Поделиться через

Надежность в брандмауэре Azure

Брандмауэр Azure — это управляемая облачная служба безопасности сети, которая защищает ресурсы виртуальной сети Azure. Это полностью служба брандмауэра с отслеживанием состояния, которая включает встроенную высокую доступность и неограниченное масштабируемость облака.

В этой статье описывается поддержка надежности в брандмауэре Azure, охватывающая устойчивость внутри региона через зоны доступности и развертывания в нескольких регионах.

При использовании Azure надежность является общей ответственностью. Корпорация Майкрософт предоставляет ряд возможностей для поддержки устойчивости и восстановления. Вы несете ответственность за понимание того, как работают эти возможности во всех используемых вами службах, а также за выбор возможностей, необходимых для достижения бизнес-целей и целей бесперебойной работы.

Рекомендации по развертыванию в производственной среде

Сведения о развертывании брандмауэра Azure для поддержки требований к надежности решения и о том, как надежность влияет на другие аспекты архитектуры, см. в статье "Рекомендации по архитектуре брандмауэра Azure" в Azure Well-Architected Framework.

Обзор архитектуры надежности

Экземпляр ссылается на единицу уровня виртуальной машины брандмауэра. Каждый экземпляр представляет инфраструктуру, которая обрабатывает трафик и выполняет проверки брандмауэра.

Чтобы обеспечить высокий уровень доступности брандмауэра, брандмауэр Azure автоматически предоставляет по крайней мере два экземпляра, не требуя вмешательства или настройки. Брандмауэр автоматически масштабируется, когда средняя пропускная способность, потребление ЦП и использование подключений достигают предопределенных пороговых значений. Дополнительные сведения см. в статье Производительность Брандмауэра Azure. Платформа автоматически управляет созданием экземпляров, мониторингом работоспособности и заменой неработоспособных экземпляров.

Чтобы обеспечить защиту от сбоев сервера и сервера, брандмауэр Azure автоматически распределяет экземпляры между несколькими доменами сбоя в регионе.

На следующей схеме показан брандмауэр с двумя экземплярами:

Схема, на которую показан брандмауэр Azure с двумя экземплярами.

Чтобы повысить избыточность и доступность во время сбоев центра обработки данных, можно включить избыточность зоны для распределения экземпляров между несколькими зонами доступности.

Временные сбои

Временные ошибки являются короткими, периодическими сбоями в компонентах. Они часто происходят в распределенной среде, такой как облачная платформа, и являются обычной частью операций. Временные ошибки исправляют себя через короткий период времени. Важно, чтобы приложения могли обрабатывать временные ошибки, обычно повторяя затронутые запросы.

Все облачные приложения должны следовать рекомендациям по обработке временных ошибок Azure при обмене данными с любыми размещенными в облаке API, базами данных и другими компонентами. Дополнительные сведения см. в Рекомендациях по обработке временных сбоев.

Для приложений, которые подключаются через брандмауэр Azure, реализуйте логику повторных попыток с экспоненциальным обратным выходом для обработки потенциальных временных проблем подключения. Характер брандмауэра Azure гарантирует, что допустимые подключения сохраняются во время кратковременных прерываний сети.

Во время операций масштабирования, которые занимают 5–7 минут, существующие подключения сохраняются, а новые экземпляры брандмауэра добавляются для обработки повышенной нагрузки.

Поддержка зоны доступности

Зоны доступности — это физически отдельные группы центров обработки данных в каждом регионе Azure. При сбое одной зоны службы могут переключиться на одну из оставшихся зон.

Брандмауэр Azure автоматически развертывается в зонах доступности в поддерживаемых регионах при создании на портале Azure. Для дополнительных параметров конфигурации зоны необходимо использовать Azure PowerShell, Azure CLI, Bicep или шаблоны Azure Resource Manager (шаблоны ARM).

Брандмауэр Azure поддерживает модели избыточного между зонами и зонального развертывания:

  • Избыточность между зонами: При включении избыточности зоны Azure распределяет экземпляры брандмауэра между несколькими зонами доступности в регионе. Azure управляет балансировкой нагрузки и отработки отказа между зонами автоматически.

