Compartilhar via

Confiabilidade no Firewall do Azure

Firewall do Azure é um serviço de segurança de rede gerenciado baseado em nuvem que protege Rede Virtual do Azure recursos. É um serviço de firewall totalmente com estado que inclui alta disponibilidade interna e escalabilidade de nuvem irrestrita.

Quando você usa o Azure, a confiabilidade é uma responsabilidade compartilhada. A Microsoft fornece uma variedade de recursos para dar suporte à resiliência e recuperação. Você é responsável por entender como esses recursos funcionam em todos os serviços que você usa e selecionar os recursos necessários para atender aos seus objetivos de negócios e metas de tempo de atividade.

Este artigo descreve como tornar Firewall do Azure resilientes a uma variedade de possíveis interrupções e problemas, incluindo falhas transitórias, interrupções de zona de disponibilidade e interrupções de região. Ele também descreve a resiliência durante a manutenção do serviço e realça algumas informações importantes sobre o SLA (contrato de nível de serviço) do Firewall.

Recomendações de implantação de produção

Para saber mais sobre como implantar Firewall do Azure para dar suporte aos requisitos de confiabilidade da solução e como a confiabilidade afeta outros aspectos de sua arquitetura, consulte as práticas recomendadas Architecture para Firewall do Azure no Azure Well-Architected Framework.

Visão geral da arquitetura de confiabilidade

Uma instância refere-se a uma unidade de nível de máquina virtual (VM) do firewall. Cada instância representa a infraestrutura que manipula o tráfego e executa verificações de firewall.

Para obter alta disponibilidade de um firewall, Firewall do Azure fornece automaticamente pelo menos duas instâncias, sem a necessidade de intervenção ou configuração. O firewall é escalado horizontalmente de forma automática quando a taxa de transferência média, o consumo de CPU e o uso da conexão atingem limites predefinidos. Para obter mais informações, consulte Firewall do Azure performance. A plataforma gerencia automaticamente a criação da instância, o monitoramento de integridade e a substituição de instâncias não íntegras.

Para proteger contra falhas de servidor e rack de servidor, o Firewall do Azure distribui automaticamente instâncias em vários domínios de falha dentro de uma mesma região.

O diagrama a seguir mostra um firewall com duas instâncias:

Diagrama que mostra Firewall do Azure com duas instâncias.

Para aumentar a redundância e a disponibilidade durante falhas de datacenter, Firewall do Azure habilita automaticamente a redundância de zona em regiões que dão suporte a várias zonas de disponibilidade, distribuindo instâncias em pelo menos duas zonas de disponibilidade.

Resiliência a falhas transitórias

Falhas transitórias são falhas curtas e intermitentes nos componentes. Elas ocorrem com frequência em um ambiente distribuído, como a nuvem, e são uma parte normal das operações. Falhas transitórias se corrigem após um curto período de tempo. É importante que seus aplicativos possam lidar com falhas transitórias, geralmente repetindo solicitações afetadas.

Todos os aplicativos hospedados na nuvem devem seguir as diretrizes transitórias de tratamento de falhas Azure quando se comunicam com apis, bancos de dados e outros componentes hospedados na nuvem. Para obter mais informações, confira Recomendações para tratamento de falhas transitórias.

Para aplicativos que se conectam por meio de Firewall do Azure, implemente a lógica de repetição com retirada exponencial para lidar com possíveis problemas transitórios de conexão. Firewall do Azure de natureza de estado garante que as conexões legítimas permaneçam ativas durante breves interrupções de rede.

Durante operações de dimensionamento, que levam de cinco a sete minutos, o firewall preserva as conexões existentes, enquanto adiciona novas instâncias de firewall para lidar com o aumento da carga.

Resiliência a falhas de zona de disponibilidade

as zonas Availability são grupos fisicamente separados de datacenters em uma região Azure. Quando uma zona falha, os serviços podem fazer o failover de uma das zonas restantes.

Firewall do Azure é implantado automaticamente como redundante por zona em regiões que suportam várias zonas de disponibilidade. Um firewall é com redundância de zona quando você o implanta em pelo menos duas zonas de disponibilidade.

