Wdrażanie usługi Azure Firewall ze strefami dostępności

Co to są strefy dostępności

Strefy dostępności (AZ) są fizycznie oddzielnymi centrami danych w regionie świadczenia usługi Azure, z których każda ma niezależne zasilanie, chłodzenie i sieć. Strefy dostępności izolują awarie infrastruktury oraz poprawiają odporność i dostępność aplikacji.

Region obsługujący strefy dostępności zazwyczaj ma trzy odrębne strefy (na przykład Strefy 1, Strefy 2 i Strefy 3). Nie wszystkie regiony świadczenia usługi Azure obsługują strefy dostępności. W przypadku usługi Azure Firewall strefy dostępności określają sposób umieszczania wystąpień zapory w regionie oraz całkowitą odporność zapory na awarie strefowe.

Redundancja strefowa

Usługa Azure Firewall używa domyślnego strefowo nadmiarowego modelu wdrażania, aby zwiększyć odporność, dostępność i ochronę przed awariami strefowymi.

W przypadku nowych wdrożeń nie określaj stref dostępności zapory. Azure zarządza alokacją stref backendowych w wielu strefach dostępności w regionach, w których jest to ustawienie domyślne. Nie musisz wybierać identyfikatorów stref, żeby uzyskać redundancję stref.

• Nowe zapory bez określonych stref są domyślnie nadmiarowe strefowo w regionach zgodnych z ZR.
• Istniejące zapory sieciowe bez nadmiarowości strefowej, w tym zapory z wyraźnie określoną pojedynczą strefą, są migrowane na platformę w regionach obsługujących wiele stref dostępności.
• Migracja w wymienionych regionach jest zakończona. Inne regiony są włączane w miarę postępu migracji.
• Nie musisz cofnąć alokacji, wdrażać ponownie ani zmieniać ustawień stref zapory, aby skorzystać z automatycznej migracji.

Definicje

Opcje wdrażania usługi Azure Firewall można podzielić na następujące kategorie.

Typ wdrożenia	Description
Nadmiarowość strefowa (ZR)	Zapora jest wdrażana w wielu strefach dostępności (co najmniej dwóch).
Strefa strefowa (pojedyncza strefa)	Zapora sieciowa skonfigurowana z jedną strefą (na przykład tylko Strefa 1).
Regionalne (bez stref)	Zapora sieciowa nieprzypisana do żadnej strefy.

Niektóre regiony nie obsługują stref dostępności. W tych regionach usługa Azure Firewall będzie nadal wdrażana jako zasób regionalny.

Migracja istniejących zaporów sieciowych na nową platformę

Azure Firewall migruje istniejące zapory niereundantne strefowo, aby stały się redundantne strefowo w regionach obsługujących wiele stref dostępności:

• Migracja jest automatyczna i przezroczysta.
• Nie jest wymagany żaden przestój ani działanie administratora.

Regiony kompatybilne z ZR

Na dzień 9 października 2026 roku migracja została zakończona, a redundancja strefowa domyślnie jest dostępna w następujących regionach.

Chmura	Identyfikator regionu
Publiczna platforma Azure	eastus2
Publiczna platforma Azure	eastus
Publiczna platforma Azure	japaneast
Publiczna platforma Azure	australiaeast
Publiczna platforma Azure	canadacentral
Publiczna platforma Azure	westus2
Publiczna platforma Azure	centralus
Publiczna platforma Azure	westeurope
Publiczna platforma Azure	northeurope
Publiczna platforma Azure	southcentralus
Publiczna platforma Azure	francecentral
Publiczna platforma Azure	centralindia
Publiczna platforma Azure	koreacentral
Publiczna platforma Azure	southeastasia
Publiczna platforma Azure	germanywestcentral
Publiczna platforma Azure	uksouth
Publiczna platforma Azure	swedencentral
Publiczna platforma Azure	uaenorth
Publiczna platforma Azure	switzerlandnorth
Publiczna platforma Azure	southafricanorth
Publiczna platforma Azure	eastasia
Publiczna platforma Azure	brazilsouth
Publiczna platforma Azure	westus3
Publiczna platforma Azure	israelcentral
Publiczna platforma Azure	polandcentral
Publiczna platforma Azure	norwayeast
Publiczna platforma Azure	italynorth
Publiczna platforma Azure	spaincentral
Publiczna platforma Azure	qatarcentral
Publiczna platforma Azure	mexicocentral
Publiczna platforma Azure	newzealandnorth
Publiczna platforma Azure	indonesiacentral
Azure public (EUAP)	centraluseuap
Azure public (EUAP)	eastus2euap
Azure w Chinach	chinanorth3
Azure Government	usgovvirginia

Regiony EUAP mają ograniczony dostęp. Użyj regionu dostępnego dla Twojej subskrypcji w odpowiedniej chmurze Azure.

