Levering en prestaties van toepassingen

Dit artikel helpt u bij het selecteren van de juiste Azure taakverdelingsservice voor uw workload. Het vergelijkt Azure Load Balancer, Application Gateway en Azure Front Door voor regionale en wereldwijde verkeersdistributie. Ook wordt uitgelegd wanneer ze moeten worden gecombineerd. Voor een korter, dienst-per-dienst overzicht, zie Wat is load balancing en contentlevering?

Wat in dit artikel wordt behandeld

Applicatielevering omvat hoe je netwerk verkeer verdeelt over backend-resources nadat het de netwerkperimeter bereikt. In dit artikel worden laag 4- en laag 7-taakverdeling en wereldwijde verkeersversnelling behandeld. Het omvat ook de beslissingscriteria voor het kiezen tussen de drie primaire Azure taakverdelingsservices.

Note

Dit artikel vormt een aanvulling op inkomend internet: uw toepassing beschikbaar maken voor internet, die is gericht op hoe verkeer binnenkomt in uw netwerk. Dit artikel richt zich op hoe u dat verkeer kunt verdelen en doorsturen naar de backends van uw applicatie.

Wie heeft dit artikel nodig

Lees dit artikel als u:

  • Webtoepassingen of API's hosten die hoge beschikbaarheid nodig hebben voor meerdere back-endinstanties.
  • SSL/TLS-offload, URL-gebaseerde routering of Web Application Firewall (WAF)-bescherming nodig voor HTTP/HTTPS-verkeer.
  • Verkeer verdelen over meerdere Azure regio's voor prestaties of herstel na noodgevallen.
  • Voer niet-HTTP-workloads (TCP/UDP) uit waarvoor regionale taakverdeling met statustests is vereist.
  • Wilt u weten welke load balancer past bij uw verkeerstype, geografische bereik en beveiligingsvereisten.

Focus op 'lift-and-shift': Veel opnieuw gehoste interne applicaties hebben alleen een regionale load balancer nodig. Internetgerichte leveringsservices toevoegen wanneer u een app publiceert aan klanten.

Focus moderniseren: Kies levering per app-type: Azure Front Door voor globale web-apps en Traffic Manager voor niet-web-apps, waarbij actief-actieve regionale eindpunten worden fronten.

Focus op meerdere clouds: Wijs load balancers van andere clouds toe aan Azure equivalenten (bijvoorbeeld AWS ALB naar Application Gateway, NLB naar Azure Load Balancer) en leveren via de spoke achter de hubfirewall.

Azure services en functies

De volgende tabel bevat een overzicht van de drie primaire Azure taakverdelingsservices.

Dienst Wat het biedt Wanneer gebruikt u het? Belangrijke beperkingen
Azure Standard Load Balancer Taakverdeling op laag 4 (TCP/UDP) binnen een regio. Statustests, zoneredundantie, uitgaande SNAT-regels en HA-poorten voor virtuele netwerkapparaten. Virtual Machine Scale Sets, intern AKS-verkeer, niet-HTTP/HTTPS regionale workloads en hoge beschikbaarheid van NVA's. Geen SSL/TLS-beëindiging; geen WAF; geen routering op basis van URL's; alleen regionaal bereik.
Azure Application Gateway Regionale taakverdeling op laag 7 (HTTP/HTTPS). SSL/TLS-beëindiging, routering op basis van URL-pad, hosting voor meerdere sites, sessieaffiniteit op basis van cookies en optionele WAF-integratie. Regionale webtoepassingen die SSL-offload, URL-routering, WebSocket-ondersteuning of WAF-beveiliging nodig hebben. Alleen regionaal; vereist een toegewezen subnet; niet geschikt voor globale routering of CDN-scenario's.
Azure Front Door Global anycast-taakverdeling en CDN. TLS-beëindiging aan de rand, geïntegreerde WAF, statustests voor oorsprong, verkeer splitsen en opslaan in cache op meer dan 190 wereldwijde aanwezigheidspunten (PoPs). Wereldwijde webtoepassingen, multiregion actief-actieve implementaties, CDN en caching en wereldwijde WAF-afdwinging. Alleen HTTP/HTTPS; Origins moeten openbaar toegankelijk zijn of bereikbaar zijn via Private Link (Premium-niveau).

