Niezawodność w usłudze Azure Firewall

Azure Firewall to zarządzana usługa zabezpieczeń sieci oparta na chmurze, która chroni zasoby usługi Azure Virtual Network. Jest to w pełni stanowa usługa zapory, która obejmuje wbudowaną wysoką dostępność i nieograniczoną skalowalność chmury.

W przypadku korzystania z platformy Azure niezawodność jest wspólną odpowiedzialnością. Firma Microsoft oferuje szereg możliwości wspierania odporności systemów i odzyskiwania. Odpowiadasz za zrozumienie sposobu działania tych możliwości we wszystkich używanych usługach oraz wybór możliwości potrzebnych do osiągnięcia twoich celów biznesowych i celów dostępności.

W tym artykule opisano, jak zapewnić odporność usługi Azure Firewall na różne potencjalne awarie i problemy, w tym przejściowe błędy, awarie stref dostępności i awarie regionów. Opisuje również odporność podczas konserwacji serwisowej i wyróżnia niektóre kluczowe informacje o umowie o poziomie usług dla zapory sieciowej (SLA).

Zalecenia dotyczące wdrażania produkcyjnego

Aby dowiedzieć się, jak wdrożyć usługę Azure Firewall, aby obsługiwać wymagania dotyczące niezawodności rozwiązania i jak niezawodność wpływa na inne aspekty architektury, zobacz Architecture best practices for Azure Firewall in the Azure Well-Architected Framework (Najlepsze rozwiązania dotyczące architektury usługi Azure Firewall w strukturze Azure Well-Architected Framework).

Omówienie architektury niezawodności

Wystąpienie odwołuje się do jednostki poziomu maszyny wirtualnej zapory. Każde wystąpienie reprezentuje infrastrukturę, która obsługuje ruch i wykonuje kontrole zapory.

Aby zapewnić wysoką dostępność zapory, usługa Azure Firewall automatycznie udostępnia co najmniej dwa wystąpienia bez konieczności interwencji lub konfiguracji. Zapora automatycznie skaluje się w poziomie, gdy średnia przepływność, użycie procesora CPU i użycie połączenia osiągną wstępnie zdefiniowane progi. Aby uzyskać więcej informacji, zobacz Wydajność usługi Azure Firewall. Platforma automatycznie zarządza tworzeniem wystąpień, monitorowaniem kondycji i zastępowaniem wystąpień w złej kondycji.

Aby zapewnić ochronę przed awariami serwera i stojaka serwerowego, usługa Azure Firewall automatycznie dystrybuuje wystąpienia między wieloma domenami błędów w regionie.

Na poniższym diagramie przedstawiono zaporę z dwoma wystąpieniami:

Aby zwiększyć nadmiarowość i dostępność podczas awarii centrum danych, można włączyć nadmiarowość strefy w celu dystrybucji wystąpień w wielu strefach dostępności.

Odporność na błędy przejściowe

Błędy przejściowe to krótkotrwałe, sporadyczne awarie w komponentach. Występują one często w środowisku rozproszonym, takich jak chmura, i są one normalną częścią operacji. Błędy przejściowe naprawiają się po krótkim czasie. Ważne jest, aby aplikacje mogły obsługiwać błędy przejściowe, zwykle ponawiając próby żądań, których dotyczy problem.

Wszystkie aplikacje hostowane w chmurze powinny postępować zgodnie ze wskazówkami dotyczącymi obsługi błędów przejściowych platformy Azure podczas komunikowania się z dowolnymi interfejsami API hostowanymi w chmurze, bazami danych i innymi składnikami. Aby uzyskać więcej informacji, zobacz Zalecenia dotyczące obsługi błędów przejściowych.

W przypadku aplikacji łączących się za pośrednictwem usługi Azure Firewall zaimplementuj logikę ponawiania z wykładniczym wycofywaniem w celu obsługi potencjalnych przejściowych problemów z połączeniem. Stanowy charakter usługi Azure Firewall gwarantuje, że uzasadnione połączenia są utrzymywane podczas krótkich przerw w działaniu sieci.

Podczas operacji skalowania, które trwają od 5 do 7 minut, istniejące połączenia są zachowywane, podczas gdy nowe wystąpienia zapory są dodawane do obsługi zwiększonego obciążenia.

Odporność na błędy strefy dostępności

Strefy dostępności są fizycznie oddzielnymi grupami centrów danych w regionie świadczenia usługi Azure. Gdy jedna strefa ulegnie awarii, usługi mogą przejść w tryb failover do jednej z pozostałych stref.

Usługa Azure Firewall jest automatycznie wdrażana w strefach dostępności w obsługiwanych regionach podczas tworzenia za pośrednictwem witryny Azure Portal. W przypadku zaawansowanych opcji konfiguracji strefy należy użyć programu Azure PowerShell, interfejsu wiersza polecenia platformy Azure, Bicep lub szablonów usługi Azure Resource Manager (szablony usługi ARM).

