Nasazení služby Azure Firewall se zónami dostupnosti

Co jsou zóny dostupnosti

Zóny dostupnosti (AZ) jsou fyzicky oddělená datacentra v rámci oblasti Azure, z nichž každá má nezávislé napájení, chlazení a sítě. Zóny dostupnosti izolují selhání infrastruktury a zlepšují odolnost a dostupnost aplikací.

Oblast, která podporuje zóny dostupnosti, má obvykle tři odlišné zóny (například zóna 1, zóna 2 a zóna 3). Ne všechny oblasti Azure podporují zóny dostupnosti. V případě služby Azure Firewall určují zóny dostupnosti způsob umístění instancí brány firewall v rámci oblasti a odolnost brány firewall vůči zónovým selháním.

Zónová redundance

Azure Firewall používá zónově redundantní model nasazení ve výchozím nastavení ke zlepšení odolnosti, dostupnosti a ochrany proti zónovým selháním.

U nových nasazení nespecifikujte zóny dostupnosti pro firewall. Azure spravuje alokaci backendových zón napříč více zónami dostupnosti v regionech, kde je k dispozici výchozí možnost. Nemusíte vybírat identifikátory zón, abyste získali redundanci zón.

• Nové firewally bez specifikovaných zón jsou ve ZR kompatibilních regionech ve výchozím nastavení redundantní.
• Stávající firewally bez zónového redundantství, včetně firewallů s explicitně specifikovanou jedinou zónou, jsou migrovány na platformu v regionech, které podporují více zón dostupnosti.
• Migrace je v uvedených regionech dokončena. Další regiony se povolují s postupující migrací.
• Nemusíte rušit přidělení, znovu nasazovat ani měnit nastavení zón firewallu, abyste získali automatickou migraci.

Definice

Možnosti nasazení služby Azure Firewall spadají do následujících kategorií.

Typ nasazení	Description
Zónově redundantní (ZR)	Firewall je nasazen napříč několika zónami dostupnosti (dvěma nebo více).
Zónová (jedna zóna)	Firewall je nakonfigurován s jednou zónou (například pouze zóna 1).
Regionální (bez zón)	Firewall nakonfigurován bez přiřazení k zónám.

Některé oblasti nepodporují zóny dostupnosti. V těchto oblastech azure Firewall pokračuje v nasazování jako místní prostředek.

Migrace platformy pro existující firewally

Azure Firewall migruje stávající nezónově redundantní firewally, aby se staly zónově redundantními v regionech, které podporují více zón dostupnosti:

• Migrace je automatická a transparentní.
• Nevyžaduje se žádný výpadek ani akce správce.

Regiony kompatibilní se ZR

K 9. říjnu 2026 je migrace dokončena a zónová redundance je ve výchozím nastavení dostupná v následujících regionech.

Cloud	Identifikátor oblasti
Veřejná služba Azure	eastus2
Veřejná služba Azure	eastus
Veřejná služba Azure	japaneast
Veřejná služba Azure	australiaeast
Veřejná služba Azure	canadacentral
Veřejná služba Azure	westus2
Veřejná služba Azure	centralus
Veřejná služba Azure	westeurope
Veřejná služba Azure	northeurope
Veřejná služba Azure	southcentralus
Veřejná služba Azure	francecentral
Veřejná služba Azure	centralindia
Veřejná služba Azure	koreacentral
Veřejná služba Azure	southeastasia
Veřejná služba Azure	germanywestcentral
Veřejná služba Azure	uksouth
Veřejná služba Azure	swedencentral
Veřejná služba Azure	uaenorth
Veřejná služba Azure	switzerlandnorth
Veřejná služba Azure	southafricanorth
Veřejná služba Azure	eastasia
Veřejná služba Azure	brazilsouth
Veřejná služba Azure	westus3
Veřejná služba Azure	israelcentral
Veřejná služba Azure	polandcentral
Veřejná služba Azure	norwayeast
Veřejná služba Azure	italynorth
Veřejná služba Azure	spaincentral
Veřejná služba Azure	qatarcentral
Veřejná služba Azure	mexicocentral
Veřejná služba Azure	newzealandnorth
Veřejná služba Azure	indonesiacentral
Azure public (EUAP)	centraluseuap
Azure public (EUAP)	eastus2euap
Azure China	chinanorth3
Azure Government	usgovvirginia

EUAP regiony mají omezený přístup. Použijte region, který je dostupný vašemu předplatnému ve správném Azure cloudu.

