Sdílet prostřednictvím

Přehled architektury s dobře navrženou architekturou Azure – Aplikace Azure Gateway v2

  • Článek

Tento článek obsahuje osvědčené postupy architektury pro řadu SKU služby Aplikace Azure Gateway v2. Pokyny vycházejí z pěti pilířů špičkové architektury:

Předpokládáme, že máte funkční znalosti služby Aplikace Azure Gateway a jsou dobře obeznámeni s funkcemi skladové položky v2. Další informace najdete v tématu Aplikace Azure Funkce brány.

Požadavky

Spolehlivost

V cloudu bereme na vědomí, že k selháním dochází. Místo snahy kompletně zabránit selháním je cílem minimalizace dopadu selhání jedné komponenty. Následující informace použijte k minimalizaci neúspěšných instancí.

Kontrolní seznam návrhu

Při rozhodování o návrhu služby Application Gateway si projděte principy návrhu spolehlivosti.

  • Pokud jsou k dispozici, nasaďte instance v konfiguraci podporující zónu.
  • Použijte Application Gateway s firewallem webových aplikací (WAF) ve virtuální síti k ochraně příchozího HTTP/S provozu z internetu.
  • V nových nasazeních používejte Aplikace Azure Gateway v2, pokud neexistuje přesvědčivý důvod k použití Aplikace Azure Gateway v1.
  • Plánování aktualizací pravidel
  • Zjištění nedostupnosti back-endu pomocí sond stavu
  • Kontrola dopadu nastavení intervalu a prahové hodnoty na sondy stavu
  • Ověření podřízených závislostí prostřednictvím koncových bodů stavu

Doporučení

Projděte si následující tabulku doporučení pro optimalizaci konfigurace služby Application Gateway pro spolehlivost.

Doporučení Výhoda
Plánování aktualizací pravidel Před přístupem ke službě Application Gateway nebo provedením dalších změn naplánujte dostatek času na aktualizace. Odebrání serverů z back-endového fondu může například nějakou dobu trvat, protože musí vyprázdnit stávající připojení.
Zjištění nedostupnosti back-endu pomocí sond stavu Pokud se služba Application Gateway používá k vyrovnávání zatížení příchozího provozu přes více back-endových instancí, doporučujeme použít sondy stavu. Tím zajistíte, že se provoz nesměruje na back-endy, které nemůžou zpracovat provoz.
Kontrola dopadu nastavení intervalu a prahové hodnoty na sondy stavu Sonda stavu odesílá požadavky do nakonfigurovaného koncového bodu v nastaveném intervalu. Existuje také prahová hodnota neúspěšných požadavků, která bude tolerována před označením back-endu, který není v pořádku. Tato čísla představují kompromis.

– Nastavení vyššího intervalu přináší vyšší zatížení vaší služby. Každá instance služby Application Gateway odesílá vlastní sondy stavu, takže 100 instancí každých 30 sekund znamená 100 požadavků za 30 sekund.
– Nastavení nižšího intervalu opouští více času, než se zjistí výpadek.
– Nastavení nízké prahové hodnoty, která není v pořádku, může znamenat, že krátkodobá přechodná selhání můžou back-end snížit.
– Nastavení vysoké prahové hodnoty může trvat delší dobu, než se back-end vyloučí z rotace.
Ověření podřízených závislostí prostřednictvím koncových bodů stavu Předpokládejme, že každý back-end má vlastní závislosti, aby se zajistilo, že selhání jsou izolovaná. Aplikace hostovaná za službou Application Gateway může mít například více back-endů, z nichž každá je připojená k jiné databázi (replice). Pokud taková závislost selže, aplikace může fungovat, ale nevrací platné výsledky. Z tohoto důvodu by koncový bod stavu měl ideálně ověřit všechny závislosti. Mějte na paměti, že pokud má každé volání koncového bodu stavu přímé volání závislostí, bude tato databáze přijímat 100 dotazů každých 30 sekund místo 1. Aby se tomu zabránilo, koncový bod stavu by měl po krátkou dobu ukládat stav závislostí do mezipaměti.
Pokud k ochraně HTTP/S aplikací používáte Službu Azure Front Door a Application Gateway, použijte zásady WAF ve službě Front Door a zamkněte Application Gateway, abyste mohli přijímat provoz jenom ze služby Azure Front Door. Některé scénáře můžou vynutit implementaci pravidel konkrétně ve službě Application Gateway. Pokud jsou například požadovaná pravidla ModSec CRS 2.2.9, CRS 3.0 nebo CRS 3.1, dají se tato pravidla implementovat pouze ve službě Application Gateway. Naopak omezování rychlosti a geografické filtrování jsou k dispozici jenom ve službě Azure Front Door, ne na AppGateway.

