Een Azure Firewall implementeren met beschikbaarheidszones

Wat zijn beschikbaarheidszones?

Beschikbaarheidszones (AZ's) zijn fysiek gescheiden datacenters binnen een Azure-regio, elk met onafhankelijke voeding, koeling en netwerken. Beschikbaarheidszones isoleren infrastructuurfouten en verbeteren de tolerantie en beschikbaarheid van toepassingen.

Een regio die beschikbaarheidszones ondersteunt, heeft doorgaans drie afzonderlijke zones (bijvoorbeeld Zone 1, Zone 2 en Zone 3). Niet alle Azure-regio's ondersteunen beschikbaarheidszones. Voor Azure Firewall bepalen beschikbaarheidszones hoe firewallexemplaren in een regio worden geplaatst en hoe tolerant de firewall is voor zonegebonden fouten.

Zone-redundantie

Azure Firewall maakt gebruik van een zone-redundant implementatiemodel om de tolerantie, beschikbaarheid en beveiliging tegen zonefouten te verbeteren.

Voor nieuwe implementaties specificeer je geen beschikbaarheidszones voor de firewall. Azure beheert de toewijzing van backend-zones over meerdere beschikbaarheidszones in regio's waar deze standaardoptie beschikbaar is. Je hoeft geen zone-identificaties te kiezen om zone-redundantie te krijgen.

  • Nieuwe firewalls zonder gespecificeerde zones zijn standaard zone-redundant in de ZR-compatibele regio's.
  • Bestaande niet-zone-redundante firewalls, inclusief firewalls met een expliciet gespecificeerde enkele zone, worden platformge-migreerd in regio's die meerdere beschikbaarheidszones ondersteunen.
  • De migratie is voltooid in de genoemde regio's. Andere regio's worden ingeschakeld naarmate de migratie vordert.
  • Je hoeft niet te dealloceren, opnieuw te deployen of de zone-instellingen van de firewall te wijzigen om automatisch gemigreerd te worden.

Definities

Azure Firewall-implementatieopties vallen in de volgende categorieën.

Implementatietype Description
Zoneredundant (ZR) Firewall wordt geïmplementeerd in meerdere beschikbaarheidszones (twee of meer).
Enkelvoudige zone (één zone) Firewall geconfigureerd met één zone (bijvoorbeeld alleen Zone 1).
Regionaal (geen zones) Firewall ingesteld op geen zones.

Sommige regio's bieden geen ondersteuning voor beschikbaarheidszones. In deze regio's blijft Azure Firewall als regionale resource implementeren.

Platformmigratie van bestaande firewalls

Azure Firewall migreert bestaande niet-zone-redundante firewalls om zone-redundant te worden in regio's die meerdere beschikbaarheidszones ondersteunen:

  • Migratie is automatisch en transparant.
  • Er is geen downtime of beheerdersactie vereist.

ZR-compatibele regio's

Vanaf 9 oktober 2026 is de migratie voltooid en is zoneredundantie standaard beschikbaar in de volgende regio's.

Wolk Regio-identificatie
Openbaar Azure eastus2
Openbaar Azure eastus
Openbaar Azure japaneast
Openbaar Azure australiaeast
Openbaar Azure canadacentral
Openbaar Azure westus2
Openbaar Azure centralus
Openbaar Azure westeurope
Openbaar Azure northeurope
Openbaar Azure southcentralus
Openbaar Azure francecentral
Openbaar Azure centralindia
Openbaar Azure koreacentral
Openbaar Azure southeastasia
Openbaar Azure germanywestcentral
Openbaar Azure uksouth
Openbaar Azure swedencentral
Openbaar Azure uaenorth
Openbaar Azure switzerlandnorth
Openbaar Azure southafricanorth
Openbaar Azure eastasia
Openbaar Azure brazilsouth
Openbaar Azure westus3
Openbaar Azure israelcentral
Openbaar Azure polandcentral
Openbaar Azure norwayeast
Openbaar Azure italynorth
Openbaar Azure spaincentral
Openbaar Azure qatarcentral
Openbaar Azure mexicocentral
Openbaar Azure newzealandnorth
Openbaar Azure indonesiacentral
Azure public (EUAP) centraluseuap
Azure public (EUAP) eastus2euap
Azure China chinanorth3
Azure Government usgovvirginia

EUAP-regio's hebben beperkte toegang. Gebruik een regio die beschikbaar is voor je abonnement in de juiste Azure cloud.

