Prestaties optimaliseren met CDN-regels

Met de regelengine van Azure Front Door, in Standard/Premium Rule sets genoemd, kun je HTTP-aanvragen en -antwoorden onderscheppen en wijzigen aan de edge-PoP voordat ze in de cache worden opgeslagen of naar de oorsprong worden doorgestuurd. Zonder regelengine zou je taken zoals HTTP-naar-HTTPS-omleidingen, beveiligingsheaders voor antwoorden en geografische blokkering in de code van je oorsprongstoepassing moeten afhandelen. Dat voegt latentie toe en koppelt beveiligingskwesties aan bedrijfslogica. Regels aan de edge worden sneller uitgevoerd en verminderen de belasting van de oorsprong.

Een van de meest voorkomende toepassingen van een regelengine is het afdwingen van HTTPS. Wanneer een client je site via HTTP opvraagt, retourneert een omleidingsregel aan de Front Door-edge onmiddellijk een antwoord 301 Moved Permanently (of 302 Found) dat naar de HTTPS-URL verwijst — zonder dat de aanvraag ooit de oorsprong bereikt. Dit is sneller dan omleidingen aan de kant van de oorsprong en zorgt ervoor dat al het verkeer tijdens de overdracht is versleuteld. Configureer dit als een omleidingsactie voor aanvragen waarbij de voorwaarde RequestScheme gelijk is aan HTTP.

Moderne browsers ondersteunen HTTP-beveiligingsheaders die veelvoorkomende aanvallen voorkomen. Je kunt deze headers met acties van het type Append response header in de regelengine aan alle antwoorden toevoegen, zonder je oorsprongserver aan te passen. Belangrijke headers zijn onder andere: Strict-Transport-Security (dwingt gedurende een bepaalde periode HTTPS af), X-Content-Type-Options: nosniff (voorkomt het raden van MIME-typen), X-Frame-Options: DENY (voorkomt clickjacking) en Content-Security-Policy (beperkt bronnen van inhoud). Door deze aan de edge toe te voegen, zorg je voor een consistente toepassing op alle oorsprongen.

Met de regelengine kun je de standaard-TTL van de cache overschrijven voor specifieke URL-patronen. Je wilt bijvoorbeeld /static/images/* 30 dagen in de cache opslaan, maar antwoorden van /api/* slechts 60 seconden. Gebruik een overeenkomstvoorwaarde voor RequestUri en een actie van het type Route configuration override waarmee je een aangepaste cacheduur instelt. Zo krijg je fijnmazige controle over het gedrag van de cache zonder meerdere afzonderlijke routes voor elk inhoudstype te maken.

Met acties voor een URL-herschrijving wijzig je de aanvraag-URL voordat deze naar de oorsprong wordt doorgestuurd, zonder de URL te wijzigen die de client ziet. Dit is handig om aanvragen vanuit de ene URL-structuur naar een ander backend-pad te sturen. Je kunt bijvoorbeeld /products/item/{id} herschrijven naar /catalog/v2/products/{id} om een wijziging in een backend-API op te vangen zonder clientkoppelingen bij te werken. URL-herschrijving is een actie in de regelengine die het URL path wijzigt met tekenreeksvervanging of vastleggroepen.

Geografische filtering op regelniveau maakt het mogelijk gebruikers uit specifieke landen om te leiden of te blokkeren op basis van de geografische locatie die uit het IP-adres van de client is afgeleid. In tegenstelling tot geografische CDN-filtering, die 403 retourneert, biedt geografische filtering in de regelengine meer flexibiliteit. Je kunt geblokkeerde landen omleiden naar een landingspagina die regionale beschikbaarheid uitlegt, of bepaalde landen naar regiospecifieke oorsprongsgroepen routeren, bijvoorbeeld gebruikers uit de EU naar oorsprongen in de EU voor naleving van de AVG. De geografische overeenkomst met RemoteAddress gebruikt de IP-naar-land-database van MaxMind.