Azure Advisor vám pomůže zajistit a zlepšit kontinuitu důležitých obchodních aplikací. Projděte si doporučení Azure Advisoru.

Zabezpečení

Zabezpečení je nejdůležitějším aspektem jakékoli architektury. Služba Application Gateway poskytuje funkce, které využívají princip nejnižších oprávnění i ochrany před obranou. Doporučujeme vám projít si principy návrhu zabezpečení.

Kontrolní seznam návrhu

  • Nastavení zásad PROTOKOLU TLS pro lepší zabezpečení
  • Použití AppGateway pro ukončení protokolu TLS
  • Použití služby Azure Key Vault k ukládání certifikátů TLS
  • Při opětovném šifrování back-endového provozu se ujistěte, že certifikát back-endového serveru obsahuje kořenové i zprostředkující certifikační autority (CA).
  • Použití vhodného serveru DNS pro prostředky back-endového fondu
  • Dodržování všech omezení skupiny zabezpečení sítě pro Službu Application Gateway
  • Nepoužívejte trasy definované uživatelem v podsíti služby Application Gateway.
  • Při povolování WAF mějte na paměti změny kapacity služby Application Gateway.

Doporučení

Projděte si následující tabulku doporučení pro optimalizaci konfigurace služby Application Gateway pro zabezpečení.

Doporučení Výhoda
Nastavení zásad PROTOKOLU TLS pro lepší zabezpečení Nastavte zásadu PROTOKOLU TLS pro dodatečné zabezpečení. Ujistěte se, že používáte nejnovější verzi zásad TLS (AppGwSslPolicy20170401S). Tím se vynucují šifrování TLS 1.2 a silnější šifry.
Použití AppGateway pro ukončení protokolu TLS Pro ukončení protokolu TLS existují výhody použití služby Application Gateway:

– Výkon se zlepšuje, protože požadavky, které přejdou do různých back-endů, aby se musely znovu ověřit u každého back-endu.
– Lepší využití back-endových serverů, protože nemusí provádět zpracování tls
– Inteligentní směrování přístupem k obsahu požadavku.
– Jednodušší správa certifikátů, protože certifikát musí být nainstalovaný jenom ve službě Application Gateway.
Použití služby Azure Key Vault k ukládání certifikátů TLS Application Gateway je možné integrovat se službou Key Vault. To zajišťuje silnější zabezpečení, snadnější oddělení rolí a zodpovědností, podporu spravovaných certifikátů a jednodušší proces obnovení a obměně certifikátů.
Při opětovném šifrování back-endového provozu se ujistěte, že certifikát back-endového serveru obsahuje kořenové i zprostředkující certifikační autority (CA). Certifikát TLS back-endového serveru musí vydat dobře známá certifikační autorita. Pokud certifikát nevystavil důvěryhodná certifikační autorita, služba Application Gateway zkontroluje, jestli certifikát vydal důvěryhodná certifikační autorita atd., dokud se nenajde důvěryhodný certifikát certifikační autority. Naváže se pouze zabezpečené připojení. Jinak služba Application Gateway označí back-end jako špatný.
Použití vhodného serveru DNS pro prostředky back-endového fondu Pokud back-endový fond obsahuje přeložitelný plně kvalifikovaný název domény, překlad DNS je založený na privátní zóně DNS nebo vlastním serveru DNS (pokud je nakonfigurovaný ve virtuální síti) nebo používá výchozí DNS poskytovaný službou Azure.
Dodržování všech omezení skupiny zabezpečení sítě pro Službu Application Gateway Skupiny zabezpečení sítě se podporují v podsíti služby Application Gateway, ale existují určitá omezení. Například určitá komunikace s určitými rozsahy portů je zakázaná. Ujistěte se, že rozumíte důsledkům těchto omezení. Podrobné informace viz Skupiny zabezpečení sítě.
Nepoužívejte trasy definované uživatelem v podsíti služby Application Gateway. Použití tras definovaných uživatelem v podsíti služby Application Gateway může způsobit některé problémy. Stav back-endu může být neznámý. Protokoly a metriky služby Application Gateway se nemusí generovat. Doporučujeme nepoužívat trasy definované uživatelem v podsíti služby Application Gateway, abyste mohli zobrazit stav back-endu, protokoly a metriky. Pokud vaše organizace vyžadují, aby v podsíti služby Application Gateway používaly trasu definovanou uživatelem, zkontrolujte podporované scénáře. Další informace naleznete v tématu Podporované uživatelem definované trasy.
Při povolování WAF mějte na paměti změny kapacity služby Application Gateway. Pokud je waF povolený, musí služba Application Gateway ukládat všechny požadavky do vyrovnávací paměti, dokud nedorazí úplně, zkontroluje, jestli požadavek odpovídá jakémukoli porušení pravidel v základní sadě pravidel, a pak paket předá do back-endových instancí. Pokud se nahrají velké soubory (velikost 30 MB nebo více), může to mít za následek významnou latenci. Vzhledem k tomu, že požadavky na kapacitu služby Application Gateway se u WAF liší, nedoporučujeme povolit WAF ve službě Application Gateway bez správného testování a ověřování.

