Azure Front Door: globalne równoważenie obciążenia

Azure Front Door to globalnie rozproszona sieć dostarczania aplikacji działająca w warstwie 7 (HTTP/HTTPS). Usługa kieruje żądania klientów do najszybciej dostępnego źródła backendowego w wielu regionach platformy Azure, korzystając z sieci anycast — ruch wchodzi do szkieletu sieci Azure w najbliższej lokalizacji brzegowej PoP, zamiast przemierzać publiczny internet do źródła. Front Door zapewnia globalne równoważenie obciążenia, odciążanie SSL, buforowanie CDN oraz wbudowany Web Application Firewall w ramach jednej usługi.

Azure Front Door jest dostępny w dwóch warstwach. Standard obejmuje buforowanie CDN, domeny niestandardowe z zarządzanym TLS, aparat reguł oraz podstawowy WAF. Premium dodatkowo oferuje zaawansowany WAF z zarządzanymi zestawami reguł (Microsoft Default i zestawy reguł OWASP), ochronę przed botami, raporty zabezpieczeń, integrację z Private Link (umożliwiającą przesyłanie ruchu do źródeł przez prywatny punkt końcowy bez publicznego adresu IP) oraz integrację z Azure Defender. Większość produkcyjnych aplikacji internetowych korzysta z warstwy Premium ze względu na funkcje WAF i Private Link.

W usłudze Front Door źródło to serwer backendowy — App Service, publiczny adres IP, statyczna witryna Blob Storage lub dowolny punkt końcowy HTTP(S). Źródła są grupowane w grupy źródeł. Ustawienia równoważenia obciążenia i sond kondycji konfiguruje się dla każdej grupy źródeł. Można na przykład utworzyć jedną grupę źródeł z backendami App Service w regionach East US i West US. Front Door kieruje żądania w obrębie grupy na podstawie priorytetu, wagi lub opóźnienia i automatycznie usuwa niesprawne źródła na podstawie wyników sond kondycji.

Sondy kondycji to okresowe żądania HTTP/HTTPS wysyłane z lokalizacji PoP Front Door do każdego źródła w celu pomiaru opóźnienia i sprawdzenia jego kondycji. Konfiguruje się ścieżkę sondy, protokół, interwał oraz liczbę kolejnych niepowodzeń, po której źródło zostanie uznane za niesprawne. Gdy źródło nie przejdzie sond kondycji, Front Door automatycznie usuwa je z puli routingu — wszystkie nowe żądania są wysyłane do pozostałych sprawnych źródeł. Umożliwia to automatyczne przełączanie awaryjne bez ręcznej interwencji.

Front Door obsługuje trzy metody równoważenia obciążenia w obrębie grupy źródeł. Routing oparty na opóźnieniu (domyślny) kieruje każde żądanie do źródła o najniższym zmierzonym czasie podróży w obie strony z najbliższej lokalizacji PoP klienta — jest to rozwiązanie idealne pod względem wydajności. Metoda Weighted rozdziela ruch na podstawie przypisanych wag (np. 80% do źródła głównego i 20% do pomocniczego) — jest przydatna podczas wdrożeń canary. Metoda Priority kieruje cały ruch do źródła o najwyższym priorytecie i przełącza go na źródła o niższym priorytecie tylko wtedy, gdy źródło główne jest niesprawne — jest to rozwiązanie odpowiednie dla odzyskiwania po awarii w trybie active-passive.

Trasa w usłudze Front Door mapuje domenę i wzorzec ścieżki URL na grupę źródeł. Można utworzyć wiele tras w celu wdrożenia routingu opartego na ścieżkach: na przykład /api/* może kierować do usługi App Service będącej backendem API, /static/* do źródła Blob Storage z intensywnym buforowaniem CDN, a /* do frontendu internetowego. Każda trasa ma niezależne ustawienia buforowania, kompresji i protokołu przekazywania.

