Share via

Revisão do Azure Well-Architected Framework - Gateway de Aplicação do Azure v2

  • Artigo

Este artigo fornece melhores práticas de arquitetura para a família de SKUs Gateway de Aplicação do Azure v2. A orientação baseia-se nos cinco pilares da excelência arquitectónica:

Partimos do princípio de que tem conhecimentos práticos sobre Gateway de Aplicação do Azure e tem conhecimentos bem versados com as funcionalidades de SKU v2. Para obter mais informações, veja Gateway de Aplicação do Azure funcionalidades.

Pré-requisitos

Fiabilidade

Na cloud, reconhecemos que ocorrem falhas. Em vez de tentar evitar simplesmente as falhas, o objetivo é minimizar os efeitos da falha de um único componente. Utilize as seguintes informações para minimizar as instâncias com falhas.

Lista de verificação de estruturação

À medida que faz escolhas de estrutura para Gateway de Aplicação, reveja os Princípios de conceção de fiabilidade.

  • Implemente as instâncias numa configuração com deteção de zona, sempre que disponível.
  • Utilize Gateway de Aplicação com Firewall de Aplicações Web (WAF) numa rede virtual para proteger o tráfego de entrada HTTP/S da Internet.
  • Em novas implementações, utilize Gateway de Aplicação do Azure v2, a menos que exista um motivo convincente para utilizar Gateway de Aplicação do Azure v1.
  • Planear atualizações de regras
  • Utilizar sondas de estado de funcionamento para detetar indisponibilidade de back-end
  • Rever o impacto das definições de intervalo e limiar nas pesquisas de estado de funcionamento
  • Verificar dependências a jusante através de pontos finais de estado de funcionamento

Recomendações

Explore o seguinte índice de recomendações para otimizar a configuração do Gateway de Aplicação para Fiabilidade.

Recomendação Vantagem
Planear atualizações de regras Planeie tempo suficiente para atualizações antes de aceder ao Gateway de Aplicação ou fazer mais alterações. Por exemplo, remover servidores do conjunto de back-end pode demorar algum tempo porque têm de drenar as ligações existentes.
Utilizar sondas de estado de funcionamento para detetar indisponibilidade de back-end Se Gateway de Aplicação for utilizado para balancear a carga do tráfego de entrada em várias instâncias de back-end, recomendamos a utilização de sondas de estado de funcionamento. Estes irão garantir que o tráfego não é encaminhado para back-ends que não conseguem processar o tráfego.
Rever o impacto das definições de intervalo e limiar nas pesquisas de estado de funcionamento A sonda de estado de funcionamento envia pedidos para o ponto final configurado num intervalo definido. Além disso, existe um limiar de pedidos falhados que serão tolerados antes de o back-end ser marcado como estando em mau estado de funcionamento. Estes números apresentam uma compensação.

- Definir um intervalo superior coloca uma carga mais elevada no seu serviço. Cada Gateway de Aplicação instância envia as suas próprias pesquisas de estado de funcionamento, pelo que 100 instâncias a cada 30 segundos significa 100 pedidos por 30 segundos.
- Definir um intervalo inferior deixa mais tempo antes de ser detetada uma indisponibilidade.
- Definir um limiar de mau estado de funcionamento baixo pode significar que as falhas curtas e transitórias podem desativar um back-end.
- Definir um limiar elevado pode demorar mais tempo a retirar um back-end da rotação.
Verificar dependências a jusante através de pontos finais de estado de funcionamento Suponha que cada back-end tem as suas próprias dependências para garantir que as falhas estão isoladas. Por exemplo, uma aplicação alojada atrás de Gateway de Aplicação pode ter vários back-ends, cada um ligado a uma base de dados diferente (réplica). Quando essa dependência falha, a aplicação pode estar a funcionar, mas não devolve resultados válidos. Por esse motivo, o ponto final do estado de funcionamento deve, idealmente, validar todas as dependências. Tenha em atenção que se cada chamada para o ponto final de estado de funcionamento tiver uma chamada de dependência direta, essa base de dados receberá 100 consultas a cada 30 segundos em vez de 1. Para evitar esta situação, o ponto final do estado de funcionamento deve colocar em cache o estado das dependências durante um curto período de tempo.
Ao utilizar o Azure Front Door e Gateway de Aplicação para proteger HTTP/S aplicações, utilize políticas WAF no Front Door e bloqueie Gateway de Aplicação para receber tráfego apenas do Azure Front Door. Determinados cenários podem forçá-lo a implementar regras especificamente no Gateway de Aplicação. Por exemplo, se forem necessárias regras modSec CRS 2.2.9, CRS 3.0 ou CRS 3.1, estas regras só podem ser implementadas no Gateway de Aplicação. Por outro lado, a limitação de taxas e a filtragem geográfica só estão disponíveis no Azure Front Door e não no AppGateway.