Další návrhy najdete v tématu Principy pilíře zabezpečení.

Azure Advisor vám pomůže zajistit a zlepšit kontinuitu důležitých obchodních aplikací. Projděte si doporučení Azure Advisoru.

Definice zásad

  • Firewall webových aplikací (WAF) by měl být povolený pro službu Application Gateway. Nasaďte firewall webových aplikací Azure (WAF) před veřejně přístupné webové aplikace pro další kontrolu příchozího provozu. Firewall webových aplikací (WAF) poskytuje centralizovanou ochranu webových aplikací před běžným zneužitím a ohrožením zabezpečení, jako jsou injektáže SQL, skriptování mezi weby, místní a vzdálené spouštění souborů. Přístup k webovým aplikacím můžete omezit také podle zemí nebo oblastí, rozsahů IP adres a dalších parametrů HTTP prostřednictvím vlastních pravidel.
  • Firewall webových aplikací (WAF) by měl používat zadaný režim služby Application Gateway. Vyžaduje, aby byl režim Detekce nebo Prevence aktivní ve všech zásadách firewallu webových aplikací pro službu Application Gateway.
  • Měla by být povolená služba Azure DDoS Protection. Ochrana před útoky DDoS by měla být povolená pro všechny virtuální sítě s podsítí, která je součástí aplikační brány s veřejnou IP adresou.

Všechny předdefinované definice zásad související se sítěmi Azure jsou uvedené v předdefinovaných zásadách – Síť.

Optimalizace nákladů

Optimalizace nákladů se zabývá způsoby, jak snížit zbytečné výdaje a zlepšit efektivitu provozu. Doporučujeme vám projít si principy návrhu optimalizace nákladů.

Kontrolní seznam návrhu

  • Seznámení s cenami služby Application Gateway
  • Kontrola nevyužitých prostředků
  • Zastavení instancí služby Application Gateway, které se nepoužívají
  • Mít zásady horizontálního navýšení kapacity a horizontálního navýšení kapacity
  • Kontrola metrik spotřeby napříč různými parametry

Doporučení

Projděte si následující tabulku doporučení pro optimalizaci konfigurace služby Application Gateway pro optimalizaci nákladů.

Doporučení Výhoda
Seznámení s cenami služby Application Gateway Informace o cenách služby Application Gateway najdete v tématu Vysvětlení cen služby Aplikace Azure Gateway a firewallu webových aplikací. Můžete také využít cenovou kalkulačku.

