Nota
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
¿Qué son las zonas de disponibilidad?
Las zonas de disponibilidad (AZ) son centros de datos físicamente independientes dentro de una región de Azure, cada uno con energía, refrigeración y redes independientes. Las zonas de disponibilidad aíslan los errores de infraestructura y mejoran la resistencia y la disponibilidad de las aplicaciones.
Una región que admite zonas de disponibilidad suele tener tres zonas distintas (por ejemplo, Zona 1, Zona 2 y Zona 3). No todas las regiones de Azure admiten zonas de disponibilidad. Para Azure Firewall, las zonas de disponibilidad determinan cómo se colocan las instancias de firewall dentro de una región y la resistencia del firewall a errores zonales.
Redundancia de zona
Azure Firewall usa un modelo de implementación con redundancia de zona de forma predeterminada para mejorar la resistencia, la disponibilidad y la protección frente a errores zonales.
Para nuevos despliegues, no especifiques zonas de disponibilidad para el cortafuegos. Azure gestiona la asignación de zonas de back-end entre múltiples zonas de disponibilidad en regiones donde este comportamiento predeterminado está disponible. No necesitas elegir identificadores de zona para obtener redundancia de zona.
- Los nuevos cortafuegos sin zonas especificadas son redundantes por zona por defecto en las regiones compatibles con ZR.
- Los cortafuegos existentes que no son redundantes de zona, incluidos los cortafuegos con una zona única explícitamente especificada, se migran a la plataforma en regiones que admiten múltiples zonas de disponibilidad.
- La migración se completa en las regiones listadas. Otras regiones se ven habilitadas a medida que avanza la migración.
- No necesitas desasignar recursos, volver a desplegar ni cambiar la configuración de zona del firewall para recibir la migración automática.
Definiciones
Las opciones de implementación de Azure Firewall se dividen en las siguientes categorías.
| Tipo de implementación | Description |
|---|---|
| Redundancia de zona (ZR) | El firewall se implementa en varias zonas de disponibilidad (dos o más). |
| Zonal (zona única) | Cortafuegos configurado con una sola zona (por ejemplo, solo Zona 1). |
| Regional (sin zonas) | Cortafuegos configurado sin zonas. |
Algunas regiones no admiten zonas de disponibilidad. En esas regiones, Azure Firewall sigue implementándose como un recurso regional.
Migración de plataforma de los firewalls existentes
Azure Firewall migra los cortafuegos existentes no redundantes de zona para que se vuelvan redundantes en regiones que admiten múltiples zonas de disponibilidad:
- La migración es automática y transparente.
- No se requiere tiempo de inactividad ni acción de administrador.
Regiones compatibles con ZR
A fecha del 9 de octubre de 2026, la migración se ha completado y la redundancia de zonas por defecto está disponible en las siguientes regiones.
| Cloud | Identificador de región |
|---|---|
| Azure Público | eastus2 |
| Azure Público | eastus |
| Azure Público | japaneast |
| Azure Público | australiaeast |
| Azure Público | canadacentral |
| Azure Público | westus2 |
| Azure Público | centralus |
| Azure Público | westeurope |
| Azure Público | northeurope |
| Azure Público | southcentralus |
| Azure Público | francecentral |
| Azure Público | centralindia |
| Azure Público | koreacentral |
| Azure Público | southeastasia |
| Azure Público | germanywestcentral |
| Azure Público | uksouth |
| Azure Público | swedencentral |
| Azure Público | uaenorth |
| Azure Público | switzerlandnorth |
| Azure Público | southafricanorth |
| Azure Público | eastasia |
| Azure Público | brazilsouth |
| Azure Público | westus3 |
| Azure Público | israelcentral |
| Azure Público | polandcentral |
| Azure Público | norwayeast |
| Azure Público | italynorth |
| Azure Público | spaincentral |
| Azure Público | qatarcentral |
| Azure Público | mexicocentral |
| Azure Público | newzealandnorth |
| Azure Público | indonesiacentral |
| Azure public (EUAP) | centraluseuap |
| Azure public (EUAP) | eastus2euap |
| Azure China | chinanorth3 |
| Azure Government | usgovvirginia |
Las regiones EUAP tienen acceso restringido. Utiliza una región disponible para tu suscripción en la nube de Azure correspondiente.