Front Door udostępnia zarządzany certyfikat TLS dla każdej domeny niestandardowej powiązanej z punktem końcowym — jest on automatycznie wystawiany za pośrednictwem DigiCert i odnawiany przed wygaśnięciem bez dodatkowych opłat. Własność domeny potwierdza się, dodając rekord CNAME wskazujący domenę główną lub poddomenę do punktu końcowego Front Door. Można również użyć własnego certyfikatu przechowywanego w Azure Key Vault. Front Door kończy połączenie TLS w brzegowej lokalizacji PoP, zmniejszając opóźnienie uzgadniania TLS w porównaniu z TLS kończonym na źródle.

Aparat reguł (w warstwach Standard/Premium nazywany Rule sets) umożliwia modyfikowanie zachowania routingu na podstawie atrybutów żądania: ścieżki URL, parametrów zapytania, metody żądania, nagłówków HTTP, lokalizacji geograficznej lub typu urządzenia. Dostępne działania obejmują przekierowywanie adresów URL, przekazywanie żądania do innej grupy źródeł, modyfikowanie nagłówków żądania lub odpowiedzi oraz zastępowanie ustawień buforowania. Typowym zastosowaniem jest wymuszenie HTTPS przez przekierowanie całego ruchu HTTP do HTTPS za pomocą reguły przekierowania, zanim ruch dotrze do źródła.

W warstwie Premium Front Door może łączyć się ze źródłami za pośrednictwem Private Link, zamiast korzystać z publicznego internetu. Oznacza to, że źródło App Service lub Blob Storage nie potrzebuje publicznego adresu IP — ruch z lokalizacji PoP Front Door przechodzi przez prywatny szkielet sieci Microsoft do prywatnego punktu końcowego w sieci VNet. Żądanie połączenia Private Link zatwierdza się w portalu lub za pomocą interfejsu wiersza polecenia. Od tego momentu ruch między Front Door a źródłem nigdy nie przechodzi przez publiczny internet, co eliminuje potrzebę tworzenia przychodzących reguł zapory na źródle.

Powinowactwo sesji (nazywane także sesjami sticky) zapewnia, że żądania od tego samego klienta są konsekwentnie kierowane do tego samego źródła przez cały czas trwania sesji. Front Door realizuje to za pomocą mechanizmu opartego na plikach cookie — podczas pierwszej odpowiedzi ustawia cookie sesji, a kolejne żądania zawierające to cookie są przypisywane do tego samego źródła. Powinowactwo sesji odbywa się kosztem równomiernego rozkładu obciążenia, ale zapewnia zgodność aplikacji, gdy stan jest przechowywany lokalnie na serwerze źródłowym, a nie we współdzielonej pamięci podręcznej lub bazie danych.

Front Door wysyła do Azure Monitor metryki obejmujące łączną liczbę żądań, procentową kondycję źródeł, współczynnik trafień żądań, opóźnienie źródła oraz liczbę żądań WAF według działania. Na ich podstawie można tworzyć reguły alertów metryk, aby otrzymywać powiadomienia, gdy kondycja źródeł spadnie poniżej określonego progu lub gdy liczba blokad WAF niespodziewanie wzrośnie. Front Door udostępnia również wbudowane raporty w warstwie Premium, pokazujące ruch według lokalizacji geograficznej, najczęściej żądane adresy URL oraz reguły dopasowane przez WAF.

Sprawdź swoją wiedzę na temat zagadnień Microsoft Azure Fundamentals (AZ-900) omówionych w tej lekcji.

W tej lekcji poznali Państwo: sposób, w jaki Azure Front Door wykorzystuje sieć anycast i przełączanie awaryjne oparte na sondach kondycji, aby globalnie kierować ruch HTTP do najszybciej dostępnego źródła; sposób, w jaki trasy i routing oparty na ścieżkach umożliwiają kierowanie różnych ścieżek URL do różnych backendów; oraz to, że warstwa Premium dodaje źródła Private Link i zaawansowane funkcje WAF. W następnej części omówimy dołączanie Web Application Firewall do Front Door w celu zwiększenia bezpieczeństwa.