Fiabilidade em Azure Firewall

Azure Firewall é um serviço gerido de segurança de rede baseado na cloud que protege os Rede Virtual do Azure recursos. É um serviço de firewall com monitoração de estado que inclui alta disponibilidade integrada e escalabilidade irrestrita na nuvem.

Quando se usa Azure, fiabilidade é uma responsabilidade partilhada. A Microsoft fornece uma variedade de recursos para oferecer suporte à resiliência e à recuperação. Você é responsável por entender como esses recursos funcionam em todos os serviços que você usa e selecionar os recursos necessários para atender aos seus objetivos de negócios e metas de tempo de atividade.

Este artigo descreve como tornar o Azure Firewall resiliente a uma variedade de potenciais interrupções e problemas, incluindo falhas transitórias, interrupções em zonas de disponibilidade e interrupções regionais. Descreve também a resiliência durante a manutenção do serviço e destaca algumas informações-chave sobre o acordo de nível de serviço (SLA) do Firewall.

Recomendações de implantação de produção

Para saber como implementar Azure Firewall para apoiar os requisitos de fiabilidade da sua solução e como a fiabilidade afeta outros aspetos da sua arquitetura, consulte Práticas de Arquitetura para Azure Firewall no Azure Well-Architected Framework.

Visão geral da arquitetura de confiabilidade

Uma instância refere-se a uma unidade de nível de máquina virtual (VM) do firewall. Cada instância representa a infraestrutura que lida com o tráfego e executa verificações de firewall.

Para alcançar uma elevada disponibilidade de firewall, o Azure Firewall fornece automaticamente pelo menos duas instâncias, sem necessidade da sua intervenção ou configuração. O firewall se expande automaticamente quando a taxa de transferência média, o consumo de CPU e o uso da conexão atingem limites predefinidos. Para mais informações, consulte o desempenho do Azure Firewall. A plataforma gerencia automaticamente a criação de instâncias, o monitoramento de integridade e a substituição de instâncias não íntegras.

Para proteger contra falhas em servidores e racks de servidores, o Azure Firewall distribui automaticamente as instâncias entre múltiplos domínios de falha dentro de uma região.

O diagrama a seguir mostra um firewall com duas instâncias:

Para aumentar a redundância e a disponibilidade durante falhas nos centros de dados, o Azure Firewall ativa automaticamente a redundância de zonas em regiões que suportam múltiplas zonas de disponibilidade, distribuindo as instâncias por pelo menos duas zonas de disponibilidade.

Resiliência a falhas transitórias

Falhas transitórias são falhas curtas e intermitentes em componentes. Eles ocorrem com frequência em um ambiente distribuído, como a nuvem, e são uma parte normal das operações. As falhas transitórias corrigem-se após um curto período de tempo. É importante que seus aplicativos possam lidar com falhas transitórias, geralmente tentando novamente as solicitações afetadas.

Todas as aplicações alojadas na cloud devem seguir as orientações de tratamento de falhas transitórias do Azure quando comunicarem com quaisquer APIs, bases de dados e outros componentes alojados na cloud. Para obter mais informações, consulte Recomendações para o tratamento de falhas transitórias.

Para aplicações que se conectam através do Azure Firewall, implemente uma lógica de repetição com backoff exponencial para lidar com potenciais problemas de ligação transitória. A natureza estadual do Azure Firewall garante que as ligações legítimas permaneçam ativas durante breves interrupções de rede.

Durante operações de escalabilidade, que demoram entre cinco a sete minutos, o firewall preserva as ligações existentes enquanto adiciona novas instâncias para lidar com o aumento da carga.

Resiliência a falhas na zona de disponibilidade

Zonas de disponibilidade são grupos fisicamente separados de centros de dados dentro de uma região Azure. Quando uma zona falha, os serviços podem ser transferidos para uma das zonas restantes.

O Azure Firewall é automaticamente implementado como redundante de zona em regiões que suportam múltiplas zonas de disponibilidade. Um firewall é redundante em zona quando o implanta em pelo menos duas zonas de disponibilidade.

