Azure Front Door: bilanciamento del carico globale

Azure Front Door è una rete di distribuzione delle applicazioni distribuita a livello globale che opera al livello 7 (HTTP/HTTPS). Instrada le richieste dei client verso l'origine backend disponibile più veloce tra più aree di Azure usando il networking anycast: il traffico entra nel backbone di Azure presso il PoP edge più vicino, invece di attraversare Internet pubblico fino all'origine. Front Door offre bilanciamento del carico globale, terminazione SSL, memorizzazione nella cache CDN e un Web Application Firewall integrato in un unico servizio.

Azure Front Door è disponibile in due livelli. Standard include la memorizzazione nella cache CDN, domini personalizzati con TLS gestito, il motore per le regole e un WAF di base. Premium aggiunge un WAF avanzato con set di regole gestiti (set di regole Microsoft Default e OWASP), protezione dai bot, report di sicurezza, integrazione con Private Link (per inviare il traffico alle origini tramite un endpoint privato senza un indirizzo IP pubblico) e integrazione con Azure Defender. La maggior parte delle applicazioni Web di produzione usa Premium per le funzionalità WAF e Private Link.

In Front Door, un'origine è un server backend, ad esempio un App Service, un indirizzo IP pubblico, un sito Web statico di Blob Storage o qualsiasi endpoint HTTP(S). Le origini vengono raggruppate in gruppi di origini. Le impostazioni di bilanciamento del carico e dei probe di integrità vengono configurate per ogni gruppo di origini. Ad esempio, potrebbe avere un gruppo di origini con backend App Service negli Stati Uniti orientali e occidentali. Front Door instrada le richieste all'interno del gruppo in base alla priorità, al peso o alla latenza e rimuove automaticamente le origini non integre in base ai risultati dei probe di integrità.

I probe di integrità sono richieste HTTP/HTTPS periodiche inviate dai PoP di Front Door a ogni origine per misurare la latenza e verificare che l'origine sia integra. È possibile configurare il percorso del probe, il protocollo, l'intervallo e il numero di errori consecutivi necessari prima che un'origine venga contrassegnata come non integra. Quando un'origine non supera i probe di integrità, Front Door la rimuove automaticamente dal pool di routing: tutte le nuove richieste vengono inviate alle origini integre rimanenti. Questo abilita il failover automatico senza intervento manuale.

Front Door supporta tre metodi di bilanciamento del carico all'interno di un gruppo di origini. Il routing basato sulla latenza (predefinito) invia ogni richiesta all'origine con il tempo di andata e ritorno misurato più basso dal PoP più vicino al client: è ideale per le prestazioni. Il metodo basato sul peso distribuisce il traffico in base ai pesi assegnati (ad esempio, 80% all'origine primaria e 20% a quella secondaria): è utile per le distribuzioni canary. Il metodo basato sulla priorità invia tutto il traffico all'origine con la priorità più alta e passa alle origini con priorità inferiore solo se quella primaria non è integra: è ideale per il ripristino di emergenza active-passive.

Una route in Front Door associa un dominio e un modello di percorso URL a un gruppo di origini. È possibile creare più route per implementare il routing basato sul percorso: ad esempio, /api/* indirizza a un App Service API backend, /static/* indirizza a un'origine Blob Storage con una memorizzazione nella cache CDN aggressiva e /* indirizza al frontend Web. Ogni route dispone di impostazioni indipendenti per la memorizzazione nella cache, la compressione e il protocollo di inoltro.

Front Door fornisce un certificato TLS gestito per ogni dominio personalizzato associato a un endpoint: il certificato viene fornito automaticamente tramite DigiCert e rinnovato automaticamente prima della scadenza, senza costi aggiuntivi. Per convalidare la proprietà del dominio, aggiunga un record CNAME che punti il dominio radice o il sottodominio all'endpoint Front Door. Può anche usare un proprio certificato archiviato in Azure Key Vault. Front Door termina il TLS al PoP edge, riducendo la latenza degli handshake TLS rispetto al TLS terminato sull'origine.

Il motore per le regole (chiamato Rule sets in Standard/Premium) consente di modificare il comportamento del routing in base agli attributi della richiesta: può eseguire corrispondenze sul percorso URL, sulla stringa di query, sul metodo della richiesta, sulle intestazioni HTTP, sulla posizione geografica o sul tipo di dispositivo. Le azioni includono il reindirizzamento degli URL, l'inoltro a un altro gruppo di origini, la modifica delle intestazioni della richiesta o della risposta oppure la sostituzione delle impostazioni di memorizzazione nella cache. Un uso comune consiste nell'imporre HTTPS reindirizzando tutto il traffico HTTP a HTTPS con una regola di reindirizzamento prima che raggiunga l'origine.

Nel livello Premium, Front Door può connettersi alle origini tramite Private Link invece che tramite Internet pubblico. Ciò significa che l'origine App Service o Blob Storage non necessita di un indirizzo IP pubblico: il traffico dai PoP di Front Door viaggia sul backbone privato di Microsoft fino a un endpoint privato nella rete virtuale. È possibile approvare la richiesta di connessione Private Link nel portale o tramite CLI; dopodiché, il traffico tra Front Door e l'origine non attraversa mai Internet pubblico, eliminando la necessità di regole firewall in ingresso sull'origine.

L'affinità di sessione (chiamata anche sessione persistente) garantisce che le richieste dello stesso client vengano instradate costantemente alla stessa origine per tutta la durata della sessione. Front Door ottiene questo risultato tramite un meccanismo basato sui cookie: imposta un cookie di sessione nella prima risposta e le richieste successive che contengono quel cookie vengono vincolate alla stessa origine. L'affinità di sessione sacrifica una distribuzione uniforme del carico a favore della compatibilità dell'applicazione quando lo stato viene archiviato localmente sul server d'origine anziché in una cache o un database condiviso.

Front Door invia ad Azure Monitor metriche tra cui richieste totali, percentuale di integrità dell'origine, rapporto di hit delle richieste, latenza dell'origine e numero di richieste WAF per azione. È possibile creare regole di avviso sulle metriche per ricevere una notifica quando l'integrità dell'origine scende al di sotto di una soglia o quando i blocchi del WAF aumentano in modo imprevisto. Front Door offre inoltre report integrati nel livello Premium che mostrano il traffico per area geografica, gli URL più richiesti e le regole corrispondenti del WAF.

Verifichi la sua comprensione dei concetti di Microsoft Azure Fundamentals (AZ-900) presentati in questa lezione.

In questa lezione ha appreso che Azure Front Door usa il networking anycast e il failover basato sui probe di integrità per instradare il traffico HTTP verso l'origine disponibile più veloce a livello globale, le route e il routing basato sul percorso consentono di indirizzare percorsi URL diversi verso backend diversi e il livello Premium aggiunge origini Private Link e funzionalità WAF avanzate. Nella prossima lezione esploreremo il collegamento di un Web Application Firewall a Front Door per la sicurezza.