Często zadawane pytania dotyczące usługi Azure Front Door

Azure Front Door to oparta na chmurze usługa, która zapewnia aplikacje szybciej i bardziej niezawodnie. Używa ona równoważenia obciążenia warstwy 7 do dystrybucji ruchu między wieloma regionami i punktami końcowymi. Oferuje również dynamiczne przyspieszanie witryn (DSA), aby zoptymalizować wydajność sieci Web i przejście w tryb failover niemal w czasie rzeczywistym w celu zapewnienia wysokiej dostępności. Azure Front Door to w pełni zarządzana usługa, więc nie musisz martwić się o skalowanie ani konserwację.

Azure Front Door to usługa, która oferuje wiele korzyści dla aplikacji internetowych, takich jak przyspieszanie witryn dynamicznych (DSA), co poprawia wydajność i środowisko użytkownika witryn. Usługa Azure Front Door obsługuje również odciążanie protokołu TLS/SSL i kompleksowe protokoły TLS, co zwiększa bezpieczeństwo i szyfrowanie ruchu internetowego. Ponadto usługa Azure Front Door udostępnia zaporę aplikacji internetowej, koligację sesji opartą na plikach cookie, routing oparty na ścieżkach URL, bezpłatne certyfikaty i wiele zarządzania domenami i nie tylko. Aby dowiedzieć się więcej na temat funkcji i możliwości usługi Azure Front Door, zobacz porównanie warstw.

Usługa Azure Front Door i usługa aplikacja systemu Azure Gateway to moduły równoważenia obciążenia dla ruchu HTTP/HTTPS, ale mają różne zakresy. Usługa Front Door to globalna usługa, która może dystrybuować żądania między regionami, a usługa Application Gateway jest usługą regionalną, która może równoważyć żądania w obrębie regionu. Usługa Azure Front Door współpracuje z jednostkami skalowania, klastrami lub jednostkami sygnatur, podczas gdy usługa aplikacja systemu Azure Gateway współpracuje z maszynami wirtualnymi, kontenerami lub innymi zasobami w tej samej jednostce skalowania.

Usługa Application Gateway za usługą Front Door jest przydatna w następujących sytuacjach:

• Chcesz równoważyć ruch nie tylko globalnie, ale także w sieci wirtualnej. Usługa Front Door może wykonywać tylko równoważenie obciążenia oparte na ścieżkach na poziomie globalnym, ale usługa Application Gateway może to zrobić w sieci wirtualnej.
• Potrzebujesz opróżniania połączeń, które usługa Front Door nie obsługuje. Usługa Application Gateway może włączyć opróżnianie połączeń dla maszyn wirtualnych lub kontenerów.
• Chcesz odciążyć wszystkie operacje przetwarzania TLS/SSL i używać tylko żądań HTTP w sieci wirtualnej. Usługa Application Gateway za usługą Front Door może osiągnąć tę konfigurację.
• Chcesz użyć koligacji sesji zarówno na poziomie regionalnym, jak i na poziomie serwera. Usługa Front Door może wysyłać ruch z sesji użytkownika do tego samego zaplecza w regionie, ale usługa Application Gateway może wysłać go do tego samego serwera w zapleczu.

Łączenie dwóch sieci CDN zwykle nie jest zalecanym podejściem, ale wiąże się z następującymi wadami

1. Przyspieszenie ostatniej mili usługi CDN wykorzystuje utrzymywanie strumienia połączenia ze źródłem i znalezienie optymalnej ścieżki do źródła w celu uzyskania najlepszych wyników. Łączenie dwóch sieci CDN zwykle neguje niektóre korzyści wynikające z przyspieszenia ostatniej mili.
2. Mechanizmy kontroli zabezpieczeń stają się mniej skuteczne w drugiej usłudze CDN. Każda usługa ACLing oparta na adresach IP klienta nie będzie działać w drugiej sieci CDN, ponieważ druga sieć CDN zobaczy węzeł wyjścia pierwszego sieci CDN jako adresy IP klienta. Ładunek zawartości będzie nadal sprawdzany.
3. Wiele organizacji nie może poradzić sobie ze złożonością rozwiązywania problemów z łańcuchem dwóch sieci CDN, a gdy problem staje się trudny dowiedzieć się, który z sieci CDN ma problem.

