Share via

Přehled architektury Azure Well-Architected Framework – Azure Application Gateway v2

  • Článek

Tento článek obsahuje osvědčené postupy architektury pro řadu skladových položek Azure Application Gateway v2. Pokyny vycházejí z pěti pilířů špičkové architektury:

Předpokládáme, že máte pracovní znalosti Azure Application Gateway a dobře znáte funkce skladové položky v2. Další informace najdete v tématu Azure Application Gateway funkce.

Požadavky

Spolehlivost

V cloudu bereme na vědomí, že k selháním dochází. Místo snahy kompletně zabránit selháním je cílem minimalizace dopadu selhání jedné komponenty. Pokud chcete minimalizovat instance, které selhaly, použijte následující informace.

Kontrolní seznam návrhu

Při rozhodování o návrhu pro Application Gateway si projděte principy návrhu spolehlivosti.

  • Nasaďte instance v konfiguraci s podporou zón, pokud je k dispozici.
  • K ochraně příchozího HTTP/S provozu z internetu použijte Application Gateway s Web Application Firewall (WAF) v rámci virtuální sítě.
  • V nových nasazeních používejte Azure Application Gateway v2, pokud neexistuje přesvědčivý důvod pro použití Azure Application Gateway v1.
  • Plánování aktualizací pravidel
  • Použití sond stavu ke zjištění nedostupnosti back-endu
  • Kontrola dopadu nastavení intervalu a prahových hodnot na sondy stavu
  • Ověření podřízených závislostí prostřednictvím koncových bodů stavu

Doporučení

Projděte si následující tabulku doporučení pro optimalizaci konfigurace Application Gateway z hlediska spolehlivosti.

Doporučení Výhoda
Plánování aktualizací pravidel Před přístupem k Application Gateway nebo provedením dalších změn si naplánujte dostatek času na aktualizace. Například odebrání serverů z back-endového fondu může nějakou dobu trvat, protože musí vyprázdnit existující připojení.
Použití sond stavu ke zjištění nedostupnosti back-endu Pokud se Application Gateway používá k vyrovnávání zatížení příchozího provozu přes více back-endových instancí, doporučujeme použít sondy stavu. Tím se zajistí, že provoz nebude směrován do back-endů, které tento provoz nezvládnou.
Kontrola dopadu nastavení intervalu a prahových hodnot na sondy stavu Sonda stavu odesílá požadavky do nakonfigurovaného koncového bodu v nastaveném intervalu. Existuje také prahová hodnota neúspěšných požadavků, které budou tolerovány před tím, než se back-end označí jako špatný. Tato čísla představují kompromis.

– Nastavení delšího intervalu znamená vyšší zatížení vaší služby. Každá Application Gateway instance odesílá vlastní sondy stavu, takže 100 instancí každých 30 sekund znamená 100 požadavků za 30 sekund.
- Nastavení nižšího intervalu ponechá více času, než se zjistí výpadek.
– Nastavení nízké prahové hodnoty, která není v pořádku, může znamenat, že krátká přechodná selhání můžou znamenat, že back-end bude mimo provoz.
- Nastavení vysoké prahové hodnoty může trvat déle, než back-end vypadne z provozu.
Ověření podřízených závislostí prostřednictvím koncových bodů stavu Předpokládejme, že každý back-end má své vlastní závislosti, které zajišťují izolaci selhání. Například aplikace hostovaná za Application Gateway může mít několik back-endů, z nichž každý je připojený k jiné databázi (replice). Pokud taková závislost selže, aplikace může fungovat, ale nevrátí platné výsledky. Z tohoto důvodu by měl koncový bod stavu v ideálním případě ověřit všechny závislosti. Mějte na paměti, že pokud má každé volání koncového bodu stavu přímé volání závislostí, obdrží databáze každých 30 sekund 100 dotazů místo 1. Aby se tomu zabránilo, měl by koncový bod stavu po krátkou dobu ukládat stav závislostí do mezipaměti.
Pokud k ochraně HTTP/S aplikací používáte Azure Front Door a Application Gateway, použijte zásady WAF ve službě Front Door a zamkněte Application Gateway pro příjem provozu pouze ze služby Azure Front Door. Určité scénáře vás můžou donutit implementovat pravidla speciálně pro Application Gateway. Pokud se například vyžadují pravidla ModSec CRS 2.2.9, CRS 3.0 nebo CRS 3.1, dají se tato pravidla implementovat jenom na Application Gateway. Naopak omezování rychlosti a geografické filtrování je k dispozici pouze ve službě Azure Front Door, nikoli ve službě AppGateway.

