieme di VM o istanze del set di scalabilità che ricevono il traffico. Regole di bilanciamento del carico — associano una combinazione IP:porta frontend a una porta backend e specificano l'algoritmo di distribuzione del carico, per impostazione predefinita un hash a 5 tuple. Probe di integrità — verificano periodicamente ogni istanza backend; le istanze che non superano i controlli di integrità smettono di ricevere nuove connessioni fino al ripristino. Insieme, questi componenti definiscono come il traffico viene ricevuto, verificato e distribuito.

Le probe di integrità sono controlli periodici inviati dal load balancer a ogni istanza backend per determinare se è integra e deve ricevere traffico. Si configurano il protocollo della probe (HTTP, HTTPS o TCP), la porta e l'intervallo. Per le probe HTTP/HTTPS, il load balancer invia una richiesta GET a un percorso URL specificato: l'istanza è considerata integra se restituisce HTTP 200. Per le probe TCP, una connessione TCP riuscita indica che l'istanza è integra. Se un backend non supera un numero configurabile di probe consecutive, il load balancer smette di inviargli nuove connessioni finché non supera nuovamente i controlli. Questo fornisce una tolleranza automatica agli errori senza interventi manuali.

Azure Load Balancer è disponibile in due SKU: Basic — gratuito, supporta fino a 300 istanze backend, senza SLA, senza supporto per le zone di disponibilità e senza il requisito NSG sicuro per impostazione predefinita. Standard — a pagamento (circa 20 $ al mese come costo base), supporta fino a 1.000 istanze backend, offre uno SLA del 99,99%, un frontend con ridondanza di zona, sicurezza predefinita (sono necessarie regole NSG esplicite per consentire il traffico) e supporto per più IP frontend. Per qualsiasi carico di lavoro di produzione, è vivamente consigliato lo SKU Standard. Microsoft sta ritirando lo SKU Basic: per le nuove distribuzioni è sempre necessario utilizzare Standard.

Azure Load Balancer può essere distribuito in due configurazioni: Load Balancer pubblico (esterno) — dispone di un IP pubblico nel frontend e distribuisce il traffico Internet tra le VM backend. Viene utilizzato per applicazioni accessibili da Internet, come server Web e gateway API. Load Balancer interno (privato) — dispone di un IP privato nel frontend all'interno di una VNet e distribuisce il traffico interno alla VNet. Viene utilizzato per applicazioni multilivello in cui il load balancer del livello applicativo non deve essere accessibile da Internet, ma solo dal livello Web nella stessa VNet. È possibile distribuire entrambi contemporaneamente: un LB pubblico per il livello Web e un LB interno per il livello applicativo.

Azure offre due servizi principali di bilanciamento del carico per scenari diversi: Azure Load Balancer — Livello 4, TCP/UDP, latenza estremamente bassa, gestisce milioni di connessioni al secondo. È ideale per carichi di lavoro non HTTP o quando le priorità sono il throughput massimo e la latenza minima. Azure Application Gateway — Livello 7, HTTP/HTTPS, comprende i percorsi URL e le intestazioni, include Web Application Firewall (WAF), terminazione SSL, affinità di sessione basata sui cookie e routing basato sull'URL. È ideale per le applicazioni web che richiedono il bilanciamento del carico basato sul contenuto, l'offload TLS e la protezione WAF. Per un semplice bilanciamento del carico TCP, usate Load Balancer. Per le applicazioni web, Application Gateway offre un valore aggiunto significativo.

DNS e Load Balancer collaborano per creare endpoint resilienti e intuitivi per gli utenti. Un modello comune è il seguente: 1) Create un Azure Load Balancer con un indirizzo IP pubblico Standard e un pool back-end di macchine virtuali con server web. 2) Create un record CNAME DNS in Azure DNS che punti www.mycompany.com all'indirizzo IP pubblico (o al nome DNS) del Load Balancer. 3) Quando gli utenti visitano www.mycompany.com, il DNS risolve il nome nell'indirizzo IP del Load Balancer, che distribuisce le richieste tra le istanze di macchine virtuali integre. In questo modo ottenete sia un URL intuitivo per gli utenti sia la distribuzione automatica del traffico con tolleranza agli errori.

Verificate la vostra comprensione dei concetti di Microsoft Azure Fundamentals (AZ-900) trattati in questa lezione.

In questa lezione avete appreso che: Azure DNS ospita zone DNS pubbliche e private con una disponibilità prossima al 100%, consentendo di usare nomi leggibili per le risorse di Azure, le zone DNS private con registrazione automatica mantengono aggiornati i record DNS delle VNet senza gestione manuale e Azure Load Balancer distribuisce il traffico TCP/UDP di Livello 4 tra le istanze di macchine virtuali back-end integre, usando probe di integrità per rilevare automaticamente le istanze guaste ed escluderle. Ora passeremo al corso sui database di Azure, iniziando da Azure SQL Database.