Distribuera en Azure Firewall med tillgänglighetszoner

Vad är tillgänglighetszoner?

Tillgänglighetszoner (AZs) är fysiskt separata datacenter i en Azure-region, var och en med oberoende kraft, kylning och nätverk. Tillgänglighetszoner isolerar infrastrukturfel och förbättrar programmens återhämtning och tillgänglighet.

En region som stöder tillgänglighetszoner har vanligtvis tre distinkta zoner (till exempel zon 1, zon 2 och zon 3). Alla Azure-regioner har inte stöd för tillgänglighetszoner. För Azure Firewall avgör tillgänglighetszoner hur brandväggsinstanser placeras i en region och hur motståndskraftig brandväggen är för zonfel.

Zon-redundans

Azure Firewall använder en zonredundant distributionsmodell som standard för att förbättra återhämtning, tillgänglighet och skydd mot zonfel.

För nya driftsättningar, ange inte tillgänglighetszoner för brandväggen. Azure hanterar tilldelning av backend-zoner över flera tillgänglighetszoner i regioner där standardinställningen är tillgänglig. Du behöver inte välja zonidentifierare för att få zonredundans.

• Nya brandväggar utan specificerade zoner är zonredundanta som standard i ZR-kompatibla regioner.
• Befintliga icke-zonredundanta brandväggar, inklusive brandväggar med en uttryckligen specificerad enda zon, plattformsmigreras i regioner som stöder flera tillgänglighetszoner.
• Migrationen är slutförd i de angivna regionerna. Andra regioner möjliggörs i takt med att migrationen fortskrider.
• Du behöver inte frigöra resurser för, distribuera om eller ändra brandväggens zoninställningar för att få den automatiska migreringen.

Definitions

Distributionsalternativen för Azure Firewall finns i följande kategorier.

Distributionstyp	Description
Zon-redundant (ZR)	Brandväggen distribueras över flera tillgänglighetszoner (två eller fler).
Zonal (enkel zon)	Brandvägg konfigurerad med en enda zon (till exempel endast zon 1).
Regional (inga zoner)	Brandväggen är inte konfigurerad för några zoner.

Vissa regioner stöder inte tillgänglighetszoner. I dessa regioner fortsätter Azure Firewall att distribueras som en regional resurs.

Plattformsmigrering av befintliga brandväggar

Azure Firewall migrerar befintliga icke-zonredundanta brandväggar till att bli zonredundanta i regioner som stödjer flera tillgänglighetszoner:

• Migreringen är automatisk och transparent.
• Ingen stilleståndstid eller administratörsåtgärd krävs.

ZR-kompatibla regioner

Från och med den 9 oktober 2026 är migrationen klar och zonredundans är som standard tillgänglig i följande regioner.

Moln	Regionsidentifierare
Azure Public	eastus2
Azure Public	eastus
Azure Public	japaneast
Azure Public	australiaeast
Azure Public	canadacentral
Azure Public	westus2
Azure Public	centralus
Azure Public	westeurope
Azure Public	northeurope
Azure Public	southcentralus
Azure Public	francecentral
Azure Public	centralindia
Azure Public	koreacentral
Azure Public	southeastasia
Azure Public	germanywestcentral
Azure Public	uksouth
Azure Public	swedencentral
Azure Public	uaenorth
Azure Public	switzerlandnorth
Azure Public	southafricanorth
Azure Public	eastasia
Azure Public	brazilsouth
Azure Public	westus3
Azure Public	israelcentral
Azure Public	polandcentral
Azure Public	norwayeast
Azure Public	italynorth
Azure Public	spaincentral
Azure Public	qatarcentral
Azure Public	mexicocentral
Azure Public	newzealandnorth
Azure Public	indonesiacentral
Azure public (EUAP)	centraluseuap
Azure public (EUAP)	eastus2euap
Azure Kina	chinanorth3
Azure Government	usgovvirginia

EUAP-regioner har begränsad åtkomst. Använd en region som är tillgänglig för din prenumeration i rätt Azure-moln.

Förstå zonegenskaper efter migrering

Efter migreringen:

• För bakåtkompatibilitet visas inte migrationsstatus (det vill säga uppdaterad zonkonfiguration) omedelbart i ARM-mallen, JSON- eller Azure Resource Graph (ARG)-egenskaperna.
• Brandväggen är fortfarande zonredundant på serverdelen.
• Plattformsinfrastrukturen hanterar zonredundans oberoende av ARM-mallegenskaperna.

Konfigurera tillgänglighetszoner i Azure Firewall

För den rekommenderade distributionssökvägen, utelämna brandväggszoninställningar och låt Azure hantera allokeringen. Välj en ZR-kompatibel region när du behöver zonredundans som standard.

Använda Azure-portalen

• Azure-portalen kräver inte att du väljer specifika tillgänglighetszoner när du skapar en ny brandvägg. I ZR-kompatibla regioner hanterar Azure zonredundant placering som standard.

Använda API:er

• Utelämna brandväggens zones egenskap i API-förfrågningar, ARM-mallar, Bicep- och Terraform-konfigurationer. I kompatibla regioner hanterar Azure zonredundans i backend.
• Lägg inte till explicita zoner till befintliga konfigurationer enbart för att få zonredundans. Befintliga kvalificerade brandväggar migreras automatiskt.

Använda Azure PowerShell

Följande exempel skapar en brandvägg utan att skicka -Zone till New-AzFirewall. Azure hanterar brandväggens tilldelning av backend-zoner i East US, en ZR-kompatibel region.

När du skapar en offentlig STANDARD-IP-adress utan att ange en zon konfigureras den som zonredundant som standard. Offentliga STANDARD-IP-adresser kan associeras med alla zoner eller en enda zon.

$rgName = "Test-FW-RG"

$vnet = Get-AzVirtualNetwork `
  -Name "Test-FW-VN" `
  -ResourceGroupName $rgName

$pip1 = New-AzPublicIpAddress `
  -Name "AzFwPublicIp1" `
  -ResourceGroupName "Test-FW-RG" `
  -Sku "Standard" `
  -Location "eastus" `
  -AllocationMethod Static `
  -Zone 1,2,3

New-AzFirewall `
  -Name "azFw" `
  -ResourceGroupName $rgName `
  -Location "eastus" `
  -VirtualNetwork $vnet `
  -PublicIpAddress @($pip1)

Begränsningar

• Zonredundans kräver en region som stödjer flera tillgänglighetszoner. I regioner utan tillgänglighetszoner förblir Azure Firewall en regional resurs.
• Regionala kapacitetsbegränsningar kan påverka distributionen. Att utelämna zoner kringgår inte kapacitetsbegränsningar. Gå igenom distributionsfel och kända problem med Azure Firewall innan du ändrar din konfiguration.
• Egenskaper för portal- och resurszoner visar inte nödvändigtvis plattformshanterad placering i serverdelen. För mer information, se Förstå zonegenskaper efter migration.

Serviceavtal (SLA)

• När du distribuerar Azure Firewall som zonredundant (två eller flera tillgänglighetszoner) får du ett serviceavtal på 99,99% drifttid.
• Ett serviceavtal med 99,95% drifttid gäller för regionala distributioner i regioner som inte stöder tillgänglighetszoner.

Mer information finns i Azure Firewall Service Level Agreement (SLA) och Azure Firewall-funktioner av SKU.

Nästa steg

• Självstudie: Övervaka Azure Firewall-loggar