O Azure Firewall suporta tanto modelos redundantes de zona como de implementação zonal:

• Zone-redundant: Em regiões que suportam zonas de disponibilidade, Azure distribui automaticamente as instâncias do firewall por múltiplas zonas de disponibilidade (pelo menos duas). O Azure gere automaticamente o balanceamento de carga e o failover entre zonas. Este modelo de implementação é o padrão para todos os novos firewalls.

  Os firewalls com redundância de zona alcançam o acordo de nível de serviço (SLA) de disponibilidade mais alto. Use-os para cargas de trabalho de produção que exijam disponibilidade máxima.

  O diagrama a seguir mostra um firewall com redundância de zona com três instâncias distribuídas em três zonas de disponibilidade:

  

  Observação

  Todas as implementações de firewalls em regiões com múltiplas zonas de disponibilidade são automaticamente redundantes por zona. Esta regra aplica-se a implementações através do portal Azure e implementações baseadas em API (CLI do Azure, PowerShell, Bicep, templates ARM, Terraform).

• Zonal: Em cenários específicos onde existem restrições de capacidade ou requisitos de latência são críticos, pode implementar Azure Firewall numa zona de disponibilidade específica usando ferramentas baseadas em API (CLI do Azure, PowerShell, Bicep, templates ARM, Terraform). Implementas todas as instâncias de um firewall zonal dentro dessa zona.

  O diagrama a seguir mostra um firewall zonal com três instâncias implantadas na mesma zona de disponibilidade:

  

  Importante

  Só podes criar implementações zonais através de ferramentas baseadas em API. Não podes configurá-los através do portal do Azure. As implementações existentes de firewalls zonais serão migradas para implementações redundantes por zona no futuro. Use implementações redundantes por zona sempre que possível para alcançar o SLA de maior disponibilidade. Um firewall zonal por si só não fornece resiliência a uma interrupção da zona de disponibilidade.

Migração das implementações existentes

Anteriormente, as implementações do Azure Firewall que não estavam configuradas para serem com redundância de zona ou zonais eram não zonais ou regionais. Ao longo do ano civil de 2026, o Azure está a migrar todas as implementações existentes de firewalls não zonais para implementações redundantes por zona em regiões que suportam múltiplas zonas de disponibilidade.

Requerimentos

• Suporte regional: Azure Firewall suporta zonas de disponibilidade em todas as regiões que suportam zonas de disponibilidade, onde o serviço de Azure Firewall está disponível.
• Todos os níveis do Azure Firewall suportam zonas de disponibilidade.
• Firewalls redundantes por zona requerem endereços IP públicos padrão configurados para serem redundantes por zona.
• Firewalls zonais (implementados através de ferramentas baseadas em API) requerem endereços IP públicos padrão e podem ser configurados para serem redundantes por zona ou zonais na mesma zona que o firewall.

Custo

Não há custo extra para implantações de firewalls redundantes em zonas.

Configurar o suporte à zona de disponibilidade

Esta secção explica a configuração das zonas de disponibilidade para os seus firewalls.

• Criar um novo firewall: Todas as novas implementações de Azure Firewall em regiões com múltiplas zonas de disponibilidade são automaticamente de zoneamento redundante, por padrão. Esta regra aplica-se tanto a implementações baseadas em portais como em API.

  • Zone-redundant (por defeito): Quando implementa um novo firewall numa região com múltiplas zonas de disponibilidade, Azure distribui automaticamente as instâncias por pelo menos duas zonas de disponibilidade. Nenhuma configuração extra é necessária. Para mais informações, consulte Deploy Azure Firewall utilizando o portal Azure.

    • Azure: Implementa automaticamente firewalls redundantes por zona. Não podes selecionar uma zona de disponibilidade específica através do portal.
    • Ferramentas baseadas em API (CLI do Azure, PowerShell, Bicep, templates ARM, Terraform): Implementar por predefinição firewalls redundantes por zona. Podes, opcionalmente, especificar zonas para implantação.

    Para mais informações sobre a implementação de um firewall redundante por zona, consulte Deploye um Azure Firewall com zonas de disponibilidade.

