什麼是可用區域
可用性區域（AZ） 是 Azure 區域內物理上獨立的資料中心，每個區域擁有獨立的電力、冷卻和網路系統。 可用性區域可隔離基礎設施故障，提升應用程式的韌性與可用性。
支援可用區的 區域 通常有三個不同的區域（例如區域1、區域2和區域3）。 並非所有 Azure 區域都支援可用性區域。 對於 Azure 防火牆來說，可用性區域決定了防火牆實例在區域內的配置，以及防火牆對區域故障的韌性。
區域備援
Azure 防火牆採用預設區域 冗餘 部署模型，以提升韌性、可用性及防範區域故障的防護。
對於新部署， 不要指定防火牆的可用性區域。 Azure 會在提供預設選項的區域中，管理跨多個可用性區域的後端區域分配。 你不需要選擇可用區識別碼就能獲得區域備援。
- 沒有指定區域的新防火牆在 ZR 相容區域中預設為區域冗餘。
- 現有的非區域冗餘防火牆，包括明確指定的單一區域防火牆，會在支援多個可用區域的區域進行平台遷移。
- 所列地區的移轉已完成。 隨著遷移進行，其他區域也會被啟用。
- 你不需要解除配置資源、重新部署或更改防火牆的區域設定就能接收自動遷移。
定義
Azure 防火牆的部署選項可分為以下幾類。
| 部署類型 | Description |
|---|---|
| 區域冗餘（ZR） | 防火牆部署於多個可用區域（兩個或以上）。 |
| 區域（單區） | 防火牆設定為單一區域（例如僅區域 1）。 |
| 區域（無分區） | 防火牆未設定任何區域。 |
有些地區不支援可用性區域。 在這些區域，Azure 防火牆持續作為區域資源部署。
現有防火牆的平台遷移
Azure 防火牆 將現有非區域備援防火牆在支援多個可用性區域的區域中移轉為區域備援：
- 移民是自動且透明的。
- 不需要停機或管理員操作。
ZR 相容區域
截至 2026 年 10 月 9 日，遷移已完成，且以下地區預設提供區域冗餘。
| 雲 | 區域識別碼 |
|---|---|
| Azure 公用 | eastus2 |
| Azure 公用 | eastus |
| Azure 公用 | japaneast |
| Azure 公用 | australiaeast |
| Azure public | canadacentral |
| Azure 公用 | westus2 |
| Azure 公用版 | centralus |
| Azure public | westeurope |
| Azure 公用 | northeurope |
| Azure 公用 | southcentralus |
| Azure 公用 | francecentral |
| Azure 公用 | centralindia |
| Azure 公用 | koreacentral |
| Azure 公用 | southeastasia |
| Azure 公用 | germanywestcentral |
| Azure 公用 | uksouth |
| Azure 公用 | swedencentral |
| Azure 公用 | uaenorth |
| Azure 公用 | switzerlandnorth |
| Azure 公用 | southafricanorth |
| Azure 公用 | eastasia |
| Azure 公用 | brazilsouth |
| Azure 公用 | westus3 |
| Azure 公用版 | israelcentral |
| Azure 公用 | polandcentral |
| Azure 公用 | norwayeast |
| Azure public | italynorth |
| Azure 公用 | spaincentral |
| Azure 公用 | qatarcentral |
| Azure 公用 | mexicocentral |
| Azure 公用 | newzealandnorth |
| Azure 公用 | indonesiacentral |
| Azure public (EUAP) | centraluseuap |
| Azure public (EUAP) | eastus2euap |
| Azure 中國 | chinanorth3 |
| Azure Government | usgovvirginia |
EUAP 區域的存取受到限制。 在適當的 Azure 雲端中，使用你訂閱可用的區域。
遷移後的區域特性理解
移轉後：
- 為了向下相容，遷移狀態（即更新的區域設定）不會立即顯示在 ARM 範本、JSON 或 Azure Resource Graph（ARG）屬性中。
- 防火牆在後端仍然是具備區域冗餘功能的。
- 平台基礎架構在不依賴 ARM 範本屬性的情況下，自主管理區域冗餘。
在 Azure 防火牆中配置可用性區域
建議的部署路徑中，省略防火牆區域設定，讓 Azure 管理分配。 當你需要預設區域冗餘時，選擇 ZR 相容的區域 。
使用 Azure 入口網站
- Azure 入口網站在建立新防火牆時不需要你選擇特定的可用性區域。 在 ZR 相容區域中，Azure 預設會管理區域備援放置。
使用 API
- 在 API 請求、ARM 範本、Bicep 和 Terraform 設定中省略防火牆的
zones屬性。 在相容區域中，Azure 在後端管理可用性區域備援。 - 不要為了取得區域冗餘而在現有配置中加入明確區域。 符合資格的現有防火牆會自動完成移轉。
使用 Azure PowerShell
以下範例建立防火牆而不傳遞 -Zone 至 New-AzFirewall。 Azure 負責管理防火牆在東美國（East US）後端區域的分配，該區域為 ZR 相容區域。
當你建立一個標準的公共 IP 位址但沒有指定區域時，預設會設定為區域冗餘。 標準的公共 IP 位址可以與所有區域或單一區域相關聯。
$rgName = "Test-FW-RG"
$vnet = Get-AzVirtualNetwork `
-Name "Test-FW-VN" `
-ResourceGroupName $rgName
$pip1 = New-AzPublicIpAddress `
-Name "AzFwPublicIp1" `
-ResourceGroupName "Test-FW-RG" `
-Sku "Standard" `
-Location "eastus" `
-AllocationMethod Static `
-Zone 1,2,3
New-AzFirewall `
-Name "azFw" `
-ResourceGroupName $rgName `
-Location "eastus" `
-VirtualNetwork $vnet `
-PublicIpAddress @($pip1)
局限性
- 區域冗餘需要一個支援多個可用性區域的區域。 在沒有可用性區域的區域，Azure 防火牆 仍是區域資源。
- 區域容量限制會影響部署。 省略分區並不能繞過容量限制。 在更改設定前，請先檢視部署錯誤和 Azure 防火牆 已知問題。
- 入口網站和資源區屬性不一定會顯示平台管理的後端位置。 欲了解更多資訊，請參閱 「了解遷移後的區域屬性」。
服務水準協議（SLA）
- 當你部署 Azure 防火牆作為區域冗餘（兩個或以上的可用性區）時，你會獲得 99.99% 的運作時間 SLA。
- 99.95% 正常運作時間服務等級協議適用於不支援可用性區的區域部署。
欲了解更多資訊，請參閱 Azure 防火牆 服務水準協議（SLA） 及 Azure 防火牆 依 SKU 分類的功能。