Informacje o właściwościach strefy po migracji

Po migracji:

• Ze względu na zachowanie zgodności wstecznej status migracji (czyli zaktualizowana konfiguracja strefy) nie pojawia się od razu w szablonach ARM, formacie JSON ani we właściwościach usługi Azure Resource Graph (ARG).
• Zapora nadal ma redundancję strefową w zapleczu.
• Infrastruktura platformy zarządza redundancją stref niezależnie od właściwości szablonu ARM.

Konfigurowanie stref dostępności w usłudze Azure Firewall

Jeśli chodzi o zalecaną ścieżkę wdrożenia, pomiń ustawienia strefy zapory i pozwól platformie Azure zarządzać alokacją. Wybierz region zgodny z ZR, gdy potrzebujesz domyślnie redundancji strefowej.

Korzystanie z witryny Azure Portal

• Portal Azure nie wymaga wyboru konkretnych stref dostępności podczas tworzenia nowego firewalla. W regionach zgodnych z ZR Azure domyślnie zarządza rozmieszczeniem nadmiarowym między strefami.

Korzystanie z interfejsów API

• Pomiń właściwość zapory zones w żądaniach API, szablonach ARM, konfiguracji Bicep i Terraform. W regionach kompatybilnych Azure zarządza redundancją strefową na zapleczu.
• Nie dodawaj jawnych stref do istniejących konfiguracji tylko po to, by uzyskać redundancję stref. Istniejące zapory sieciowe są automatycznie migrowane.

Korzystanie z programu Azure PowerShell

Poniższy przykład tworzy zaporę sieciową bez przekazywania -Zone do New-AzFirewall. Azure zarządza alokacją strefy zaplecza zapory w regionie East US, zgodnym z ZR.

Podczas tworzenia standardowego publicznego adresu IP bez określania strefy jest on domyślnie skonfigurowany jako strefowo nadmiarowy. Standardowe publiczne adresy IP mogą być skojarzone ze wszystkimi strefami lub pojedynczą strefą.

$rgName = "Test-FW-RG"

$vnet = Get-AzVirtualNetwork `
  -Name "Test-FW-VN" `
  -ResourceGroupName $rgName

$pip1 = New-AzPublicIpAddress `
  -Name "AzFwPublicIp1" `
  -ResourceGroupName "Test-FW-RG" `
  -Sku "Standard" `
  -Location "eastus" `
  -AllocationMethod Static `
  -Zone 1,2,3

New-AzFirewall `
  -Name "azFw" `
  -ResourceGroupName $rgName `
  -Location "eastus" `
  -VirtualNetwork $vnet `
  -PublicIpAddress @($pip1)

Ograniczenia

• Redundancja stref wymaga regionu obsługującego wiele stref dostępności. W regionach bez stref dostępności Azure Firewall pozostaje regionalnym zasobem.
• Regionalne ograniczenia przepustowości mogą wpływać na wdrożenie. Pominięcie stref nie omija ograniczeń przepustowości. Przed wprowadzeniem zmian w konfiguracji przejrzyj błędy wdrożenia oraz znane problemy Azure Firewall.
• Właściwości portalu i stref zasobów niekoniecznie pokazują rozmieszczenie backendu zarządzanego przez platformę. Więcej informacji można znaleźć w artykule Zrozumienie właściwości stref po migracji.

Umowy dotyczące poziomu usług (SLA)

• W przypadku wdrażania usługi Azure Firewall jako strefowo redundantną (co najmniej dwóch stref dostępności) otrzymasz umowę SLA gwarantującą dostępność na poziomie 99,99%.
• Umowa SLA o gwarantowanym czasie działania 99,95% dotyczy wdrożeń regionalnych w regionach, które nie wspierają Stref Dostępności.

Aby uzyskać więcej informacji, zobacz umowę dotyczącą poziomu usług (SLA) dla usługi Azure Firewall oraz funkcje usługi Azure Firewall według SKU.

Następne kroki

• Samouczek: monitorowanie dzienników usługi Azure Firewall