Usługa Azure Firewall obsługuje zarówno modele wdrażania strefowo nadmiarowego, jak i strefowego:

• Strefowo nadmiarowy: Po włączeniu nadmiarowości strefy platforma Azure dystrybuuje wystąpienia zapory w wielu strefach dostępności w regionie. Platforma Azure automatycznie zarządza równoważeniem obciążenia i trybem failover między strefami.

  Zapory strefowo nadmiarowe osiągają najwyższą umowę dotyczącą czasu pracy (SLA). Są one zalecane w przypadku obciążeń produkcyjnych, które wymagają maksymalnej dostępności.

  Na poniższym diagramie przedstawiono strefowo-redundantną zaporę z trzema przypadkami rozproszonymi w trzech strefach dostępności.

  

  Uwaga / Notatka

  Jeśli tworzysz zaporę przy użyciu portalu Azure, nadmiarowość strefy jest automatycznie włączana.

• Strefowego: Jeśli twoje rozwiązanie jest niezwykle wrażliwe na opóźnienie między strefami, możesz skojarzyć usługę Azure Firewall z określoną strefą dostępności. Wdrożenie strefowe umożliwia wdrożenie w bliżej odległości od serwerów zaplecza. Wszystkie wystąpienia zapory strefowej są wdrażane w tej strefie.

  Na poniższym diagramie przedstawiono strefową zaporę z trzema wystąpieniami wdrożonymi w tej samej strefie dostępności.

  

  Ważne

  Zalecamy przypięcie do pojedynczej strefy dostępności tylko wtedy, gdy opóźnienie między strefami przekracza dopuszczalne limity i potwierdzono, że opóźnienie nie spełnia wymagań. Sama zapora strefowa nie zapewnia odporności na awarię strefy dostępności. Aby zwiększyć odporność wdrożenia strefowej usługi Azure Firewall, należy ręcznie wdrożyć oddzielne zapory w wielu strefach dostępności i skonfigurować routing ruchu i tryb failover.

Jeśli zapora nie zostanie skonfigurowana tak, aby była strefowo nadmiarowa lub strefowa, jest uważana za niezonową lub regionalną. Zapory niezonowe można umieścić w dowolnej strefie dostępności w regionie. Jeśli strefa dostępności w regionie wystąpi awaria, zapory niezonowe mogą znajdować się w strefie, której dotyczy problem, i mogą wystąpić przestoje.

Obsługa regionów

Usługa Azure Firewall obsługuje strefy dostępności we wszystkich regionach, które obsługują strefy dostępności, w których dostępna jest usługa Azure Firewall.

Requirements

• Wszystkie warstwy usługi Azure Firewall obsługują strefy dostępności.
• W przypadku zapór strefowo nadmiarowych należy użyć standardowych publicznych adresów IP i skonfigurować je tak, aby były strefowo nadmiarowe.
• W przypadku zapór strefowych należy użyć standardowych publicznych adresów IP i skonfigurować je tak, aby były strefowo nadmiarowe lub strefowe w tej samej strefie co zapora.

Koszt

Zapora wdrożona w więcej niż jednej strefie dostępności nie ma dodatkowych kosztów.

Konfiguruj obsługę stref dostępności

W tej sekcji wyjaśniono, jak skonfigurować obsługę stref dostępności dla zapór.

• Utwórz nową zaporę z obsługą strefy dostępności: Podejście używane do konfigurowania stref dostępności zależy od tego, czy chcesz utworzyć strefowo nadmiarową, czy strefową zaporę oraz używane narzędzia.

  Ważne

  Nadmiarowość strefy jest automatycznie włączana podczas wdrażania za pośrednictwem witryny Azure Portal. Aby skonfigurować określone strefy, należy użyć innego narzędzia, takiego jak interfejs wiersza polecenia platformy Azure, program Azure PowerShell, Bicep lub szablony usługi ARM.

  • Strefowo nadmiarowy: Podczas wdrażania nowej zapory przy użyciu witryny Azure Portal zapora jest domyślnie strefowo nadmiarowa. Aby uzyskać więcej informacji, zobacz Wdrażanie usługi Azure Firewall przy użyciu witryny Azure Portal.

    Jeśli używasz interfejsu wiersza polecenia platformy Azure, programu Azure PowerShell, Bicep, szablonów usługi ARM lub narzędzia Terraform, możesz opcjonalnie określić strefy dostępności do wdrożenia. Aby wdrożyć strefowo nadmiarową zaporę, określ co najmniej dwie strefy. Zalecamy wybranie wszystkich stref, aby zapora mogła używać każdej strefy dostępności, chyba że masz określony powód wykluczenia strefy.

