Komponenty služby Application Gateway

Aplikační brána slouží jako jediný kontaktní bod pro klienty. Distribuuje příchozí provoz aplikací napříč několika back-endovými fondy, mezi které patří virtuální počítače Azure, škálovací sady virtuálních počítačů, Azure App Service a místní nebo externí servery. K distribuci provozu používá služba Application Gateway několik komponent popsaných v tomto článku.

IP adresy front-endu

Front-endová IP adresa je IP adresa přidružená ke službě Application Gateway. Aplikační bránu můžete nakonfigurovat tak, aby měla veřejnou IP adresu, privátní IP adresu nebo obojí. Aplikační brána podporuje jednu veřejnou nebo jednu privátní IP adresu. Vaše virtuální síť a veřejná IP adresa musí být ve stejném umístění jako vaše aplikační brána. Po vytvoření se front-end IP adresa přidruží k naslouchacímu modulu.

Statická a dynamická veřejná IP adresa

Azure Application Gateway V2 SKU lze nakonfigurovat tak, aby podporovala jak statickou interní IP adresu, tak statickou veřejnou IP adresu, nebo pouze statickou veřejnou IP adresu. Můžete ji také nakonfigurovat pouze se statickou interní (privátní) IP adresou, pouze tehdy když nasadíte privátní službu Application Gateway a networkIsolationEnabled je nastaveno na True. Pro podporované kombinace frontend IP adres viz Konfigurace frontend IP adres. Pro chování DNS v nasazeních pouze s privátní IP viz DNS rozlišení Application Gateway.

Skladovou položku V1 je možné nakonfigurovat tak, aby podporovala statickou nebo dynamickou interní IP adresu a dynamickou veřejnou IP adresu. Dynamická IP adresa služby Application Gateway se u spuštěné brány nemění. Může se změnit jenom v případech, kdy bránu zastavíte nebo spustíte. Nemění se při selháních systému, aktualizacích, aktualizacích hostitelů Azure atd.

Název DNS přidružený ke službě Application Gateway se v průběhu životního cyklu brány nezmění. V důsledku toho byste měli použít alias CNAME a nasměrovat ho na adresu DNS aplikační brány.

Posluchači

Naslouchací je logická entita, která kontroluje příchozí požadavky na připojení. Naslouchací proces přijímá požadavek, pokud protokol, port, název hostitele a IP adresa přidružené k požadavku odpovídají stejným prvkům přidruženým ke konfiguraci naslouchacího procesu.

Před použitím aplikační brány musíte přidat aspoň jeden naslouchací modul. Ke službě Application Gateway může být připojeno více naslouchacích služeb a mohou být použity pro stejný protokol.

Jakmile naslouchací proces zjistí příchozí požadavky od klientů, služba Application Gateway tyto požadavky směruje na členy v back-endovém fondu nakonfigurovaného v pravidle.

Naslouchací procesy podporují následující porty a protokoly.

Přístavy

Port je místo, kde posluchač naslouchá na požadavky klientů. Porty pro v1 a v2 SKU můžete nastavit následovně:

skladová jednotka (SKU)	Podporovaný rozsah portů	Výjimky
V2	1 až 64999	Použití portu 22 není podporováno u bran s podporou Private Link. Port 53
V1	1 až 65502	Port 3389

Protokoly

Application Gateway podporuje webové protokoly HTTP, HTTPS, HTTP/2 a WebSocket prostřednictvím proxy na 7. vrstvě. Podporuje také protokoly TLS a TCP prostřednictvím svého proxy vrstvy 4, které můžete konfigurovat ve stejném prostředku.

• Vyberte protokol HTTP, HTTPS, TLS nebo TCP v konfiguraci naslouchacího procesu.
• Pro ukončení spojení TLS použijte posluchač HTTPS nebo TLS. Naslouchací proces HTTPS/TLS přesměruje šifrování a dešifrování do vaší aplikační brány, takže vaše servery nejsou zatížené režií na výpočty TLS.
• Application Gateway nativně podporuje WebSockets a HTTP/2 protokoly a podpora WebSocketu je ve výchozím nastavení povolena. Neexistuje žádné uživatelsky konfigurovatelné nastavení pro selektivní povolení nebo zakázání podpory protokolu WebSocket. Použijte webSockety s naslouchacími procesy HTTP i HTTPS.

