Optymalizacja wydajności za pomocą reguł CDN

Aparat reguł usługi Azure Front Door (nazywany Rule sets w wersjach Standard/Premium) umożliwia przechwytywanie i modyfikowanie żądań oraz odpowiedzi HTTP na brzegowym węźle PoP, zanim zostaną one zapisane w pamięci podręcznej lub przekazane do źródła. Bez aparatu reguł zadania takie jak przekierowania HTTP do HTTPS, dodawanie nagłówków zabezpieczeń odpowiedzi i blokowanie geograficzne trzeba byłoby obsługiwać w kodzie aplikacji źródłowej, co zwiększałoby opóźnienia i łączyło kwestie bezpieczeństwa z logiką biznesową. Reguły wykonywane na brzegu działają szybciej i zmniejszają obciążenie źródła.

Jednym z najczęstszych zastosowań aparatu reguł jest wymuszanie protokołu HTTPS. Gdy klient żąda dostępu do witryny przez HTTP, reguła przekierowania na brzegu Front Door natychmiast zwraca odpowiedź 301 Moved Permanently (lub 302 Found) wskazującą adres URL HTTPS — żądanie nie dociera przy tym do źródła. Jest to szybsze niż przekierowania po stronie źródła i zapewnia szyfrowanie całego ruchu podczas przesyłania. Należy skonfigurować tę funkcję jako akcję przekierowania dla żądań, w przypadku których warunek RequestScheme ma wartość HTTP.

Nowoczesne przeglądarki obsługują nagłówki zabezpieczeń HTTP, które zapobiegają typowym atakom. Można dodawać te nagłówki do wszystkich odpowiedzi za pomocą akcji aparatu reguł Append response header, bez modyfikowania serwera źródłowego. Najważniejsze nagłówki to: Strict-Transport-Security (wymusza używanie protokołu HTTPS przez określony czas), X-Content-Type-Options: nosniff (uniemożliwia rozpoznawanie typów MIME na podstawie zawartości), X-Frame-Options: DENY (zapobiega clickjackingowi) oraz Content-Security-Policy (ogranicza źródła treści). Dodawanie tych nagłówków na brzegu zapewnia spójne stosowanie zasad we wszystkich źródłach.

Aparat reguł umożliwia zastępowanie domyślnego czasu TTL pamięci podręcznej dla określonych wzorców adresów URL. Można na przykład przechowywać w pamięci podręcznej zasoby /static/images/* przez 30 dni, a odpowiedzi dla /api/* tylko przez 60 sekund. Należy użyć warunku dopasowania dla RequestUri oraz akcji Route configuration override, która ustawia niestandardowy czas przechowywania w pamięci podręcznej. Pozwala to precyzyjnie kontrolować pamięć podręczną bez tworzenia wielu osobnych tras dla każdego typu zawartości.

Akcje przepisywania adresów URL modyfikują adres URL żądania przed przekazaniem go do źródła, nie zmieniając adresu URL widocznego dla klienta. Jest to przydatne, gdy żądania z jednej struktury adresów URL mają być kierowane do innej ścieżki zaplecza. Można na przykład przepisać /products/item/{id} na /catalog/v2/products/{id}, aby dostosować się do zmiany w interfejsie API zaplecza bez aktualizowania łączy po stronie klienta. Przepisywanie adresów URL jest akcją aparatu reguł, która modyfikuje element URL path za pomocą zamiany ciągów lub grup przechwytywania.

Filtrowanie geograficzne na poziomie aparatu reguł pozwala przekierowywać lub blokować użytkowników z określonych krajów na podstawie geolokalizacji wyznaczonej z adresu IP klienta. W przeciwieństwie do filtrowania geograficznego CDN (które zwraca kod 403), filtrowanie geograficzne aparatu reguł zapewnia większą elastyczność — można przekierowywać zablokowane kraje na stronę docelową wyjaśniającą dostępność regionalną albo kierować określone kraje do regionalnych grup źródeł (np. użytkowników z UE do źródeł w UE w celu zachowania zgodności z RODO). Dopasowanie geograficzne RemoteAddress korzysta z bazy danych MaxMind mapującej adresy IP na kraje.