Descripción de las propiedades de zona después de la migración
Después de la migración:
- Para compatibilidad hacia atrás, el estado de migración (es decir, configuración actualizada de zonas) no aparece inmediatamente en las propiedades de plantilla ARM, JSON o Azure Resource Graph (ARG).
- El firewall sigue teniendo redundancia de zona en el back-end.
- La infraestructura de la plataforma administra la redundancia de zona independientemente de las propiedades de la plantilla de ARM.
Configuración de zonas de disponibilidad en Azure Firewall
Para la ruta de despliegue recomendada, omite la configuración de zonas del cortafuegos y deja que Azure gestione la asignación. Elige una región compatible con ZR cuando necesites redundancia de zona por defecto.
Uso de Azure Portal
- El portal de Azure no requiere que selecciones zonas de disponibilidad específicas al crear un nuevo cortafuegos. En regiones compatibles con ZR, Azure gestiona por defecto la colocación redundante por zona.
Mediante las API
- Omite la propiedad del
zonesfirewall en las solicitudes de API, plantillas ARM, Bicep y configuraciones de Terraform. En regiones compatibles, Azure gestiona la redundancia de zonas en el backend. - No añadas zonas explícitas a configuraciones existentes solo para obtener redundancia de zona. Los cortafuegos existentes elegibles se migran automáticamente.
Uso de Azure PowerShell
El siguiente ejemplo crea un cortafuegos sin pasar nada de -Zone a New-AzFirewall. Azure gestiona la asignación de zonas del back-end del firewall en el este de EE. UU., una región compatible con ZR.
Cuando se crea una dirección IP pública estándar sin especificar una zona, se configura como con redundancia de zona de forma predeterminada. Las direcciones IP públicas estándar se pueden asociar a todas las zonas o a una sola zona.
$rgName = "Test-FW-RG"
$vnet = Get-AzVirtualNetwork `
-Name "Test-FW-VN" `
-ResourceGroupName $rgName
$pip1 = New-AzPublicIpAddress `
-Name "AzFwPublicIp1" `
-ResourceGroupName "Test-FW-RG" `
-Sku "Standard" `
-Location "eastus" `
-AllocationMethod Static `
-Zone 1,2,3
New-AzFirewall `
-Name "azFw" `
-ResourceGroupName $rgName `
-Location "eastus" `
-VirtualNetwork $vnet `
-PublicIpAddress @($pip1)
Limitaciones
- La redundancia de zonas requiere una región que soporte múltiples zonas de disponibilidad. En regiones sin zonas de disponibilidad, Azure Firewall sigue siendo un recurso regional.
- Las restricciones regionales de capacidad pueden afectar al despliegue. Omitir zonas no evita las restricciones de capacidad. Revisa los errores de despliegue y los problemas conocidos de Azure Firewall antes de cambiar tu configuración.
- Las propiedades de portal y zona de recursos no muestran necesariamente la ubicación del backend gestionado por la plataforma. Para más información, véase Comprender las propiedades de las zonas tras la migración.
Contratos de nivel de servicio (SLA)
- Al implementar Azure Firewall de forma redundante en la zona (dos o más zonas de disponibilidad), obtendrá un SLA de tiempo de actividad del 99,99%.
- Se aplica un SLA de tiempo de actividad del 99,95% a las implementaciones regionales en las regiones que no admiten zonas de disponibilidad.
Para más información, consulte el Acuerdo de Nivel de Servicio (SLA) de Azure Firewall y las características de Azure Firewall por SKU.