Betrouwbaarheid in Azure Firewall

Azure Firewall is een beheerde, cloudgebaseerde netwerkbeveiligingsservice die Azure Virtual Network-resources beveiligt. Het is een volledig stateful firewallservice die ingebouwde hoge beschikbaarheid en onbeperkte schaalbaarheid van de cloud omvat.

Wanneer u Azure gebruikt, is betrouwbaarheid een gedeelde verantwoordelijkheid. Microsoft biedt een scala aan mogelijkheden ter ondersteuning van tolerantie en herstel. U bent verantwoordelijk voor het begrijpen van de werking van deze mogelijkheden binnen alle services die u gebruikt en het selecteren van de mogelijkheden die u nodig hebt om te voldoen aan uw bedrijfsdoelstellingen en beschikbaarheidsdoelen.

In dit artikel wordt beschreven hoe u Azure Firewall tolerant maakt voor verschillende mogelijke storingen en problemen, waaronder tijdelijke fouten, storingen in de beschikbaarheidszone en regiostoringen. Het beschrijft ook veerkracht tijdens serviceonderhoud en benadrukt belangrijke informatie over de SLA (Service Level Agreement) van de Firewall.

Aanbevelingen voor productie-implementatie

Zie best practices voor architectuur voor Azure Firewall in het Azure Well-Architected Framework voor meer informatie over het implementeren van Azure Firewall ter ondersteuning van de betrouwbaarheidsvereisten van uw oplossing en hoe betrouwbaarheid van invloed is op andere aspecten van uw architectuur.

Overzicht van betrouwbaarheidsarchitectuur

Een exemplaar verwijst naar een vm-niveaueenheid van de firewall. Elk exemplaar vertegenwoordigt de infrastructuur die verkeer verwerkt en firewallcontroles uitvoert.

Om hoge beschikbaarheid van een firewall te bereiken, biedt Azure Firewall automatisch ten minste twee exemplaren, zonder dat uw tussenkomst of configuratie is vereist. De firewall wordt automatisch uitgeschaald wanneer de gemiddelde doorvoer, het CPU-verbruik en het verbindingsgebruik vooraf gedefinieerde drempelwaarden bereiken. Zie De prestaties van Azure Firewall voor meer informatie. Het platform beheert automatisch het maken van exemplaren, statuscontrole en het vervangen van beschadigde exemplaren.

Azure Firewall distribueert exemplaren automatisch over meerdere foutdomeinen binnen een regio om bescherming te bieden tegen server- en serverrackfouten.

In het volgende diagram ziet u een firewall met twee exemplaren:

Als u de redundantie en beschikbaarheid tijdens storingen in het datacenter wilt vergroten, kunt u zoneredundantie inschakelen om exemplaren over meerdere beschikbaarheidszones te verdelen.

Tolerantie voor tijdelijke fouten

Tijdelijke fouten zijn korte, onregelmatige fouten in onderdelen. Ze vinden vaak plaats in een gedistribueerde omgeving, zoals de cloud, en ze zijn een normaal onderdeel van de bewerkingen. Tijdelijke fouten corrigeren zichzelf na een korte periode. Het is belangrijk dat uw toepassingen tijdelijke fouten kunnen afhandelen, meestal door de betreffende aanvragen opnieuw uit te voeren.

Alle in de cloud gehoste toepassingen moeten de richtlijnen voor tijdelijke foutafhandeling van Azure volgen wanneer ze communiceren met eventuele in de cloud gehoste API's, databases en andere onderdelen. Zie Aanbevelingen voor het afhandelen van tijdelijke foutenvoor meer informatie.

Voor toepassingen die verbinding maken via Azure Firewall, implementeert u logica voor opnieuw proberen met exponentieel uitstel om potentiële tijdelijke verbindingsproblemen af te handelen. De stateful aard van Azure Firewall zorgt ervoor dat legitieme verbindingen worden onderhouden tijdens korte netwerkonderbrekingen.

Tijdens schaalbewerkingen, die 5 tot 7 minuten duren, blijven bestaande verbindingen behouden terwijl er nieuwe firewallexemplaren worden toegevoegd om de belasting te verwerken.

Tolerantie voor fouten in beschikbaarheidszones

Beschikbaarheidszones zijn fysiek gescheiden groepen datacenters binnen een Azure-regio. Wanneer één zone uitvalt, kunnen services een failover uitvoeren naar een van de resterende zones.

Azure Firewall wordt automatisch geïmplementeerd in beschikbaarheidszones in ondersteunde regio's wanneer deze worden gemaakt via Azure Portal. Voor geavanceerde opties voor zoneconfiguratie moet u Azure PowerShell, De Azure CLI, Bicep of Azure Resource Manager-sjablonen (ARM-sjablonen) gebruiken.