Ujistěte se, že jsou možnosti dostatečně velké tak, aby splňovaly poptávku po kapacitě a poskytovaly očekávaný výkon bez plýtvání prostředky.
Kontrola nevyužitých prostředků Identifikujte a odstraňte instance služby Application Gateway s prázdnými back-endovými fondy, abyste se vyhnuli zbytečným nákladům.
Zastavení instancí služby Application Gateway, když se nepoužívají Pokud je služba Application Gateway v zastaveném stavu, neúčtuje se vám. Nepřetržitě spuštěné instance služby Application Gateway můžou mít nadbytečné náklady. Vyhodnoťte vzory použití a zastavte instance, když je nepotřebujete. Očekává se například, že využití po pracovní době v vývojových/testovacích prostředích bude nízké.

Informace o zastavení a spuštění instancí najdete v těchto článcích.
- Stop-AzApplicationGateway
- Start-AzApplicationGateway
Mít zásady horizontálního navýšení kapacity a horizontálního navýšení kapacity Zásady škálování na více instancí zajišťují, že bude k dispozici dostatek instancí pro zpracování příchozího provozu a špiček. Máte také zásadu škálování, která zajišťuje snížení počtu instancí při poklesu poptávky. Zvažte výběr velikosti instance. Velikost může výrazně ovlivnit náklady. Některé aspekty jsou popsané v části Odhad počtu instancí služby Application Gateway.

Další informace najdete v tématu Co je Aplikace Azure Gateway v2?
Kontrola metrik spotřeby napříč různými parametry Fakturujete se na základě měřených instancí služby Application Gateway na základě metrik sledovaných v Azure. Vyhodnoťte různé metriky a jednotky kapacity a určete nákladové faktory. Další informace najdete v tématu Microsoft Cost Management a fakturace.

Následující metriky jsou klíčové pro službu Application Gateway. Tyto informace lze použít k ověření, že počet zřízených instancí odpovídá množství příchozího provozu.

– Odhadované fakturované jednotky kapacity
- Pevné fakturovatelné jednotky kapacity
- Aktuální jednotky kapacity

Další informace najdete v tématu Metriky služby Application Gateway.

Ujistěte se, že započítáte náklady na šířku pásma.

Další návrhy najdete v tématu Principy pilíře optimalizace nákladů.

Azure Advisor vám pomůže zajistit a zlepšit kontinuitu důležitých obchodních aplikací. Projděte si doporučení Azure Advisoru.

Provozní dokonalost

Monitorování a diagnostika jsou zásadní pro zajištění efektivity provozu služby Application Gateway a webových aplikací nebo back-endů za bránou. Můžete nejen měřit statistiky výkonu, ale také pomocí metrik rychle řešit a opravovat problémy. Doporučujeme vám projít si principy návrhu efektivity provozu.

Kontrolní seznam návrhu

  • Monitorování metrik kapacity
  • Povolení diagnostiky ve službě Application Gateway a firewallu webových aplikací (WAF)
  • Použití síťového Přehledy služby Azure Monitor
  • Shoda nastavení časového limitu s back-endovou aplikací
  • Monitorování problémů s konfigurací služby Key Vault s využitím Azure Advisoru
  • Konfigurace a monitorování omezení portů SNAT
  • Zvažte omezení portů SNAT v návrhu.

Doporučení

Projděte si následující tabulku doporučení pro optimalizaci konfigurace služby Application Gateway pro efektivitu provozu.

Doporučení Výhoda
Monitorování metrik kapacity Tyto metriky použijte jako indikátory využití zřízené kapacity služby Application Gateway. Důrazně doporučujeme nastavit upozornění na kapacitu. Podrobnosti najdete v tématu Podpora vysokého provozu ve službě Application Gateway.
Řešení potíží s využitím metrik Existují další metriky, které můžou indikovat problémy buď ve službě Application Gateway, nebo v back-endu. Doporučujeme vyhodnotit následující výstrahy:

– Počet hostitelů, které nejsou v pořádku
- Stav odpovědi (dimenze 4xx a 5xx)
- Stav odpovědi back-endu (dimenze 4xx a 5xx)
– Doba odezvy posledního bajtu back-endu
– Celkový čas služby Application Gateway

