Azure Front Door: Balanceamento de Carga Global

O Azure Front Door é uma rede de distribuição de aplicações globalmente distribuída que opera na Camada 7 (HTTP/HTTPS). Ele encaminha as solicitações dos clientes para a origem de back-end disponível mais rápida entre várias regiões do Azure usando rede anycast — o tráfego entra no backbone do Azure no PoP de borda mais próximo, em vez de atravessar a Internet pública até chegar à sua origem. O Front Door fornece balanceamento de carga global, descarregamento de SSL, armazenamento em cache de CDN e um Web Application Firewall integrado em um único serviço.

O Azure Front Door está disponível em duas camadas. A Standard inclui armazenamento em cache de CDN, domínios personalizados com TLS gerenciado, mecanismo de regras e WAF básico. A Premium adiciona WAF avançado com conjuntos de regras gerenciados (conjuntos de regras Microsoft Default e OWASP), proteção contra bots, relatórios de segurança, integração com Private Link (para enviar tráfego às origens por um ponto de extremidade privado sem IP público) e integração com o Azure Defender. A maioria das aplicações Web de produção usa a Premium por seus recursos de WAF e Private Link.

No Front Door, uma origem é um servidor de back-end — um App Service, um IP público, um site estático do Blob Storage ou qualquer ponto de extremidade HTTP(S). As origens são agrupadas em grupos de origens. As configurações de balanceamento de carga e de sondas de integridade são definidas por grupo de origens. Por exemplo, você pode ter um grupo de origens com servidores de back-end do App Service no Leste dos EUA e no Oeste dos EUA. O Front Door encaminha as solicitações dentro do grupo com base em prioridade, peso ou latência e remove automaticamente as origens não íntegras com base nos resultados das sondas de integridade.

As sondas de integridade são solicitações HTTP/HTTPS periódicas enviadas dos PoPs do Front Door para cada origem, com o objetivo de medir a latência e verificar se a origem está íntegra. Você configura o caminho, o protocolo e o intervalo da sonda, além do número de falhas consecutivas necessário para que uma origem seja marcada como não íntegra. Quando uma origem falha nas sondas de integridade, o Front Door a remove automaticamente do conjunto de roteamento — todas as novas solicitações são enviadas às origens íntegras restantes. Isso habilita o failover automático sem intervenção manual.

O Front Door é compatível com três métodos de balanceamento de carga dentro de um grupo de origens. O roteamento baseado em latência (padrão) envia cada solicitação para a origem com o menor tempo de ida e volta medido a partir do PoP mais próximo do cliente — ideal para desempenho. O método ponderado distribui o tráfego com base nos pesos atribuídos (por exemplo, 80% para a origem principal e 20% para a secundária) — útil para implantações canário. O método de prioridade envia todo o tráfego para a origem de maior prioridade e faz failover para origens de menor prioridade apenas se a principal não estiver íntegra — ideal para DR ativo-passivo.

Uma rota no Front Door associa um domínio e um padrão de caminho de URL a um grupo de origens. Você pode criar várias rotas para implementar o roteamento baseado em caminho: por exemplo, /api/* é encaminhado para um App Service de API de back-end, /static/* é encaminhado para uma origem do Blob Storage com armazenamento agressivo em cache da CDN e /* é encaminhado para o front-end Web. Cada rota tem configurações independentes de armazenamento em cache, compactação e protocolo de encaminhamento.

O Front Door fornece um certificado TLS gerenciado para cada domínio personalizado associado a um ponto de extremidade — provisionado automaticamente por meio da DigiCert e renovado automaticamente antes do vencimento, sem custo adicional. Você valida a propriedade do domínio adicionando um registro CNAME que aponte seu domínio raiz ou subdomínio para o ponto de extremidade do Front Door. Também é possível usar seu próprio certificado armazenado no Azure Key Vault. O Front Door encerra o TLS no PoP de borda, reduzindo a latência dos handshakes TLS em comparação com o TLS encerrado na origem.

O mecanismo de regras (chamado de conjuntos de regras na Standard/Premium) permite modificar o comportamento do roteamento com base nos atributos da solicitação: correspondência por caminho da URL, cadeia de consulta, método da solicitação, cabeçalhos HTTP, localização geográfica ou tipo de dispositivo. As ações incluem redirecionar URLs, encaminhar para um grupo de origens diferente, modificar cabeçalhos de solicitação ou resposta ou substituir as configurações de armazenamento em cache. Um uso comum é impor o HTTPS redirecionando todo o tráfego HTTP para HTTPS por meio de uma regra de redirecionamento antes que ele alcance a origem.

Na camada Premium, o Front Door pode se conectar às origens por meio do Private Link, em vez de usar a Internet pública. Isso significa que sua origem do App Service ou do Blob Storage não precisa de um IP público — o tráfego dos PoPs do Front Door percorre o backbone privado da Microsoft até um ponto de extremidade privado na sua VNet. Você aprova a solicitação de conexão do Private Link no portal ou por meio da CLI; depois disso, o tráfego entre o Front Door e a origem nunca atravessa a Internet pública, eliminando a necessidade de regras de firewall de entrada na origem.

A afinidade de sessão (também chamada de sessões persistentes) garante que as solicitações do mesmo cliente sejam encaminhadas consistentemente para a mesma origem durante toda a sessão. O Front Door faz isso por meio de um mecanismo baseado em cookie: ele define um cookie de sessão na primeira resposta, e as solicitações seguintes com esse cookie ficam vinculadas à mesma origem. A afinidade de sessão troca uma distribuição uniforme da carga por compatibilidade da aplicação quando o estado é armazenado localmente no servidor de origem, em vez de ser armazenado em um cache ou banco de dados compartilhado.

O Front Door emite métricas para o Azure Monitor, incluindo total de solicitações, porcentagem de integridade da origem, proporção de acertos das solicitações, latência da origem e contagem de solicitações do WAF por ação. Você pode criar regras de alerta de métricas com base nesses dados para receber uma notificação quando a integridade da origem ficar abaixo de um limite ou quando os bloqueios do WAF aumentarem inesperadamente. O Front Door também fornece relatórios integrados na camada Premium, mostrando o tráfego por localização geográfica, as URLs mais solicitadas e as regras correspondentes do WAF.

Teste sua compreensão dos conceitos do Microsoft Azure Fundamentals (AZ-900) abordados nesta lição.

Nesta lição, você aprendeu que o Azure Front Door usa rede anycast e failover baseado em sondas de integridade para encaminhar o tráfego HTTP para a origem globalmente disponível mais rápida; as rotas e o roteamento baseado em caminho permitem direcionar diferentes caminhos de URL para diferentes servidores de back-end; e a camada Premium adiciona origens do Private Link e recursos avançados de WAF. A seguir, exploraremos como associar um Web Application Firewall ao Front Door para aumentar a segurança.