Azure Firewall 및 방화벽 정책의 성능을 최대화하려면 모범 사례를 따르는 것이 중요합니다. 그러나 특정 네트워크 동작 또는 기능은 성능 최적화 기능에도 불구하고 방화벽의 성능 및 대기 시간에 영향을 줄 수 있습니다.
성능 문제의 일반적인 원인
규칙 제한 초과
규칙에서 20,000개 이상의 고유한 원본/대상 조합을 사용하는 것과 같은 제한을 초과하는 경우 방화벽 트래픽 처리에 영향을 미치고 대기 시간을 유발할 수 있습니다. 소프트 제한이지만 이 값을 초과하면 전체 방화벽 성능에 영향을 줄 수 있습니다. 자세한 내용은 문서화된 한도를 참조하세요.
높은 트래픽 처리량
Azure Firewall 표준은 최대 30Gbps를 지원하고 프리미엄은 최대 100Gbps를 지원합니다. 자세한 내용은 처리량 제한 사항을 참조하세요. Azure Firewall 메트릭에서 처리량 또는 데이터 처리를 모니터링할 수 있습니다. 자세한 내용은 Azure Firewall 메트릭 및 경고를 참조하세요.
높은 연결 수
방화벽을 통과하는 연결 수가 너무 많을 경우 SNAT(Source Network Address Translation) 포트 소모가 발생할 수 있습니다.
IDPS 경고 + 거부 모드
IDPS 경고 + 거부 모드를 사용하도록 설정하면 방화벽은 IDPS 서명과 일치하는 패킷을 삭제합니다. 이는 성능에 영향을 줍니다.
권장 사항
규칙 구성 및 처리 최적화
Azure Firewall 프리미엄을 사용하거나 Azure Firewall 프리미엄으로 마이그레이션
- Azure Firewall Premium은 고급 하드웨어를 사용하며 고성능 기본 엔진을 제공합니다.
- 더 무거운 워크로드 및 더 높은 트래픽 볼륨에 가장 적합합니다.
- 또한 표준 버전과 달리 최대 100Gbps의 처리량을 달성할 수 있는 기본 제공 가속 네트워킹 소프트웨어도 포함되어 있습니다.
SNAT 포트 고갈을 방지하기 위해 방화벽에 여러 공용 IP 주소 추가
- SNAT 포트 소모를 방지하려면 방화벽에 여러 개의 공용 IP 주소(PIP)를 추가하는 것이 좋습니다. Azure Firewall은 각 추가 PIP당 2,496개의 SNAT 포트를 제공합니다.
- 더 많은 PIP를 추가하지 않으려면 Azure NAT Gateway를 추가하여 SNAT 포트 사용량을 조정할 수 있습니다. 고급 SNAT 포트 할당 기능을 제공합니다.
경고 + 거부 모드를 사용하도록 설정하기 전에 IDPS 경고 모드로 시작
- 경고 + 거부 모드는 의심스러운 트래픽을 차단하여 향상된 보안을 제공하지만 처리 오버헤드가 더 많이 발생할 수도 있습니다. 이 모드를 사용하지 않도록 설정하면 특히 방화벽이 주로 전체 패킷 검사가 아닌 라우팅에 사용되는 시나리오에서 성능 향상이 나타날 수 있습니다.
- 허용 규칙을 명시적으로 구성할 때까지 방화벽을 통한 트래픽은 기본적으로 거부된다는 점을 기억해야 합니다. 따라서 IDPS 경고 + 거부 모드를 사용하지 않도록 설정한 경우에도 네트워크는 보호된 상태로 유지되며 명시적으로 허용된 트래픽만 방화벽을 통과하도록 허용됩니다. Azure Firewall에서 제공하는 핵심 보안 기능을 손상시키지 않고 성능을 최적화하기 위해서는 이 모드를 사용하지 않도록 설정하는 것이 전략적 선택일 수 있습니다.
테스트 및 모니터링
Azure Firewall에 대한 최적의 성능을 보장하려면 지속적으로 사전에 모니터링해야 합니다. 특히 구성을 변경하는 동안 방화벽의 상태 및 주요 메트릭을 정기적으로 평가하여 잠재적인 문제를 식별하고 효율적인 작업을 유지하는 것이 중요합니다.
테스트 및 모니터링을 위해 다음과 같은 모범 사례를 따르세요.
-
방화벽에서 도입된 테스트 대기 시간
- 방화벽에서 추가된 대기 시간을 평가하려면 방화벽을 일시적으로 우회하여 원본에서 대상으로 트래픽의 대기 시간을 측정합니다. 이렇게 하려면 방화벽을 무시하도록 경로를 다시 구성합니다. 대기 시간 측정값을 방화벽과 비교하고 트래픽에 미치는 영향을 파악합니다.
-
대기 시간 프로브 메트릭을 사용하여 방화벽 대기 시간 측정
- 대기 시간 프로브 메트릭을 사용하여 Azure Firewall의 평균 대기 시간을 측정합니다. 이 메트릭은 방화벽의 성능에 대한 간접 메트릭을 제공합니다. 일시적인 대기 시간 급증은 정상입니다.
-
트래픽 처리량 메트릭 측정
- 트래픽 처리량 메트릭을 모니터링하여 방화벽을 통과하는 데이터의 양을 파악합니다. 이렇게 하면 방화벽의 용량과 네트워크 트래픽을 처리하는 기능을 측정하는 데 도움이 됩니다.
-
처리된 데이터 측정
- 처리된 데이터 메트릭을 추적하여 방화벽에서 처리되는 데이터의 양을 평가합니다.
-
규칙 적중 수 및 성능 급증 식별
- 네트워크 성능 또는 대기 시간의 급증을 찾습니다. 애플리케이션 규칙 적중 횟수 및 네트워크 규칙 적중 횟수와 같은 규칙 적중 타임스탬프를 상호 연결하여 규칙 처리가 성능 또는 대기 시간 문제에 중요한 요소인지 확인합니다. 이러한 패턴을 분석하여 최적화해야 할 수 있는 특정 규칙 또는 구성을 식별할 수 있습니다.
-
주요 메트릭에 경고 추가
- 정기적인 모니터링 외에도 주요 방화벽 메트릭에 대한 경고를 설정하는 것이 중요합니다. 이렇게 하면 특정 메트릭이 미리 정의된 임계값을 초과할 때 즉시 알림을 받습니다. 경고를 구성하려면 효과적인 경고 메커니즘을 설정하는 방법에 대한 자세한 지침은 Azure Firewall 로그 및 메트릭을 참조하세요. 자동 관리 경고는 잠재적인 문제에 신속하게 대응하고 최적의 방화벽 성능을 유지하는 기능을 향상합니다.