    Брандмауэры, избыточные между зонами, достигают соглашения об уровне обслуживания (SLA). Они рекомендуются для рабочих нагрузок, требующих максимальной доступности.

    На следующей схеме показан зонально избыточный брандмауэр с тремя экземплярами, распределенными между тремя зонами доступности.

    Схема, показывающая брандмауэр Azure с тремя экземплярами, каждая из которых содержит отдельную зону доступности.

    Замечание

    При создании брандмауэра с помощью портала Azure автоматически включена избыточность зоны.

  • Зональный: Если решение необычно учитывает задержку между зонами, можно связать брандмауэр Azure с определенной зоной доступности. Вы можете использовать зональное развертывание для развертывания в более близком расположении к серверным серверам. Все экземпляры зонального брандмауэра развертываются в этой зоне.

    На следующей схеме показан зональный брандмауэр с тремя экземплярами, развернутыми в одной зоне доступности:

    Схема, на которую показан брандмауэр Azure с тремя экземплярами, все в одной зоне доступности.

    Это важно

    Рекомендуется закрепить одну зону доступности только в том случае, если задержка между зонами превышает допустимые ограничения, и убедитесь, что задержка не соответствует вашим требованиям. Зональный брандмауэр не обеспечивает устойчивость к сбоям зоны доступности. Чтобы повысить устойчивость зонального развертывания брандмауэра Azure, необходимо вручную развернуть отдельные брандмауэры в нескольких зонах доступности и настроить маршрутизацию трафика и отработку отказа.

Если брандмауэр не настроен как зональный или зональный, он считается незональным или региональным. Незональные брандмауэры могут размещаться в любой зоне доступности в пределах региона. Если зона доступности в регионе возникает сбой, незональные брандмауэры могут находиться в затронутой зоне и могут столкнуться с простоем.

Поддержка регионов

Брандмауэр Azure поддерживает зоны доступности во всех регионах, поддерживающих зоны доступности, где доступна служба брандмауэра Azure.

Требования

  • Все уровни брандмауэра Azure поддерживают зоны доступности.
  • Для брандмауэров, избыточных между зонами, необходимо использовать стандартные общедоступные IP-адреса и настроить их для избыточности между зонами.
  • Для зональных брандмауэров необходимо использовать стандартные общедоступные IP-адреса и настроить их как избыточные по зонам, так и зональные в той же зоне, что и брандмауэр.

Себестоимость

Дополнительные затраты на брандмауэр, развернутый в нескольких зонах доступности, не требуются.

Настройка поддержки зоны доступности

В этом разделе объясняется, как настроить поддержку зоны доступности для брандмауэров.

  • Создайте новый брандмауэр с поддержкой зоны доступности: Подход, используемый для настройки зон доступности, зависит от того, нужно ли создать зональный или избыточный между зонами брандмауэр, а также используемый инструмент.

    Это важно

    Избыточность зоны автоматически включается при развертывании на портале Azure. Чтобы настроить определенные зоны, необходимо использовать другое средство, например Azure CLI, Azure PowerShell, Bicep или шаблоны ARM.

    • Избыточность между зонами: При развертывании нового брандмауэра с помощью портала Azure брандмауэр по умолчанию является избыточным по зонам. Дополнительные сведения см. в статье "Развертывание брандмауэра Azure" с помощью портала Azure.

      При использовании Azure CLI, Azure PowerShell, Bicep, шаблонов ARM или Terraform можно также указать зоны доступности для развертывания. Чтобы развернуть брандмауэр, избыточный между зонами, укажите две или несколько зон. Рекомендуется выбрать все зоны, чтобы брандмауэр может использовать каждую зону доступности, если у вас нет определенной причины исключения зоны.

      Дополнительные сведения о Azure PowerShell см. в статье "Развертывание брандмауэра Azure с зонами доступности с помощью Azure PowerShell".

    • Зональный: Вы можете развернуть зональный брандмауэр с помощью Azure CLI, Azure PowerShell, Bicep, шаблонов ARM или Terraform. Выберите отдельную зону доступности.