Zone-redundantie

Zoneredundantie beschermt uw toepassingsleveringslaag tegen datacenterfouten. Elke service verwerkt beschikbaarheidszones op een andere manier:

  • Standard Load Balancer (openbaar) is standaard zone-redundant omdat standaard openbare IP-adressen standaard zijn ingesteld op zone-redundante configuratie. Verkeer blijft stromen, zelfs als één beschikbaarheidszone mislukt. Standard Load Balancer (intern) vereist expliciete zone-redundante front-endconfiguratie: u moet meerdere zones selecteren wanneer u het front-end-IP-adres maakt.
  • Application Gateway v2 ondersteunt zoneredundantie wanneer u exemplaren implementeert in meerdere beschikbaarheidszones. Geef de zones op tijdens de implementatie. Een zoneredundante Application Gateway verspreidt exemplaren over de zones die u selecteert, waarbij de beschikbaarheid behouden blijft als één zone offline gaat.
  • Azure Front Door is van nature zoneredundant als wereldwijde anycast-service. De meer dan 190 edge PoPs omvatten meerdere regio's wereldwijd, dus geen enkele zone of regiofout heeft invloed op wereldwijde verkeersroutering.

Autoscaling

Elke service verwerkt de schaal anders:

  • Application Gateway v2 (Standard_v2- en WAF_v2-lagen) ondersteunt automatisch schalen op basis van verkeersbelasting. U configureert het minimum- en maximumaantal instanties, en de gateway schaalt binnen die grenzen. Prijzen maken gebruik van capaciteitseenheden: een samengestelde meting van nieuwe verbindingen per seconde, permanente verbindingen en doorvoer. Stel een minimumaantal instanties in van minstens twee voor productieworkloads om koude startlatentie tijdens verkeerspieken te voorkomen.
  • Azure Front Door wordt automatisch geschaald als een beheerde globale service. U hoeft geen capaciteitsplanning of dimensionering van instanties uit te voeren.
  • Standard Load Balancer wordt geschaald naar miljoenen TCP/UDP-stromen zonder handmatige tussenkomst of configuratiewijzigingen. Het is een volledig beheerde platformservice zonder exemplaarconcept.

Gezondheidsonderzoeken

Alle drie de services maken gebruik van statustests om beschadigde back-ends te detecteren en het routeren van verkeer naar deze services te stoppen:

  • Standard Load Balancer ondersteunt TCP-, HTTP- en HTTPS-statustests. Configureer controle-intervallen en drempelwaarden voor een ongezonde status om de failoversnelheid te regelen. Kortere intervallen detecteren fouten sneller, maar genereren meer testverkeer.
  • Application Gateway maakt gebruik van HTTP-/HTTPS-statustests met aanpasbare paden, hostnamen en overeenkomende antwoorden. Met aangepaste tests kunt u toepassingslogica valideren (bijvoorbeeld een /health eindpunt controleren dat de databaseconnectiviteit verifieert).
  • Front Door gebruikt HTTP-/HTTPS-statuscontroles op origins. Het ondersteunt configureerbare testpaden, intervallen en antwoordcodekoppeling. Front Door controleert origins vanaf meerdere PoP's en biedt daarmee gedistribueerde statusverificatie.

Hoe te kiezen

Het volgende stroomdiagram bevat een overzicht van het primaire beslissingspad voor het selecteren van een Azure taakverdelingsservice.

Stroomschema voor het selecteren van een Azure-loadbalancingservice op basis van HTTP- versus niet-HTTP-verkeer, en vervolgens van één regio versus wereldwijde reikwijdte.

