Betrouwbaarheid in Azure Firewall

Azure Firewall is een beheerde, cloudgebaseerde netwerkbeveiligingsservice die Azure Virtual Network resources beveiligt. Het is een volledig stateful firewallservice die ingebouwde hoge beschikbaarheid en onbeperkte cloudschaalbaarheid omvat.

Wanneer u Azure gebruikt, is betrouwbaarheid een gedeelde verantwoordelijkheid. Microsoft biedt een scala aan mogelijkheden ter ondersteuning van tolerantie en herstel. U bent verantwoordelijk voor het begrijpen van de werking van deze mogelijkheden binnen alle services die u gebruikt en het selecteren van de mogelijkheden die u nodig hebt om te voldoen aan uw bedrijfsdoelstellingen en beschikbaarheidsdoelen.

In dit artikel wordt beschreven hoe u Azure Firewall bestand maakt tegen verschillende mogelijke storingen en problemen, waaronder tijdelijke fouten, storingen in de beschikbaarheidszone en regiostoringen. Het beschrijft ook veerkracht tijdens serviceonderhoud en benadrukt belangrijke informatie over de SLA (Service Level Agreement) van de Firewall.

Aanbevelingen voor productie-implementatie

Zie Architecture best practices voor Azure Firewall in het Azure Well-Architected Framework voor meer informatie over het implementeren van Azure Firewall ter ondersteuning van de betrouwbaarheidsvereisten van uw oplossing en hoe betrouwbaarheid van invloed is op andere aspecten van uw architectuur.

Overzicht van betrouwbaarheidsarchitectuur

Een instantie verwijst naar een eenheid op VM-niveau van de firewall. Elk exemplaar vertegenwoordigt de infrastructuur die verkeer verwerkt en firewallcontroles uitvoert.

Voor een hoge beschikbaarheid van een firewall biedt Azure Firewall automatisch ten minste twee exemplaren, zonder dat uw tussenkomst of configuratie is vereist. De firewall wordt automatisch uitgeschaald wanneer de gemiddelde doorvoer, het CPU-verbruik en het verbindingsgebruik vooraf gedefinieerde drempelwaarden bereiken. Zie Azure Firewall performance voor meer informatie. Het platform beheert automatisch het maken van exemplaren, statuscontrole en het vervangen van beschadigde exemplaren.

Azure Firewall distribueert automatisch exemplaren over meerdere foutdomeinen binnen een regio om te beschermen tegen server- en serverrekfouten.

In het volgende diagram ziet u een firewall met twee exemplaren:

Om de redundantie en beschikbaarheid tijdens storingen in het datacenter te vergroten, schakelt Azure Firewall automatisch zoneredundantie in in regio's die meerdere beschikbaarheidszones ondersteunen, waarbij exemplaren over ten minste twee beschikbaarheidszones worden gedistribueerd.

Tolerantie voor tijdelijke fouten

Tijdelijke fouten zijn korte, onregelmatige fouten in onderdelen. Ze vinden vaak plaats in een gedistribueerde omgeving, zoals de cloud, en ze zijn een normaal onderdeel van de bewerkingen. Tijdelijke fouten corrigeren zichzelf na een korte periode. Het is belangrijk dat uw toepassingen tijdelijke fouten kunnen afhandelen, meestal door de betreffende aanvragen opnieuw uit te voeren.

Alle cloudtoepassingen moeten de Azure richtlijnen voor tijdelijke foutafhandeling volgen wanneer ze communiceren met api's, databases en andere onderdelen die in de cloud worden gehost. Zie Aanbevelingen voor het afhandelen van tijdelijke foutenvoor meer informatie.

Voor toepassingen die verbinding maken via Azure Firewall, implementeert u logica voor opnieuw proberen met exponentieel uitstel om potentiële tijdelijke verbindingsproblemen af te handelen. De stateful aard van de Azure Firewall zorgt ervoor dat legitieme verbindingen actief blijven tijdens korte netwerkonderbrekingen.

Tijdens schaalbewerkingen, die vijf tot zeven minuten duren, behoudt de firewall bestaande verbindingen terwijl er nieuwe firewallexemplaren worden toegevoegd om verhoogde belasting te verwerken.

Tolerantie voor fouten in beschikbaarheidszones

Beschikbaarheidszones zijn fysiek afzonderlijke groepen datacenters binnen een Azure regio. Wanneer één zone uitvalt, kunnen services een failover uitvoeren naar een van de resterende zones.

Azure Firewall wordt automatisch geïmplementeerd als zone-redundant in regio's die ondersteuning bieden voor meerdere beschikbaarheidszones. Een firewall is zone-redundant wanneer u deze implementeert in ten minste twee beschikbaarheidszones.