Azure Advisor pomáhá zajistit a zlepšit kontinuitu důležitých podnikových aplikací. Projděte si doporučení Azure Advisoru.

Zabezpečení

Zabezpečení je nejdůležitějším aspektem jakékoli architektury. Application Gateway poskytuje funkce, které využívají jak princip nejnižších oprávnění, tak ochranu v rámci ochrany. Doporučujeme, abyste si prostudovali principy návrhu zabezpečení.

Kontrolní seznam návrhu

  • Nastavení zásad TLS pro rozšířené zabezpečení
  • Ukončení protokolu TLS pomocí AppGateway
  • Použití Azure Key Vault k ukládání certifikátů TLS
  • Při opětovném šifrování back-endového provozu se ujistěte, že certifikát back-endového serveru obsahuje kořenové i zprostředkující certifikační autority (CA).
  • Použití vhodného serveru DNS pro prostředky back-endového fondu
  • Dodržování všech omezení NSG pro Application Gateway
  • Nepoužívejte trasy definované uživatelem v podsíti Application Gateway.
  • Při povolování WAF mějte na paměti Application Gateway změny kapacity.

Doporučení

Projděte si následující tabulku doporučení pro optimalizaci konfigurace Application Gateway z hlediska zabezpečení.

Doporučení Výhoda
Nastavení zásad TLS pro rozšířené zabezpečení Nastavte zásadu PROTOKOLU TLS pro větší zabezpečení. Ujistěte se, že používáte nejnovější verzi zásad PROTOKOLU TLS (AppGwSslPolicy20170401S). Tím se vynutí protokol TLS 1.2 a silnější šifry.
Ukončení protokolu TLS pomocí AppGateway Použití Application Gateway k ukončení protokolu TLS má své výhody:

