Spolehlivost v Azure Firewall

Azure Firewall je spravovaná cloudová služba zabezpečení sítě, která chrání Azure Virtual Network prostředky. Jedná se o plně stavovou službu firewall, která zahrnuje integrovanou vysokou dostupnost a neomezenou cloudovou škálovatelnost.

Při použití Azure je spolehlivost sdílenou odpovědností. Microsoft nabízí celou řadu možností, které podporují odolnost a obnovení. Zodpovídáte za pochopení toho, jak tyto možnosti fungují ve všech službách, které používáte, a výběrem možností, které potřebujete ke splnění vašich obchodních cílů a cílů dostupnosti.

Tento článek popisuje, jak zajistit odolnost Azure Firewall vůči nejrůznějším potenciálním výpadkům a problémům, včetně přechodných chyb, výpadků zón dostupnosti a výpadků oblastí. Popisuje také odolnost během údržby služeb a zvýrazňuje některé klíčové informace o smlouvě o úrovni služeb brány firewall (SLA).

Doporučení pro nasazení do produkčního prostředí

Další informace o nasazení Azure Firewall pro podporu požadavků na spolehlivost vašeho řešení a o tom, jak spolehlivost ovlivňuje další aspekty architektury, najdete v osvědčených postupech Architecture pro Azure Firewall v architektuře Azure Well-Architected.

Přehled architektury spolehlivosti

Instance označuje jednotku brány firewall na úrovni virtuálního počítače. Každá instance představuje infrastrukturu, která zpracovává provoz a provádí kontroly brány firewall.

Pokud chcete dosáhnout vysoké dostupnosti brány firewall, Azure Firewall automaticky poskytuje alespoň dvě instance bez nutnosti zásahu nebo konfigurace. Brána firewall se automaticky rozšiřuje, když průměrná propustnost, spotřeba procesoru a využití připojení dosáhnou předdefinovaných prahových hodnot. Další informace najdete na stránce Azure Firewall – výkon. Platforma automaticky spravuje vytváření instancí, monitorování stavu a náhradu instancí, které nejsou v pořádku.

Abychom chránili před selháním serverů a racků serverů, Azure Firewall automaticky distribuuje instance napříč několika doménami selhání v rámci regionu.

Následující diagram znázorňuje bránu firewall se dvěma instancemi:

Diagram, který zobrazuje Azure Firewall se dvěma instancemi.

Pokud chcete zvýšit redundanci a dostupnost během selhání datacentra, Azure Firewall automaticky povolí redundanci zón v oblastech, které podporují více zón dostupnosti a distribuují instance do alespoň dvou zón dostupnosti.

Odolnost proti přechodným chybám

Přechodné chyby jsou krátká, přerušovaná selhání ve složkách. V distribuovaném prostředí, jako je cloud, se vyskytují často a jsou normální součástí provozu. Přechodné chyby se opravují po krátké době. Je důležité, aby vaše aplikace mohly zpracovávat přechodné chyby, obvykle opakováním ovlivněných požadavků.

Všechny aplikace hostované v cloudu by měly postupovat podle Azure pokynů pro zpracování přechodných chyb, když komunikují s libovolnými rozhraními API, databázemi a dalšími komponentami hostovanými v cloudu. Další informace najdete v tématu Doporučení pro zpracování přechodných chyb.

U aplikací, které se připojují prostřednictvím Azure Firewall, implementujte logiku opakování s exponenciálním zpoždováním, aby zvládly potenciální přechodné problémy s připojením. Stavová povaha Azure Firewall zajišťuje, že legitimní připojení zůstanou aktivní během krátkého přerušení sítě.

Během operací škálování, které trvá pět až sedm minut, brána firewall zachová stávající připojení, zatímco přidává nové instance brány firewall pro zpracování zvýšeného zatížení.

Odolnost proti chybám zóny dostupnosti

zóny dostupnosti jsou fyzicky oddělené skupiny datacenter v rámci Azure oblasti. Když jedna zóna selže, mohou služby přejít na jednu ze zbývajících zón.

Azure Firewall se automaticky nasadí jako zónově redundantní v oblastech, které podporují více zón dostupnosti. Brána firewall je redundantní z hlediska zón, když ji nasadíte alespoň ve dvou zónách dostupnosti.