      Замечание

      При выборе используемых зон доступности вы фактически выбираете логическую зону доступности. При развертывании других компонентов рабочей нагрузки в другой подписке Azure они могут использовать другой номер логической зоны доступности для доступа к той же физической зоне доступности. Дополнительные сведения см. в разделе "Физические и логические зоны доступности".

  • Включите поддержку зоны доступности в существующем брандмауэре: Вы можете включить зоны доступности в существующем брандмауэре, если он соответствует определенным критериям. Процесс требует остановки (сделки) брандмауэра и его перенастройки. Ожидайте некоторое время простоя. Дополнительные сведения см. в разделе "Настройка зон доступности после развертывания".

  • Измените конфигурацию зоны доступности существующего брандмауэра: Чтобы изменить конфигурацию зоны доступности, необходимо сначала остановить (освобождение) брандмауэра, процесс, который включает в себя некоторое время простоя. Дополнительные сведения см. в разделе "Настройка зон доступности после развертывания".

  • Отключите поддержку зоны доступности: Вы можете изменить зоны доступности, которые использует брандмауэр, но нельзя преобразовать избыточный в зонах или зональный брандмауэр в незональную конфигурацию.

Нормальная работа

В этом разделе описывается, что ожидать, когда брандмауэр Azure настроен с поддержкой зоны доступности и все зоны доступности работают.

  • Маршрутизация трафика между зонами: Поведение маршрутизации трафика зависит от конфигурации зоны доступности, используемой брандмауэром.

    • Избыточность между зонами: Брандмауэр Azure автоматически распределяет входящие запросы между экземплярами во всех зонах, которые использует брандмауэр. Эта конфигурация active-active обеспечивает оптимальную производительность и распределение нагрузки в обычных условиях работы.

    • Зональный: При развертывании нескольких зональных экземпляров в разных зонах необходимо настроить маршрутизацию трафика с помощью внешних решений балансировки нагрузки, таких как Azure Load Balancer или Диспетчер трафика Azure.

  • Управление экземплярами: Платформа автоматически управляет размещением экземпляров в зонах, которые использует брандмауэр, заменяя неудачные экземпляры и сохраняя настроенное число экземпляров. Мониторинг работоспособности гарантирует, что только здоровые экземпляры получают трафик.

  • Репликация данных между зонами: Брандмауэр Azure не должен синхронизировать состояние подключения между зонами доступности. Экземпляр, обрабатывающий запрос, сохраняет состояние каждого подключения.

Опыт понижения зоны

В этом разделе описывается, что ожидать, когда брандмауэр Azure настроен с поддержкой зоны доступности и одной или несколькими зонами доступности недоступны.

  • Обнаружение и ответ: Ответственность за обнаружение и ответ зависит от конфигурации зоны доступности, используемой брандмауэром.

    • Избыточность между зонами: Для экземпляров, настроенных для использования избыточности зоны, платформа брандмауэра Azure обнаруживает и реагирует на сбой в зоне доступности. Вам не нужно инициировать отработку отказа зоны.

    • Зональный: Чтобы брандмауэры были зональными, необходимо обнаружить потерю зоны доступности и инициировать отработку отказа на дополнительный брандмауэр, создаваемый в другой зоне доступности.

  • Уведомление. Брандмауэр Azure не уведомляет вас об отключении зоны. Однако вы можете использовать службу работоспособности служб Azure , чтобы понять общую работоспособность службы брандмауэра Azure, включая все сбои зоны.

    Настройте оповещения для получения уведомлений о проблемах уровня зоны. Дополнительные сведения см. в статье "Создание оповещений о работоспособности службы" на портале Azure.

  • Активные подключения: Если зона доступности недоступна, запросы, выполняемые при подключении к экземпляру брандмауэра в неисправной зоне доступности, могут завершаться и требовать повторных попыток.

  • Ожидаемая потеря данных: Во время отработки отказа между зонами не ожидается потеря данных, так как брандмауэр Azure не хранит постоянные данные клиента.

  • Ожидаемое время простоя: Время простоя зависит от конфигурации зоны доступности, используемой брандмауэром.