Gebruik de volgende beslissingstabellen om de juiste taakverdelingsservice voor uw scenario te selecteren.

Welke load balancer heb ik nodig?

Ik moet... Gebruik
Taakverdeling voor TCP/UDP-verkeer binnen één regio Azure Standard Load Balancer: Laag 4-distributie met statustests, zoneredundantie en HA-poorten.
Beëindig SSL/TLS, route per URL-pad of hostnaam en voeg WAF toe voor een regionale web-app Azure Application Gateway: Regionale taakverdeling op laag 7 met geïntegreerde WAF (v2 SKU).
Leid HTTP/HTTPS-verkeer wereldwijd, verminder de latentie met edge-caching of schakel bij uitval over tussen regio's Azure Front Door: Global anycast met CDN-, WAF- en statustests met meerdere regio's.

Vergelijking van de belangrijkste beperkingen

Dienst Laag Scope Belangrijkste beperking
Standaard Load Balancer Laag 4 (TCP/UDP) Regional Geen toepassingsbewustzijn: http-headers, URL's of cookies kunnen niet worden gecontroleerd.
Application Gateway Laag 7 (HTTP/HTTPS) Regional Vereist een toegewezen subnet (/24 aanbevolen); kan verkeer niet globaal routeren.
Front Door Laag 7 (HTTP/HTTPS) Globaal Origins moeten openbaar zijn of bereikbaar via Private Link (alleen Premium tier); geen TCP/UDP-ondersteuning.

Services combineren

Veel productiearchitecturen combineren meerdere taakverdelingsservices in een keten. Elke service verwerkt wat het beste werkt:

  • Front Door + Application Gateway: Gebruik Front Door voor wereldwijde verkeersdistributie en edge WAF en routeer vervolgens naar regionale Application Gateway-exemplaren voor routering op basis van URL-pad en back-endpoolbeheer. Front Door Premium kan via Private Link verbinding maken met Application Gateway, waardoor de Application Gateway privé blijft. Dit patroon past bij implementaties met meerdere regio's waarbij elke regio complexe vereisten voor URL-routering heeft.
  • Front Door + Load Balancer: Gebruik Front Door voor wereldwijde HTTP/HTTPS-distributie, met een interne Standard Load Balancer erachter om verkeer te verdelen over Virtual Machine Scale Sets of NVA's binnen een regio. Front Door verwerkt globale routering en caching terwijl Load Balancer laag 4-distributie biedt voor rekenprocessen.
  • Application Gateway + Load Balancer: Gebruik Application Gateway voor HTTP/HTTPS-verkeerbeheer op de front-end en Load Balancer voor niet-HTTP-back-endlagen (databases, berichtenwachtrijen) in dezelfde implementatie. Dit patroon houdt Layer 7-intelligentie aan de rand met een lichtgewicht Layer 4-distributie intern.

Routeringsmogelijkheden

Inzicht in routeringsmogelijkheden helpt bij het beperken van uw keuze:

Vermogen Standaard Load Balancer Application Gateway Front Door
Routering op basis van URL-pad Nee. Yes Yes
Routering voor meerdere sites (host-header) Nee. Yes Yes
Sessieaffiniteit op basis van cookies Nee. Yes Yes
Gewogen verkeersverdeling Nee. Nee. Yes
Geografische routering Nee. Nee. Yes
SSL/TLS offload Nee. Yes Yes
Ondersteuning voor WebSocket Pass-through Yes Yes
HTTP/2-ondersteuning Nee. Yes Yes

Tip

Application Gateway v2 schaalt automatisch tussen een minimum- en maximumaantal exemplaren en u betaalt ten minste voor de minimale capaciteit, zelfs wanneer verkeer niet actief is. Stel het minimale aantal exemplaren in op de basislijnbelasting, niet op uw piek en laat automatische schaalaanpassing pieken absorberen. Meer provisioneren dan het minimum is een veelvoorkomende oorzaak van vermijdbare kosten bij Application Gateway.