Azure Firewall podporuje zónově redundantní i zónové modely nasazení:

  • Zone-redundant: V oblastech, které podporují zóny dostupnosti, Azure automaticky distribuuje instance brány firewall napříč několika zónami dostupnosti (alespoň dva). Azure automaticky spravuje vyrovnávání zatížení a převzetí při selhání mezi zónami. Tento model nasazení je výchozí pro všechny nové firewally.

    Zónově redundantní firewally dosahují nejvyšší úrovně dohody o úrovni služeb (SLA). Používejte je pro produkční úlohy, které vyžadují maximální dostupnost.

    Následující diagram znázorňuje zónově redundantní bránu firewall se třemi instancemi distribuovanými napříč třemi zónami dostupnosti:

    Diagram, který zobrazuje Azure Firewall se třemi instancemi, každý v samostatné zóně dostupnosti.

    Poznámka:

    Všechna nasazení brány firewall v oblastech s více zónami dostupnosti jsou automaticky zónově redundantní. Toto pravidlo platí pro nasazení prostřednictvím portálu Azure a nasazení založených na rozhraní API (Azure CLI, PowerShell, Bicep, šablon ARM, Terraform).

  • Zonal: V konkrétních scénářích, kde existují omezení kapacity nebo požadavky na latenci jsou kritické, můžete nasadit Azure Firewall do konkrétní zóny dostupnosti pomocí nástrojů založených na rozhraní API (Azure CLI, PowerShellu, Bicep, šablon ARM, Terraformu). Nasadíte všechny instance zónové brány firewall v této zóně.

    Následující diagram znázorňuje zónovou bránu firewall se třemi instancemi nasazenými do stejné zóny dostupnosti:

    Diagram, který zobrazuje Azure Firewall se třemi instancemi, všechny ve stejné zóně dostupnosti.

    Důležité

    Zónová nasazení můžete vytvářet pouze prostřednictvím nástrojů založených na rozhraní API. Nemůžete je nakonfigurovat prostřednictvím portálu Azure. Stávající nasazení firewallů zón budou v budoucnu migrovány do zónově redundantních nasazení. Pokud je to možné, použijte zónově redundantní způsob nasazení, abyste dosáhli nejvyšší garantované SLA dostupnosti. Samotná zónová brána firewall neposkytuje odolnost vůči výpadku zóny dostupnosti.

Migrace existujících nasazení

Dříve byla nasazení Azure Firewall, která nejsou nakonfigurovaná jako zónově redundantní nebo zónová, označována jako nezonová nebo regionální. V průběhu kalendářního roku 2026 Azure migruje všechna existující nezonální nasazení brány firewall do zónově redundantních nasazení v oblastech, které podporují více zón dostupnosti.

Požadavky

  • Region support: Azure Firewall podporuje zóny dostupnosti v oblastech všechny oblasti, které podporují zóny dostupnosti, kde je dostupná služba Azure Firewall.
  • Všechny úrovně Azure Firewall podporují zóny dostupnosti.
  • Zónově redundantní brány firewall vyžadují standardní veřejné IP adresy nakonfigurované tak, aby byly zónově redundantní.
  • Zónové brány firewall (nasazené prostřednictvím nástrojů založených na rozhraní API) vyžadují standardní veřejné IP adresy a dají se nakonfigurovat tak, aby byly zónově redundantní nebo zónové ve stejné zóně jako brána firewall.

Náklady

Za zónově redundantní nasazení brány firewall nejsou žádné další poplatky.

Konfigurujte podporu zón dostupnosti

Tato část vysvětluje konfiguraci dostupnostní zóny pro vaše firewally.

  • Vytvořte novou firewall: Všechna nová nasazení Azure Firewall v oblastech s různými zónami dostupnosti jsou ve výchozím nastavení automaticky zónově redundantní. Toto pravidlo platí pro nasazení založená na portálu i rozhraní API.

    • Zónově redundantní (výchozí): Když nasadíte novou bránu firewall v oblasti s více zónami dostupnosti, Azure automaticky distribuuje instance mezi nejméně dvě zóny dostupnosti. Nevyžaduje se žádná další konfigurace. Další informace najdete v tématu Deploy Azure Firewall pomocí portálu Azure.

      • Azure portal: Automaticky nasadí zónově redundantní brány firewall. Konkrétní zónu dostupnosti nemůžete vybrat prostřednictvím portálu.
      • nástroje založené na API (Azure CLI, PowerShell, Bicep, šablony ARM, Terraform): Ve výchozím nastavení nasaďte zónově redundantní brány firewall. Volitelně můžete zadat zóny pro nasazení.

