Основы Azure DNS и балансировщика нагрузки

DNS (система доменных имён) преобразует понятные человеку доменные имена (например, api.mycompany.com) в IP-адреса, которые компьютеры используют для обмена данными. Azure предоставляет две службы DNS: Azure DNS для размещения общедоступных зон DNS (доменов, доступных из интернета) и Azure Private DNS для внутреннего разрешения имён внутри виртуальных сетей. Без правильной настройки DNS на ресурсы Azure приходится ссылаться по IP-адресам, из-за чего архитектуры становятся хрупкими: любое изменение IP-адреса нарушает все зависимые конфигурации. Azure DNS — это высокодоступная, глобально распределённая служба, работающая на основе anycast-сети Microsoft.

Общедоступные зоны Azure DNS размещают записи DNS для доменов, доступных из интернета. Вы делегируете свой домен (зарегистрированный у регистратора, например GoDaddy) Azure DNS, изменяя записи NS домена так, чтобы они указывали на серверы имён Azure. После делегирования вы управляете всеми записями DNS (A, CNAME, MX, TXT и т. д.) на портале Azure или через CLI вместо отдельного поставщика DNS. Общедоступные зоны Azure DNS обеспечивают 100%-ное время доступности по SLA, глобальное распространение изменений менее чем за секунду и доступ с контролем RBAC, поэтому изменять записи DNS могут только авторизованные участники команды.

Частные зоны Azure DNS обеспечивают разрешение имён для ресурсов внутри виртуальных сетей, не публикуя записи DNS. Например, можно создать частную зону myapp.internal и зарегистрировать в ней виртуальные машины, чтобы к ним можно было обращаться по имени (db.myapp.internal), а не по IP-адресу. Частные зоны DNS связываются с виртуальными сетями — разрешать частные записи могут только ресурсы связанных виртуальных сетей. Также можно включить автоматическую регистрацию, при которой записи DNS для виртуальных машин создаются автоматически при их подключении к виртуальной сети. Это позволяет поддерживать DNS в актуальном состоянии без ручного управления.

Для Private Endpoint (например, для Azure SQL, Blob Storage и Key Vault) требуется, чтобы DNS разрешал общедоступное имя узла службы в частный IP-адрес, а не в общедоступный. Azure предоставляет частные зоны DNS для каждой службы (например, privatelink.blob.core.windows.net для Blob Storage). При создании Private Endpoint Azure создаёт в этой частной зоне запись DNS A, указывающую на частный IP-адрес. Свяжите эту зону с виртуальной сетью, и все запросы DNS для URL учётной записи Storage будут автоматически разрешаться в частный IP-адрес — трафик будет направляться через частную магистральную сеть без изменений кода приложения.

Azure Load Balancer распределяет входящий сетевой трафик между несколькими внутренними ресурсами (виртуальными машинами или экземплярами в наборе масштабирования), чтобы ни один ресурс не оказался перегружен. Он работает на уровне 4 (транспортном уровне) модели OSI: маршрутизирует пакеты TCP и UDP на основе IP-адресов и портов источника и назначения, не анализируя содержимое HTTP. Azure Load Balancer — это высокодоступная служба с избыточностью по зонам и SLA 99,99% (SKU Standard), которая поддерживает как балансировку входящего трафика (из интернета или виртуальной сети), так и исходящий SNAT для выхода виртуальных машин в интернет.

Azure Load Balancer состоит из четырёх основных компонентов: конфигурация внешнего IP-адреса — общедоступный или частный IP-адрес, к которому подключаются клиенты; внутренний пул — набор виртуальных машин или экземпляров набора масштабирования, получающих трафик; правила балансировки нагрузки — сопоставляют внешний IP-адрес и порт с внутренним портом и задают алгоритм распределения нагрузки (по умолчанию хеширование по 5 кортежам); проверки работоспособности — периодически проверяют каждый внутренний экземпляр; экземпляры, не прошедшие проверку, перестают получать новые подключения до восстановления. Вместе эти компоненты определяют, как трафик принимается, проверяется и распределяется.