Následující tabulka shrnuje, jak Application Gateway podporuje jednotlivé protokoly.

Protokol	Proxy	Lze vybrat jako protokol naslouchacího procesu	Podrobnosti podpory
HTTP	Úroveň 7	Yes	Podporováno nativně přes Layer 7 proxy.
HTTPS	Úroveň 7	Yes	Pro TLS ukončení použijte HTTPS listener, aby brána odpojila šifrování a dešifrovací práci z vašich serverů.
HTTP/2	Úroveň 7	No	Dostupné pouze klientům, kteří se připojují k aplikačním gateway listenerům. Komunikace s backendovými serverovými pooly probíhá vždy přes HTTP/1.1. Ve výchozím nastavení vypnuto; Můžete se rozhodnout ho povolit.
WebSocket	Úroveň 7	No	Ve výchozím nastavení je zapnuté bez uživatelsky nastavitelného nastavení pro selektivní povolení nebo vypnutí tohoto režimu. Použijte webSockety s naslouchacími procesy HTTP i HTTPS.
protokol TLS	Úroveň 4	Yes	Podporováno přes Layer 4 proxy, který můžete nastavit na stejném zdroji.
protokol TCP	Úroveň 4	Yes	Podporováno přes Layer 4 proxy, který můžete nastavit na stejném zdroji.

Poznámka:

Podpora protokolu HTTP/2 je dostupná jenom pro klienty připojující se k naslouchacím procesům aplikační brány. Komunikace s backendovými pooly serverů je vždy přes protokol HTTP/1.1. Ve výchozím nastavení je podpora HTTP/2 zakázaná. Můžete ho povolit.

Vlastní chybové stránky

Application Gateway umožňuje vytvářet vlastní chybové stránky místo zobrazování výchozích chybových stránek. Můžete použít vlastní branding a rozložení pomocí vlastní chybové stránky. Služba Application Gateway zobrazí vlastní chybovou stránku, když se požadavek nemůže spojit s back-endem.

Další informace najdete v tématu Vlastní chybové stránky pro vaši aplikační bránu.

Typy posluchačů

Existují dva typy posluchačů.

• Základní. Tento typ nasluchače naslouchá jedné doméně, kde má jedno mapování DNS na IP adresu aplikační brány. Tuto konfiguraci posluchače potřebujete, když hostujete jeden web za aplikační bránou.

• Vícestránkový. Tuto konfiguraci posluchače potřebujete, když chcete nastavit směrování podle názvu hostitele nebo domény pro více než jednu webovou aplikaci na stejné aplikační bráně. Použitím tohoto listeneru můžete nastavit efektivnější topologii pro nasazení tím, že do jedné aplikační brány přidáte až 100+ webových stránek. Každou webovou stránku lze přesměrovat na vlastní backendový pool. Příklad: na IP adresu služby Application Gateway odkazují tři domény – contoso.com, fabrikam.com a adatum.com. Vytvořili byste tři naslouchací procesy pro více webů a naslouchací proces nakonfigurujete pro příslušné nastavení portu a protokolu.

  Můžete také definovat zástupné názvy hostitelů v naslouchací službě pro více webů a až pět hostitelských jmen na jednu naslouchací službu. Další informace najdete v zástupných názvech hostitelů u posluchače.

  Pro více informací o konfiguraci naslouchacího procesu pro více webů viz Hostování více webů v Application Gateway pomocí portálu Azure.

Po vytvoření nasluchače jej přidružíte k pravidlu směrování požadavků. Toto pravidlo určuje, jak se má požadavek přijatý posluchačem směrovat do backendu. Pravidlo směrování požadavků také obsahuje backendový pool, do kterého je směrováno, a HTTP nastavení, kde jsou zmíněny backendový port, protokol a další nastavení.