Aby korzystać z usługi Azure Front Door, musisz mieć publiczny adres VIP lub nazwę DNS, która jest publicznie dostępna. Usługa Azure Front Door używa publicznego adresu IP do kierowania ruchu do źródła. Typowym scenariuszem jest wdrożenie usługi Azure Load Balancer za usługą Front Door. Możesz również użyć usługi Private Link z usługą Azure Front Door Premium, aby nawiązać połączenie z wewnętrznym modułem równoważenia obciążenia. Aby uzyskać więcej informacji, zobacz włączanie usługi Private Link z wewnętrznym modułem równoważenia obciążenia.

Usługa Azure Front Door obsługuje protokoły HTTP, HTTPS i HTTP/2.

Usługa Azure Front Door obsługuje protokół HTTP/2 dla połączeń klienckich. Jednak komunikacja puli zaplecza używa protokołu HTTP/1.1. Obsługa protokołu HTTP/2 jest domyślnie włączona.

Dla usługi Azure Front Door można użyć różnych typów źródeł, takich jak:

• Storage (Azure Blob, Klasyczne, Statyczne witryny internetowe)
• Usługa w chmurze
• App Service
• Statyczna aplikacja internetowa
• API Management
• Application Gateway
• Publiczny adres IP
• Azure Spring Apps
• Container Instances
• Aplikacje kontenera
• Dowolna niestandardowa nazwa hosta z dostępem publicznym.

Źródło musi mieć publiczny adres IP lub nazwę hosta DNS, którą można rozpoznać publicznie. Możesz mieszać i dopasowywać zaplecza z różnych stref, regionów lub nawet poza platformą Azure, o ile są one publicznie dostępne.

Usługa Azure Front Door nie jest ograniczona do żadnego regionu świadczenia usługi Azure, ale działa globalnie. Jedyną lokalizacją, którą należy wybrać podczas tworzenia usługi Front Door, jest lokalizacja grupy zasobów, która określa miejsce przechowywania metadanych grupy zasobów. Profil usługi Front Door jest zasobem globalnym, a jego konfiguracja jest dystrybuowana do wszystkich lokalizacji brzegowych na całym świecie.

Aby uzyskać pełną listę punktów obecności (POPS), które zapewniają globalne równoważenie obciążenia i dostarczanie zawartości dla usługi Azure Front Door, zobacz Lokalizacje pop usługi Azure Front Door. Ta lista jest regularnie aktualizowana w miarę dodawania lub usuwania nowych dostawców dostępu. Możesz również użyć interfejsu API usługi Azure Resource Manager, aby programowo wykonać zapytanie dotyczące bieżącej listy pops.

Azure Front Door to usługa, która dystrybuuje aplikację globalnie w wielu regionach. Używa on wspólnej infrastruktury, która jest współużytkowany przez wszystkich swoich klientów, ale można dostosować własny profil usługi Front Door w celu skonfigurowania określonych wymagań aplikacji. Konfiguracje innych klientów nie mogą mieć wpływu na konfigurację usługi Front Door, która jest odizolowana od ich.

Za pomocą usługi Azure Front Door można przekierowywać składniki hosta, ścieżki i ciągu zapytania adresu URL. Aby dowiedzieć się, jak skonfigurować przekierowywanie adresów URL, zobacz przekierowywanie adresów URL.

Usługa Front Door nie sortuje tras dla aplikacji internetowej. Zamiast tego wybiera trasę, która najlepiej pasuje do żądania. Aby dowiedzieć się, jak usługa Front Door dopasuje żądania do tras, zobacz Jak usługa Front Door dopasuje żądania do reguły routingu.