Azure Firewall ondersteunt zowel zone-redundante als zonegebonden implementatiemodellen:

• Zone-redundant: Wanneer deze functie is ingeschakeld voor zoneredundantie, distribueert Azure firewallinstanties over meerdere beschikbaarheidszones in de regio. Azure beheert taakverdeling en failover tussen zones automatisch.

  Zone-redundante firewalls bereiken de hoogste SLA (Service Level Agreement). Ze worden aanbevolen voor productieworkloads waarvoor maximale beschikbaarheid is vereist.

  In het volgende diagram ziet u een zone-redundante firewall met drie exemplaren die zijn verdeeld over drie beschikbaarheidszones:

  

  Opmerking

  Als u uw firewall maakt met behulp van Azure Portal, wordt zoneredundantie automatisch ingeschakeld.

• Zonaal: Als uw oplossing ongebruikelijk gevoelig is voor latentie tussen zones, kunt u Azure Firewall koppelen aan een specifieke beschikbaarheidszone. U kunt een zonegebonden implementatie gebruiken om te implementeren in de nabijheid van uw back-endservers. Alle exemplaren van een zonegebonden firewall worden binnen die zone geïmplementeerd.

  In het volgende diagram ziet u een zonegebonden firewall met drie exemplaren die zijn geïmplementeerd in dezelfde beschikbaarheidszone:

  

  Belangrijk

  U wordt aangeraden alleen vast te maken aan één beschikbaarheidszone wanneer de latentie tussen zones acceptabele limieten overschrijdt en u hebt bevestigd dat de latentie niet aan uw vereisten voldoet. Een zonegebonden firewall biedt alleen geen tolerantie voor een storing in de beschikbaarheidszone. Om de tolerantie van een zonegebonden Azure Firewall-implementatie te verbeteren, moet u handmatig afzonderlijke firewalls implementeren in meerdere beschikbaarheidszones en verkeersroutering en failover configureren.

Als u een firewall niet configureert als zone-redundant of zone-redundant, wordt deze beschouwd als niet-zonegebonden of regionaal. Niet-zonefirewalls kunnen in elke beschikbaarheidszone binnen de regio worden geplaatst. Als een beschikbaarheidszone in de regio een storing ondervindt, bevinden niet-zonegebonden firewalls zich mogelijk in de getroffen zone en kunnen er downtime optreden.

Ondersteuning voor regio

Azure Firewall ondersteunt beschikbaarheidszones in alle regio's die beschikbaarheidszones ondersteunen, waar de Azure Firewall-service beschikbaar is.

Requirements

• Alle lagen van Azure Firewall ondersteunen beschikbaarheidszones.
• Voor zone-redundante firewalls moet u standaard openbare IP-adressen gebruiken en configureren dat ze zone-redundant zijn.
• Voor zonegebonden firewalls moet u standaard openbare IP-adressen gebruiken en configureren dat ze zone-redundant of zone-redundant zijn in dezelfde zone als de firewall.

Kosten

Er zijn geen extra kosten verbonden aan een firewall die is geïmplementeerd in meer dan één beschikbaarheidszone.

Ondersteuning voor beschikbaarheidszones configureren

In deze sectie wordt uitgelegd hoe u ondersteuning voor beschikbaarheidszones configureert voor uw firewalls.

• Maak een nieuwe firewall met ondersteuning voor beschikbaarheidszones: De benadering die u gebruikt om beschikbaarheidszones te configureren, is afhankelijk van of u een zone-redundante of zonegebonden firewall wilt maken en welke hulpprogramma's u gebruikt.

  Belangrijk

  Zoneredundantie wordt automatisch ingeschakeld wanneer u implementeert via Azure Portal. Als u specifieke zones wilt configureren, moet u een ander hulpprogramma gebruiken, zoals de Azure CLI, Azure PowerShell, Bicep of ARM-sjablonen.

  • Zone-redundant: Wanneer u een nieuwe firewall implementeert met behulp van Azure Portal, is uw firewall standaard zone-redundant. Zie Azure Firewall implementeren met behulp van Azure Portal voor meer informatie.

    Wanneer u de Azure CLI, Azure PowerShell, Bicep, ARM-sjablonen of Terraform gebruikt, kunt u desgewenst de beschikbaarheidszones voor implementatie opgeven. Als u een zone-redundante firewall wilt implementeren, geeft u twee of meer zones op. U wordt aangeraden alle zones te selecteren, zodat uw firewall elke beschikbaarheidszone kan gebruiken, tenzij u een specifieke reden hebt om een zone uit te sluiten.

