Оптимизация производительности с помощью правил CDN

Обработчик правил Azure Front Door (в Standard/Premium он называется наборами правил) позволяет перехватывать и изменять HTTP-запросы и ответы на периферийном PoP до их кэширования или пересылки к источнику. Без обработчика правил такие задачи, как перенаправление HTTP на HTTPS, добавление заголовков безопасности к ответам и геоблокировка, выполнялись бы в коде приложения на источнике, что увеличивало бы задержку и связывало вопросы безопасности с бизнес-логикой. Правила на периферии выполняются быстрее и снижают нагрузку на источник.

Один из наиболее распространенных вариантов использования обработчика правил — принудительное применение HTTPS. Когда клиент запрашивает Ваш сайт по HTTP, правило перенаправления на периферии Front Door немедленно возвращает ответ 301 Moved Permanently (или 302 Found) с указанием URL-адреса HTTPS, не передавая запрос источнику. Это быстрее перенаправлений на стороне источника и гарантирует шифрование всего трафика при передаче. Настройте это как действие перенаправления для запросов, в которых условие RequestScheme равно HTTP.

Современные браузеры поддерживают заголовки безопасности HTTP, предотвращающие распространенные атаки. Вы можете добавлять эти заголовки ко всем ответам с помощью действий обработчика правил Append response header, не изменяя сервер источника. К основным заголовкам относятся: Strict-Transport-Security (принудительно использует HTTPS в течение заданного периода), X-Content-Type-Options: nosniff (предотвращает определение типа MIME по содержимому), X-Frame-Options: DENY (предотвращает кликджекинг) и Content-Security-Policy (ограничивает источники содержимого). Добавление этих заголовков на периферии обеспечивает единообразное применение для всех источников.

Обработчик правил позволяет переопределять TTL кэша по умолчанию для определенных шаблонов URL. Например, можно кэшировать /static/images/* в течение 30 дней, а ответы /api/* — всего 60 секунд. Используйте условие сопоставления для RequestUri и действие Route configuration override, задающее пользовательскую продолжительность кэширования. Это обеспечивает точный контроль поведения кэша без создания отдельных маршрутов для каждого типа содержимого.

Действия перезаписи URL изменяют URL запроса перед его пересылкой к источнику, не меняя URL, который видит клиент. Это удобно, когда запросы нужно отправлять из одной структуры URL по другому пути серверной части. Например, можно переписать /products/item/{id} в /catalog/v2/products/{id}, чтобы учесть изменения API серверной части без обновления ссылок у клиентов. Перезапись URL — это действие обработчика правил, изменяющее URL path с помощью замены строк или групп захвата.

Геофильтрация на уровне обработчика правил позволяет перенаправлять или блокировать пользователей из определенных стран на основе геолокации, полученной по IP-адресу клиента. В отличие от геофильтрации CDN, которая возвращает 403, геофильтрация обработчика правил предоставляет больше возможностей: заблокированные страны можно перенаправить на целевую страницу с объяснением региональной доступности или направить пользователей из определенных стран в группы источников для соответствующего региона (например, пользователей из EU — к источникам EU для соблюдения GDPR). Геосопоставление RemoteAddress использует базу данных преобразования IP-адресов в страны MaxMind.

Обработчик правил может добавлять, перезаписывать или удалять заголовки запроса перед его пересылкой к источнику. Распространенный вариант использования — добавление X-Forwarded-For или пользовательского заголовка, например X-Front-Door-Id, чтобы источник знал, что запросы поступили через Front Door, и мог проверить их. Также можно удалить исходный заголовок Host и заменить его именем узла источника — это важно, если источник проверяет заголовок Host. Это дает полный контроль над тем, что видит сервер источника.

Условия обработчика правил могут сопоставляться со значениями заголовков запроса, что позволяет реализовать сложную логику маршрутизации. Например, запросы с заголовком X-API-Version: 2 можно направить в другую группу источников, где работает API версии 2, а запросы без этого заголовка — к источнику версии 1. Это позволяет реализовать синхронное переключение версий API на периферии без отдельных имен узлов для каждой версии API. Маршрутизация на основе заголовков также используется для A/B-тестирования: направление выполняется на основе cookie с пользовательским сегментом.

Сжатие ответов в Front Door сжимает текстовые ответы (HTML, CSS, JavaScript, JSON) с помощью gzip или Brotli перед их выдачей из PoPs. Сжатие особенно эффективно для крупных пакетов JS и может уменьшить объем передаваемых данных до 70%. Включите сжатие в параметрах маршрута и укажите типы MIME, которые нужно сжимать. Сжатое содержимое кэшируется в сжатом виде на PoP, поэтому только первый запрос каждого ресурса запускает сжатие, а последующие мгновенно получают кэшированный сжатый файл.

Origin Shield — это дополнительный необязательный уровень кэширования, который Front Door размещает между периферийными узлами PoP и источником. Если этот уровень включен, более 100 периферийных PoPs не запрашивают некэшированное содержимое у источника независимо друг от друга, а передают промахи кэша одному региональному PoP защиты источника, который затем обращается к источнику. Это значительно уменьшает количество запросов к источнику (так называемый коэффициент разгрузки источника), сохраняя при этом глобальную выдачу содержимого с периферийных PoPs.

Перед развертыванием изменений обработчика правил в рабочей среде проверьте их с помощью средств диагностики и тестирования на портале. В области Параметры диагностики журналы WAF в режиме обнаружения показывают, каким правилам соответствуют запросы. Для обработчика правил также можно после развертывания в промежуточной среде просмотреть фактические заголовки запросов и ответов в инструментах разработчика браузера или использовать curl -v, чтобы отправить определенные запросы и убедиться, что заголовки ответа и поведение перенаправлений соответствуют ожиданиям, прежде чем переключаться на рабочую среду.

Проверьте, насколько хорошо Вы поняли рассмотренные в этом уроке концепции Microsoft Azure Fundamentals (AZ-900).

В этом уроке Вы узнали, что обработчик правил Front Door выполняет перенаправления с HTTP на HTTPS, добавляет заголовки безопасности к ответам и переопределяет TTL кэша на периферии без изменений в источнике; перезапись URL незаметно изменяет пути запросов, пересылаемых к источнику, тогда как перенаправление URL меняет URL, отображаемый клиенту; а Origin Shield снижает нагрузку на источник, объединяя запросы при промахах кэша через региональный узел защиты. Далее мы рассмотрим Azure AI Services для добавления интеллектуальных возможностей в приложения.