Aby zapewnić optymalną wydajność funkcji usługi Front Door, należy zezwolić na dostęp do źródła tylko ruchu pochodzącego z usługi Azure Front Door. W związku z tym nieautoryzowane lub złośliwe żądania napotykają zasady zabezpieczeń i routingu usługi Front Door i odmawiają dostępu. Aby dowiedzieć się, jak zabezpieczyć źródło, zobacz Bezpieczny ruch do źródeł usługi Azure Front Door.

Adres IP frontonu usługi Front Door jest stały i może nie ulec zmianie tak długo, jak używasz usługi Front Door. Jednak stały adres IP frontonu usługi Front Door nie jest gwarancją. Unikaj bezpośredniego polegania na adresie IP.

Azure Front Door to dynamiczna usługa, która kieruje ruch do najlepszego dostępnego zaplecza. Obecnie nie oferuje statycznych ani dedykowanych adresów IP emisji frontonu.

Tak. Zapoznaj się z właściwością MatchedRulesSetName w obszarze Dzienniki dostępu.

Tak. Aby uzyskać więcej informacji, zobacz Reagowanie firmy Microsoft na ataki DDoS na HTTP/2.

Usługa Azure Front Door obsługuje nagłówki X-Forwarded-For, X-Forwarded-Host i X-Forwarded-Proto. Te nagłówki ułatwiają usługę Front Door identyfikowanie oryginalnego adresu IP i protokołu klienta. Jeśli funkcja X-Forwarded-For jest już obecna, usługa Front Door dodaje adres IP gniazda klienta na końcu listy. W przeciwnym razie tworzy nagłówek z adresem IP gniazda klienta jako wartością. W przypadku usługi X-Forwarded-Host i X-Forwarded-Proto usługa Front Door zastępuje istniejące wartości własnymi.

Aby uzyskać więcej informacji, zobacz Nagłówki HTTP obsługiwane przez usługę Front Door.

Czas wdrażania nowych konfiguracji usługi Front Door różni się w zależności od typu zmiany. Zazwyczaj propagowanie zmian do wszystkich naszych lokalizacji brzegowych na całym świecie trwa od 3 do 20 minut.

Aktualizacje tras lub grup pochodzenia/pul zaplecza są bezproblemowe i nie powodują żadnych przestojów (przy założeniu, że nowa konfiguracja jest poprawna). Aktualizacje certyfikatów są również wykonywane niepodziecznie, więc nie ma ryzyka awarii.

L.p. Obecnie usługa Azure Front Door obsługuje tylko protokół HTTP/1.1 z krawędzi do źródła. Aby usługa gRPC działała, wymagany jest protokół HTTP/2.

• Profile usługi Front Door Standard/Premium i Azure CDN można przenosić między grupami zasobów lub subskrypcjami bez żadnych przestojów. Aby wykonać przeniesienie, postępuj zgodnie z tymi instrukcjami.
• Usługa Front Door Classic nie obsługuje przenoszenia między grupami zasobów lub subskrypcjami. Zamiast tego możesz przeprowadzić migrację profilu klasycznego do warstwy Standardowa/Premium, a następnie wykonać przeniesienie.
• Jeśli klient ma zaporę aplikacji internetowej skojarzoną z usługą Front Door Standard/Premium, operacja przenoszenia zakończy się niepowodzeniem. Klient musi najpierw usunąć skojarzenie zasad zapory aplikacji internetowej, przenieść, a następnie skojarzyć.

Aby użyć warstwy Azure Front Door Standard, Premium lub (klasycznej), potrzebujesz publicznego adresu IP lub nazwy DNS, którą można rozpoznać publicznie. To wymaganie publicznego adresu IP lub nazwy DNS, którą można rozpoznać publicznie, umożliwia usłudze Azure Front Door kierowanie ruchu do zasobów zaplecza. Możesz użyć zasobów platformy Azure, takich jak Application Gateways lub Azure Load Balancers, aby kierować ruch do zasobów w sieci wirtualnej. Jeśli używasz warstwy Premium usługi Front Door, możesz użyć usługi Private Link do nawiązywania połączenia z źródłami za wewnętrznym modułem równoważenia obciążenia z prywatnym punktem końcowym. Aby uzyskać więcej informacji, zobacz Bezpieczne źródła za pomocą usługi Private Link.