Проверки работоспособности — это периодические запросы, которые Load Balancer отправляет каждому внутреннему экземпляру, чтобы определить, исправен ли он и должен ли получать трафик. Вы настраиваете протокол проверки (HTTP, HTTPS или TCP), порт и интервал. Для проверок HTTP/HTTPS Load Balancer отправляет запрос GET по указанному пути URL — экземпляр считается исправным, если возвращает HTTP 200. Для проверок TCP успешное TCP-соединение означает, что экземпляр исправен. Если внутренний ресурс не проходит заданное число последовательных проверок, Load Balancer перестаёт отправлять ему новые подключения, пока он снова не начнёт проходить проверки. Это обеспечивает автоматическую отказоустойчивость без ручного вмешательства.

Azure Load Balancer доступен в двух SKU: базовый — бесплатный, поддерживает до 300 внутренних экземпляров, не имеет SLA и поддержки зон доступности, а также не требует защищённых по умолчанию NSG; Standard — платный (около 20 долларов в месяц за базовую конфигурацию), поддерживает до 1 000 внутренних экземпляров, SLA 99,99%, внешний интерфейс с избыточностью по зонам, защищён по умолчанию (для разрешения трафика требуются явные правила NSG) и поддерживает несколько внешних IP-адресов. Для любой рабочей нагрузки в рабочей среде настоятельно рекомендуется SKU Standard. Microsoft прекращает поддержку SKU Basic — в новых развертываниях всегда следует использовать Standard.

Azure Load Balancer можно развернуть в двух конфигурациях: общедоступный (внешний) Load Balancer — имеет общедоступный IP-адрес во внешнем интерфейсе и распределяет интернет-трафик между внутренними виртуальными машинами. Он используется для приложений, доступных из интернета, например веб-серверов и шлюзов API. внутренний (частный) Load Balancer — имеет частный IP-адрес во внешнем интерфейсе внутри виртуальной сети и распределяет трафик внутри виртуальной сети. Он используется в многоуровневых приложениях, где Load Balancer уровня приложения не должен быть доступен из интернета, а только из веб-уровня в той же виртуальной сети. Можно развернуть оба варианта одновременно: общедоступный LB для веб-уровня и внутренний LB для уровня приложения.

Azure предлагает два основных сервиса балансировки нагрузки для разных сценариев: Azure Load Balancer — уровень 4, TCP/UDP, сверхнизкая задержка, обработка миллионов подключений в секунду. Лучше всего подходит для рабочих нагрузок, не использующих HTTP, или когда приоритетом являются максимальная пропускная способность и минимальная задержка. Application Gateway — уровень 7, HTTP/HTTPS, распознаёт пути URL и заголовки, включает брандмауэр веб-приложений (WAF), завершение SSL-соединений, привязку сеансов на основе файлов cookie и маршрутизацию по URL. Лучше всего подходит для веб-приложений, которым необходимы балансировка нагрузки с учётом содержимого, вынос обработки TLS и защита WAF. Для простой балансировки нагрузки TCP используйте Load Balancer. Для веб-приложений Application Gateway предоставляет существенные преимущества.

DNS и балансировщик нагрузки работают вместе, создавая отказоустойчивые и удобные для пользователей конечные точки. Распространённый сценарий: 1) создайте Azure Load Balancer со стандартным общедоступным IP-адресом и внутренним пулом виртуальных машин веб-серверов. 2) создайте запись CNAME в Azure DNS, указывающую www.mycompany.com на общедоступный IP-адрес балансировщика нагрузки (или его DNS-имя). 3) когда пользователи посещают www.mycompany.com, DNS разрешает это имя в IP-адрес балансировщика нагрузки, а балансировщик распределяет запросы между работоспособными экземплярами виртуальных машин. Это обеспечивает удобный URL, автоматическое распределение трафика и отказоустойчивость.

Проверьте своё понимание концепций Microsoft Azure Fundamentals (AZ-900), рассмотренных в этом уроке.

В этом уроке Вы узнали, что Azure DNS размещает общедоступные и частные зоны DNS с доступностью, близкой к 100 %, обеспечивая понятные человеку имена для ресурсов Azure, частные зоны DNS с автоматической регистрацией поддерживают записи DNS VNet в актуальном состоянии без ручного управления, а Azure Load Balancer распределяет трафик TCP/UDP уровня 4 между работоспособными внутренними экземплярами виртуальных машин, используя проверки работоспособности для автоматического обнаружения неисправных экземпляров и исключения их из распределения. Далее мы перейдём к курсу по базам данных Azure, начав с Azure SQL Database.