Azure Front Door: 글로벌 부하 분산

Azure Front Door는 계층 7(HTTP/HTTPS)에서 작동하는 전 세계 분산 애플리케이션 전송 네트워크입니다. 애니캐스트 네트워킹을 사용하여 여러 Azure 지역에 있는 사용 가능한 백엔드 원본 중 가장 빠른 곳으로 클라이언트 요청을 라우팅합니다. 즉, 트래픽은 공용 인터넷을 통해 원본까지 이동하는 대신 가장 가까운 에지 PoP에서 Azure 백본으로 진입합니다. Front Door는 글로벌 부하 분산, SSL 오프로딩, CDN 캐싱, 기본 제공 Web Application Firewall을 하나의 서비스로 제공합니다.

Azure Front Door는 두 가지 계층으로 제공됩니다. Standard에는 CDN 캐싱, 관리형 TLS를 사용하는 사용자 지정 도메인, 규칙 엔진, 기본 WAF가 포함됩니다. Premium에는 관리형 규칙 집합(Microsoft 기본 규칙 집합 및 OWASP 규칙 집합)을 사용하는 고급 WAF, 봇 방어, 보안 보고서, Private Link 통합(공용 IP 없이 프라이빗 엔드포인트를 통해 원본으로 트래픽 전송), Azure Defender 통합이 추가됩니다. 대부분의 프로덕션 웹 애플리케이션은 WAF와 Private Link 기능 때문에 Premium을 사용합니다.

Front Door에서 원본은 백엔드 서버를 의미하며, App Service, 공용 IP, Blob Storage 정적 웹 사이트 또는 모든 HTTP(S) 엔드포인트가 될 수 있습니다. 원본은 원본 그룹으로 묶입니다. 부하 분산 및 상태 프로브 설정은 원본 그룹별로 구성합니다. 예를 들어 미국 동부와 미국 서부에 있는 App Service 백엔드로 하나의 원본 그룹을 구성할 수 있습니다. Front Door는 우선순위, 가중치 또는 지연 시간을 기준으로 그룹 내 요청을 라우팅하며, 상태 프로브 결과에 따라 비정상 원본을 자동으로 제거합니다.

상태 프로브는 Front Door PoP에서 각 원본으로 주기적으로 보내는 HTTP/HTTPS 요청으로, 지연 시간을 측정하고 원본이 정상인지 확인합니다. 프로브 경로, 프로토콜, 간격, 원본을 비정상으로 표시하기 전에 허용할 연속 실패 횟수를 구성할 수 있습니다. 원본이 상태 프로브에 실패하면 Front Door는 해당 원본을 라우팅 풀에서 자동으로 제거하고, 새 요청을 남아 있는 정상 원본으로 모두 보냅니다. 따라서 수동 개입 없이 자동 장애 조치를 수행할 수 있습니다.

Front Door는 원본 그룹 내에서 세 가지 부하 분산 방법을 지원합니다. 지연 시간 기반 라우팅(기본값)은 클라이언트와 가장 가까운 PoP에서 측정한 왕복 시간이 가장 짧은 원본으로 각 요청을 보내므로 성능에 적합합니다. 가중치 기반 방식은 할당된 가중치에 따라 트래픽을 분배하며(예: 주 원본에 80%, 보조 원본에 20%), 카나리 배포에 유용합니다. 우선순위 기반 방식은 우선순위가 가장 높은 원본으로 모든 트래픽을 보내고, 주 원본이 비정상인 경우에만 우선순위가 낮은 원본으로 장애 조치하므로 능동-수동 DR에 적합합니다.

Front Door의 라우트는 도메인과 URL 경로 패턴을 원본 그룹에 매핑합니다. 여러 라우트를 만들어 경로 기반 라우팅을 구현할 수 있습니다. 예를 들어 /api/*는 백엔드 API App Service로 라우팅하고, /static/*은 적극적인 CDN 캐싱을 사용하는 Blob Storage 원본으로 라우팅하며, /*은 웹 프런트엔드로 라우팅할 수 있습니다. 각 라우트에는 독립적인 캐싱, 압축 및 전달 프로토콜 설정이 있습니다.