    Aby uzyskać więcej informacji na temat wdrażania zapory ZR, zobacz Wdrażanie usługi Azure Firewall ze strefami dostępności.

    Uwaga / Notatka

    Wybierając, które strefy dostępności chcesz używać, faktycznie wybierasz logiczną strefę dostępności. W przypadku wdrażania innych składników obciążenia w innej subskrypcji platformy Azure mogą one użyć innego logicznego numeru strefy dostępności, aby uzyskać dostęp do tej samej fizycznej strefy dostępności. Aby uzyskać więcej informacji, zobacz Strefy dostępności fizycznej i logicznej.

• Włącz obsługę strefy dostępności w istniejącej zaporze: Strefy dostępności można włączyć w istniejącej zaporze, jeśli spełnia określone kryteria. Proces wymaga zatrzymania (cofnięcia przydziału) zapory i ponownego skonfigurowania jej. Spodziewaj się przestoju. Aby uzyskać więcej informacji, zobacz Konfigurowanie stref dostępności po wdrożeniu.

• Zmień konfigurację strefy dostępności istniejącej zapory: Aby zmienić konfigurację strefy dostępności, należy najpierw zatrzymać (cofnąć przydział) zapory, czyli proces obejmujący pewien czas przestoju. Aby uzyskać więcej informacji, zobacz Konfigurowanie stref dostępności po wdrożeniu.

• Wyłącz obsługę strefy dostępności: Strefy dostępności używane przez zaporę można zmienić, ale nie można przekonwertować zapory strefowo nadmiarowej ani strefowej na konfigurację niezonową.

Zachowanie, gdy wszystkie strefy są w dobrej kondycji

W tej sekcji opisano, czego można oczekiwać, gdy usługa Azure Firewall jest skonfigurowana z obsługą strefy dostępności, a wszystkie strefy dostępności działają.

• Routing ruchu między strefami: Zachowanie routingu ruchu zależy od konfiguracji strefy dostępności używanej przez zaporę.

  • Strefowo nadmiarowy: Usługa Azure Firewall automatycznie dystrybuuje żądania przychodzące między wystąpienia we wszystkich strefach używanych przez zaporę. Ta konfiguracja aktywne-aktywne zapewnia optymalną wydajność i rozkład obciążenia w normalnych warunkach operacyjnych.

  • Strefowego: W przypadku wdrażania wielu wystąpień strefowych w różnych strefach należy skonfigurować routing ruchu przy użyciu rozwiązań do równoważenia obciążenia zewnętrznego, takich jak azure Load Balancer lub Azure Traffic Manager.

• Zarządzanie wystąpieniami: Platforma automatycznie zarządza umieszczaniem wystąpień w strefach używanych przez zaporę, zastępując wystąpienia, które zakończyły się niepowodzeniem i utrzymując skonfigurowaną liczbę wystąpień. Monitorowanie kondycji zapewnia, że tylko wystąpienia w dobrej kondycji odbierają ruch.

• Replikacja danych między strefami: Usługa Azure Firewall nie musi synchronizować stanu połączenia między strefami dostępności. Wystąpienie, które przetwarza żądanie, zachowuje stan każdego połączenia.

Zachowanie podczas awarii strefy

W tej sekcji opisano, czego można oczekiwać, gdy usługa Azure Firewall jest skonfigurowana z obsługą strefy dostępności i co najmniej jedna strefa dostępności jest niedostępna.

• Wykrywanie i reagowanie: Odpowiedzialność za wykrywanie i reagowanie zależy od konfiguracji strefy dostępności używanej przez zaporę.

  • Strefowo nadmiarowy: W przypadku wystąpień skonfigurowanych do używania nadmiarowości strefy platforma Azure Firewall wykrywa i reaguje na awarię w strefie dostępności. Nie musisz inicjować trybu failover strefy.

  • Strefowego: W przypadku zapór skonfigurowanych jako strefowe należy wykryć utratę strefy dostępności i zainicjować przejście w tryb failover do pomocniczej zapory utworzonej w innej strefie dostępności.

• Powiadomienie: firma Microsoft nie powiadamia cię automatycznie, gdy strefa nie działa. Możesz jednak użyć usługi Azure Service Health , aby zrozumieć ogólną kondycję usługi, w tym wszelkie błędy strefy, i skonfigurować alerty usługi Service Health w celu powiadamiania o problemach.

• Aktywne połączenia: Gdy strefa dostępności jest niedostępna, żądania w toku połączone z wystąpieniem zapory w uszkodzonej strefie dostępności mogą zakończyć się i wymagać ponownych prób.

• Oczekiwana utrata danych: W trybie failover strefy nie jest oczekiwana utrata danych, ponieważ usługa Azure Firewall nie przechowuje trwałych danych klientów.