Grupa pochodzenia to kolekcja źródeł, która może obsługiwać podobne typy żądań. Potrzebujesz innej grupy pochodzenia dla każdej aplikacji lub obciążenia, które jest inne.

W grupie pochodzenia tworzysz źródło dla każdego serwera lub usługi, które mogą obsługiwać żądania. Jeśli źródło ma moduł równoważenia obciążenia, taki jak aplikacja systemu Azure Gateway lub jest hostowany w usłudze PaaS z modułem równoważenia obciążenia, grupa pochodzenia ma tylko jedno źródło. Źródło zajmuje się trybem failover i równoważeniem obciążenia między źródłami, których usługa Front Door nie widzi.

Jeśli na przykład hostujesz aplikację w usłudze aplikacja systemu Azure Service, sposób konfigurowania usługi Front Door zależy od liczby wystąpień aplikacji:

• Wdrożenie w jednym regionie: utwórz jedną grupę źródeł. W tej grupie źródeł utwórz jedno źródło dla aplikacji usługi App Service. Aplikacja usługi App Service może być skalowana w poziomie między procesami roboczymi, ale usługa Front Door widzi jedno źródło.
• Wdrożenie aktywne/pasywne w wielu regionach: utwórz jedną grupę źródeł. W tej grupie pochodzenia utwórz źródło dla każdej aplikacji usługi App Service. Ustaw priorytet każdego źródła, aby główna aplikacja ma wyższy priorytet niż aplikacja kopii zapasowej.
• Wdrożenie aktywne/aktywne w wielu regionach: utwórz jedną grupę źródeł. W tej grupie pochodzenia utwórz źródło dla każdej aplikacji usługi App Service. Ustaw priorytet każdego źródła na taki sam. Ustaw wagę każdego źródła, aby kontrolować liczbę żądań wysyłanych do tego źródła.

Aby dowiedzieć się więcej, zobacz Origins and origin groups in Azure Front Door (Źródła i grupy źródeł w usłudze Azure Front Door).

Azure Front Door to usługa, która zapewnia szybkie i niezawodne dostarczanie internetowe dla aplikacji. Oferuje funkcje, takie jak buforowanie, równoważenie obciążenia, zabezpieczenia i routing. Należy jednak pamiętać o pewnych limitach czasu i limitach, które mają zastosowanie do usługi Azure Front Door. Te limity czasu i limity obejmują maksymalny rozmiar żądania, maksymalny rozmiar odpowiedzi, maksymalny rozmiar nagłówka, maksymalną liczbę nagłówków, maksymalną liczbę reguł i maksymalną liczbę grup pochodzenia. Szczegółowe informacje na temat tych limitów czasu i limitów można znaleźć w dokumentacji usługi Azure Front Door.

Aktualizacje konfiguracji dla większości zestawów reguł są wykonywane w mniej niż 20 minut. Reguła zostanie zastosowana bezpośrednio po zakończeniu aktualizacji.

Usługi Azure Front Door i Azure CDN to dwie usługi, które zapewniają szybkie i niezawodne dostarczanie internetowe dla aplikacji. Nie są one jednak ze sobą zgodne, ponieważ współużytkują tę samą sieć witryn brzegowych platformy Azure w celu dostarczania zawartości użytkownikom. Ta udostępniona sieć powoduje konflikty między zasadami routingu i buforowania. W związku z tym musisz wybrać usługę Azure Front Door lub Azure CDN dla aplikacji, w zależności od wymagań dotyczących wydajności i zabezpieczeń.

Fakt, że oba profile będą używać tych samych witryn brzegowych platformy Azure do obsługi żądań przychodzących, powoduje to ograniczenie, które uniemożliwia zagnieżdżanie jednego profilu usługi Azure Front Door za drugim. Ta konfiguracja spowoduje konflikty routingu i problemy z wydajnością. W związku z tym należy upewnić się, że profile usługi Azure Front Door są niezależne i nie są połączone w łańcuch, jeśli musisz używać wielu profilów dla aplikacji.