Firewall do Azure oferece suporte a modelos de implantação com redundância de zona e zonal.

  • Zone-redundante: Em regiões que dão suporte a zonas de disponibilidade, Azure distribui automaticamente instâncias de firewall entre várias zonas de disponibilidade (pelo menos duas). Azure gerencia o balanceamento de carga e o failover entre zonas automaticamente. Esse modelo de implantação é o padrão para todos os novos firewalls.

    Os firewalls com redundância de zona atingem o SLA (contrato de nível de serviço) de tempo de atividade mais alto. Use-as para cargas de trabalho de produção que exigem disponibilidade máxima.

    O diagrama a seguir mostra um firewall com redundância de zona com três instâncias distribuídas em três zonas de disponibilidade:

    Diagrama que mostra Firewall do Azure com três instâncias, cada uma em uma zona de disponibilidade separada.

    Observação

    Todas as implantações de firewall em regiões com várias zonas de disponibilidade são automaticamente redundantes por zona. Essa regra se aplica a implantações por meio do portal Azure e implantações baseadas em API (CLI do Azure, PowerShell, Bicep, modelos do ARM, Terraform).

  • Zonal: Em cenários específicos em que as restrições de capacidade existem ou os requisitos de latência são críticos, você pode implantar Firewall do Azure em uma zona de disponibilidade específica usando ferramentas baseadas em API (CLI do Azure, PowerShell, Bicep, modelos do ARM, Terraform). Você implanta todas as instâncias de um firewall zonal dentro dessa zona.

    O diagrama a seguir mostra um firewall zonal com três instâncias implantadas na mesma zona de disponibilidade:

    Diagrama que mostra Firewall do Azure com três instâncias, todas na mesma zona de disponibilidade.

    Importante

    Você só pode criar implantações zonais por meio de ferramentas baseadas em API. Você não pode configurá-los por meio do portal Azure. As implantações de firewall zonal existentes serão migradas para implantações com redundância de zona no futuro. Use implantações com redundância de zona sempre que possível para obter o SLA de maior disponibilidade. Um firewall zonal sozinho não fornece resiliência a uma interrupção de zona de disponibilidade.

Migração de implantações existentes

Anteriormente, implantações do Firewall do Azure que não estão configuradas para serem com redundância de zona ou zonais são não zonais ou regionais. Ao longo do ano civil de 2026, Azure está migrando todas as implantações de firewall nonzonal existentes para implantações com redundância de zona em regiões que dão suporte a várias zonas de disponibilidade.

Requirements

  • Region support: Firewall do Azure dá suporte a zonas de disponibilidade em todas as regiões que dão suporte a zonas de disponibilidade, em que o serviço Firewall do Azure está disponível.
  • Todas as camadas de Firewall do Azure dão suporte a zonas de disponibilidade.
  • Firewalls com redundância de zona exigem endereços IP públicos padrão configurados para serem com redundância de zona.
  • Firewalls zonais (implantados por meio de ferramentas baseadas em API) exigem endereços IP públicos padrão e podem ser configurados para serem com redundância de zona ou zonal na mesma zona que o firewall.

Custo

Não há custo adicional para implantações de firewall com redundância de zona.

Configurar o suporte à zona de disponibilidade

Esta seção explica a configuração da zona de disponibilidade para seus firewalls.

  • Criar um novo firewall: Todas as novas implantações de Firewall do Azure em regiões com várias zonas de disponibilidade são automaticamente redundantes por zona por padrão. Essa regra se aplica a implantações baseadas em portal e em API.

    • Zone-redundante (padrão): Quando você implanta um novo firewall em uma região com várias zonas de disponibilidade, Azure distribui automaticamente instâncias em pelo menos duas zonas de disponibilidade. Não é necessária configuração adicional. Para obter mais informações, consulte Deploy Firewall do Azure usando o portal Azure.

      • Azure portal: implanta automaticamente firewalls com redundância de zona. Você não pode selecionar uma zona de disponibilidade específica por meio do portal.
      • ferramentas baseadas em API (CLI do Azure, PowerShell, Bicep, modelos do ARM, Terraform): Implantar firewalls com redundância de zona por padrão. Opcionalmente, você pode especificar zonas para implantação.

