Развертывание брандмауэра Azure с зонами доступности

Что такое зоны доступности

Зоны доступности (AZ) физически отделяются от центров обработки данных в пределах региона Azure, каждый из которых имеет независимые возможности питания, охлаждения и сети. Зоны доступности изолируют сбои инфраструктуры и повышают устойчивость и доступность приложений.

Регион, поддерживающий зоны доступности, обычно имеет три отдельные зоны (например, zone 1, Zone 2 и Zone 3). Не все регионы Azure поддерживают зоны доступности. Для брандмауэра Azure зоны доступности определяют, как экземпляры брандмауэра размещаются в пределах региона и насколько брандмауэр устойчив к зональным сбоям.

Избыточность зон

Брандмауэр Azure использует модель развертывания с избыточностью по зонам по умолчанию для повышения устойчивости, доступности и защиты от зональных сбоев.

Для новых развертываний не указывайте зоны доступности для межсетевого экрана. Azure управляет распределением серверных зон между несколькими зонами доступности в регионах, где это поведение доступно по умолчанию. Не обязательно выбирать идентификаторы зон, чтобы получить зональную отказоустойчивость.

• Новые межсетевые экраны без указанных зон по умолчанию являются зонально избыточными в регионах, совместимых с ZR.
• Существующие межсетевые экраны, не избыточные для зон, включая файрволы с явно определённой одной зоной, переносятся на новую платформу в регионах, поддерживающих несколько зон доступности.
• Миграция в перечисленных регионах завершена. Другие регионы включаются по мере продвижения миграции.
• Чтобы автоматически получить миграцию, не нужно освобождать ресурсы, повторно развертывать или менять настройки зоны межсетевого экрана.

Определения

Параметры развертывания брандмауэра Azure делятся на следующие категории.

Тип развертывания	Description
Зональная избыточность (ZR)	Брандмауэр развертывается в нескольких зонах доступности (два или более).
Зональный (однозонный)	Межсетевой экран настроен с одной зоной (например, только зона 1).
Региональные (без зон)	Файрвол не настроен ни для одной зоны.

Некоторые регионы не поддерживают зоны доступности. В этих регионах брандмауэр Azure продолжает развертываться в качестве регионального ресурса.

Миграция существующих брандмауэров на новую платформу

Брандмауэр Azure мигрирует существующие межсетевые экраны без избыточности зон, чтобы сделать их отказоустойчивыми по зонам, в регионах с поддержкой нескольких зон доступности:

• Миграция является автоматической и прозрачной.
• Время простоя или действия администратора не требуется.

Регионы, совместимые с ZR

По состоянию на 9 октября 2026 года миграция завершена, и зональная избыточность по умолчанию доступна в следующих регионах.

Облачные технологии	Идентификатор региона
Общедоступная служба Azure	eastus2
Общедоступная служба Azure	eastus
Общедоступная служба Azure	japaneast
Общедоступная служба Azure	australiaeast
Общедоступная служба Azure	canadacentral
Общедоступная служба Azure	westus2
Общедоступная служба Azure	centralus
Общедоступная служба Azure	westeurope
Общедоступная служба Azure	northeurope
Общедоступная служба Azure	southcentralus
Общедоступная служба Azure	francecentral
Общедоступная служба Azure	centralindia
Общедоступная служба Azure	koreacentral
Общедоступная служба Azure	southeastasia
Общедоступная служба Azure	germanywestcentral
Общедоступная служба Azure	uksouth
Общедоступная служба Azure	swedencentral
Общедоступная служба Azure	uaenorth
Общедоступная служба Azure	switzerlandnorth
Общедоступная служба Azure	southafricanorth
Общедоступная служба Azure	eastasia
Общедоступная служба Azure	brazilsouth
Общедоступная служба Azure	westus3
Общедоступная служба Azure	israelcentral
Общедоступная служба Azure	polandcentral
Общедоступная служба Azure	norwayeast
Общедоступная служба Azure	italynorth
Общедоступная служба Azure	spaincentral
Общедоступная служба Azure	qatarcentral
Общедоступная служба Azure	mexicocentral
Общедоступная служба Azure	newzealandnorth
Общедоступная служба Azure	indonesiacentral
Azure public (EUAP)	centraluseuap
Azure public (EUAP)	eastus2euap
Azure China	chinanorth3
Azure для государственных организаций (облако для государственных учреждений)	usgovvirginia

Регионы EUAP имеют ограниченный доступ. Используйте регион, доступный для вашей подписки, в соответствующем облаке Azure.

