Azure Front Door: Pengimbangan Beban Global

Azure Front Door ialah rangkaian penyampaian aplikasi teragih global yang beroperasi pada Lapisan 7 (HTTP/HTTPS). Ia menghalakan permintaan klien kepada sumber asal bahagian belakang yang paling pantas tersedia merentas berbilang rantau Azure menggunakan rangkaian anycast — trafik memasuki rangkaian teras Azure pada PoP pinggir yang paling hampir dan bukannya merentasi internet awam ke sumber asal anda. Front Door menyediakan pengimbangan beban global, pemunggahan SSL, penyimpanan cache CDN dan Web Application Firewall terbina dalam sebagai satu perkhidmatan.

Azure Front Door tersedia dalam dua peringkat. Standard merangkumi penyimpanan cache CDN, domain tersuai dengan TLS terurus, enjin peraturan dan WAF asas. Premium menambahkan WAF lanjutan dengan set peraturan terurus (set peraturan Microsoft Default dan OWASP), perlindungan Bot, laporan keselamatan, integrasi Private Link (untuk menghantar trafik kepada sumber asal melalui titik akhir persendirian tanpa IP awam) dan integrasi Azure Defender. Kebanyakan aplikasi web pengeluaran menggunakan Premium kerana keupayaan WAF dan Private Linknya.

Dalam Front Door, sumber asal ialah pelayan bahagian belakang — App Service, IP awam, laman web statik Blob Storage atau mana-mana titik akhir HTTP(S). Sumber asal dikumpulkan dalam kumpulan sumber asal. Tetapan pengimbangan beban dan pemeriksaan kesihatan dikonfigurasikan bagi setiap kumpulan sumber asal. Sebagai contoh, anda mungkin mempunyai satu kumpulan sumber asal dengan bahagian belakang App Service di East US dan West US. Front Door menghalakan permintaan dalam kumpulan berdasarkan keutamaan, pemberat atau kependaman, serta mengeluarkan sumber asal yang tidak sihat secara automatik berdasarkan hasil pemeriksaan kesihatan.

Pemeriksaan kesihatan ialah permintaan HTTP/HTTPS berkala yang dihantar dari PoPs Front Door kepada setiap sumber asal untuk mengukur kependaman dan mengesahkan bahawa sumber asal berada dalam keadaan sihat. Anda mengkonfigurasikan laluan, protokol, selang dan bilangan kegagalan berturut-turut pemeriksaan sebelum sumber asal ditandakan sebagai tidak sihat. Apabila sumber asal gagal dalam pemeriksaan kesihatan, Front Door mengeluarkannya secara automatik daripada kumpulan penghalaan — semua permintaan baharu dihantar kepada sumber asal sihat yang masih ada. Ini membolehkan pertukaran automatik tanpa campur tangan manual.

Front Door menyokong tiga kaedah pengimbangan beban dalam kumpulan sumber asal. Penghalaan berasaskan kependaman (lalai) menghantar setiap permintaan kepada sumber asal dengan masa pergi balik terukur yang paling rendah dari PoP terdekat dengan klien — sesuai untuk prestasi. Pemberatan mengagihkan trafik berdasarkan pemberat yang ditetapkan (contohnya, 80% kepada utama dan 20% kepada sekunder) — berguna untuk penggunaan canary. Keutamaan menghantar semua trafik kepada sumber asal berkeutamaan tertinggi dan bertukar kepada sumber asal berkeutamaan lebih rendah hanya jika sumber utama tidak sihat — sesuai untuk DR aktif-pasif.

Laluan dalam Front Door memetakan domain dan corak laluan URL kepada kumpulan sumber asal. Anda boleh mencipta berbilang laluan untuk melaksanakan penghalaan berasaskan laluan: contohnya, /api/* menghala kepada App Service API bahagian belakang, /static/* menghala kepada sumber asal Blob Storage dengan penyimpanan cache CDN yang agresif, dan /* menghala kepada bahagian hadapan web. Setiap laluan mempunyai tetapan penyimpanan cache, pemampatan dan protokol pemajuan yang bebas.