Azure Firewall ondersteunt zowel zone-redundante als zonegebonden implementatiemodellen:

• Zone-redundant: In regio's die beschikbaarheidszones ondersteunen, verdeelt Azure firewallexemplaren automatisch over meerdere beschikbaarheidszones (ten minste twee). Azure beheert taakverdeling en failover tussen zones automatisch. Dit implementatiemodel is de standaardinstelling voor alle nieuwe firewalls.

  Zone-redundante firewalls behalen de hoogste beschikbaarheidsgarantie binnen een service-level agreement (SLA). Gebruik deze voor productieworkloads waarvoor maximale beschikbaarheid is vereist.

  In het volgende diagram ziet u een zone-redundante firewall met drie exemplaren die zijn verdeeld over drie beschikbaarheidszones:

  

  Opmerking

  Alle firewallimplementaties in regio's met meerdere beschikbaarheidszones zijn automatisch zone-redundant. Deze regel is van toepassing op implementaties via de Azure portal en API-implementaties (Azure CLI, PowerShell, Bicep, ARM-sjablonen, Terraform).

• Zonal: In specifieke scenario's waarin capaciteitsbeperkingen bestaan of latentievereisten essentieel zijn, kunt u Azure Firewall implementeren in een specifieke beschikbaarheidszone met behulp van api-hulpprogramma's (Azure CLI, PowerShell, Bicep, ARM-sjablonen, Terraform). U implementeert alle exemplaren van een zonegebonden firewall binnen die zone.

  In het volgende diagram ziet u een zonegebonden firewall met drie exemplaren die zijn geïmplementeerd in dezelfde beschikbaarheidszone:

  

  Belangrijk

  U kunt alleen zonegebonden implementaties maken via hulpprogramma's op basis van API's. U kunt ze niet configureren via de Azure-portal. Bestaande zonegebonden firewallimplementaties worden in de toekomst gemigreerd naar zone-redundante implementaties. Gebruik waar mogelijk zone-redundante implementaties om de SLA met de hoogste beschikbaarheid te bereiken. Een zonegebonden firewall biedt alleen geen tolerantie voor een storing in de beschikbaarheidszone.

Migratie van bestaande implementaties

Voorheen zijn implementaties van Azure Firewall die niet zijn geconfigureerd als zone-redundant of zonegebonden nonzonal of regional. Gedurende het hele kalenderjaar 2026 migreert Azure alle bestaande niet-zonegebonden firewallimplementaties naar zone-redundante implementaties in regio's die meerdere beschikbaarheidszones ondersteunen.

Requirements

• Region support: Azure Firewall ondersteunt beschikbaarheidszones in alle regio's die beschikbaarheidszones ondersteunen, waar de Azure Firewall service beschikbaar is.
• Alle lagen van Azure Firewall bieden ondersteuning voor beschikbaarheidszones.
• Zone-redundante firewalls vereisen standaard openbare IP-adressen die zijn geconfigureerd als zone-redundant.
• Zonegebonden firewalls (geïmplementeerd via hulpprogramma's op basis van API's) vereisen standaard openbare IP-adressen en kunnen worden geconfigureerd als zone-redundant of zonegebonden in dezelfde zone als de firewall.

Kosten

Er zijn geen extra kosten verbonden aan zone-redundante firewallimplementaties.

Ondersteuning voor beschikbaarheidszones configureren

In deze sectie wordt de configuratie van de beschikbaarheidszone voor uw firewalls uitgelegd.

• Maak een nieuwe firewall: Alle nieuwe Azure Firewall-implementaties in regio's met meerdere beschikbaarheidszones zijn standaard standaard zone-redundant. Deze regel is van toepassing op implementaties op basis van portal en API.

  • Zone-redundant (standaard): Wanneer u een nieuwe firewall in een regio met meerdere beschikbaarheidszones implementeert, Azure worden exemplaren automatisch verdeeld over ten minste twee beschikbaarheidszones. Er is geen extra configuratie vereist. Zie Deploy-Azure Firewall met behulp van de Azure-portal voor meer informatie.

    • Azure portal: implementeert automatisch zone-redundante firewalls. U kunt geen specifieke beschikbaarheidszone selecteren via de portal.
    • API-hulpprogramma's (Azure CLI, PowerShell, Bicep, ARM-sjablonen, Terraform): Standaard zone-redundante firewalls uitrollen. U kunt desgewenst zones voor implementatie opgeven.