Usługa Azure Front Door używa trzech tagów usługi do zarządzania ruchem między klientami i źródłami:

• Tag usługi AzureFrontDoor.Backend zawiera adresy IP używane przez usługę Front Door do uzyskiwania dostępu do źródeł. Ten tag usługi można zastosować podczas konfigurowania zabezpieczeń źródeł.
• Tag usługi AzureFrontDoor.Frontend zawiera adresy IP używane przez klientów do dotarcia do usługi Front Door. Możesz zastosować AzureFrontDoor.Frontend tag usługi, gdy chcesz kontrolować ruch wychodzący, który może łączyć się z usługami za usługą Azure Front Door.
• Tag usługi AzureFrontDoor.FirstParty jest zarezerwowany dla wybranej grupy usługi firmy Microsoft hostowanej w usłudze Azure Front Door.

Aby uzyskać więcej informacji na temat scenariuszy tagów usługi Azure Front Door, zobacz dostępne tagi usługi.

Usługa Azure Front Door ma 5-sekundowy limit czasu dla odbierania nagłówków od klienta. Połączenie zostanie przerwane, jeśli klient nie wysyła nagłówków w ciągu 5 sekund do usługi Azure Front Door po nawiązaniu połączenia TCP/TLS. Nie można skonfigurować tej wartości limitu czasu.

Usługa Azure Front Door ma 90-sekundowy limit czasu utrzymania aktywności HTTP. Połączenie zostanie przerwane, jeśli klient nie wysyła danych przez 90 sekund, czyli limit czasu utrzymania aktywności HTTP dla usługi Azure Front Door. Nie można skonfigurować tej wartości limitu czasu.

Nie można używać tych samych domen dla więcej niż jednego punktu końcowego usługi Front Door, ponieważ usługa Front Door musi odróżnić trasę (protokół + host + kombinacja ścieżki) dla każdego żądania. Jeśli masz zduplikowane trasy w różnych punktach końcowych, usługa Azure Front Door nie może poprawnie przetworzyć żądań.

Obecnie nie oferujemy opcji przenoszenia domen z jednego punktu końcowego do innego bez żadnych przerw w działaniu usługi. Jeśli chcesz przeprowadzić migrację domen do innego punktu końcowego, musisz zaplanować przestój.

Funkcja usługi Azure Front Door Private Link jest niezależna od regionu i będzie działać nawet wtedy, gdy wybierzesz region inny niż region, w którym znajduje się Źródło. W takich przypadkach, aby zapewnić mniejsze opóźnienie, zawsze należy wybrać region świadczenia usługi Azure najbliżej źródła, wybierając opcję włączenia punktu końcowego usługi Azure Front Door Private Link. Jesteśmy w trakcie włączania obsługi większej liczby regionów. Po obsługiwanym nowym regionie możesz postępować zgodnie z tymi instrukcjami , aby stopniowo przenosić ruch do nowego regionu.

Azure Front Door to platforma, która dystrybuuje ruch na całym świecie i umożliwia skalowanie w górę w celu spełnienia wymagań aplikacji. Używa globalnej krawędzi sieci firmy Microsoft do dostarczania globalnych funkcji równoważenia obciążenia, która umożliwia przełączenie całej aplikacji lub określonych mikrousług do różnych regionów lub chmur, jeśli wystąpiła awaria.

Aby uniknąć błędów podczas dostarczania dużych plików, upewnij się, że serwer pochodzenia zawiera Content-Range nagłówek w odpowiedzi i że wartość nagłówka jest zgodna z rzeczywistym rozmiarem treści odpowiedzi.

Więcej informacji na temat konfigurowania źródła i usługi Front Door na potrzeby dostarczania dużych plików można znaleźć w temacie Dostarczanie dużych plików.

Fronting domeny to technika sieci, która umożliwia atakującemu ukrycie rzeczywistego miejsca docelowego złośliwego żądania przy użyciu innej nazwy domeny w uzgadnianiu protokołu TLS i nagłówku hosta HTTP.