O Assistente do Azure ajuda-o a garantir e melhorar a continuidade das suas aplicações críticas para a empresa. Reveja as recomendações do Assistente do Azure.

Segurança

A segurança é um dos aspetos mais importantes de qualquer arquitetura. Gateway de Aplicação fornece funcionalidades para utilizar o princípio do menor privilégio e da defesa em defesa. Recomendamos que reveja os princípios de conceção de segurança.

Lista de verificação de estruturação

  • Configurar uma política TLS para segurança melhorada
  • Utilizar o AppGateway para terminação TLS
  • Utilizar o Azure Key Vault para armazenar certificados TLS
  • Ao encriptar novamente o tráfego de back-end, certifique-se de que o certificado do servidor de back-end contém as Autoridades de Certificação (ACs) de raiz e intermédias
  • Utilizar um servidor DNS adequado para recursos do conjunto de back-end
  • Cumprir todas as restrições do NSG para Gateway de Aplicação
  • Abstenha-se de utilizar UDRs na sub-rede Gateway de Aplicação
  • Tenha em atenção Gateway de Aplicação alterações de capacidade ao ativar a WAF

Recomendações

Explore o seguinte índice de recomendações para otimizar a configuração do Gateway de Aplicação para Segurança.

Recomendação Vantagem
Configurar uma política TLS para segurança melhorada Configure uma política TLS para segurança adicional. Confirme que está a utilizar a versão mais recente da política TLS (AppGwSslPolicy20170401S). Isto impõe cifras TLS 1.2 e mais fortes.
Utilizar o AppGateway para terminação TLS Existem vantagens de utilizar Gateway de Aplicação para a terminação do TLS:

- O desempenho melhora porque os pedidos que vão para back-ends diferentes têm de ser autenticados novamente em cada back-end.
- Melhor utilização dos servidores back-end porque não têm de efetuar o processamento TLS
- Encaminhamento inteligente ao aceder ao conteúdo do pedido.
- Gestão de certificados mais fácil porque o certificado só precisa de ser instalado no Gateway de Aplicação.
Utilizar o Azure Key Vault para armazenar certificados TLS Gateway de Aplicação está integrado no Key Vault. Isto proporciona segurança mais forte, separação mais fácil de funções e responsabilidades, suporte para certificados geridos e um processo de renovação e rotação de certificados mais fácil.
Ao encriptar novamente o tráfego de back-end, certifique-se de que o certificado do servidor de back-end contém as Autoridades de Certificação (ACs) de raiz e intermédias Um certificado TLS do servidor de back-end tem de ser emitido por uma AC conhecida. Se o certificado não tiver sido emitido por uma AC fidedigna, o Gateway de Aplicação verifica se o certificado da AC emissora foi emitido por uma AC fidedigna e assim sucessivamente até ser encontrada uma AC fidedigna. Só assim é estabelecida uma ligação segura. Caso contrário, Gateway de Aplicação marca o back-end como estando em mau estado de funcionamento.
Utilizar um servidor DNS adequado para recursos do conjunto de back-end Quando o conjunto de back-end contém um FQDN resolvível, a resolução de DNS baseia-se numa zona DNS privada ou num servidor DNS personalizado (se estiver configurado na VNet) ou utiliza o DNS predefinido fornecido pelo Azure.
Cumprir todas as restrições do NSG para Gateway de Aplicação Os NSGs são suportados na sub-rede Gateway de Aplicação, mas existem algumas restrições. Por exemplo, é proibida alguma comunicação com determinados intervalos de portas. Certifique-se de que compreende as implicações dessas restrições. Para obter detalhes, veja Network security groups (Grupos de segurança de rede).
Evite utilizar UDRs na sub-rede do Gateway de aplicação A utilização de Rotas Definidas pelo Utilizador (UDR) na sub-rede Gateway de Aplicação pode causar alguns problemas. O estado de funcionamento no back-end pode ser desconhecido. Gateway de Aplicação registos e métricas podem não ser gerados. Recomendamos que não utilize UDRs na sub-rede Gateway de Aplicação para que possa ver o estado de funcionamento, os registos e as métricas do back-end. Se as suas organizações precisarem de utilizar a UDR na sub-rede Gateway de Aplicação, confirme que revê os cenários suportados. Para obter mais informações, veja Rotas definidas pelo utilizador suportadas.
Tenha em atenção Gateway de Aplicação alterações de capacidade ao ativar a WAF Quando a WAF está ativada, todos os pedidos têm de ser colocados na memória intermédia pelo Gateway de Aplicação até chegar completamente e verificar se o pedido corresponde a alguma violação de regra no conjunto de regras principal e, em seguida, reencaminhar o pacote para as instâncias de back-end. Para carregamentos de ficheiros grandes (mais de 30 MB), isto pode resultar numa latência significativa. Uma vez que Gateway de Aplicação requisitos de capacidade são diferentes com a WAF, não recomendamos ativar a WAF no Gateway de Aplicação sem testes e validação adequados.