    Zie Deploy an Azure Firewall with availability zones (Een Azure Firewall implementeren met beschikbaarheidszones

  • Zonal (alleen hulpprogramma's op basis van API): Als u een firewall wilt implementeren in een specifieke beschikbaarheidszone (bijvoorbeeld vanwege capaciteitsbeperkingen in een regio), gebruikt u hulpprogramma's op basis van API's zoals Azure CLI, PowerShell, Bicep, ARM-sjablonen of Terraform. Geef één zone op in uw implementatieconfiguratie. Deze optie is niet beschikbaar via de Azure-portal.

    Opmerking

    Wanneer u selecteert welke beschikbaarheidszones u wilt gebruiken, selecteert u daadwerkelijk de logische beschikbaarheidszone. Als u andere workloadonderdelen in een ander Azure-abonnement implementeert, kunnen ze een ander nummer voor een logische beschikbaarheidszone gebruiken om toegang te krijgen tot dezelfde fysieke beschikbaarheidszone. Zie fysieke en logische beschikbaarheidszones voor meer informatie.

• Bestaande firewalls: Alle bestaande niet-zonegebonden (regionale) firewallimplementaties worden automatisch gemigreerd naar zone-redundante implementaties in regio's die ondersteuning bieden voor meerdere beschikbaarheidszones. Bestaande zonegebonden firewallimplementaties (vastgemaakt aan een specifieke zone) worden gemigreerd naar zone-redundante implementaties op een toekomstige datum.

• Capaciteitsbeperkingen: Als een regio geen capaciteit heeft voor een zone-redundante implementatie (waarvoor ten minste twee beschikbaarheidszones zijn vereist), mislukt de implementatie. In dit scenario kunt u een zonegebonden firewall implementeren in een specifieke beschikbaarheidszone met behulp van hulpprogramma's op basis van API's.

Gedrag wanneer alle zones in orde zijn

In deze sectie wordt beschreven wat u kunt verwachten wanneer Azure Firewall is geconfigureerd met ondersteuning voor beschikbaarheidszones en alle beschikbaarheidszones operationeel zijn.

• Verkeersroutering tussen zones: Het gedrag van verkeersroutering is afhankelijk van de configuratie van de beschikbaarheidszone die door uw firewall wordt gebruikt.

  • Zone-redundant: Azure Firewall distribueert automatisch binnenkomende aanvragen over instanties in alle zones die uw firewall gebruikt. Deze actief-actieve configuratie zorgt voor optimale prestaties en belastingverdeling onder normale bedrijfsomstandigheden.

  • Zonal: Als u meerdere zonegebonden exemplaren in verschillende zones implementeert, moet u verkeersroutering configureren met behulp van externe taakverdelingsoplossingen zoals Azure Load Balancer of Azure Traffic Manager.

• Exemplaarbeheer: Het platform beheert de plaatsing van exemplaren automatisch in de zones die uw firewall gebruikt. Het vervangt mislukte exemplaren en onderhoudt het aantal geconfigureerde exemplaren. Gezondheidsbewaking zorgt ervoor dat alleen gezonde instanties verkeer ontvangen.

• Data-replicatie tussen zones: Azure Firewall hoeft de verbindingsstatus niet te synchroniseren tussen beschikbaarheidszones. Het exemplaar dat de aanvraag verwerkt, houdt de status van elke verbinding bij.

Gedrag tijdens een zonefout

In deze sectie wordt beschreven wat u kunt verwachten wanneer Azure Firewall is geconfigureerd met ondersteuning voor beschikbaarheidszones en een of meer beschikbaarheidszones niet beschikbaar zijn.

• Detectie en reactie: De verantwoordelijkheid voor detectie en reactie is afhankelijk van de configuratie van de beschikbaarheidszone die uw firewall gebruikt.

  • Zone-redundant: Voor instanties die geconfigureerd zijn om zone-redundantie te gebruiken, detecteert Azure Firewall platform en reageert op een fout in een beschikbaarheidszone. U hoeft geen zonefailover te starten.

  • Zonaal: Voor firewalls die zijn geconfigureerd voor zonegebonden, moet u het verlies van een beschikbaarheidszone detecteren en een failover initiëren naar een secundaire firewall die u in een andere beschikbaarheidszone maakt.

• Bekendmaking: Microsoft informeert u niet automatisch wanneer een zone niet beschikbaar is. U kunt echter Azure Service Health gebruiken om de algehele status van de service te begrijpen, inclusief eventuele zonefouten, en u kunt Servicestatuswaarschuwingen instellen om u op de hoogte te stellen van problemen.

• Actieve verbindingen: Wanneer een beschikbaarheidszone niet beschikbaar is, kunnen aanvragen die verbinding maken met een firewall-exemplaar in de foutieve beschikbaarheidszone, worden beëindigd en moeten er opnieuw pogingen worden gedaan.