Aparat reguł może dodawać, zastępować lub usuwać nagłówki żądań przed przekazaniem ich do źródła. Typowym zastosowaniem jest dodanie nagłówka X-Forwarded-For lub niestandardowego nagłówka, takiego jak X-Front-Door-Id, aby źródło wiedziało, że żądania przeszły przez Front Door i mogło je zweryfikować. Można również usunąć oryginalny nagłówek Host i zastąpić go nazwą hosta źródła — jest to ważne, gdy źródło weryfikuje nagłówek Host. Zapewnia to pełną kontrolę nad tym, co widzi serwer źródłowy.

Warunki aparatu reguł mogą dopasowywać wartości nagłówków żądań, umożliwiając tworzenie zaawansowanej logiki routingu. Można na przykład kierować żądania zawierające nagłówek X-API-Version: 2 do innej grupy źródeł obsługującej interfejs API w wersji v2, a żądania bez tego nagłówka do źródła v1. Umożliwia to stosowanie strategii blue-green dla wersji API na brzegu, bez konieczności używania osobnych nazw hostów dla każdej wersji API. Routing na podstawie nagłówków jest również używany do testów A/B, na przykład przez kierowanie ruchu na podstawie niestandardowego pliku cookie segmentu użytkownika.

Kompresja odpowiedzi w usłudze Front Door kompresuje odpowiedzi tekstowe (HTML, CSS, JavaScript i JSON) za pomocą gzip lub Brotli przed ich dostarczeniem z węzłów PoP. Kompresja jest najbardziej skuteczna w przypadku dużych pakietów JavaScript, zmniejszając rozmiar przesyłanych danych nawet o 70%. Należy włączyć kompresję w ustawieniach trasy i określić typy MIME, które mają być kompresowane. Skompresowana zawartość jest przechowywana w pamięci podręcznej węzła PoP w postaci skompresowanej — dlatego tylko pierwsze żądanie każdego zasobu uruchamia kompresję, a kolejne żądania natychmiast otrzymują skompresowany plik z pamięci podręcznej.

Origin Shield to opcjonalna dodatkowa warstwa buforowania, którą Front Door umieszcza między brzegowymi węzłami PoP a źródłem. Po włączeniu tej funkcji ponad 100 brzegowych węzłów PoP nie pobiera niezbuforowanej zawartości niezależnie od siebie ze źródła. Zamiast tego wszystkie przekazują nietrafienia pamięci podręcznej do jednego regionalnego węzła PoP pełniącego funkcję osłony źródła, który następnie przekazuje żądania do źródła. Znacznie zmniejsza to liczbę żądań docierających do źródła (co określa się jako wskaźnik odciążenia źródła), a jednocześnie nadal umożliwia globalne dostarczanie zawartości z brzegowych węzłów PoP.

Przed wdrożeniem zmian aparatu reguł w środowisku produkcyjnym należy je zweryfikować za pomocą narzędzi diagnostycznych i testowych dostępnych w portalu. Karta Diagnostic settings z dziennikami WAF w trybie wykrywania pokazuje, które reguły zostały dopasowane. W przypadku aparatu reguł można również sprawdzić rzeczywiste nagłówki żądań i odpowiedzi w narzędziach deweloperskich przeglądarki po wdrożeniu zmian w środowisku przejściowym albo użyć polecenia curl -v, aby wysłać konkretne żądania i zweryfikować nagłówki odpowiedzi oraz działanie przekierowań przed przełączeniem na środowisko produkcyjne.

Sprawdź swoją wiedzę na temat zagadnień Microsoft Azure Fundamentals (AZ-900) przedstawionych w tej lekcji.

W tej lekcji poznali Państwo następujące zagadnienia: aparat reguł Front Door obsługuje przekierowania HTTP do HTTPS, nagłówki zabezpieczeń odpowiedzi i zastępowanie wartości TTL pamięci podręcznej na brzegu, bez zmian w źródle; przepisywanie adresów URL w sposób niewidoczny dla klienta modyfikuje ścieżki żądań przekazywanych do źródła, podczas gdy przekierowanie adresu URL zmienia adres widoczny dla klienta; a Origin Shield zmniejsza obciążenie źródła, konsolidując żądania będące nietrafieniami pamięci podręcznej za pośrednictwem regionalnego węzła osłony. W następnej części omówimy usługi Azure AI Services służące do dodawania inteligentnych funkcji do aplikacji.