Bereitstellen einer Azure-Firewall mit Verfügbarkeitszonen

Azure Firewall kann während der Bereitstellung so konfiguriert werden, dass sie mehrere Verfügbarkeitszonen für eine höhere Verfügbarkeit umfasst.

Dieses Feature ermöglicht die folgenden Szenarien:

• Sie können die Verfügbarkeit auf 99,99% Betriebszeit erhöhen. Weitere Informationen finden Sie im Azure Firewall Service Level Agreement (SLA).For more information, see the Azure Firewall Service Level Agreement (SLA). Die SLA für die Verfügbarkeit von 99,99% wird angeboten, wenn zwei oder mehr Verfügbarkeitszonen ausgewählt werden.
• Sie können Azure Firewall auch nur aus Näherungsgründen einer bestimmten Zone zuordnen, indem Sie den Dienststandard 99.95% SLA verwenden.

Weitere Informationen zu Azure Firewall-Verfügbarkeitszonen finden Sie unter Azure Firewall-Features von SKU.

Konfigurieren von Verfügbarkeitszonen in azure Firewall

Azure Firewall kann für die Verwendung von Verfügbarkeitszonen während der Bereitstellung konfiguriert werden, um die Verfügbarkeit und Zuverlässigkeit zu verbessern. Diese Konfiguration kann über das Azure-Portal, Azure PowerShell oder andere Bereitstellungsmethoden ausgeführt werden.

Verwenden des Azure-Portals

• Standardmäßig bietet das Azure-Portal keine Option zum Auswählen bestimmter Verfügbarkeitszonen beim Erstellen einer neuen Azure-Firewall. Azure Firewall wird standardmäßig als Zonenredundanz bereitgestellt, wobei die Zonenredundanzanforderungen eingehalten werden.

Verwenden von APIs

• Es wird empfohlen, während der Bereitstellung keine Zonen anzugeben, da das Back-End die Firewall standardmäßig als Zone Redundant konfiguriert.
• Wenn während der Bereitstellung bestimmte Zonen über die API angegeben sind, werden die angegebenen Zonen berücksichtigt.

Verwenden von Azure PowerShell

Sie können Verfügbarkeitszonen mit Azure PowerShell konfigurieren. Im folgenden Beispiel wird das Erstellen einer Firewall in den Zonen 1, 2 und 3 veranschaulicht.

Wenn eine standardmäßige öffentliche IP-Adresse ohne Angabe einer Zone erstellt wird, wird sie standardmäßig als zonenredundant konfiguriert. Standardmäßige öffentliche IP-Adressen können allen Zonen oder einer einzelnen Zone zugeordnet werden.

Es ist wichtig zu beachten, dass eine Firewall nicht in einer Zone bereitgestellt werden kann, während sich ihre öffentliche IP-Adresse in einer anderen Zone befindet. Sie können eine Firewall jedoch in einer bestimmten Zone bereitstellen und sie einer zonenredundanten öffentlichen IP-Adresse zuordnen oder sowohl die Firewall als auch die öffentliche IP-Adresse in derselben Zone für Näherungszwecke bereitstellen.

$rgName = "Test-FW-RG"

$vnet = Get-AzVirtualNetwork `
  -Name "Test-FW-VN" `
  -ResourceGroupName $rgName

$pip1 = New-AzPublicIpAddress `
  -Name "AzFwPublicIp1" `
  -ResourceGroupName "Test-FW-RG" `
  -Sku "Standard" `
  -Location "eastus" `
  -AllocationMethod Static `
  -Zone 1,2,3

New-AzFirewall `
  -Name "azFw" `
  -ResourceGroupName $rgName `
  -Location "eastus" `
  -VirtualNetwork $vnet `
  -PublicIpAddress @($pip1) `
  -Zone 1,2,3

Einschränkungen

• Azure Firewall mit Verfügbarkeitszonen wird nur in Regionen unterstützt, in denen Verfügbarkeitszonen angeboten werden.
• In Regionen mit Zoneneinschränkungen aufgrund von Kapazitätsbeschränkungen kann die Bereitstellung einer zonenredundanten Firewall fehlschlagen. In solchen Fällen können Sie die Firewall in einer einzelnen Zone oder in verfügbaren Zonen bereitstellen, um mit der Bereitstellung fortzufahren.
• Zonenbeschränkungen sind auf der Seite Azure Firewall bekannte Probleme dokumentiert.

Durch die Konfiguration von Verfügbarkeitszonen können Sie eine höhere Verfügbarkeit erreichen und sicherstellen, dass Ihre Netzwerksicherheitsinfrastruktur stabiler ist.

Nächste Schritte

• Tutorial: Überwachen von Azure Firewall-Protokollen