  • Zonal (apenas ferramentas baseadas em API): Para implementar um firewall numa zona de disponibilidade específica (por exemplo, devido a limitações de capacidade numa região), utilize ferramentas baseadas em API como CLI do Azure, PowerShell, Bicep, templates ARM ou Terraform. Especifique uma única zona na sua configuração de implantação. Esta opção não está disponível através do portal do Azure.

    Observação

    Quando você seleciona quais zonas de disponibilidade usar, na verdade está selecionando a zona de disponibilidade lógica. Se implementares outros componentes de carga de trabalho numa subscrição Azure diferente, eles podem usar um número lógico de zona de disponibilidade diferente para aceder à mesma zona física de disponibilidade. Para obter mais informações, consulte Zonas de disponibilidade física e lógica.

• Firewalls existentes: Todas as implementações existentes de firewalls não zonais (regionais) são automaticamente migradas para implementações redundantes por zona em regiões que suportam múltiplas zonas de disponibilidade. As implementações existentes de firewalls zonais (fixadas a uma zona específica) são migradas para implementações redundantes de zona numa data futura.

• Restrições de capacidade: Se uma região não tiver capacidade para uma implantação redundante de zona (exigindo pelo menos duas zonas de disponibilidade), a implementação falha. Neste cenário, pode implementar um firewall zonal numa zona de disponibilidade específica usando ferramentas baseadas em API.

Comportamento quando todas as zonas estão íntegras

Esta secção descreve o que esperar quando o Azure Firewall está configurado com suporte a zonas de disponibilidade e todas as zonas de disponibilidade estão operacionais.

• Roteamento de tráfego entre zonas: O comportamento de roteamento de tráfego depende da configuração da zona de disponibilidade usada pelo firewall.

  • Zone-redundant: Azure Firewall distribui automaticamente os pedidos recebidos entre instâncias em todas as zonas que o seu firewall utiliza. Esta configuração ativa-ativa garante um desempenho ótimo e uma distribuição de carga em condições normais de funcionamento.

  • Zonal: Se implementar múltiplas instâncias zonais em diferentes zonas, deve configurar o encaminhamento do tráfego usando soluções externas de balanceamento de carga como Balanceador de Carga do Azure ou Gestor de Tráfego do Azure.

• Gestão de instâncias: A plataforma gere automaticamente a colocação das instâncias nas zonas que o seu firewall utiliza. Ele substitui instâncias com falha e mantém a contagem de instâncias configuradas. A monitorização de saúde garante que apenas instâncias saudáveis recebam tráfego.

• Replicação de dados entre zonas: Azure Firewall não precisa de sincronizar o estado da ligação entre zonas de disponibilidade. A instância que processa a solicitação mantém o estado de cada conexão.

Comportamento durante uma falha de zona

Esta secção descreve o que esperar quando o Azure Firewall está configurado com suporte para zonas de disponibilidade e uma ou mais zonas de disponibilidade não estão disponíveis.

• Deteção e resposta: A responsabilidade pela deteção e resposta depende da configuração da zona de disponibilidade usada pelo firewall.

  • Zone-redundant: Para instâncias configuradas para usar redundância de zona, a plataforma Azure Firewall deteta e responde a uma falha numa zona de disponibilidade. Não é necessário iniciar um failover de zona.

  • Zonal: Para firewalls configurados para serem zonais, você precisa detetar a perda de uma zona de disponibilidade e iniciar um failover para um firewall secundário criado em outra zona de disponibilidade.

• Notificação: A Microsoft não o notifica automaticamente quando uma zona está inativa. No entanto, pode usar Azure Service Health para compreender o estado geral do serviço, incluindo quaisquer falhas de zona, e pode configurar alertas Service Health alerts para o notificar de problemas.

• Ligações ativas: Quando uma zona de disponibilidade não está disponível, pedidos em curso que se liguem a uma instância de firewall na zona de disponibilidade defeituosa podem terminar e exigir tentativas.

• Perda de dados esperada: Não se espera perda de dados durante o failover de zona porque Azure Firewall não armazena dados persistentes do cliente.