Front Door menyediakan sijil TLS terurus untuk setiap domain tersuai yang anda kaitkan dengan titik akhir — diperuntukkan secara automatik melalui DigiCert dan diperbaharui secara automatik sebelum tamat tempoh tanpa caj tambahan. Anda mengesahkan pemilikan domain dengan menambahkan rekod CNAME yang menunjuk daripada domain akar atau subdomain anda kepada titik akhir Front Door. Anda juga boleh menggunakan sijil sendiri yang disimpan dalam Azure Key Vault. Front Door menamatkan TLS di PoP pinggir, lalu mengurangkan kependaman bagi jabat tangan TLS berbanding TLS yang ditamatkan pada sumber asal.

Enjin peraturan (dipanggil Set peraturan dalam Standard/Premium) membolehkan anda mengubah suai tingkah laku penghalaan berdasarkan atribut permintaan: padankan laluan URL, rentetan pertanyaan, kaedah permintaan, pengepala HTTP, lokasi geografi atau jenis peranti. Tindakan termasuk mengubah hala URL, memajukan kepada kumpulan sumber asal yang berbeza, mengubah suai pengepala permintaan/tindak balas atau mengatasi tetapan penyimpanan cache. Kegunaan biasa ialah menguatkuasakan HTTPS dengan mengubah hala semua trafik HTTP kepada HTTPS menggunakan peraturan ubah hala sebelum trafik tersebut sampai kepada sumber asal.

Dalam peringkat Premium, Front Door boleh bersambung kepada sumber asal melalui Private Link dan bukannya internet awam. Ini bermaksud sumber asal App Service atau Blob Storage anda tidak memerlukan IP awam — trafik daripada PoPs Front Door bergerak melalui rangkaian peribadi Microsoft ke titik akhir persendirian dalam VNet anda. Anda meluluskan permintaan sambungan Private Link dalam portal atau melalui CLI, selepas itu trafik antara Front Door dan sumber asal tidak lagi merentasi internet awam, sekali gus menghapuskan keperluan untuk peraturan tembok api masuk pada sumber asal.

Afiniti sesi (juga dipanggil sesi melekat) memastikan permintaan daripada klien yang sama dihalakan secara konsisten kepada sumber asal yang sama sepanjang tempoh sesi. Front Door mencapai perkara ini melalui mekanisme berasaskan kuki — ia menetapkan kuki sesi pada respons pertama, dan permintaan seterusnya yang mengandungi kuki tersebut dipasangkan kepada sumber asal yang sama. Afiniti sesi mengorbankan pengagihan beban yang sekata demi keserasian aplikasi apabila keadaan disimpan secara setempat pada pelayan sumber asal dan bukannya dalam cache atau pangkalan data yang dikongsi.

Front Door menghantar metrik kepada Azure Monitor, termasuk jumlah permintaan, peratusan kesihatan sumber asal, nisbah hit permintaan, kependaman sumber asal dan bilangan permintaan WAF mengikut tindakan. Anda boleh mencipta peraturan amaran metrik berdasarkan metrik ini untuk menerima pemberitahuan apabila kesihatan sumber asal menurun di bawah ambang atau apabila sekatan WAF meningkat secara luar jangka. Front Door turut menyediakan laporan terbina dalam dalam peringkat Premium yang menunjukkan trafik mengikut geografi, URL yang paling banyak diminta dan peraturan WAF yang sepadan.

Dalam pelajaran ini anda telah mempelajari bahawa: Azure Front Door menggunakan rangkaian anycast dan pertukaran automatik berasaskan pemeriksaan kesihatan untuk menghalakan trafik HTTP kepada sumber asal yang paling pantas tersedia di seluruh dunia, laluan dan penghalaan berasaskan laluan membolehkan anda mengarahkan laluan URL yang berbeza kepada bahagian belakang yang berbeza, dan peringkat Premium menambahkan sumber asal Private Link serta keupayaan WAF lanjutan. Seterusnya, kita akan meneroka cara melampirkan Web Application Firewall pada Front Door untuk keselamatan.