      Para obter mais informações sobre como implantar um firewall com redundância de zona, consulte Deploy um Firewall do Azure com zonas de disponibilidade.

    • Zonal (somente ferramentas baseadas em API): Para implantar um firewall em uma zona de disponibilidade específica (por exemplo, devido a restrições de capacidade em uma região), use ferramentas baseadas em API, como CLI do Azure, PowerShell, Bicep, modelos do ARM ou Terraform. Especifique uma única zona na configuração de implantação. Essa opção não está disponível por meio do portal Azure.

      Observação

      Quando você seleciona quais zonas de disponibilidade usar, na verdade está selecionando a zona de disponibilidade lógica. Se você implantar outros componentes de carga de trabalho em uma assinatura de Azure diferente, eles poderão usar um número de zona de disponibilidade lógica diferente para acessar a mesma zona de disponibilidade física. Para obter mais informações, confira Zonas de disponibilidade físicas e lógicas.

  • Firewalls existentes: Todas as implantações de firewall nonzonal (regionais) existentes são migradas automaticamente para implantações com redundância de zona em regiões que dão suporte a várias zonas de disponibilidade. As implantações de firewall zonal existentes (fixadas em uma zona específica) são migradas para implantações com redundância de zona em uma data futura.

  • Restrições de capacidade: Se uma região não tiver capacidade para uma implantação com redundância de zona (exigindo pelo menos duas zonas de disponibilidade), a implantação falhará. Nesse cenário, você pode implantar um firewall zonal em uma zona de disponibilidade específica usando ferramentas baseadas em API.

Comportamento quando todas as zonas estão saudáveis

Esta seção descreve o que esperar quando Firewall do Azure é configurado com suporte à zona de disponibilidade e todas as zonas de disponibilidade estão operacionais.

  • Roteamento de tráfego entre zonas: o comportamento de roteamento de tráfego depende da configuração da zona de disponibilidade usada pelo firewall.

    • Zona-redundante: O Firewall do Azure distribui automaticamente as solicitações de entrada entre instâncias localizadas em todas as zonas usadas pelo seu firewall. Essa configuração ativa-ativa garante o desempenho ideal e a distribuição de carga em condições operacionais normais.

    • Zonal: Se você implantar várias instâncias zonais em diferentes zonas, deverá configurar o roteamento de tráfego usando soluções de balanceamento de carga externas, como Azure Load Balancer ou Gerenciador de Tráfego do Azure.

  • Gerenciamento de instância: A plataforma gerencia automaticamente o posicionamento da instância entre as zonas usadas pelo firewall. Ele substitui instâncias com falha e mantém a contagem de instâncias configurada. O monitoramento de integridade garante que apenas instâncias íntegras recebam tráfego.

  • Replicação de dados entre zonas: Firewall do Azure não precisa sincronizar o estado da conexão entre zonas de disponibilidade. A instância que processa a solicitação mantém o estado de cada conexão.

Comportamento durante uma falha de zona

Esta seção descreve o que esperar quando Firewall do Azure está configurado com suporte à zona de disponibilidade e uma ou mais zonas de disponibilidade não estão disponíveis.

  • Detecção e resposta: a responsabilidade pela detecção e resposta depende da configuração da zona de disponibilidade que seu firewall usa.

    • Zone-redundante: Para instâncias configuradas para usar redundância de zona, a plataforma Firewall do Azure detecta e responde a uma falha em uma zona de disponibilidade. Você não precisa iniciar um failover de zona.

    • Zonal: para firewalls configurados como zonais, você precisa detectar a perda de uma zona de disponibilidade e iniciar um failover para um firewall secundário criado em outra zona de disponibilidade.

  • Notificação: A Microsoft não notifica você automaticamente quando uma zona está inoperante. No entanto, você pode usar Integridade do Serviço do Azure para entender a integridade geral do serviço, incluindo quaisquer falhas de zona, e pode configurar alertas Service Health para notificar você sobre problemas.

  • Conexões ativas: Quando uma zona de disponibilidade não está disponível, as solicitações em andamento que se conectam a uma instância de firewall na zona de disponibilidade com falha podem terminar e exigir novas tentativas.