– Výkon se zlepší, protože požadavky, které odjdou do různých back-endů, aby se musely znovu ověřit v každém back-endu.
– Lepší využití back-endových serverů, protože nemusí zpracovávat protokol TLS
– Inteligentní směrování pomocí přístupu k obsahu požadavku.
– Jednodušší správa certifikátů, protože certifikát stačí nainstalovat jenom na Application Gateway.
Použití Azure Key Vault k ukládání certifikátů TLS Application Gateway je integrovaný s Key Vault. To poskytuje silnější zabezpečení, snadnější oddělení rolí a odpovědností, podporu spravovaných certifikátů a jednodušší proces obnovení a obměně certifikátů.
Při opětovném šifrování back-endového provozu se ujistěte, že certifikát back-endového serveru obsahuje kořenové i zprostředkující certifikační autority (CA). Certifikát TLS back-endového serveru musí být vydaný známou certifikační autoritou. Pokud certifikát nevydala důvěryhodná certifikační autorita, Application Gateway zkontroluje, jestli certifikát vydávající certifikační autority vystavila důvěryhodná certifikační autorita, a tak dále, dokud se nenajde důvěryhodná certifikační autorita. Teprve pak se vytvoří zabezpečené připojení. Jinak Application Gateway označí back-end jako špatný.
Použití vhodného serveru DNS pro prostředky back-endového fondu Pokud back-endový fond obsahuje přeložitelný plně kvalifikovaný název domény, je překlad DNS založený na privátní zóně DNS nebo vlastním serveru DNS (pokud je nakonfigurovaný ve virtuální síti) nebo používá výchozí DNS poskytovaný Azure.
Dodržování všech omezení NSG pro Application Gateway Skupiny zabezpečení sítě jsou podporovány v Application Gateway podsíti, ale existují určitá omezení. Například je zakázaná komunikace s určitými rozsahy portů. Ujistěte se, že rozumíte důsledkům těchto omezení. Podrobné informace viz Skupiny zabezpečení sítě.
Nepoužívejte trasy definované uživatelem v podsíti služby Application Gateway. Použití tras definovaných uživatelem (UDR) v podsíti Application Gateway může způsobit určité problémy. Stav back-endu může být neznámý. Application Gateway protokoly a metriky se nemusí generovat. Doporučujeme nepoužívat trasy definované uživatelem v podsíti Application Gateway, abyste mohli zobrazit stav back-endu, protokoly a metriky. Pokud vaše organizace vyžadují, aby v podsíti Application Gateway používaly trasu definovanou uživatelem, projděte si podporované scénáře. Další informace najdete v tématu Podporované trasy definované uživatelem.
Při povolování WAF mějte na paměti Application Gateway změny kapacity. Když je WAF povolený, musí být každý požadavek uložen do vyrovnávací paměti Application Gateway, dokud plně nedorazí, a zkontrolujte, jestli požadavek odpovídá nějakému porušení pravidel v jeho základní sadě pravidel, a pak paket předejte back-endovým instancím. U nahrávání velkých souborů (velikost 30 MB a více) to může mít za následek výraznou latenci. Vzhledem k tomu, Application Gateway požadavky na kapacitu se u WAF liší, nedoporučujeme povolit WAF na Application Gateway bez řádného testování a ověření.

Další návrhy najdete v tématu Principy pilíře zabezpečení.

Azure Advisor pomáhá zajistit a zlepšit kontinuitu důležitých podnikových aplikací. Projděte si doporučení Azure Advisoru.

Definice zásad

Všechny předdefinované definice zásad související se sítěmi Azure jsou uvedené v části Předdefinované zásady – Síť.

Optimalizace nákladů

Optimalizace nákladů spočívá v hledání způsobů, jak snížit zbytečné výdaje a zlepšit provozní efektivitu. Doporučujeme projít si principy návrhu optimalizace nákladů.

Kontrolní seznam návrhu

  • Seznamte se s cenami Application Gateway
  • Kontrola nevyužitých prostředků
  • Zastavení Application Gateway instancí, které se nepoužívají
  • Zásady horizontálního snížení kapacity a horizontálního navýšení kapacity
  • Kontrola metrik spotřeby napříč různými parametry

Doporučení

Projděte si následující tabulku doporučení pro optimalizaci konfigurace Application Gateway pro optimalizaci nákladů.

Doporučení Výhoda
Seznamte se s cenami Application Gateway Informace o cenách Application Gateway najdete v tématu Vysvětlení cen pro Azure Application Gateway a Web Application Firewall. Můžete také využít cenovou kalkulačku.

Ujistěte se, že jsou možnosti dostatečně dimenzované tak, aby uspokojily poptávku po kapacitě a poskytovaly očekávaný výkon bez plýtvání prostředky.
Kontrola nevyužitých prostředků Identifikujte a odstraňte Application Gateway instance s prázdnými back-endovými fondy, abyste se vyhnuli zbytečným nákladům.
Zastavení Application Gateway instancí, když se nepoužívají Pokud je Application Gateway v zastaveném stavu, neúčtují se vám poplatky. Nepřetržitě běžící Application Gateway instancím můžou vzniknout dodatečné náklady. Vyhodnoťte vzory využití a zastavte instance, když je nepotřebujete. Očekává se například nízké využití po pracovní době v prostředích pro vývoj/testování.