Ontwerpoverwegingen

Ontwerpfocus voor lift-and-shift-applicatielevering

  • Gebruik een interne Azure Load Balancer voor oost-west-verkeer tussen lagen van een opnieuw gehoste app, in overeenstemming met de load balancing waarop de app al vertrouwde.
  • Voeg alleen openbare leveringsservices toe voor apps die u beschikbaar maakt op internet; veel gemigreerde interne workloads hebben geen nodig.
  • Houd het leveringsontwerp eenvoudig en één regio tijdens de eerste herhost.
  • Routeer binnenkomend internetverkeer via de hubfirewall voordat deze de workload bereikt.

Focus voor het ontwerpen van toepassingslevering moderniseren

  • Kiezen op toepassingstype: Azure Front Door voor globale web-apps (edge-beëindiging, WAF) en Azure Traffic Manager voor niet-web-apps waarvoor regionale distributie op basis van DNS nodig is.
  • Implementeer een active-active-configuratie over meerdere regio's en distribueer verkeer over het openbare eindpunt van elke regio achter de hub-firewall, die SNAT en DNAT uitvoert.
  • Gebruik Application Gateway voor regionale Layer 7-routering en TLS-terminatie, achter Front Door wanneer je wereldwijde levering nodig hebt.
  • Implementeer niet zowel Front Door als Traffic Manager voor dezelfde stroom; Kies er een op basis van of de app web of niet-web is.

Ontwerpfocus voor applicatielevering over meerdere clouds

  • Wijs leveringsservices van andere clouds toe aan Azure: AWS Application Load Balancer of Google Cloud Application Load Balancing naar Azure Application Gateway en netwerk load balancers naar Azure Load Balancer.
  • Plaats Layer 7-verkeer (Application Gateway, met WAF) in het spoke-netwerk en vermijd openbare IP-adressen rechtstreeks aan virtuele machines te koppelen.
  • Leid publiek inkomend verkeer via de firewall van de beveiligde hub voordat het de gemigreerde workloads bereikt.
  • Gebruik Front Door of Traffic Manager voor levering in meerdere regio's zodra workloads in meer dan één Azure regio worden uitgevoerd.

Prerequisites

Voordat u services voor toepassingslevering implementeert:

  • Geïmplementeerd virtueel netwerk: U hebt ten minste één virtueel netwerk met subnetten nodig. Zie Het ontwerp van het virtuele netwerk en het subnet voor richtlijnen voor subnetplanning.
  • Geïdentificeerd type workloadverkeer: Weet of uw workload GEBRUIKMAAKT van HTTP/HTTPS (Laag 7) of TCP/UDP (Laag 4). Dit type verkeer bepaalt je primaire keuze voor load balancer.
  • Geografisch bereik gedefinieerd: Bepaal of uw gebruikers zich in één regio bevinden of wereldwijd worden gedistribueerd. Wereldwijde gebruikersgroepen profiteren van de anycast-acceleratie van Front Door.
  • Subnetcapaciteit voor Application Gateway: Application Gateway vereist een toegewezen subnet zonder andere resources. Een /24-subnet ondersteunt tot 125 instanties plus vijf Azure-gereserveerde adressen.

Beveiligingsoverwegingen

Taakverdelingsservices maken deel uit van uw beveiligingsperimeter. Ze zijn de eerste onderdelen voor het verwerken van binnenkomend verkeer, waardoor hun beveiligingsconfiguratie essentieel is. Volg deze procedures om de leveringslaag van uw toepassing te beveiligen.

Firewall voor webapplicaties (WAF)

Schakel WAF op Application Gateway of Front Door in de preventiemodus in voor alle productiewebworkloads. De detectiemodus registreert alleen bedreigingen zonder ze te blokkeren. Gebruik dit tijdens de initiële afstemming om vals-positieven te identificeren en schakel vervolgens over naar de Preventiemodus voordat productieverkeer wordt verwerkt.