Para obter mais sugestões, veja Princípios do pilar de segurança.

O Assistente do Azure ajuda-o a garantir e melhorar a continuidade das suas aplicações críticas para a empresa. Reveja as recomendações do Assistente do Azure.

Definições de política

  • Firewall de Aplicações Web (WAF) deve estar ativado para Gateway de Aplicação. Implemente o Azure Firewall de Aplicações Web (WAF) em frente a aplicações Web destinadas ao público para uma inspeção adicional do tráfego de entrada. Firewall de Aplicações Web (WAF) fornece proteção centralizada das suas aplicações Web contra exploits e vulnerabilidades comuns, tais como injeções de SQL, Scripting entre Sites, execuções de ficheiros locais e remotas. Também pode restringir o acesso às suas aplicações Web por países/regiões, intervalos de endereços IP e outros parâmetros http(s) através de regras personalizadas.
  • Firewall de Aplicações Web (WAF) deve utilizar o modo especificado para Gateway de Aplicação. Determina a utilização do modo "Deteção" ou "Prevenção" para estar ativo em todas as políticas de Firewall de Aplicações Web para Gateway de Aplicação.
  • O Azure DDoS Protection deve estar ativado. A proteção contra DDoS deve ser ativada para todas as redes virtuais com uma sub-rede que faça parte de um gateway de aplicação com um IP público.

Todas as definições de política incorporadas relacionadas com a Rede do Azure estão listadas em Políticas incorporadas – Rede.

Otimização de custos

A otimização de custos consiste em procurar formas de reduzir despesas desnecessárias e melhorar a eficiência operacional. Recomendamos que reveja os princípios de conceção da Otimização de custos.

Lista de verificação de estruturação

  • Familiarize-se com os preços do Gateway de Aplicação
  • Rever recursos subutilizados
  • Parar Gateway de Aplicação instâncias que não estão a ser utilizadas
  • Ter uma política de redução horizontal e horizontal
  • Rever as métricas de consumo em diferentes parâmetros

Recomendações

Explore o seguinte índice de recomendações para otimizar a configuração do Gateway de Aplicação para Otimização de custos.

Recomendação Vantagem
Familiarize-se com os preços do Gateway de Aplicação Para obter informações sobre os preços de Gateway de Aplicação, veja Compreender os Preços de Gateway de Aplicação do Azure e Firewall de Aplicações Web. Também pode tirar partido da Calculadora de preços.

Certifique-se de que as opções são adequadamente dimensionadas para satisfazer a procura de capacidade e proporcionar o desempenho esperado sem desperdiçar recursos.
Rever recursos subutilizados Identifique e elimine Gateway de Aplicação instâncias com conjuntos de back-end vazios para evitar custos desnecessários.
Parar Gateway de Aplicação instâncias quando não estão a ser utilizadas Não lhe é faturado quando Gateway de Aplicação está no estado parado. A execução contínua Gateway de Aplicação instâncias pode incorrer em custos desnecessários. Avalie os padrões de utilização e pare as instâncias quando não precisar deles. Por exemplo, espera-se que a utilização após o horário comercial nos ambientes Dev/Test seja baixa.