Informace o tom, jak zastavit a spustit instance, najdete v těchto článcích.
- Stop-AzApplicationGateway
- Start-AzApplicationGateway
Zásady horizontálního snížení kapacity a horizontálního navýšení kapacity Zásady škálování na více instancí zajišťují, že bude k dispozici dostatek instancí pro zpracování příchozího provozu a špiček. Mějte také zásady horizontálního snížení kapacity, které zajistí snížení počtu instancí při poklesu poptávky. Zvažte volbu velikosti instance. Velikost může výrazně ovlivnit náklady. Některé důležité informace jsou popsané v tématu Odhad počtu Application Gateway instancí.

Další informace najdete v tématu Co je Azure Application Gateway v2?
Kontrola metrik spotřeby napříč různými parametry Fakturují se vám na základě měřených instancí Application Gateway na základě metrik sledovaných Azure. Vyhodnoťte různé metriky a jednotky kapacity a určete nákladové faktory. Další informace najdete v tématu Microsoft Cost Management a fakturace.

Následující metriky jsou klíčem k Application Gateway. Tyto informace lze použít k ověření, že počet zřízených instancí odpovídá množství příchozího provozu.

– Odhadované fakturované jednotky kapacity
- Pevné fakturovatelné jednotky kapacity
- Aktuální jednotky kapacity

Další informace najdete v tématu metriky Application Gateway.

Nezapomeňte počítat s náklady na šířku pásma.

Další návrhy najdete v tématu Principy pilíře optimalizace nákladů.

Azure Advisor pomáhá zajistit a zlepšit kontinuitu důležitých podnikových aplikací. Projděte si doporučení Azure Advisoru.

Efektivita provozu

Monitorování a diagnostika jsou zásadní pro zajištění efektivity provozu vašich Application Gateway a webových aplikací nebo back-endů za bránou. Můžete nejen měřit statistiky výkonu, ale také metriky používat k rychlému řešení potíží a jejich nápravě. Doporučujeme, abyste si prostudovali principy provozní efektivity návrhu.

Kontrolní seznam návrhu

  • Monitorování metrik kapacity
  • Povolení diagnostiky pro Application Gateway a Web Application Firewall (WAF)
  • Použití služby Azure Monitor Network Insights
  • Spárovat nastavení časového limitu s back-endovou aplikací
  • Monitorování problémů s konfigurací Key Vault pomocí Azure Advisoru
  • Konfigurace a monitorování omezení portů SNAT
  • Zvážení omezení portů SNAT ve vašem návrhu

Doporučení

Projděte si následující tabulku doporučení pro optimalizaci konfigurace Application Gateway pro dosažení efektivity provozu.

Doporučení Výhoda
Monitorování metrik kapacity Tyto metriky použijte jako indikátory využití zřízené kapacity Application Gateway. Důrazně doporučujeme nastavit upozornění na kapacitu. Podrobnosti najdete v tématu podpora Application Gateway vysokého provozu.
Řešení potíží s využitím metrik Existují další metriky, které můžou indikovat problémy s Application Gateway nebo back-endem. Doporučujeme vyhodnotit následující upozornění:

– Počet hostitelů, kteří nejsou v pořádku
- Stav odpovědi (dimenze 4xx a 5xx)
- Stav odpovědi back-endu (dimenze 4xx a 5xx)
– Doba odezvy posledního bajtu back-endu
- Application Gateway celkový čas

Další informace najdete v tématu Metriky pro Application Gateway.
Povolení diagnostiky pro Application Gateway a Web Application Firewall (WAF) Diagnostické protokoly umožňují zobrazit protokoly brány firewall, protokoly výkonu a protokoly přístupu. Tyto protokoly slouží ke správě a řešení potíží s Application Gateway instancemi. Další informace najdete v části věnované stavu back-endu a diagnostickým protokolům pro službu Application Gateway.
Použití služby Azure Monitor Network Insights Přehledy sítě služby Azure Monitor poskytují komplexní přehled o stavu a metrikách síťových prostředků, včetně Application Gateway. Další podrobnosti a podporované funkce pro Application Gateway najdete v tématu Přehledy sítě služby Azure Monitor.
Shoda nastavení časového limitu s back-endovou aplikací Ujistěte se, že jste nakonfigurovali nastavení IdleTimeout tak, aby odpovídalo charakteristikám naslouchacího procesu a provozu back-endové aplikace. Výchozí hodnota je nastavená na čtyři minuty a dá se nakonfigurovat maximálně na 30. Další informace najdete v tématu Load Balancer resetování protokolu TCP a vypršení časového limitu nečinnosti.