Vyžádání pravidel směrování

Pravidlo směrování požadavků je klíčovou součástí aplikační brány, protože určuje, jak směrovat provoz na posluchači. Pravidlo propojuje posluchače, bazén backend serverů a nastavení backendu HTTP.

Když posluchač přijme požadavek, pravidlo směrování požadavku pošle požadavek na backend nebo ho přesměruje jinam. Pokud se požadavek předá do back-endu, pravidlo směrování požadavků definuje, do kterého fondu back-endového serveru se má předat. Pravidlo směrování požadavku také určuje, jestli se hlavičky v požadavku mají přepsat. Jeden posluchač může být připojen k jednomu pravidlu.

Existují tři typy pravidel směrování požadavků:

• Základní. Všechny požadavky přidruženého naslouchacího procesu (například blog.contoso.com/*) se přeposílají do přidruženého back-endového fondu pomocí přidruženého nastavení HTTP.

• Pokročilé směrování. Tento typ pravidla vám umožňuje činit dynamická rozhodnutí o směrování na základě atributů HTTP požadavků. Vyhodnocuje příchozí požadavky podle konfigurovaných podmínek a směruje provoz na určené cíle na základě výsledků hodnocení.

Important

Pokročilé pravidlo je momentálně v náhledu. Podívejte se na doplňkové podmínky užívání služby Microsoft Azure Preview pro právní podmínky, které se vztahují na funkce Azure, jež jsou ve verzi beta, Preview nebo jinak ještě nejsou obecně dostupné.

Tato funkce není podporována pro naslouchače Multisite a proxy TCP/TLS vrstvy 4

Následující tabulka porovnává tři typy pravidel.

Typ pravidla	Případ použití	Směrovací základna	Podporované back-endy
Basic	Pošlete každý požadavek, který posluchač přijme, do stejné aplikace.	Všechny požadavky směřující na příslušný listener, například blog.contoso.com/*.	Jeden přidružený backendový pool, ke kterému se lze dostat pomocí příslušného HTTP nastavení.
Rozšířený	Dělejte dynamická rozhodnutí o směrování na základě atributů HTTP požadavků.	Konfigurované podmínky se vyhodnocují na základě příchozích požadavků.	Specifikované cíle byly vybrány z výsledků hodnocení stavu.
Založené na cestě	Směrujte požadavky, které přicházejí na jeden posluchač, do různých aplikací na základě požadované URL.	Cesta URL v požadavku. Vzor cesty se vztahuje pouze na URL cestu, nikoli na její dotazovací parametry.	Specifický backendový pool pro každý odpovídající vzor cesty, plus výchozí backendový pool a HTTP nastavení pro požadavky, které neodpovídají žádnému pravidlu založenému na cestě.

Další informace najdete v tématu Směrování na základě adresy URL.

Podpora přesměrování

Pravidlo směrování požadavků také umožňuje přesměrovat provoz ve službě Application Gateway. Tento mechanismus přesměrování je obecný, takže můžete pomocí pravidel přesměrovat na libovolný port a z něj.

Cíl přesměrování můžete zvolit jako jiný posluchač (což může pomoct povolit automatické přesměrování HTTP na HTTPS) nebo externí webové stránky. Můžete se také rozhodnout, že přesměrování bude dočasné nebo trvalé, nebo připojit cestu URI a řetězec dotazu k přesměrované adrese URL.

Další informace najdete v tématu Přesměrování provozu ve službě Application Gateway.

Přepsání hlaviček HTTP a adres URL

Application Gateway může přidávat, odebírat nebo aktualizovat HTTP(S) hlavičky požadavků a odpovědí, spolu s parametry cesty k URL a řetězci dotazů, jak se provoz pohybuje mezi klienty a backendovými pooly. Pro úplné vysvětlení a konfigurační kroky viz Přepis HTTP hlaviček a URL na vaší aplikační bráně.