Veja estes artigos para obter informações sobre como parar e iniciar instâncias.
- Stop-AzApplicationGateway
- Start-AzApplicationGateway
Ter uma política de redução horizontal e horizontal Uma política de aumento horizontal garante que haverá instâncias suficientes para processar o tráfego de entrada e os picos. Além disso, tem uma política de redução horizontal que garante que o número de instâncias é reduzido quando a procura diminui. Considere a escolha do tamanho da instância. O tamanho pode afetar significativamente o custo. Algumas considerações estão descritas na secção Estimar a contagem de instâncias Gateway de Aplicação.

Para obter mais informações, consulte O que é Gateway de Aplicação do Azure v2?
Rever as métricas de consumo em diferentes parâmetros É cobrado com base em instâncias com tráfego limitado de Gateway de Aplicação com base nas métricas controladas pelo Azure. Avalie as várias métricas e unidades de capacidade e determine os controladores de custos. Para obter mais informações, consulte Microsoft Cost Management e Faturação.

As seguintes métricas são fundamentais para Gateway de Aplicação. Estas informações podem ser utilizadas para validar que a contagem de instâncias aprovisionadas corresponde à quantidade de tráfego de entrada.

- Unidades de Capacidade Faturadas Estimadas
- Unidades de Capacidade Faturáveis Fixas
- Unidades de Capacidade Atuais

Para obter mais informações, veja Gateway de Aplicação métricas.

Certifique-se de que contabiliza os custos de largura de banda.

Para obter mais sugestões, veja Princípios do pilar de otimização de custos.

O Assistente do Azure ajuda-o a garantir e melhorar a continuidade das suas aplicações críticas para a empresa. Reveja as recomendações do Assistente do Azure.

Excelência operacional

A monitorização e os diagnósticos são cruciais para garantir a excelência operacional do seu Gateway de Aplicação e das aplicações Web ou back-ends por trás do gateway. Pode não só medir as estatísticas de desempenho, mas também utilizar métricas para resolver problemas rapidamente. Recomendamos que reveja os princípios de design de Excelência Operacional.

Lista de verificação de estruturação

  • Monitorizar métricas de capacidade
  • Ativar diagnósticos em Gateway de Aplicação e Firewall de Aplicações Web (WAF)
  • Utilizar as Informações de Rede do Azure Monitor
  • Corresponder as definições de tempo limite com a aplicação de back-end
  • Monitorizar Key Vault problemas de configuração com o Assistente do Azure
  • Configurar e monitorizar limitações de portas SNAT
  • Considere as limitações da porta SNAT na sua estrutura

Recomendações

Explore o seguinte índice de recomendações para otimizar a sua configuração de Gateway de Aplicação para Excelência operacional.

Recomendação Vantagem
Monitorizar métricas de capacidade Utilize estas métricas como indicadores de utilização da capacidade de Gateway de Aplicação aprovisionada. Recomendamos vivamente a configuração de alertas sobre a capacidade. Para obter detalhes, veja Gateway de Aplicação suporte de tráfego elevado.
Troubleshoot using metrics (Resolver problemas na utilização de métricas) Existem outras métricas que podem indicar problemas no Gateway de Aplicação ou no back-end. Recomendamos que avalie os seguintes alertas:

- Contagem de Anfitriões em Mau Estado de Funcionamento
- Estado da Resposta (dimensão 4xx e 5xx)
- Estado da Resposta de Back-end (dimensão 4xx e 5xx)
- Tempo de Resposta do Último Byte de Back-end
- Gateway de Aplicação Tempo Total