      Další informace o nasazení zónově redundantní brány firewall najdete v tématu Nasazení Azure Firewall se zónami dostupnosti.

    • Zonal (jenom nástroje založené na rozhraní API): Pokud chcete nasadit bránu firewall do konkrétní zóny dostupnosti (například kvůli omezením kapacity v oblasti), použijte nástroje založené na rozhraní API, jako jsou Azure CLI, PowerShell, Bicep, šablony ARM nebo Terraform. Zadejte jednu zónu v konfiguraci nasazení. Tato možnost není dostupná prostřednictvím portálu Azure.

      Poznámka:

      Když vyberete, které zóny dostupnosti se mají použít, ve skutečnosti vybíráte logickou zónu dostupnosti. Pokud nasadíte jiné součásti úloh v jiném Azure předplatném, můžou pro přístup ke stejné zóně fyzické dostupnosti použít jiné číslo logické zóny dostupnosti. Další informace najdete v tématu Fyzické a logické zóny dostupnosti.

  • Existující brány firewall: Všechna existující nezonální (regionální) nasazení brány firewall se automaticky migrují do zónově redundantních nasazení v oblastech, které podporují více zón dostupnosti. Stávající nasazení zónových brán firewall (vázaná ke konkrétní zóně) se migrují do zónově redundantních nasazení v budoucím termínu.

  • Omezení kapacity: Pokud oblast nemá kapacitu pro zónově redundantní nasazení (vyžaduje alespoň dvě zóny dostupnosti), nasazení selže. V tomto scénáři můžete nasadit zónový firewall do konkrétní zóny dostupnosti pomocí API nástrojů.

Chování, když jsou všechny zóny v pořádku

Tato část popisuje, co očekávat, když je Azure Firewall nakonfigurovaná s podporou zóny dostupnosti a všechny zóny dostupnosti jsou funkční.

  • Směrování provozu mezi zónami: Chování směrování provozu závisí na konfiguraci zóny dostupnosti, kterou používá vaše brána firewall.

    • Zone-redundant: Azure Firewall automaticky distribuuje příchozí požadavky mezi instance ve všech zónách, které brána firewall používá. Tato konfigurace aktivní-aktivní zajišťuje optimální výkon a distribuci zatížení za normálních provozních podmínek.

    • Zonal: Pokud nasadíte více zónových instancí napříč různými zónami, musíte nakonfigurovat směrování provozu pomocí externích řešení vyrovnávání zatížení, jako jsou Azure Load Balancer nebo Azure Traffic Manager.

  • Správa instancí: Platforma automaticky spravuje umístění instancí napříč zónami, které brána firewall používá. Nahrazuje neúspěšné instance a udržuje nakonfigurovaný počet instancí. Monitorování stavu zajišťuje, aby provoz přijímaly pouze instance, které jsou v pořádku.

  • Data replikace mezi zónami: Azure Firewall nemusí synchronizovat stav připojení mezi dostupnostními zónami. Instance, která zpracovává požadavek, udržuje stav každého připojení.

Chování při selhání zóny

Tato část popisuje, co očekávat, když je Azure Firewall nakonfigurována s podporou zóny dostupnosti a jedna nebo více zón dostupnosti není k dispozici.

  • Detekce a odpověď: Odpovědnost za detekci a odpověď závisí na konfiguraci zóny dostupnosti, kterou používá vaše brána firewall.

    • Zone-redundant: Pokud jsou instance nakonfigurované tak, aby používaly redundanci zón, platforma Azure Firewall detekuje a reaguje na selhání v zóně dostupnosti. Nemusíte zahájit převzetí zóny při selhání.

    • Zónový: Pro brány firewall nakonfigurované tak, aby byly zónové, musíte zjistit ztrátu zóny dostupnosti a zahájit převzetí služeb při selhání sekundární bránou firewall, kterou vytvoříte v jiné zóně dostupnosti.

  • Oznámení: Microsoft vás při výpadku zóny automaticky neoznámí. Můžete ale použít Azure Service Health k pochopení celkového stavu služby, včetně jakýchkoli selhání zón, a můžete nastavit upozornění služby Service Health, která vás upozorní na problémy.

  • Aktivní připojení: Pokud není zóna dostupnosti k dispozici, můžou být požadavky, které se připojují k instanci brány firewall v poškozené zóně dostupnosti, ukončeny a vyžadovat opakování.