• Oczekiwany przestój: Przestój zależy od konfiguracji strefy dostępności używanej przez zaporę.

  • Strefowo nadmiarowy: Spodziewaj się minimalnego przestoju (zazwyczaj kilku sekund) podczas przestoju strefy dostępności. Aplikacje klienckie powinny przestrzegać rozwiązań dotyczących obsługi błędów przejściowych, w tym implementowania zasad ponawiania z wycofywaniem wykładniczym.

  • Strefowego: Gdy strefa jest niedostępna, zapora pozostaje niedostępna do momentu odzyskania strefy dostępności.

• Przekierowywanie ruchu: Zachowanie przekierowania ruchu zależy od konfiguracji strefy dostępności używanej przez zaporę.

  • Strefowo nadmiarowy: Ruch automatycznie przekierowuje do stref dostępności w dobrej kondycji. W razie potrzeby platforma tworzy nowe wystąpienia zapory w strefach w dobrej kondycji.

  • Strefowego: Gdy strefa jest niedostępna, zapora strefowa jest również niedostępna. Jeśli masz pomocniczą zaporę w innej strefie dostępności, odpowiadasz za przekierowywanie ruchu do tej zapory.

Failback

Zachowanie powrotu po awarii zależy od konfiguracji strefy dostępności używanej przez zaporę.

• Strefowo nadmiarowy: Po odzyskaniu strefy dostępności usługa Azure Firewall automatycznie redystrybuuje wystąpienia we wszystkich strefach, z których zapora korzysta i przywraca normalne równoważenie obciążenia między strefami.

• Strefowego: Po odzyskaniu strefy dostępności odpowiadasz za przekierowywanie ruchu do zapory w oryginalnej strefie dostępności.

Testowanie pod kątem niepowodzeń strefy

Opcje testowania awarii strefy zależą od konfiguracji strefy dostępności zapory.

• Strefowo nadmiarowy: Platforma Azure Firewall zarządza routingiem ruchu, trybem failover i powrotem po awarii dla zasobów zapory strefowo nadmiarowej. Ta funkcja jest w pełni zarządzana, więc nie trzeba inicjować ani weryfikować procesów awarii strefy dostępności.

• Strefowego: Aspekty awarii strefy dostępności można symulować, zatrzymując zaporę. Użyj tego podejścia, aby przetestować, jak inne systemy i moduły równoważenia obciążenia obsługują awarię w zaporze. Aby uzyskać więcej informacji, zobacz Zatrzymywanie i uruchamianie usługi Azure Firewall.

Odporność na awarie całego regionu

Usługa Azure Firewall to usługa z jednym regionem. Jeśli region jest niedostępny, zasób zapory jest również niedostępny.

Niestandardowe rozwiązania obejmujące wiele regionów w celu zapewnienia odporności

Aby zaimplementować architekturę z wieloma regionami, użyj oddzielnych zapór. Takie podejście wymaga wdrożenia niezależnego firewalla w każdym regionie, kierowania ruchu do odpowiedniego regionalnego firewalla i implementowania niestandardowej logiki 'failover'. Rozważ następujące kwestie:

• Użyj usługi Azure Firewall Manager do scentralizowanego zarządzania zasadami w wielu zaporach. Użyj metody zasad zapory do scentralizowanego zarządzania regułami w wielu wystąpieniach zapory.

• Zaimplementuj routing ruchu przy użyciu usługi Traffic Manager lub usługi Azure Front Door.

Aby zapoznać się z przykładową architekturą zabezpieczeń sieci w wielu regionach, zobacz Równoważenie obciążenia w wielu regionach przy użyciu usługi Traffic Manager, usługi Azure Firewall i usługi Application Gateway.

Odporność usługi na prace konserwacyjne

Usługa Azure Firewall wykonuje regularne uaktualnienia usług i inne formy konserwacji.

Możesz skonfigurować codzienne okna obsługi, aby dostosować harmonogramy uaktualniania do potrzeb operacyjnych. Aby uzyskać więcej informacji, zobacz Konfigurowanie konserwacji kontrolowanej przez klienta dla usługi Azure Firewall.

Umowa dotycząca poziomu usług

Umowa dotycząca poziomu usług (SLA) dla usług platformy Azure opisuje oczekiwaną dostępność każdej usługi oraz warunki, które rozwiązanie musi spełnić, aby osiągnąć te oczekiwania dotyczące dostępności. Aby uzyskać więcej informacji, zobacz Umowy SLA dotyczące usług online.

Usługa Azure Firewall zapewnia wyższą dostępność umowy SLA dla zapór wdrożonych w co najmniej dwóch strefach dostępności.

Treści powiązane

• Omówienie usługi Azure Firewall
• Funkcje usługi Azure Firewall
• Najlepsze rozwiązania dotyczące wydajności usługi Azure Firewall
• Menedżer zapory