• Vermoed gegevensverlies: Er wordt geen gegevensverlies verwacht tijdens de zonefailover omdat Azure Firewall geen permanente klantgegevens opslaat.

• Verwachte downtime: Downtime is afhankelijk van de configuratie van de beschikbaarheidszone die door uw firewall wordt gebruikt.

  • Zone-redundant: Verwacht minimale downtime (meestal een paar seconden) tijdens een storing in de beschikbaarheidszone. Clienttoepassingen moeten procedures volgen voor het afhandelen van tijdelijke fouten, waaronder het implementeren van beleid voor opnieuw proberen met exponentieel uitstel.

  • Zonaal: Wanneer een zone niet beschikbaar is, blijft uw firewall niet beschikbaar totdat de beschikbaarheidszone wordt hersteld.

• Verkeer omleiden: Het gedrag van het omleiden van verkeer is afhankelijk van de configuratie van de beschikbaarheidszone die uw firewall gebruikt.

  • Zone-redundant: Verkeer wordt automatisch omgeleid naar gezonde beschikbaarheidszones. Indien nodig maakt het platform nieuwe firewallinstanties in gezonde zones.

  • Zonaal: Wanneer een zone niet beschikbaar is, is uw zonegebonden firewall ook niet beschikbaar. Als u een secundaire firewall in een andere beschikbaarheidszone hebt, bent u verantwoordelijk voor het omleiden van verkeer naar die firewall.

Failback

Het failbackgedrag is afhankelijk van de configuratie van de beschikbaarheidszone die uw firewall gebruikt.

• Zone-redundant: Nadat de beschikbaarheidszone is hersteld, Azure Firewall automatisch instanties herdistribueert in alle zones die uw firewall gebruikt en herstelt normale taakverdeling tussen zones.

• Zonaal: Nadat de beschikbaarheidszone is hersteld, bent u verantwoordelijk voor het omleiden van verkeer naar de firewall in de oorspronkelijke beschikbaarheidszone.

Testen op zonefouten

De opties voor het testen van zonefouten zijn afhankelijk van de configuratie van de beschikbaarheidszone van uw firewall.

• Zone-redundant: Het Azure Firewall platform beheert verkeersroutering, failover en failback voor zone-redundante firewallbronnen. Deze functie wordt volledig beheerd, dus u hoeft geen processen voor fouten in de beschikbaarheidszone te initiëren of valideren.

• Zonaal: U kunt aspecten van het mislukken van een beschikbaarheidszone simuleren door een firewall te stoppen. Gebruik deze benadering om te testen hoe andere systemen en load balancers omgaan met een uitval van de firewall. Zie Stop and start Azure Firewall voor meer informatie.

Tolerantie voor storingen in de hele regio

Azure Firewall is een service met één regio. Als de regio niet beschikbaar is, is uw firewallresource ook niet beschikbaar.

Aangepaste oplossingen voor meerdere regio's voor veerkracht

Gebruik afzonderlijke firewalls om een architectuur met meerdere regio's te implementeren. Voor deze aanpak moet u een onafhankelijke firewall implementeren in elke regio, verkeer routeren naar de juiste regionale firewall en aangepaste failoverlogica implementeren. Houd rekening met de volgende punten:

• Use Azure Firewall Manager for centralized policy management across multiple firewalls. Gebruik de methode Firewall Policy voor gecentraliseerd regelbeheer voor meerdere firewallinstanties.

• Implementeren van verkeersroutering met Behulp van Traffic Manager of Azure Front Door.

Zie Multi-region load balancing met Traffic Manager, Azure Firewall en Application Gateway voor een voorbeeldarchitectuur met netwerkbeveiligingsarchitecturen voor meerdere regio's.

Tolerantie voor serviceonderhoud

Azure Firewall voert regelmatig service-upgrades en andere vormen van onderhoud uit.

U kunt dagelijkse onderhoudsvensters configureren om upgradeschema's af te stemmen op uw operationele behoeften. Zie Door de klant beheerd onderhoud configureren voor Azure Firewall voor meer informatie.

Diensteniveauovereenkomst

De SLA (Service Level Agreement) voor Azure services beschrijft de verwachte beschikbaarheid van elke service en de voorwaarden waaraan uw oplossing moet voldoen om die beschikbaarheidsverwachting te bereiken. Zie SLAs voor onlineservices voor meer informatie.

Azure Firewall biedt een SLA voor hogere beschikbaarheid voor zone-redundante firewalls die zijn geïmplementeerd in twee of meer beschikbaarheidszones.

Verwante inhoud

• overzicht van Azure Firewall
• Azure Firewall functies
• Azure Firewall beste werkwijzen voor prestaties
• Firewall Manager