    • Избыточность между зонами: Ожидается минимальное время простоя (обычно несколько секунд) во время сбоя зоны доступности. Клиентские приложения должны следовать рекомендациям по обработке временных ошибок, включая реализацию политик повторных попыток с экспоненциальным обратным выходом.

    • Зональный: Если зона недоступна, брандмауэр остается недоступным, пока не будет восстановлена зона доступности.

  • Перенаправка трафика: Поведение перенаправки трафика зависит от конфигурации зоны доступности, используемой брандмауэром.

    • Избыточность между зонами: Трафик автоматически перенаправляется в здоровые зоны доступности. При необходимости платформа создает новые экземпляры брандмауэра в здоровых зонах.

    • Зональный: Если зона недоступна, зональный брандмауэр также недоступен. Если у вас есть дополнительный брандмауэр в другой зоне доступности, вы несете ответственность за перенаправку трафика в этот брандмауэр.

Failback

Поведение восстановления размещения зависит от конфигурации зоны доступности, используемой брандмауэром.

  • Избыточность между зонами: После восстановления зоны доступности брандмауэр Azure автоматически распространяет экземпляры во всех зонах, которые использует брандмауэр и восстанавливает обычную балансировку нагрузки между зонами.

  • Зональный: После восстановления зоны доступности вы несете ответственность за перенаправку трафика в брандмауэр в исходной зоне доступности.

Testing

Параметры тестирования сбоев зоны зависят от конфигурации зоны доступности брандмауэра.

  • Избыточность между зонами: Платформа брандмауэра Azure управляет маршрутизацией трафика, отработкой отказа и восстановлением размещения для ресурсов брандмауэра, избыточных между зонами. Эта функция полностью управляется, поэтому не требуется инициировать или проверять процессы сбоя зоны доступности.

  • Зональный: Вы можете имитировать аспекты сбоя зоны доступности, остановив брандмауэр. Используйте этот подход для проверки того, как другие системы и подсистемы балансировки нагрузки обрабатывают сбой в брандмауэре. Дополнительные сведения см. в статье "Остановка и запуск брандмауэра Azure".

Поддержка нескольких регионов

Брандмауэр Azure — это служба с одним регионом. Если регион недоступен, ресурс брандмауэра Azure также недоступен.

Альтернативные подходы с несколькими регионами

Чтобы реализовать архитектуру с несколькими регионами, используйте отдельные брандмауэры. Этот подход требует развертывания независимого брандмауэра Azure в каждом регионе, маршрутизации трафика в соответствующий региональный брандмауэр и реализации пользовательской логики отработки отказа. Рассмотрим следующие моменты:

  • Используйте диспетчер брандмауэра Azure для централизованного управления политиками в нескольких брандмауэрах. Используйте метод политики брандмауэра для централизованного управления правилами в нескольких экземплярах брандмауэра.

  • Реализуйте маршрутизацию трафика с помощью диспетчера трафика или Azure Front Door.

Пример архитектуры, демонстрирующей архитектуру безопасности сети в нескольких регионах, см. в разделе " Балансировка нагрузки в нескольких регионах" с помощью диспетчера трафика, брандмауэра Azure и шлюза приложений.

Надежность при проведении технического обслуживания

Брандмауэр Azure выполняет регулярные обновления служб и другие формы обслуживания.

Вы можете настроить периоды ежедневного обслуживания для выравнивания расписаний обновления с учетом ваших операционных потребностей. Дополнительные сведения см. в статье "Настройка обслуживания, управляемого клиентом" для брандмауэра Azure.

Соглашение об уровне обслуживания

Соглашение об уровне обслуживания (SLA) для служб Azure описывает ожидаемую доступность каждой службы и условия, которые должно соответствовать вашему решению для достижения этого ожидания доступности. Для получения дополнительной информации см. Соглашения об уровне обслуживания для онлайн-сервисов.

Брандмауэр Azure предоставляет более высокую доступность для брандмауэров, развернутых в двух или нескольких зонах доступности.

Связанный контент

  • Last updated on