Další informace najdete v tématu Metriky pro službu Application Gateway.
Povolení diagnostiky ve službě Application Gateway a firewallu webových aplikací (WAF) Diagnostické protokoly umožňují zobrazit protokoly brány firewall, protokoly výkonu a protokoly přístupu. Tyto protokoly slouží ke správě a řešení potíží s instancemi služby Application Gateway. Další informace najdete v části věnované stavu back-endu a diagnostickým protokolům pro službu Application Gateway.
Použití síťového Přehledy služby Azure Monitor Azure Monitor Network Přehledy poskytuje komplexní přehled o stavu a metrikách síťových prostředků, včetně služby Application Gateway. Další podrobnosti a podporované možnosti služby Application Gateway najdete v tématu Azure Monitor Network Insights.
Shoda nastavení časového limitu s back-endovou aplikací Ujistěte se, že jste nakonfigurovali nastavení IdleTimeout tak, aby odpovídalo vlastnostem naslouchacího procesu a provozu back-endové aplikace. Výchozí hodnota je nastavená na čtyři minuty a dá se nakonfigurovat na maximálně 30. Další informace naleznete v tématu Load Balancer TCP Reset and Idle Timeout.

Důležité informace o úlohách najdete v tématu Monitorování stavu aplikace pro spolehlivost.
Monitorování problémů s konfigurací služby Key Vault s využitím Azure Advisoru Application Gateway kontroluje obnovenou verzi certifikátu v propojené službě Key Vault v každém 4hodinovém intervalu. Pokud je nepřístupná kvůli nesprávné konfiguraci služby Key Vault, zaznamená tuto chybu a nasdílí odpovídající doporučení Advisoru. Výstrahy Advisoru musíte nakonfigurovat tak, aby zůstaly aktualizované a opravily tyto problémy okamžitě, abyste se vyhnuli problémům souvisejícím s řídicími prvky nebo rovinou dat. Další informace najdete v tématu Zkoumání a řešení chyb trezoru klíčů. Pokud chcete nastavit upozornění pro tento konkrétní případ, jako řešení problému se službou Azure Key Vault pro vaši službu Application Gateway použijte typ doporučení.
Zvažte omezení portů SNAT v návrhu. Omezení portů SNAT jsou důležitá pro back-endová připojení ve službě Application Gateway. Existují samostatné faktory, které ovlivňují dosažení limitu portů SNAT ve službě Application Gateway. Pokud je například back-end veřejnou IP adresou, bude vyžadovat vlastní port SNAT. Abyste se vyhnuli omezením portů SNAT, můžete zvýšit počet instancí na službu Application Gateway, škálovat back-endy na více IP adres nebo přesunout back-endy do stejné virtuální sítě a používat privátní IP adresy pro back-endy.

Požadavky za sekundu (RPS) ve službě Application Gateway budou ovlivněny, pokud dojde k dosažení limitu portu SNAT. Pokud například služba Application Gateway dosáhne limitu portů SNAT, nebude moct otevřít nové připojení k back-endu a požadavek se nezdaří.

Další návrhy najdete v tématu Principy pilíře efektivity provozu.

Azure Advisor vám pomůže zajistit a zlepšit kontinuitu důležitých obchodních aplikací. Projděte si doporučení Azure Advisoru.

Efektivita výkonu

Efektivita výkonu je schopnost úlohy škálovat se tak, aby efektivním způsobem splňovala požadavky, které na ni kladou uživatelé. Doporučujeme vám projít si principy efektivity výkonu.

Kontrolní seznam návrhu

  • Odhad počtu instancí služby Application Gateway
  • Definování maximálního počtu instancí
  • Definování minimálního počtu instancí
  • Definování velikosti podsítě služby Application Gateway
  • Využití funkcí služby Application Gateway V2 pro výhody automatického škálování a výkonu

Doporučení

Projděte si následující tabulku doporučení pro optimalizaci konfigurace služby Application Gateway pro zajištění efektivity výkonu.

Doporučení Výhoda
Odhad počtu instancí služby Application Gateway Application Gateway v2 škáluje kapacitu na základě mnoha aspektů, jako je procesor, propustnost sítě, aktuální připojení a další. Pokud chcete zjistit přibližný počet instancí, započítáte do těchto metrik:

Aktuální výpočetní jednotky – Označuje využití procesoru. 1 Instance služby Application Gateway je přibližně 10 výpočetních jednotek.
Propustnost – instance služby Application Gateway může obsluhovat propustnost přibližně 500 Mb/s. Tato data závisí na typu datové části.