    Zie Een Azure Firewall implementeren met beschikbaarheidszones voor meer informatie over het implementeren van een ZR-firewall.

    Opmerking

    Wanneer u selecteert welke beschikbaarheidszones u wilt gebruiken, selecteert u daadwerkelijk de logische beschikbaarheidszone. Als u andere workloadonderdelen in een ander Azure-abonnement implementeert, kunnen ze een ander nummer voor een logische beschikbaarheidszone gebruiken om toegang te krijgen tot dezelfde fysieke beschikbaarheidszone. Zie fysieke en logische beschikbaarheidszones voor meer informatie.

• Schakel ondersteuning voor beschikbaarheidszones in voor een bestaande firewall: U kunt beschikbaarheidszones inschakelen op een bestaande firewall als deze voldoet aan specifieke criteria. Voor het proces moet u de firewall stoppen (de toewijzing ervan ongedaan maken) en deze opnieuw configureren. Verwacht enige downtime. Zie Beschikbaarheidszones configureren na implementatie voor meer informatie.

• Wijzig de configuratie van de beschikbaarheidszone van een bestaande firewall: Als u de configuratie van de beschikbaarheidszone wilt wijzigen, moet u eerst de firewall stoppen (de toewijzing ervan ongedaan maken), een proces dat enige downtime omvat. Zie Beschikbaarheidszones configureren na implementatie voor meer informatie.

• Ondersteuning voor beschikbaarheidszones uitschakelen: U kunt de beschikbaarheidszones wijzigen die een firewall gebruikt, maar u kunt een zone-redundante of zonegebonden firewall niet converteren naar een niet-zonegebonden configuratie.

Gedrag wanneer alle zones in orde zijn

In deze sectie wordt beschreven wat u kunt verwachten wanneer Azure Firewall is geconfigureerd met ondersteuning voor beschikbaarheidszones en alle beschikbaarheidszones operationeel zijn.

• Verkeersroutering tussen zones: Het gedrag van verkeersroutering is afhankelijk van de configuratie van de beschikbaarheidszone die door uw firewall wordt gebruikt.

  • Zone-redundant: Azure Firewall distribueert automatisch binnenkomende aanvragen over exemplaren in alle zones die uw firewall gebruikt. Deze actief-actieve configuratie zorgt voor optimale prestaties en belastingverdeling onder normale bedrijfsomstandigheden.

  • Zonaal: Als u meerdere zonegebonden exemplaren in verschillende zones implementeert, moet u verkeersroutering configureren met behulp van externe taakverdelingsoplossingen zoals Azure Load Balancer of Azure Traffic Manager.

• Exemplaarbeheer: Het platform beheert de plaatsing van exemplaren automatisch in de zones die uw firewall gebruikt, waarbij mislukte exemplaren worden vervangen en het aantal geconfigureerde exemplaren wordt onderhouden. Statuscontrole zorgt ervoor dat alleen gezonde exemplaren verkeer ontvangen.

• Gegevensreplicatie tussen zones: Azure Firewall hoeft de verbindingsstatus niet te synchroniseren tussen beschikbaarheidszones. Het exemplaar dat de aanvraag verwerkt, houdt de status van elke verbinding bij.

Gedrag tijdens een zonefout

In deze sectie wordt beschreven wat u kunt verwachten wanneer Azure Firewall is geconfigureerd met ondersteuning voor beschikbaarheidszones en een of meer beschikbaarheidszones niet beschikbaar zijn.

• Detectie en reactie: De verantwoordelijkheid voor detectie en reactie is afhankelijk van de configuratie van de beschikbaarheidszone die uw firewall gebruikt.

  • Zone-redundant: Voor exemplaren die zijn geconfigureerd voor het gebruik van zoneredundantie, detecteert en reageert het Azure Firewall-platform op een fout in een beschikbaarheidszone. U hoeft geen zonefailover te starten.

  • Zonaal: Voor firewalls die zijn geconfigureerd voor zonegebonden, moet u het verlies van een beschikbaarheidszone detecteren en een failover initiëren naar een secundaire firewall die u in een andere beschikbaarheidszone maakt.

• Melding: Microsoft informeert u niet automatisch wanneer een zone niet beschikbaar is. U kunt Azure Service Health echter gebruiken om inzicht te hebben in de algehele status van de service, inclusief eventuele zonefouten, en u kunt Service Health-waarschuwingen instellen om u op de hoogte te stellen van problemen.

• Actieve verbindingen: Wanneer een beschikbaarheidszone niet beschikbaar is, kunnen aanvragen die worden uitgevoerd verbonden met een firewallexemplaren in de foutieve beschikbaarheidszone worden beëindigd en moeten er mogelijk nieuwe pogingen worden gedaan.

