Praktik terbaik untuk performa Azure Firewall

Untuk memaksimalkan performa Azure Firewall Anda dan kebijakan Firewall, penting untuk mengikuti praktik terbaik. Namun, perilaku atau fitur jaringan tertentu dapat memengaruhi performa dan latensi firewall, meskipun kemampuan pengoptimalan performanya.

Penyebab umum masalah performa

  • Melebihi batasan aturan

    Jika Anda melebihi batasan, seperti menggunakan lebih dari 20.000 kombinasi sumber atau tujuan unik dalam aturan, Anda dapat memengaruhi pemrosesan lalu lintas firewall dan menyebabkan latensi. Meskipun batas ini lunak, melampauinya dapat memengaruhi performa firewall secara keseluruhan. Untuk informasi selengkapnya, lihat batas yang didokumenkan.

  • Traffic throughput tinggi

    Azure Firewall Standard mendukung hingga 30 Gbps, sementara Premium mendukung hingga 100 Gbps. Untuk informasi selengkapnya, lihat batasan kapasitas pemrosesan. Anda dapat memantau throughput atau pemrosesan data di metrik Azure Firewall. Untuk informasi selengkapnya, lihat Metrik dan pemberitahuan Azure Firewall.

  • Jumlah koneksi yang tinggi

    Sejumlah besar koneksi yang melewati firewall dapat menyebabkan kelelahan port SNAT (Source Network Address Translation).

  • Mode Pemberitahuan IDPS + Tolak

    Jika Anda mengaktifkan mode Peringatan + Menolak IDPS, firewall akan memblokir paket yang cocok dengan tanda tangan IDPS. Tindakan ini memengaruhi performa.

Rekomendasi

  • Mengoptimalkan konfigurasi dan pemrosesan aturan

    • Atur aturan dengan menggunakan kebijakan firewall ke dalam Grup Kumpulan Aturan dan Kumpulan Aturan, dan prioritaskan berdasarkan seberapa sering aturan tersebut digunakan.
    • Gunakan Grup IP atau awalan IP untuk mengurangi jumlah aturan tabel IP.
    • Prioritaskan aturan dengan jumlah hit tertinggi.
    • Pastikan Anda berada dalam batasan aturan berikut.

  • Menggunakan atau bermigrasi ke Azure Firewall Premium

    • Azure Firewall Premium menggunakan perangkat keras tingkat lanjut dan menawarkan mesin yang mendasar berkinerja lebih tinggi.
    • Ini terbaik untuk beban kerja yang lebih berat dan volume lalu lintas yang lebih tinggi.
    • Ini juga termasuk perangkat lunak jaringan terakselerasi bawaan, yang dapat mencapai throughput hingga 100 Gbps, tidak seperti versi Standar.

  • Cegah kehabisan port SNAT

    Saat firewall Anda mulai kehabisan port SNAT, Anda memiliki dua opsi untuk meningkatkan skalabilitas konektivitas keluar. Pilih opsi yang paling sesuai dengan kebutuhan biaya dan skalabilitas Anda.

    • Opsi 1: Menambahkan beberapa alamat IP publik

      Tambahkan lebih banyak alamat IP publik (PIP) ke firewall Anda. Azure Firewall menyediakan 2.496 port SNAT per setiap PIP tambahan, dan Anda dapat mengaitkan hingga 250 PIP. Untuk langkah-langkahnya, lihat Menyebarkan Azure Firewall dengan beberapa alamat IP publik.

      • Keuntungan: Biaya lebih rendah, mudah dikonfigurasi, dan tidak ada sumber daya tambahan untuk dikelola.
      • Kerugian: Setiap PIP menambahkan jumlah port SNAT tetap, sehingga kapasitas diskalakan secara linier. Anda juga harus mengizinkan setiap PIP dalam pemfilteran IP hilir apa pun.

    • Opsi 2: Menggunakan gateway NAT

      Kaitkan Azure NAT Gateway dengan subnet firewall untuk menskalakan port SNAT secara dinamis. Untuk langkah-langkahnya, lihat Menskalakan port SNAT dengan Azure NAT Gateway.

      • Keuntungan: Menyediakan hingga 64.512 port SNAT per alamat IP publik dan secara dinamis mengalokasikan port di seluruh subnet untuk skala dan ketahanan yang lebih besar.
      • Kerugian: Menambahkan sumber daya lain untuk disebarkan dan dikelola, dan tidak didukung dalam arsitektur hub virtual aman (vWAN).

    Jika Anda sensitif terhadap biaya, gunakan Opsi 1. Jika Anda memerlukan solusi yang lebih dapat diskalakan dan kuat, gunakan Opsi 2.