Usługa Azure Front Door (warstwa Standardowa, Premium i Klasyczna) lub Azure CDN Standard from Microsoft (wersja klasyczna) utworzona po 8 listopada 2022 r. mają włączone blokowanie frontingu domeny. Zamiast blokować żądanie z niezgodnymi nagłówkami SNI i hostów, zezwalamy na rozbieżność, jeśli obie domeny należą do tej samej subskrypcji i są uwzględnione w regułach tras/routingu. Wymuszanie blokowania frontonu domeny rozpocznie się 22 stycznia 2024 r. dla wszystkich istniejących domen. Wymuszanie może wymagać do dwóch tygodni propagacji do wszystkich regionów.

Gdy usługa Front Door blokuje żądanie z powodu niezgodności:

• Klient otrzymuje odpowiedź kodu błędu HTTP 421 Misdirected Request .
• Usługa Azure Front Door rejestruje blok w dziennikach diagnostycznych w obszarze właściwości Informacje o błędach o wartości SSLMismatchedSNI.

Aby uzyskać więcej informacji na temat frontowania domeny, zobacz Zabezpieczanie naszego podejścia do frontingu domeny w ramach platformy Azure i Zakaz frontingu domeny w usługach Azure Front Door i Azure CDN Standard from Microsoft (wersja klasyczna).

Usługa Front Door używa protokołu TLS 1.2 jako minimalnej wersji dla wszystkich profilów utworzonych po wrześniu 2019 r.

Możesz użyć protokołu TLS 1.0, 1.1, 1.2 lub 1.3 z usługą Azure Front Door. Aby dowiedzieć się więcej, przeczytaj artykuł Dotyczący kompleksowego protokołu TLS usługi Azure Front Door.

Azure Front Door to usługa, która zapewnia szybkie i bezpieczne dostarczanie internetowe. Umożliwia zdefiniowanie sposobu kierowania i optymalizowania ruchu internetowego w wielu regionach i punktach końcowych. Zasoby usługi Azure Front Door, takie jak profile usługi Front Door i reguły routingu, są naliczane tylko wtedy, gdy są włączone. Jednak zasady i reguły zapory aplikacji internetowej są naliczane niezależnie od ich stanu. Nawet jeśli wyłączysz zasady lub regułę zapory aplikacji internetowej, nadal wiąże się to z kosztami.

L.p.

L.p.

AfD nie obsługuje kompresji dynamicznej zawartości większej niż 8 MB. Jeśli jednak zawartość została już skompresowana przez źródło, usługa Front Door obsługuje obsługę statycznej skompresowanej zawartości przez 8 MB, o ile żądanie zakresu jest obsługiwane, a kodowanie fragmentowanego transferu nie jest włączone.

L.p.

Aby uzyskać informacje na temat dzienników i innych funkcji diagnostycznych, zobacz Monitorowanie metryk i dzienników usługi Front Door.

Dzienniki diagnostyczne można przechowywać na własnym koncie magazynu i wybrać, jak długo mają być przechowywane. Alternatywnie dzienniki diagnostyczne można wysyłać do dzienników usługi Event Hubs lub usługi Azure Monitor. Aby uzyskać więcej informacji, zobacz Diagnostyka usługi Azure Front Door.

Aby uzyskać dostęp do dzienników inspekcji usługi Azure Front Door, musisz odwiedzić portal. Wybierz usługę Front Door na stronie menu i wybierz pozycję Dziennik aktywności. Dziennik aktywności zawiera rekordy operacji usługi Azure Front Door.

Alerty dla usługi Azure Front Door można skonfigurować na podstawie metryk lub dzienników. Dzięki temu można monitorować wydajność i kondycję hostów frontonu.

Aby dowiedzieć się, jak tworzyć alerty dla usługi Azure Front Door Standard i Premium, zobacz konfigurowanie alertów.

Następne kroki

• Dowiedz się, jak utworzyć profil usługi Azure Front Door .
• Dowiedz się więcej o architekturze usługi Azure Front Door.