• Tempo de inatividade esperado: O tempo de inatividade depende da configuração da zona de disponibilidade usada pelo firewall.

  • Zona redundante: Espere um tempo de inatividade mínimo (normalmente alguns segundos) durante uma interrupção da zona de disponibilidade. Os aplicativos cliente devem seguir práticas para tratamento de falhas transitórias, incluindo a implementação de políticas de repetição com backoff exponencial.

  • Zonal: Quando uma zona não está disponível, o firewall permanece indisponível até que a zona de disponibilidade se recupere.

• Reencaminhamento do tráfego: O comportamento de redirecionamento de tráfego depende da configuração da zona de disponibilidade usada pelo firewall.

  • Zone-redundante: O tráfego redireciona automaticamente para zonas de disponibilidade saudáveis. Se necessário, a plataforma cria novas instâncias de firewall em zonas saudáveis.

  • Zonal: Quando uma zona não está disponível, o firewall zonal também não está disponível. Se você tiver um firewall secundário em outra zona de disponibilidade, será responsável por redirecionar o tráfego para esse firewall.

Failback

O comportamento de failback depende da configuração da zona de disponibilidade usada pelo firewall.

• Zone-redundant: Depois de a zona de disponibilidade recuperar, Azure Firewall redistribui automaticamente as instâncias entre todas as zonas que o firewall usa e restaura o balanceamento normal de carga entre zonas.

• Zonal: Depois que a zona de disponibilidade se recuperar, você será responsável por redirecionar o tráfego para o firewall na zona de disponibilidade original.

Teste de falhas de zona

As opções para teste de falha de zona dependem da configuração da zona de disponibilidade do firewall.

• Zone-redundant: A plataforma Azure Firewall gere o encaminhamento de tráfego, failover e failback para recursos de firewall redundantes de zona. Esse recurso é totalmente gerenciado, portanto, você não precisa iniciar ou validar processos de falha na zona de disponibilidade.

• Zonal: Você pode simular aspetos da falha de uma zona de disponibilidade interrompendo um firewall. Use essa abordagem para testar como outros sistemas e balanceadores de carga lidam com uma interrupção no firewall. Para mais informações, consulte Stop and Start Azure Firewall.

Resiliência a falhas em toda a região

Azure Firewall é um serviço de região única. Se a região não estiver disponível, o seu recurso de Firewall também está indisponível.

Soluções personalizadas de várias regiões para resiliência

Para implementar uma arquitetura de várias regiões, use firewalls separados. Esta abordagem exige que implemente um firewall independente em cada região, encaminhe o tráfego para o firewall regional apropriado e implemente uma lógica de failover personalizada. Considere os seguintes pontos:

• Use Azure Firewall Manager para gestão centralizada de políticas através de múltiplos firewalls. Use o método de Diretiva de Firewall para gerenciamento centralizado de regras em várias instâncias de firewall.

• Implemente o encaminhamento de tráfego usando o Traffic Manager ou Azure Front Door.

Para um exemplo de arquitetura que ilustra uma arquitetura de segurança de rede multi-regional, veja Multi-região balanceamento de carga usando Traffic Manager, Azure Firewall e Application Gateway.

Resiliência à manutenção de serviços

O Azure Firewall realiza regularmente atualizações de serviço e outras formas de manutenção.

Você pode configurar janelas de manutenção diárias para alinhar os cronogramas de atualização com suas necessidades operacionais. Para mais informações, consulte Configurar manutenção controlada pelo cliente para Azure Firewall.

Contrato de nível de serviço

O acordo de nível de serviço (SLA) para serviços Azure descreve a disponibilidade esperada de cada serviço e as condições que a sua solução deve cumprir para atingir essa expectativa de disponibilidade. Para mais informações, consulte SLAs para serviços online.

O Azure Firewall oferece um SLA de maior disponibilidade para firewalls redundantes de zona implementados em duas ou mais zonas de disponibilidade.

Conteúdo relacionado

• Visão geral do Azure Firewall
• Azure Firewall funcionalidades
• Melhores práticas do Azure Firewall para desempenho
• Gestor de Firewall