  • Očekávaná ztráta dat: Během selhání zóny se neočekává žádná ztráta dat, protože Azure Firewall neukládá trvalá zákaznická data.

  • Očekávaný výpadek: Výpadek závisí na konfiguraci zóny dostupnosti, kterou používá vaše brána firewall.

    • Zónově redundantní: Během výpadku zóny dostupnosti očekávejte minimální prostoje (obvykle několik sekund). Klientské aplikace by měly dodržovat postupy pro zpracování přechodných chyb, včetně implementace zásad opakování s exponenciálním výpadkem.

    • Zónový: Pokud je zóna nedostupná, brána firewall zůstane nedostupná, dokud se zóna dostupnosti neobnoví.

  • Přesměrování provozu: Chování přesměrování provozu závisí na konfiguraci zóny dostupnosti, kterou používá vaše brána firewall.

    • Zónově redundantní: Provoz se automaticky směruje do zdravých zón dostupnosti. V případě potřeby platforma vytvoří nové instance brány firewall ve zónách, které jsou funkční.

    • Zónový: Pokud je zóna nedostupná, je zónová brána firewall také nedostupná. Pokud máte sekundární bránu firewall v jiné zóně dostupnosti, zodpovídáte za přesměrování provozu na tuto bránu firewall.

Failback

Chování při přepnutí zpět závisí na konfiguraci zóny dostupnosti, kterou používá váš firewall.

  • Zone-redundant: Po obnovení zóny dostupnosti Azure Firewall automaticky redistribuuje instance napříč všemi zónami, které vaše brána firewall používá, a obnoví běžné rozložení zatížení mezi zónami.

  • Zónový: Po obnovení zóny dostupnosti zodpovídáte za přesměrování provozu do brány firewall v původní zóně dostupnosti.

Testování poruch zón

Možnosti testování selhání zón závisí na konfiguraci oblasti dostupnosti vaší brány firewall.

  • Zone-redundant: Platforma Azure Firewall spravuje směrování provozu, přepínání služeb při selhání a obnovení služeb pro zónově redundantní zdroje brány firewall. Tato funkce je plně spravovaná, takže nemusíte zahajovat ani ověřovat procesy selhání zóny dostupnosti.

  • Zónový: Aspekty selhání zóny dostupnosti můžete simulovat zastavením brány firewall. Tento přístup použijte k otestování, jak jiné systémy a nástroje pro vyrovnávání zatížení zpracovávají výpadek v bráně firewall. Další informace najdete v tématu Stop a spuštění Azure Firewall.

Odolnost proti selháním v celé oblasti

Azure Firewall je služba s jednou oblastí. Pokud oblast není k dispozici, prostředek brány firewall je také nedostupný.

Vlastní řešení pro více regionů pro odolnost systémů

Pokud chcete implementovat architekturu pro více regionů, použijte samostatné brány firewall. Tento přístup vyžaduje, abyste do každé oblasti nasadili nezávislou bránu firewall, směrovali provoz do příslušné regionální brány firewall a implementovali logiku pro vlastní převzetí služeb při selhání. Vezměte v úvahu následující body:

  • Použijte Azure Firewall Manager pro centralizovanou správu politiky napříč několika branami firewall. Použijte metodu zásad brány firewall pro centralizovanou správu pravidel napříč několika instancemi brány firewall.

  • Směrování provozu pomocí Traffic Manageru nebo Azure Front Door.

Příklad architektury, která znázorňuje architektury zabezpečení sítě ve více oblastech, najdete v tématu Multiregion vyrovnávání zatížení pomocí Traffic Manageru, Azure Firewall a služby Application Gateway.

Odolnost vůči údržbě služeb

Azure Firewall pravidelně provádí upgrady služeb a další formy údržby.

Denní časové intervaly údržby můžete nakonfigurovat tak, aby odpovídaly plánům upgradu s vašimi provozními potřebami. Další informace najdete v tématu Konfigurování údržby řízené zákazníkem pro Azure Firewall.

Smlouva o úrovni služeb

Smlouva o úrovni služeb (SLA) pro služby Azure popisuje očekávanou dostupnost každé služby a podmínky, které musí vaše řešení splnit, aby bylo dosaženo očekávané dostupnosti. Další informace najdete v tématu SLA pro online služby.

Azure Firewall poskytuje vyšší dostupnost podle dohody o úrovni služeb (SLA) pro zónově redundantní brány firewall umístěné ve dvou nebo více zónách dostupnosti.

Související obsah

  • Last updated on