Front Door는 엔드포인트에 연결하는 각 사용자 지정 도메인에 대해 관리형 TLS 인증서를 제공합니다. 이 인증서는 DigiCert를 통해 자동으로 프로비저닝되고 만료 전에 자동 갱신되며 추가 비용이 없습니다. 도메인 소유권은 루트 도메인 또는 하위 도메인에서 Front Door 엔드포인트를 가리키는 CNAME 레코드를 추가하여 확인합니다. Azure Key Vault에 저장된 자체 인증서를 사용할 수도 있습니다. Front Door는 에지 PoP에서 TLS를 종료하므로 원본에서 TLS를 종료하는 방식보다 TLS 핸드셰이크의 지연 시간이 줄어듭니다.

규칙 엔진(Standard/Premium에서는 규칙 집합이라고 함)을 사용하면 요청 특성에 따라 라우팅 동작을 수정할 수 있습니다. URL 경로, 쿼리 문자열, 요청 방법, HTTP 헤더, 지리적 위치 또는 장치 유형을 기준으로 일치 여부를 확인할 수 있습니다. 작업에는 URL 리디렉션, 다른 원본 그룹으로 전달, 요청/응답 헤더 수정, 캐싱 설정 재정의가 포함됩니다. 일반적인 사용 사례는 리디렉션 규칙을 사용하여 모든 HTTP 트래픽을 HTTPS로 리디렉션하고 원본에 도달하기 전에 HTTPS를 적용하는 것입니다.

Premium 계층에서 Front Door는 공용 인터넷 대신 Private Link를 통해 원본에 연결할 수 있습니다. 따라서 App Service 또는 Blob Storage 원본에 공용 IP가 필요하지 않습니다. Front Door PoP의 트래픽은 Microsoft의 프라이빗 백본을 통해 VNet의 프라이빗 엔드포인트로 이동합니다. 포털 또는 CLI를 통해 Private Link 연결 요청을 승인하면 Front Door와 원본 간 트래픽이 공용 인터넷을 통과하지 않으므로 원본에 인바운드 방화벽 규칙을 설정할 필요가 없습니다.

세션 선호도(고정 세션이라고도 함)는 동일한 클라이언트의 요청이 세션 동안 계속 같은 원본으로 라우팅되도록 합니다. Front Door는 쿠키 기반 메커니즘을 사용합니다. 첫 번째 응답에서 세션 쿠키를 설정하고, 이후 해당 쿠키가 포함된 요청을 같은 원본에 고정합니다. 세션 선호도는 원본 서버에 상태가 공유 캐시나 데이터베이스가 아닌 로컬로 저장된 경우, 애플리케이션 호환성을 위해 균등한 부하 분산을 일부 포기하는 방식입니다.

Front Door는 총 요청 수, 원본 상태 비율, 요청 적중률, 원본 지연 시간, 작업별 WAF 요청 수를 포함한 메트릭을 Azure Monitor로 내보냅니다. 이러한 메트릭에 대한 경고 규칙을 만들어 원본 상태가 임계값 아래로 떨어지거나 WAF 차단 수가 예기치 않게 급증할 때 알림을 받을 수 있습니다. 또한 Premium 계층에서는 지역별 트래픽, 가장 많이 요청된 URL, WAF에서 일치한 규칙을 보여 주는 기본 제공 보고서를 제공합니다.

이 단원에서는 다음을 배웠습니다. Azure Front Door는 애니캐스트 네트워킹과 상태 프로브 기반 장애 조치를 사용하여 전 세계에서 가장 빠르게 이용할 수 있는 원본으로 HTTP 트래픽을 라우팅합니다. 라우트와 경로 기반 라우팅을 사용하면 서로 다른 URL 경로를 서로 다른 백엔드로 보낼 수 있습니다. 또한 Premium 계층에는 Private Link 원본과 고급 WAF 기능이 추가됩니다. 다음으로는 보안을 위해 Front Door에 Web Application Firewall을 연결하는 방법을 살펴보겠습니다.