Pochopení vlastností zóny po migraci

Po migraci:

• Pro zpětnou kompatibilitu se stav migrace (tedy aktualizovaná konfigurace zóny) nezobrazuje okamžitě v šabloně ARM, formátu JSON ani ve vlastnostech Azure Resource Graphu (ARG).
• Brána firewall je stále zónově redundantní v pozadí.
• Infrastruktura platformy spravuje redundanci zón nezávisle na vlastnostech šablony ARM.

Konfigurace zón dostupnosti ve službě Azure Firewall

Pro doporučenou cestu nasazení vynechte nastavení zón brány firewall a nechte Azure spravovat alokaci. Vyberte oblast kompatibilní se ZR, pokud požadujete ve výchozím nastavení redundanci zón.

Použití webu Azure Portal

• Portál Azure nevyžaduje, abyste při vytváření nového firewallu vybíral konkrétní zóny dostupnosti. Ve výchozím nastavení Azure spravuje zónově redundantní umístění v oblastech kompatibilních se ZR.

Použití rozhraní API

• Vynechte vlastnost firewallu zones v API požadavcích, ARM šablonách, Bicep a Terraform konfiguracích. V kompatibilních regionech Azure spravuje zónovou redundanci na backendu.
• Nepřidávejte explicitní zóny do stávajících konfigurací jen kvůli zajištění redundance zón. Způsobilé stávající firewally jsou automaticky migrovány.

Použití Azure Powershell

Následující příklad vytvoří firewall bez předání -Zone do New-AzFirewall. Azure spravuje alokaci backendových zón firewallu ve východních USA, což je region kompatibilní se ZR.

Když vytvoříte standardní veřejnou IP adresu bez zadání zóny, je ve výchozím nastavení nakonfigurovaná jako zónově redundantní. Standardní veřejné IP adresy je možné přidružit ke všem zóně nebo jedné zóně.

$rgName = "Test-FW-RG"

$vnet = Get-AzVirtualNetwork `
  -Name "Test-FW-VN" `
  -ResourceGroupName $rgName

$pip1 = New-AzPublicIpAddress `
  -Name "AzFwPublicIp1" `
  -ResourceGroupName "Test-FW-RG" `
  -Sku "Standard" `
  -Location "eastus" `
  -AllocationMethod Static `
  -Zone 1,2,3

New-AzFirewall `
  -Name "azFw" `
  -ResourceGroupName $rgName `
  -Location "eastus" `
  -VirtualNetwork $vnet `
  -PublicIpAddress @($pip1)

Omezení

• Zónová redundance vyžaduje region, který podporuje více zón dostupnosti. V regionech bez zón dostupnosti zůstává Azure Firewall regionálním zdrojem.
• Regionální kapacitní omezení mohou ovlivnit nasazení. Vynechání zón neobchází kapacitní omezení. Před změnou konfigurace si zkontrolujte chyby nasazení a známé problémy Azure Firewall.
• Vlastnosti portálů a zón prostředků nemusí nutně zobrazovat platformou spravované backendové umístění. Pro více informací viz Pochopení vlastností zón po migraci.

Smlouvy o úrovni služeb (SLA)

• Když nasadíte bránu Azure Firewall jako zónově redundantní (dvě nebo více zón dostupnosti), získáte smlouvu SLA o 99,99% dostupnosti.
• Smlouva SLA 99.95% dostupnosti se vztahuje na regionální nasazení v oblastech, které nepodporují zóny dostupnosti.

Další informace najdete v tématu Smlouvy o úrovni služeb (SLA) služby Azure Firewall a funkce brány Azure Firewall podle skladové položky.

Další kroky

• Kurz: Monitorování protokolů brány Azure Firewall