WAF beschermt tegen veelvoorkomende webexplots, waaronder:

  • SQL-injectie en cross-site scripting (XSS)
  • Protocolafwijkingen en smokkel aanvragen
  • Bots en crawlers (met botbeveiligingsregels)
  • OWASP Top 10-beveiligingsproblemen via beheerde regelsets

Zowel Application Gateway WAF als Front Door WAF gebruiken dezelfde regelengine, maar verschillen in bereik. Application Gateway WAF beveiligt een regionale implementatie, terwijl Front Door WAF beleidsregels afdwingt aan de wereldwijde rand voordat verkeer een oorsprong bereikt. Zie Web Application Firewall voor gedetailleerde configuratie van WAF-afstemming en regelset.

DDoS protection

Schakel Azure DDoS Protection in op alle publieke IP-adressen die gekoppeld zijn aan je load balancing services. Standard Load Balancer openbare front-end-IP's en openbare IP-adressen van Application Gateway zijn primaire doelen voor volumetrische aanvallen. Deze IP-adressen vertegenwoordigen de toegangspunten van uw toepassing.

Azure DDoS Protection biedt:

  • Altijd actieve verkeersmonitoring met adaptieve afstemming.
  • Automatische aanvalsbeperking wanneer verkeer een drempelwaarde overschrijdt.
  • Aanvalstelemetrie en waarschuwingen via Azure Monitor.
  • Kostenbescherming (servicekrediet) voor resourceschaling die door DDoS-aanvallen wordt geactiveerd.

Zie DDoS-beveiliging voor planning en configuratie van DDoS-beveiliging.

Azure Front Door Premium ondersteunt Private Link connectiviteit met origins. Deze mogelijkheid verwijdert de noodzaak voor openbaar toegankelijke back-endservers. Front Door maakt verbinding met uw oorsprong via het Azure backbone-netwerk in plaats van het openbare internet. Gebruik Private Link origins wanneer:

  • Uw back-ends zijn interne services die geen openbare IP-adressen mogen hebben.
  • U moet alleen de oorsprongstoegang tot Front Door-verkeer vergrendelen.
  • Nalevingsvereisten verbieden openbare eindpunten op toepassingsservers.
  • U wilt het aanvalsoppervlak van een publiek blootgestelde origin verwijderen.

Ondersteunde Private Link origins zijn Onder andere App Service, Azure Storage, Application Gateway, interne Standard Load Balancer en aangepaste origins met Private Link service.

Zie Privétoegang tot Azure PaaS-services voor Private Link architectuurpatronen.

Important

De Standard-laag van Front Door ondersteunt geen Private Link naar origins. Alleen Front Door Premium biedt deze mogelijkheid.

Wederzijdse TLS (mTLS)

Application Gateway v2 ondersteunt wederzijdse TLS voor back-endverificatie. Gebruik mTLS wanneer uw back-endservers clientverificatie op basis van certificaten van de gateway vereisen. Met deze verificatie wordt een vertrouwenslaag toegevoegd. De backend kan bevestigen dat verkeer aankomt van de legitieme Application Gateway-instantie, niet van een kwaadwillende actor die de gateway heeft omzeild.

Meer informatie

Volgende stappen 

Tip

Zelf verkennen? Ga terug naar de overzichtsnavigator om uw volgende artikel per mogelijkheid te vinden.

De volgende stap in uw lift-and-shift-traject:

Uitgaand internetverkeer beheren: centraliseer uitgaande toegang via uw hubfirewall en schakel standaard uitgaand verkeer uit.

Vervolgens in uw moderniseringstraject:

Privéconnectiviteit met PaaS-services instellen: maak Private Link subnetten in elk spoke-VNet voor uw AKS-, ASE- en beheerde databaseworkloads.

De volgende stap in uw cross-cloudtraject:

Beveilig uw cross-cloudovergangspad: Implementeer Azure Firewall in uw beveiligde virtuele hub om al het verkeer tussen clouds en internet te controleren.

  • Last updated on