De regelengine kan aanvraagheaders toevoegen, overschrijven of verwijderen voordat de aanvraag naar de oorsprong wordt doorgestuurd. Een veelvoorkomende toepassing is het toevoegen van een X-Forwarded-For-header of een aangepaste header zoals X-Front-Door-Id, zodat de oorsprong weet dat aanvragen via Front Door zijn binnengekomen en ze kan valideren. Je kunt ook de oorspronkelijke Host-header verwijderen en deze vervangen door de hostnaam van de oorsprong — belangrijk wanneer de oorsprong de Host-header valideert. Zo heb je volledige controle over wat de oorsprongserver ziet.

Voorwaarden in de regelengine kunnen overeenkomen met waarden van aanvraagheaders, waardoor geavanceerde routeringslogica mogelijk wordt. Je kunt bijvoorbeeld aanvragen met de header X-API-Version: 2 routeren naar een andere oorsprongsgroep waarop de v2-API draait, terwijl aanvragen zonder die header naar de v1-oorsprong gaan. Zo kun je blauw-groene API-versiebeheer aan de edge toepassen zonder afzonderlijke hostnamen voor elke API-versie. Routering op basis van headers wordt ook gebruikt voor A/B-tests, door te routeren op basis van een aangepaste cookie voor gebruikerssegmenten.

Met antwoordcompressie in Front Door worden tekstgebaseerde antwoorden (HTML, CSS, JavaScript, JSON) met gzip of Brotli gecomprimeerd voordat ze vanuit PoP's worden aangeboden. Compressie is het meest effectief voor grote JS-bundels en kan de overdrachtsgrootte met maximaal 70% verminderen. Schakel compressie in bij de route-instellingen en geef de MIME-typen op die moeten worden gecomprimeerd. Gecomprimeerde inhoud wordt in gecomprimeerde vorm in de cache van de PoP opgeslagen. Alleen de eerste aanvraag voor elk onderdeel activeert dus compressie; volgende aanvragen leveren het gecomprimeerde bestand onmiddellijk uit de cache.

Origin Shield is een optionele extra cachelaag die Front Door tussen de edge-knooppunten van PoP's en de oorsprong plaatst. Wanneer deze optie is ingeschakeld, vragen niet alle meer dan 100 edge-PoP's afzonderlijk niet-gecachete inhoud op bij de oorsprong. In plaats daarvan sturen ze allemaal cachemissers door naar één regionale Origin Shield-PoP, die ze vervolgens doorstuurt naar de oorsprong. Dit vermindert aanzienlijk het aantal aanvragen dat de oorsprong bereikt, de zogenoemde offloadratio van de oorsprong, terwijl inhoud wereldwijd vanuit edge-PoP's wordt aangeboden.

Voordat je wijzigingen aan de regelengine naar productie implementeert, moet je ze valideren met de diagnose- en testhulpmiddelen in de portal. In het deelvenster Diagnostic settings met WAF-logboeken in detectiemodus zie je met welke regels aanvragen overeenkomen. Voor de regelengine kun je na implementatie in een stagingomgeving ook de werkelijke aanvraag- en antwoordheaders in de ontwikkelaarshulpmiddelen van de browser inspecteren. Je kunt ook curl -v gebruiken om specifieke aanvragen te verzenden en te controleren of de antwoordheaders en het gedrag van omleidingen kloppen voordat je naar productie overschakelt.

In deze les heb je geleerd dat de regelengine van Front Door HTTP-naar-HTTPS-omleidingen, beveiligingsheaders voor antwoorden en overschrijvingen van de cache-TTL aan de edge afhandelt zonder wijzigingen aan de oorsprong, dat een URL-herschrijving de aanvraagpaden die naar de oorsprong worden doorgestuurd stilzwijgend wijzigt terwijl een URL-omleiding de URL aan de kant van de client verandert, en dat Origin Shield de belasting van de oorsprong vermindert door aanvragen bij cachemissers via een regionaal schildknooppunt te bundelen. Hierna bekijken we Azure AI Services voor het toevoegen van intelligentie aan je toepassingen.