Při výpočtu počtu instancí zvažte tuto rovnici.
Přibližný počet instancí

Po odhadu počtu instancí porovnejte tuto hodnotu s maximálním počtem instancí. Zobrazí se informace o tom, jak blízko k maximální dostupné kapacitě.
Definování minimálního počtu instancí U skladové položky služby Application Gateway v2 trvá automatické škálování nějakou dobu (přibližně šest až sedm minut), než bude další sada instancí připravená k poskytování provozu. Pokud během této doby dochází k krátkým špičkám provozu, počítejte s přechodnou latencí nebo ztrátou provozu.

Doporučujeme nastavit minimální počet instancí na optimální úroveň. Po odhadu průměrného počtu instancí a určení trendů automatického škálování služby Application Gateway definujte minimální počet instancí na základě vzorů vaší aplikace. Informace najdete v tématu Podpora vysokého provozu ve službě Application Gateway.

Zkontrolujte aktuální výpočetní jednotky za poslední měsíc. Tato metrika představuje využití procesoru brány. Pokud chcete definovat minimální počet instancí, vydělte využití ve špičce o 10. Pokud je například průměrný počet aktuálních výpočetních jednotek za poslední měsíc 50, nastavte minimální počet instancí na pět.
Definování maximálního počtu instancí Jako maximální počet instancí automatického škálování doporučujeme 125. Ujistěte se, že podsíť, která obsahuje službu Application Gateway, má dostatek dostupných IP adres pro podporu škálovací sady instancí.

Nastavení maximálního počtu instancí na 125 nemá žádné náklady, protože se vám účtuje jenom spotřebovaná kapacita.
Definování velikosti podsítě služby Application Gateway Application Gateway potřebuje vyhrazenou podsíť ve virtuální síti. Podsíť může mít více instancí nasazeného prostředku služby Application Gateway. Do této podsítě, verze 1 nebo v2 můžete také nasadit další prostředky služby Application Gateway.

Tady je několik důležitých aspektů pro definování velikosti podsítě:

– Služba Application Gateway používá jednu privátní IP adresu na instanci a jinou privátní IP adresu, pokud je nakonfigurovaná privátní front-endová IP adresa.
– Azure si v každé podsíti vyhrazuje pět IP adres pro interní použití.
– Application Gateway (SKU Standard nebo WAF) může podporovat až 32 instancí. Doporučujeme vzít 32 IP adres instancí + 1 privátní front-end IP adresu + 5 Azure rezervovanou, doporučuje se minimální velikost podsítě /26. Vzhledem k tomu, že skladová položka Standard_v2 nebo WAF_v2 může podporovat až 125 instancí, doporučuje se použít stejný výpočet velikosti podsítě /24.
– Pokud chcete nasadit další prostředky služby Application Gateway ve stejné podsíti, zvažte další IP adresy, které se budou vyžadovat pro maximální počet instancí pro standard i standard v2.
Využití funkcí pro výhody automatického škálování a výkonu Skladová položka v2 nabízí automatické škálování, aby se zajistilo, že služba Application Gateway může vertikálně navýšit kapacitu při nárůstu provozu. Ve srovnání se skladovou jednotkou v1 má verze 2 možnosti, které zvyšují výkon úlohy. Například lepší výkon snižování zátěže PROTOKOLU TLS, rychlejší nasazení a časy aktualizace, redundance zón a další. Další informace o funkcích automatického škálování najdete v tématu Škálování služby Application Gateway v2 a WAF v2.

Pokud používáte službu Application Gateway verze 1, zvažte migraci na skladovou položku Application Gateway v2. Další informace najdete v tématu Migrace brány Aplikace Azure Gateway a firewallu webových aplikací z verze 1 na v2.

Azure Advisor vám pomůže zajistit a zlepšit kontinuitu důležitých obchodních aplikací. Projděte si doporučení Azure Advisoru.

Doporučení Azure Advisoru

Azure Advisor je individuální cloudový konzultant, který vám pomůže postupovat podle osvědčených postupů pro optimalizaci nasazení Azure. Tady je několik doporučení, která vám pomůžou zlepšit spolehlivost, zabezpečení, nákladovou efektivitu, výkon a efektivitu provozu služby Application Gateway.

Spolehlivost

Další materiály

Doprovodné materiály ke službě Azure Architecture Center

Další kroky