Nastavení HTTP

Nastavení HTTP, také nazývané nastavení back-endu, je konfigurace, která určuje, jak se provoz dostává k back-endovým serverům. Definuje port a protokol, který aplikační brána používá k připojení k těmto serverům, jak se vztahy chovají a jak brána monitoruje stav backendu. Pravidlo směrování požadavků určuje, jaké HTTP nastavení má aplikovat při přeposílání požadavku do backendového poolu.

Port a protokol použitý v nastavení HTTP určují, jestli je provoz mezi aplikační bránou a back-endovými servery šifrovaný (poskytuje kompletní tls) nebo nešifrovaný.

Použijte tuto komponentu k:

• Zjistěte, zda udržet uživatelskou relaci na stejném serveru, pomocí cookie-based session affinity.

• Šetrně odeberte členy back-endových skupin pomocí odčerpání připojení.

• Přidružte vlastní sondu k monitorování zdraví back-endu, nastavte interval časového limitu požadavku, přepište hostitelský název a cestu v rámci požadavku a snadno zadejte nastavení back-endu služby App Service pomocí jediného kliknutí.

Back-endové fondy

Backendový pool směruje požadavky na backendové servery, které tyto požadavky obsluhují. Backendové fondy mohou obsahovat:

• Síťové karty
• Sady pro škálování virtuálních strojů
• Veřejné IP adresy
• Interní IP adresy
• Plně kvalifikovaný název domény (plně kvalifikované názvy domén) nebo krátké názvy (názvy domén s jedním popiskem), za předpokladu, že je server DNS dokáže přeložit
• Víceklientní back-endy, jako je Azure App Service a Azure Container Apps. Pokyny k implementaci najdete v tématu Ochrana kontejnerových aplikací se službou Application Gateway a WAF .

Členové back-endového fondu služby Application Gateway nejsou svázaní se sadou dostupnosti. Aplikační brána může komunikovat s instancemi mimo virtuální síť, ve které je. V důsledku toho můžou být členové back-endových fondů mezi clustery, v datových centrech nebo mimo Azure, pokud je zajištěno připojení přes IP.

Pokud jako členy back-endového poolu používáte interní IP adresy, musíte použít partnerský vztah virtuální sítě nebo bránu VPN. Propojení virtuálních sítí je podporované a výhodné pro rozkládání zatížení provozu v jiných virtuálních sítích.

Aplikační brána může také komunikovat s místními servery, když jsou připojené pomocí tunelů Azure ExpressRoute nebo VPN, pokud je povolený provoz.

Pro různé typy požadavků můžete vytvořit různé backendové fondy. Můžete například vytvořit jeden back-endový fond pro obecné požadavky a druhý back-endový fond pro žádosti o mikroslužby pro vaši aplikaci.

Po přidání škálovacích sad virtuálních počítačů jako člena back-endového fondu je potřeba upgradovat instance škálovacích sad virtuálních počítačů. Dokud neupgradujete instance scalesetů, backend je nezdravý.

Sondy stavu

Ve výchozím nastavení služba Application Gateway monitoruje stav všech prostředků ve svém back-endovém fondu a automaticky odebere ty, které nejsou v pořádku. Potom monitoruje instance, které nejsou v pořádku, a přidá je zpět do zdravé back-endové skupiny, jakmile budou dostupné a reagují na sondy stavu.

Kromě použití výchozího monitorování stavu můžete také nastavit sondu stavu tak, aby vyhovovala požadavkům vaší aplikace. Vlastní sondy umožňují podrobnější kontrolu nad monitorováním stavu. Při použití vlastních sond si můžete nastavit vlastní název hostitele, cestu URL, interval sond a kolik neúspěšných odpovědí se má přijmout, než označíte instanci backendového poolu jako nezdravou, vlastní stavové kódy a shodu těla odpovědi a další. Nastavte vlastní sondy pro sledování stavu každého backendového poolu.

Další informace najdete v tématu Monitorování stavu služby Application Gateway.

Další kroky

Vytvoření aplikační brány:

• na webu Azure Portal
• Pomocí Azure PowerShellu
• Pomocí Azure CLI