• Verwachte gegevensverlies: Er wordt geen gegevensverlies verwacht tijdens een zonefailover omdat Azure Firewall geen permanente klantgegevens opslaat.

• Verwachte downtime: Downtime is afhankelijk van de configuratie van de beschikbaarheidszone die door uw firewall wordt gebruikt.

  • Zone-redundant: Verwacht minimale downtime (meestal een paar seconden) tijdens een storing in de beschikbaarheidszone. Clienttoepassingen moeten procedures volgen voor het afhandelen van tijdelijke fouten, waaronder het implementeren van beleid voor opnieuw proberen met exponentieel uitstel.

  • Zonaal: Wanneer een zone niet beschikbaar is, blijft uw firewall niet beschikbaar totdat de beschikbaarheidszone wordt hersteld.

• Verkeer omleiden: Het gedrag van het omleiden van verkeer is afhankelijk van de configuratie van de beschikbaarheidszone die uw firewall gebruikt.

  • Zone-redundant: Verkeer wordt automatisch omgeleid naar gezonde beschikbaarheidszones. Indien nodig maakt het platform nieuwe firewallinstanties in gezonde zones.

  • Zonaal: Wanneer een zone niet beschikbaar is, is uw zonegebonden firewall ook niet beschikbaar. Als u een secundaire firewall in een andere beschikbaarheidszone hebt, bent u verantwoordelijk voor het omleiden van verkeer naar die firewall.

Failback

Het failbackgedrag is afhankelijk van de configuratie van de beschikbaarheidszone die uw firewall gebruikt.

• Zone-redundant: Nadat de beschikbaarheidszone is hersteld, worden exemplaren door Azure Firewall automatisch opnieuw verdeeld over alle zones die uw firewall gebruikt en herstelt de normale taakverdeling tussen zones.

• Zonaal: Nadat de beschikbaarheidszone is hersteld, bent u verantwoordelijk voor het omleiden van verkeer naar de firewall in de oorspronkelijke beschikbaarheidszone.

Testen op zonefouten

De opties voor het testen van zonefouten zijn afhankelijk van de configuratie van de beschikbaarheidszone van uw firewall.

• Zone-redundant: Het Azure Firewall-platform beheert verkeersroutering, failover en failback voor zone-redundante firewall-resources. Deze functie wordt volledig beheerd, dus u hoeft geen processen voor fouten in de beschikbaarheidszone te initiëren of valideren.

• Zonaal: U kunt aspecten van het mislukken van een beschikbaarheidszone simuleren door een firewall te stoppen. Gebruik deze methode om te testen hoe andere systemen en load balancers een storing in de firewall verwerken. Zie Azure Firewall stoppen en starten voor meer informatie.

Tolerantie voor storingen in de hele regio

Azure Firewall is een service met één regio. Als de regio niet beschikbaar is, is uw firewallresource ook niet beschikbaar.

Aangepaste oplossingen voor meerdere regio's voor veerkracht

Gebruik afzonderlijke firewalls om een architectuur met meerdere regio's te implementeren. Voor deze aanpak moet u een onafhankelijke firewall implementeren in elke regio, verkeer routeren naar de juiste regionale firewall en aangepaste failoverlogica implementeren. Houd rekening met de volgende punten:

• Gebruik Azure Firewall Manager voor gecentraliseerd beleidsbeheer voor meerdere firewalls. Gebruik de methode Firewall Policy voor gecentraliseerd regelbeheer voor meerdere firewallinstanties.

• Implementeer verkeersroutering met Traffic Manager of Azure Front Door.

Zie Taakverdeling voor meerdere regio's met Traffic Manager, Azure Firewall en Application Gateway voor een voorbeeldarchitectuur voor netwerkbeveiliging in meerdere regio's.

Tolerantie voor serviceonderhoud

Azure Firewall voert reguliere service-upgrades en andere vormen van onderhoud uit.

U kunt dagelijkse onderhoudsvensters configureren om upgradeschema's af te stemmen op uw operationele behoeften. Zie Het door de klant beheerde onderhoud configureren voor Azure Firewall voor meer informatie.

Diensteniveauovereenkomst

De SLA (Service Level Agreement) voor Azure-services beschrijft de verwachte beschikbaarheid van elke service en de voorwaarden waaraan uw oplossing moet voldoen om die beschikbaarheidsverwachting te bereiken. Zie SLA's voor onlineservices voor meer informatie.

Azure Firewall biedt een SLA voor hogere beschikbaarheid voor firewalls die zijn geïmplementeerd in twee of meer beschikbaarheidszones.

Verwante inhoud

• Overzicht van Azure Firewall
• Azure Firewall-functies
• Best practices voor Azure Firewall voor prestaties
• Firewall Manager