  • Mulai dengan mode Pemberitahuan IDPS sebelum Anda mengaktifkan mode Pemberitahuan + Tolak

    • Meskipun mode Pemberitahuan + Tolak menawarkan keamanan yang ditingkatkan dengan memblokir lalu lintas yang mencurigakan, mode ini juga dapat memperkenalkan lebih banyak overhead pemrosesan. Jika Anda menonaktifkan mode ini, Anda mungkin mengamati peningkatan performa, terutama dalam skenario di mana firewall terutama digunakan untuk perutean dan bukan inspeksi paket mendalam.
    • Penting untuk diingat bahwa lalu lintas melalui firewall ditolak secara default sampai Anda secara eksplisit mengonfigurasi aturan izinkan . Oleh karena itu, bahkan ketika mode Pemberitahuan + Tolak IDPS dinonaktifkan, jaringan Anda tetap terlindungi, dan hanya lalu lintas yang diizinkan secara eksplisit yang diizinkan untuk melewati firewall. Ini bisa menjadi pilihan strategis untuk menonaktifkan mode ini untuk mengoptimalkan performa tanpa mengorbankan fitur keamanan inti yang disediakan oleh Azure Firewall.

Nota

Hindari penolakan massal semua tanda tangan. Beberapa tanda tangan mengatur konteks untuk deteksi nanti dan tidak dapat ditimpa untuk mencegah penurunan senyap. Untuk detailnya, lihat Mengambil alih perilaku dan batasan.

Pengujian dan pemantauan

Untuk memastikan performa optimal untuk Azure Firewall Anda, pantau terus menerus dan proaktif. Menilai metrik kesehatan dan kunci firewall Anda secara teratur untuk mengidentifikasi potensi masalah dan mempertahankan operasi yang efisien, terutama selama perubahan konfigurasi.

Gunakan praktik terbaik berikut untuk pengujian dan pemantauan:

  • Latensi pengujian yang diperkenalkan oleh firewall
    • Untuk menilai latensi yang ditambahkan oleh firewall, ukur latensi lalu lintas Anda dari sumber ke tujuan dengan melewati firewall untuk sementara waktu. Untuk melakukan ini, konfigurasi ulang rute Anda untuk melewati firewall. Bandingkan pengukuran latensi dengan dan tanpa firewall untuk memahami efeknya pada lalu lintas.
  • Mengukur latensi firewall menggunakan metrik pemeriksaan latensi
    • Gunakan metrik penyelidikan latensi untuk mengukur latensi rata-rata Azure Firewall. Metrik ini menyediakan metrik tidak langsung dari performa firewall. Ingatlah bahwa lonjakan latensi terputus-terputus normal.
  • Mengukur metrik throughput lalu lintas
    • Pantau metrik throughput lalu lintas untuk memahami seberapa banyak data yang melewati firewall. Metrik ini membantu Anda mengukur kapasitas firewall dan kemampuannya untuk menangani lalu lintas jaringan.
  • Mengukur data yang diproses
    • Lacak metrik data yang diproses untuk menilai volume data yang diproses oleh firewall.
  • Mengidentifikasi penerapan aturan dan lonjakan kinerja
    • Cari lonjakan performa atau latensi jaringan. Korelasikan cap waktu hit aturan, seperti jumlah hit aturan aplikasi dan jumlah hit aturan jaringan, untuk menentukan apakah pemrosesan aturan menjadi faktor signifikan yang menyumbang pada masalah performa atau latensi. Dengan menganalisis pola-pola ini, Anda dapat mengidentifikasi aturan atau konfigurasi tertentu yang mungkin perlu Anda optimalkan.
  • Menambahkan pemberitahuan ke metrik utama
    • Selain pemantauan reguler, siapkan pemberitahuan untuk metrik firewall utama. Langkah ini memastikan bahwa Anda segera diberi tahu ketika metrik tertentu melampaui ambang batas yang telah ditentukan sebelumnya. Untuk mengonfigurasi pemberitahuan, lihat Log dan metrik Azure Firewall untuk instruksi terperinci tentang menyiapkan mekanisme pemberitahuan yang efektif. Pemberitahuan proaktif meningkatkan kemampuan Anda untuk merespons dengan cepat terhadap potensi masalah dan mempertahankan performa firewall yang optimal.
  • Menerapkan tata kelola dan kepatuhan
    • Gunakan Azure Policy untuk menerapkan standar konfigurasi yang konsisten di seluruh penyebaran Azure Firewall Anda, termasuk pengaturan proksi eksplisit dan konfigurasi keamanan lainnya.
    • Lacak perubahan konfigurasi menggunakan Azure Resource Graph untuk mempertahankan kepatuhan dan visibilitas operasional.

Langkah berikutnya

  • Last updated on