Para obter mais informações, veja Métricas para Gateway de Aplicação.
Ativar diagnósticos em Gateway de Aplicação e Firewall de Aplicações Web (WAF) Os registos de diagnóstico permitem-lhe ver registos de firewall, registos de desempenho e registos de acesso. Utilize estes registos para gerir e resolver problemas com Gateway de Aplicação instâncias. Para obter mais informações, veja Estado de funcionamento e registos de diagnósticos do back-end do Gateway de Aplicação.
Utilizar as Informações de Rede do Azure Monitor As Informações de Rede do Azure Monitor fornecem uma vista abrangente do estado de funcionamento e das métricas dos recursos de rede, incluindo Gateway de Aplicação. Para obter detalhes adicionais e capacidades suportadas para Gateway de Aplicação, veja Informações de rede do Azure Monitor.
Corresponder as definições de tempo limite com a aplicação de back-end Certifique-se de que configurou as definições idleTimeout para corresponder às características do serviço de escuta e do tráfego da aplicação de back-end. O valor predefinido está definido para quatro minutos e pode ser configurado para um máximo de 30. Para obter mais informações, veja Balanceador de Carga Reposição de TCP e Tempo Limite de Inatividade.

Para obter considerações sobre cargas de trabalho, veja Monitorizar o estado de funcionamento da aplicação para obter fiabilidade.
Monitorizar Key Vault problemas de configuração com o Assistente do Azure Gateway de Aplicação verifica a versão do certificado renovado no Key Vault ligado a cada intervalo de 4 horas. Se estiver inacessível devido a qualquer configuração de Key Vault incorreta, regista esse erro e emite uma recomendação do Assistente correspondente. Tem de configurar os alertas do Assistente para se manter atualizado e corrigir esses problemas imediatamente para evitar problemas relacionados com o Plano de controlo ou dados. Para obter mais informações, veja Investigar e resolver erros do cofre de chaves. Para definir um alerta para este caso específico, utilize o Tipo de Recomendação como Resolver o problema de Key Vault do Azure para a sua Gateway de Aplicação.
Considere as limitações da porta SNAT na sua estrutura As limitações da porta SNAT são importantes para as ligações de back-end no Gateway de Aplicação. Existem fatores separados que afetam a forma como Gateway de Aplicação atinge o limite de portas SNAT. Por exemplo, se o back-end for um endereço IP público, será necessária a sua própria porta SNAT. Para evitar limitações de portas SNAT, pode aumentar o número de instâncias por Gateway de Aplicação, aumentar horizontalmente os back-ends para ter mais endereços IP ou mover os back-ends para a mesma rede virtual e utilizar endereços IP privados para os back-ends.

Os pedidos por segundo (RPS) no Gateway de Aplicação serão afetados se o limite de portas SNAT for atingido. Por exemplo, se um Gateway de Aplicação atingir o limite de portas SNAT, não conseguirá abrir uma nova ligação ao back-end e o pedido falhará.

Para obter mais sugestões, veja Princípios do pilar de excelência operacional.

O Assistente do Azure ajuda-o a garantir e melhorar a continuidade das suas aplicações críticas para a empresa. Reveja as recomendações do Assistente do Azure.

Eficiência de desempenho

Eficiência de desempenho é a capacidade da sua carga de trabalho para dimensionar para satisfazer as exigências que os utilizadores lhe colocam de forma eficiente. Recomendamos que reveja os princípios de eficiência de desempenho.

Lista de verificação de estruturação

  • Estimar a contagem de instâncias Gateway de Aplicação
  • Definir a contagem máxima de instâncias
  • Definir a contagem mínima de instâncias
  • Definir Gateway de Aplicação tamanho da sub-rede
  • Tirar partido das funcionalidades do Gateway de Aplicação V2 para benefícios de dimensionamento automático e desempenho

Recomendações

Explore a seguinte tabela de recomendações para otimizar a configuração do Gateway de Aplicação para Eficiência de desempenho.

Recomendação Vantagem
Estimar a contagem de instâncias Gateway de Aplicação Gateway de Aplicação v2 aumenta horizontalmente com base em muitos aspetos, como CPU, débito de rede, ligações atuais e muito mais. Para determinar a contagem aproximada de instâncias, factor nestas métricas:

Unidades de computação atuais — Indica a utilização da CPU. 1 Gateway de Aplicação instância é de aproximadamente 10 unidades de computação.
Débito – Gateway de Aplicação instância pode servir ~500 Mbps de débito. Estes dados dependem do tipo de payload.