Důležité informace o úlohách najdete v tématu Monitorování stavu aplikace z hlediska spolehlivosti.
Monitorování problémů s konfigurací Key Vault pomocí Azure Advisoru Application Gateway každých 4 hodin zkontroluje obnovenou verzi certifikátu v propojeném Key Vault. Pokud je nepřístupná kvůli nesprávné konfiguraci Key Vault, zaznamená tuto chybu a odešle odpovídající doporučení Advisoru. Musíte nakonfigurovat výstrahy Advisoru tak, aby byly aktualizované a opravily tyto problémy okamžitě, abyste se vyhnuli problémům souvisejícím s řízením nebo rovinou dat. Další informace najdete v tématu Zkoumání a řešení chyb trezoru klíčů. Pokud chcete nastavit upozornění pro tento konkrétní případ, použijte typ doporučení jako Řešení problému s azure Key Vault pro Application Gateway.
Zvážení omezení portů SNAT ve vašem návrhu Omezení portů SNAT jsou důležitá pro back-endová připojení na Application Gateway. Existují různé faktory, které ovlivňují, jak Application Gateway dosáhne limitu portů SNAT. Pokud je například back-end veřejnou IP adresou, bude vyžadovat vlastní port SNAT. Abyste se vyhnuli omezením portů SNAT, můžete zvýšit počet instancí na Application Gateway, vertikálně navýšit kapacitu back-endů tak, aby měly více IP adres, nebo přesunout back-endy do stejné virtuální sítě a používat privátní IP adresy pro back-endy.

Pokud dosáhnete limitu portů SNAT, budou ovlivněny požadavky za sekundu (RPS) na Application Gateway. Pokud například Application Gateway dosáhne limitu portů SNAT, nebude moct otevřít nové připojení k back-endu a požadavek selže.

Další návrhy najdete v tématu Principy pilíře provozní excelence.

Azure Advisor pomáhá zajistit a zlepšit kontinuitu důležitých podnikových aplikací. Projděte si doporučení Azure Advisoru.

Efektivita výkonu

Efektivita výkonu je schopnost úlohy škálovat se tak, aby efektivním způsobem splňovala požadavky, které na ni kladou uživatelé. Doporučujeme projít si principy efektivity výkonu.

Kontrolní seznam návrhu

  • Odhad počtu instancí Application Gateway
  • Definování maximálního počtu instancí
  • Definování minimálního počtu instancí
  • Definování velikosti Application Gateway podsítě
  • Využití funkcí Application Gateway V2 pro automatické škálování a výhody výkonu

Doporučení

Projděte si následující tabulku doporučení pro optimalizaci konfigurace Application Gateway pro zajištění efektivity výkonu.

Doporučení Výhoda
Odhad počtu instancí Application Gateway Application Gateway v2 škáluje kapacitu na základě mnoha aspektů, například procesoru, propustnosti sítě, aktuálních připojení a dalších. Pokud chcete zjistit přibližný počet instancí, započítáte tyto metriky:

Aktuální výpočetní jednotky – označuje využití procesoru. 1 Application Gateway instance je přibližně 10 výpočetních jednotek.
Propustnost – Application Gateway instance může obsluhovat přibližně 500 Mb/s propustnosti. Tato data závisí na typu datové části.