  • Expected data loss: Nenhuma perda de dados é esperada durante o failover de zona porque Firewall do Azure não armazena dados persistentes do cliente.

  • Tempo de inatividade esperado: o tempo de inatividade depende da configuração da zona de disponibilidade que seu firewall usa.

    • Com redundância de zona: espere um tempo de inatividade mínimo (normalmente alguns segundos) durante uma interrupção da zona de disponibilidade. Aplicativos cliente deve seguir práticas para tratamento de falha transitória, incluindo a implementação de políticas de novas tentativas com retirada exponencial.

    • Zonal: quando uma zona está indisponível, o firewall permanece indisponível até que a zona de disponibilidade se recupere.

  • Redirecionamento de tráfego: o comportamento de redirecionamento de tráfego depende da configuração da zona de disponibilidade usada pelo seu firewall.

    • Com redundância de zona: o tráfego redireciona automaticamente para zonas de disponibilidade íntegras. Se necessário, a plataforma cria novas instâncias de firewall em zonas íntegras.

    • Zonal: quando uma zona está indisponível, o firewall zonal também fica indisponível. Se você tiver um firewall secundário em outra zona de disponibilidade, você será responsável por redirecionar o tráfego para esse firewall.

Failback

O comportamento de failback depende da configuração da zona de disponibilidade que seu firewall usa.

  • Zone-redundante: Após a recuperação da zona de disponibilidade, Firewall do Azure redistribui automaticamente instâncias em todas as zonas que o firewall usa e restaura o balanceamento de carga normal entre zonas.

  • Zonal: depois que a zona de disponibilidade for recuperada, você será responsável por redirecionar o tráfego para o firewall na zona de disponibilidade original.

Testar falhas em zonas

As opções de teste de falha de zona dependem da configuração da zona de disponibilidade do firewall.

  • Zone-redundante: a plataforma Firewall do Azure gerencia o roteamento de tráfego, o failover e o failback para recursos de firewall com redundância de zona. Esse recurso é totalmente gerenciado, então você não precisa iniciar ou validar processos de falha de zona de disponibilidade.

  • Zonal: você pode simular aspectos da falha de uma zona de disponibilidade interrompendo um firewall. Use essa abordagem para testar como outros sistemas e balanceadores de carga lidam com uma interrupção no firewall. Para obter mais informações, consulte Parar e iniciar o Firewall do Azure.

Resiliência a falhas em toda a região

Firewall do Azure é um serviço de região única. Se a região não estiver disponível, o recurso firewall também não estará disponível.

Soluções personalizadas de várias regiões para resiliência

Para implementar uma arquitetura de várias regiões, use firewalls separados. Essa abordagem exige que você implante um firewall independente em cada região, roteie o tráfego para o firewall regional apropriado e implemente a lógica de failover personalizada. Considere os seguintes pontos:

  • Use Gerenciador de Firewall do Azure para gerenciamento centralizado de políticas em vários firewalls. Use o método Política de firewall para o gerenciamento de regras centralizado em várias instâncias de firewall.

  • Implement traffic routing usando o Gerenciador de Tráfego ou Azure Front Door.

Para obter uma arquitetura de exemplo que ilustra arquiteturas de segurança de rede em várias regiões, consulte Balanceamento de carga entre várias regiões usando o Gerenciador de Tráfego, o Firewall do Azure e o Gateway de Aplicativo.

Resiliência à manutenção do serviço

Firewall do Azure executa regularmente atualizações de serviço e outras formas de manutenção.

Você pode configurar janelas de manutenção diárias para alinhar agendas de atualização com suas necessidades operacionais. Para obter mais informações, consulte Configurar a manutenção controlada pelo cliente para Firewall do Azure.

Contrato de nível de serviço

O SLA (contrato de nível de serviço) para serviços de Azure descreve a disponibilidade esperada de cada serviço e as condições que sua solução deve atender para atingir essa expectativa de disponibilidade. Para obter mais informações, consulte SLAs para serviços online.

Firewall do Azure fornece um SLA de maior disponibilidade para firewalls com redundância de zona implantados em duas ou mais zonas de disponibilidade.

Conteúdo relacionado

  • Last updated on