Considere esta equação ao calcular as contagens de instâncias.
Contagem aproximada de instâncias

Depois de estimar a contagem de instâncias, compare esse valor com a contagem máxima de instâncias. Isto irá indicar a sua proximidade com a capacidade máxima disponível.
Definir a contagem mínima de instâncias Para Gateway de Aplicação SKU v2, o dimensionamento automático demora algum tempo (aproximadamente seis a sete minutos) até que o conjunto adicional de instâncias esteja pronto para servir o tráfego. Durante esse período, se existirem pequenos picos de tráfego, espere latência transitória ou perda de tráfego.

Recomendamos que defina a contagem mínima de instâncias para um nível ideal. Depois de estimar a contagem média de instâncias e determinar o Gateway de Aplicação tendências de dimensionamento automático, defina a contagem mínima de instâncias com base nos padrões da aplicação. Para obter informações, veja Gateway de Aplicação suporte de tráfego elevado.

Verifique as Unidades de Computação Atuais do último mês. Esta métrica representa a utilização da CPU do gateway. Para definir a contagem mínima de instâncias, divida o pico de utilização por 10. Por exemplo, se a média das Unidades de Computação Atuais no mês anterior for de 50, defina a contagem mínima de instâncias para cinco.
Definir a contagem máxima de instâncias Recomendamos 125 como a contagem máxima de instâncias de dimensionamento automático. Confirme que a sub-rede que tem o Gateway de Aplicação tem endereços IP disponíveis suficientes para suportar o conjunto de instâncias de aumento vertical.

Definir a contagem máxima de instâncias para 125 não tem implicações de custos, uma vez que é cobrado apenas pela capacidade consumida.
Definir Gateway de Aplicação tamanho da sub-rede Gateway de Aplicação precisa de uma sub-rede dedicada numa rede virtual. A sub-rede pode ter várias instâncias do recurso Gateway de Aplicação implementado. Também pode implementar outros recursos Gateway de Aplicação nessa sub-rede, v1 ou v2 SKU.

Seguem-se algumas considerações para definir o tamanho da sub-rede:

- Gateway de Aplicação utiliza um endereço IP privado por instância e outro endereço IP privado se estiver configurado um IP de front-end privado.
- O Azure reserva cinco endereços IP em cada sub-rede para utilização interna.
- Gateway de Aplicação (SKU Standard ou WAF) pode suportar até 32 instâncias. Com 32 endereços IP de instância + 1 IP de front-end privado + 5 reservados do Azure, é recomendado um tamanho mínimo de sub-rede de /26. Uma vez que o SKU Standard_v2 ou WAF_v2 pode suportar até 125 instâncias, é recomendado um tamanho de sub-rede de /24.
- Se quiser implementar recursos Gateway de Aplicação adicionais na mesma sub-rede, considere os endereços IP adicionais que serão necessários para a contagem máxima de instâncias para Standard e Standard v2.
Tirar partido das funcionalidades de dimensionamento automático e benefícios de desempenho O SKU v2 oferece dimensionamento automático para garantir que o seu Gateway de Aplicação pode aumentar verticalmente à medida que o tráfego aumenta. Quando comparado com o SKU v1, v2 tem capacidades que melhoram o desempenho da carga de trabalho. Por exemplo, um melhor desempenho de descarga de TLS, tempos de implementação e atualização mais rápidos, redundância entre zonas e muito mais. Para obter mais informações sobre as funcionalidades de dimensionamento automático, veja Dimensionar Gateway de Aplicação v2 e WAF v2.

Se estiver a executar o Gateway de Aplicação de SKU v1, considere migrar para o SKU do Gateway de aplicação v2. Para obter mais informações, veja Migrar Gateway de Aplicação do Azure e Firewall de Aplicações Web da v1 para a v2.

O Assistente do Azure ajuda-o a garantir e melhorar a continuidade das suas aplicações críticas para a empresa. Reveja as recomendações do Assistente do Azure.

Recomendações do Assistente do Azure

O Assistente do Azure é um consultor de cloud personalizado que o ajuda a seguir as melhores práticas para otimizar as implementações do Azure. Seguem-se algumas recomendações que o podem ajudar a melhorar a fiabilidade, a segurança, a relação custo-eficácia, o desempenho e a excelência operacional do seu Gateway de Aplicação.

Fiabilidade

Recursos adicionais

Documentação de orientação do Centro de Arquitetura do Azure

Passos seguintes