Общие сведения о свойствах зоны после миграции

После миграции:

• Для обратной совместимости статус миграции (то есть обновлённая конфигурация зон) не отображается сразу в свойствах шаблона ARM, JSON или Azure Resource Graph (ARG).
• Брандмауэр остается зонально избыточным на серверной стороне.
• Инфраструктура платформы управляет избыточностью зоны независимо от свойств шаблона ARM.

Настройка зон доступности в брандмауэре Azure

Для рекомендуемого пути развертывания опустите настройки зоны межсетевого экрана и позвольте Azure управлять выделением ресурсов. Выбирайте регион, совместимый с ZR , если по умолчанию требуется резервирование зон.

Использование портала Azure

• Портал Azure не требует выбора конкретных зон доступности при создании нового межсетевого экрана. В регионах с поддержкой ZR Azure по умолчанию управляет размещением с избыточностью по зонам.

Использование API

• Не указывайте свойство zones межсетевого экрана в API-запросах, ARM-шаблонах, конфигурациях Bicep и Terraform. В совместимых регионах Azure управляет избыточностью зоны на бэкенде.
• Не добавляйте явные зоны в существующие конфигурации только ради получения избыточности зон. Подходящие существующие межсетевые экраны мигрируются автоматически.

Использование Azure PowerShell

Следующий пример создаёт файрвол без передачи -Zone в New-AzFirewall. Azure управляет распределением внутренних зон межсетевого экрана в Восточной части США, регионе, совместимом с ZR.

При создании стандартного общедоступного IP-адреса без указания зоны он настроен как избыточный по зонам по умолчанию. Стандартные общедоступные IP-адреса могут быть связаны со всеми зонами или одной зоной.

$rgName = "Test-FW-RG"

$vnet = Get-AzVirtualNetwork `
  -Name "Test-FW-VN" `
  -ResourceGroupName $rgName

$pip1 = New-AzPublicIpAddress `
  -Name "AzFwPublicIp1" `
  -ResourceGroupName "Test-FW-RG" `
  -Sku "Standard" `
  -Location "eastus" `
  -AllocationMethod Static `
  -Zone 1,2,3

New-AzFirewall `
  -Name "azFw" `
  -ResourceGroupName $rgName `
  -Location "eastus" `
  -VirtualNetwork $vnet `
  -PublicIpAddress @($pip1)

Ограничения

• Избыточность зон требует региона, поддерживающего несколько зон доступности. В регионах без зон доступности Брандмауэр Azure остаётся региональным ресурсом.
• Региональные ограничения по пропускной способности могут повлиять на развертывание. Исключение зон не позволяет обойти ограничения по пропускной способности. Проверьте ошибки развертывания и известные проблемы Брандмауэр Azure перед изменением конфигурации.
• Свойства портала и ресурсной зоны не обязательно отображают размещение на бэкенде, управляемом платформой. Для получения дополнительной информации см. раздел «Понимание свойств зон после миграции».

Соглашения об уровне обслуживания (SLA)

• При развертывании брандмауэра Azure с избыточностью зон (две или более зон доступности) вы получите соглашение об уровне доступности в 99.99%.
• Соглашение об уровне обслуживания от 99.95% применяется к региональным развертываниям в регионах без поддержки зон доступности.

Дополнительные сведения см. в соглашении об уровне обслуживания брандмауэра Azure (SLA) и функциях брандмауэра Azure по номеру SKU.

Дальнейшие действия

• Руководство по мониторингу журналов Брандмауэра Azure