Při výpočtu počtu instancí zvažte tuto rovnici.
Přibližný počet instancí

Po odhadu počtu instancí porovnejte tuto hodnotu s maximálním počtem instancí. To bude indikovat, jak blízko jste k maximální dostupné kapacitě.
Definování minimálního počtu instancí U Application Gateway skladové položky v2 trvá automatické škálování nějakou dobu (přibližně šest až sedm minut), než bude další sada instancí připravená pro obsluhu provozu. Pokud během této doby dojde k krátkým špičkám provozu, můžete očekávat přechodnou latenci nebo ztrátu provozu.

Doporučujeme nastavit minimální počet instancí na optimální úroveň. Po odhadu průměrného počtu instancí a určení trendů automatického škálování Application Gateway definujte minimální počet instancí na základě vzorů vaší aplikace. Informace najdete v tématu podpora Application Gateway vysokého provozu.

Zkontrolujte aktuální výpočetní jednotky za poslední měsíc. Tato metrika představuje využití procesoru brány. Pokud chcete definovat minimální počet instancí, vydělte využití ve špičce 10. Pokud je například váš průměr aktuálních výpočetních jednotek za poslední měsíc 50, nastavte minimální počet instancí na pět.
Definování maximálního počtu instancí Jako maximální počet instancí automatického škálování doporučujeme 125. Ujistěte se, že podsíť, která má Application Gateway, má dostatek dostupných IP adres pro podporu škálovací sady instancí.

Nastavení maximálního počtu instancí na 125 nemá žádný vliv na náklady, protože se vám účtuje jenom spotřebovaná kapacita.
Definování velikosti Application Gateway podsítě Application Gateway potřebuje vyhrazenou podsíť v rámci virtuální sítě. Podsíť může mít několik instancí nasazeného prostředku Application Gateway. V této podsíti v SKU v1 nebo v2 můžete také nasadit další Application Gateway prostředky.

Tady jsou některé důležité informace o definování velikosti podsítě:

– Application Gateway používá jednu privátní IP adresu na instanci a jinou privátní IP adresu, pokud je nakonfigurovaná privátní ip adresa front-endu.
– Azure v každé podsíti vyhrazuje pět IP adres pro interní použití.
– Application Gateway (skladová položka Standard nebo WAF) může podporovat až 32 instancí. S využitím 32 IP adres instancí + 1 privátní ip adresa front-endu + 5 rezervovaných Azure se doporučuje minimální velikost podsítě /26. Vzhledem k tomu, že skladová položka Standard_v2 nebo WAF_v2 může podporovat až 125 instancí, doporučuje se při použití stejného výpočtu použít velikost podsítě /24.
– Pokud chcete nasadit další Application Gateway prostředky ve stejné podsíti, zvažte další IP adresy, které budou potřeba pro jejich maximální počet instancí pro standard i standard v2.
Využití funkcí pro automatické škálování a výhody z hlediska výkonu Skladová položka v2 nabízí automatické škálování, aby se zajistilo, že vaše Application Gateway může vertikálně navýšit kapacitu s nárůstem provozu. V porovnání se skladovou položkou v1 má verze 2 možnosti, které zvyšují výkon úloh. Například lepší výkon přesměrování zpracování TLS, rychlejší nasazení a aktualizace, zónová redundance a další. Další informace o funkcích automatického škálování najdete v tématech Škálování Application Gateway v2 a WAF v2.

Pokud používáte skladovou položku Application Gateway v1, zvažte migraci na skladovou položku Application Gateway v2. Další informace najdete v tématu Migrace Azure Application Gateway a Web Application Firewall z verze 1 na v2.

Azure Advisor pomáhá zajistit a zlepšit kontinuitu důležitých podnikových aplikací. Projděte si doporučení Azure Advisoru.

Doporučení Azure Advisoru

Azure Advisor je individuální cloudový konzultant, který vám pomůže dodržovat osvědčené postupy při optimalizaci nasazení Azure. Tady je několik doporučení, která vám pomůžou zlepšit spolehlivost, zabezpečení, nákladovou efektivitu, výkon a efektivitu provozu Application Gateway.

Spolehlivost

Další materiály

Pokyny k Centru architektury Azure

Další kroky