Informatie over zone-eigenschappen na migratie

Na de migratie:

  • Voor achterwaartse compatibiliteit verschijnt migratiestatus (dat wil zeggen, bijgewerkte zoneconfiguratie) niet direct in de eigenschappen van ARM template, JSON of Azure Resource Graph (ARG).
  • De firewall is nog steeds zone-redundant op de back-end.
  • De platforminfrastructuur beheert zoneredundantie onafhankelijk van de eigenschappen van de ARM-sjabloon.

Beschikbaarheidszones configureren in Azure Firewall

Voor het aanbevolen deploymentpad laat je firewallzone-instellingen weg en laat Azure de allocatie beheren. Kies een ZR-compatibele regio wanneer je standaard zoneredundantie nodig hebt.

Azure-portal gebruiken

  • Het Azure-portaal vereist niet dat je specifieke beschikbaarheidszones selecteert bij het aanmaken van een nieuwe firewall. In ZR-compatibele regio's beheert Azure standaard zone-redundante plaatsing.

API's gebruiken

  • Laat de zones eigenschap van de firewall weg in API-verzoeken, ARM-sjablonen, Bicep- en Terraform-configuraties. In ondersteunde regio's beheert Azure zone-redundantie in de back-end.
  • Voeg geen expliciete zones toe aan bestaande configuraties alleen om zoneredundantie te verkrijgen. In aanmerking komende bestaande firewalls worden automatisch gemigreerd.

Azure PowerShell gebruiken

Het volgende voorbeeld maakt een firewall zonder New-AzFirewall door te geven aan -Zone. Azure beheert de backendzone-toewijzing van de firewall in East US, een ZR-compatibele regio.

Wanneer u een standaard openbaar IP-adres maakt zonder een zone op te geven, wordt dit standaard geconfigureerd als zone-redundant. Standaard openbare IP-adressen kunnen worden gekoppeld aan alle zones of aan één zone.

$rgName = "Test-FW-RG"

$vnet = Get-AzVirtualNetwork `
  -Name "Test-FW-VN" `
  -ResourceGroupName $rgName

$pip1 = New-AzPublicIpAddress `
  -Name "AzFwPublicIp1" `
  -ResourceGroupName "Test-FW-RG" `
  -Sku "Standard" `
  -Location "eastus" `
  -AllocationMethod Static `
  -Zone 1,2,3

New-AzFirewall `
  -Name "azFw" `
  -ResourceGroupName $rgName `
  -Location "eastus" `
  -VirtualNetwork $vnet `
  -PublicIpAddress @($pip1)

Beperkingen

  • Zone-redundantie vereist een regio die meerdere beschikbaarheidszones ondersteunt. In regio's zonder beschikbaarheidszones blijft Azure Firewall een regionale resource.
  • Regionale capaciteitsbeperkingen kunnen invloed hebben op de uitrol. Het weglaten van zones omzeilt de capaciteitsbeperkingen niet. Bekijk de implementatiefouten en de bekende problemen van de Azure Firewall voordat je je configuratie aanpast.
  • Portaal- en resourcezone-eigenschappen tonen niet per se platformbeheerde back-endplaatsing. Voor meer informatie, zie Inzicht in zone-eigenschappen na migratie.

SLA (Service Level-overeenkomsten)

  • Wanneer u Azure Firewall implementeert als zone-redundant (twee of meer beschikbaarheidszones), krijgt u een SLA van 99,99% uptime.
  • Een SLA van 99,95% uptime is van toepassing op regionale implementaties in regio's die geen ondersteuning bieden voor beschikbaarheidszones.

Zie de Azure Firewall Service Level Agreement (SLA) en Azure Firewall-functies per SKU voor meer informatie.

Volgende stappen

  • Laatst bijgewerkt om