Bereitstellen einer Azure-Firewall mit Verfügbarkeitszonen

Was sind Verfügbarkeitszonen?

Verfügbarkeitszonen (AZs) sind physisch getrennte Rechenzentren innerhalb einer Azure-Region, jeweils mit unabhängiger Leistung, Kühlung und Netzwerk. Verfügbarkeitszonen isolieren Infrastrukturfehler und verbessern die Ausfallsicherheit und Verfügbarkeit von Anwendungen.

Eine Region , die Verfügbarkeitszonen unterstützt, verfügt in der Regel über drei verschiedene Zonen (z. B. Zone 1, Zone 2 und Zone 3). Nicht alle Azure-Regionen unterstützen Verfügbarkeitszonen. Für Azure Firewall bestimmen Verfügbarkeitszonen, wie Firewallinstanzen in einer Region platziert werden und wie widerstandsfähig die Firewall für Zonalfehler ist.

Zonenredundanz

Azure Firewall verwendet ein standardmäßiges Zonenredundanzbereitstellungsmodell , um Resilienz, Verfügbarkeit und Schutz vor Zonenfehlern zu verbessern.

Für neue Deployments geben Sie keine Verfügbarkeitszonen für die Firewall an. Azure verwaltet die Backend-Zonenzuweisung über mehrere Verfügbarkeitszonen in Regionen, in denen die Standardeinstellung verfügbar ist. Du musst keine Zonenkennungen wählen, um Zonenredundanz zu erhalten.

• Neue Firewalls ohne festgelegte Zonen sind in den ZR-kompatiblen Regionen standardmäßig zonenredundant.
• Bestehende nicht-zonenredundante Firewalls, einschließlich Firewalls mit explizit festgelegter Einzelzone, werden plattform-migriert in Regionen, die mehrere Verfügbarkeitszonen unterstützen.
• Die Migration in den aufgeführten Regionen ist abgeschlossen. Andere Regionen werden im Verlauf der Migration aktiviert.
• Du musst nicht freigeben, neu deployen oder die Zoneneinstellungen der Firewall ändern, um die automatische Migration zu erhalten.

Definitionen

Azure Firewall-Bereitstellungsoptionen sind in die folgenden Kategorien unterteilt.

Einige Regionen unterstützen keine Verfügbarkeitszonen. In diesen Regionen wird die Azure Firewall weiterhin als regionale Ressource bereitgestellt.

Plattformmigration vorhandener Firewalls

Azure Firewall migriert bestehende, nicht zonenredundante Firewalls in Regionen, die mehrere Verfügbarkeitszonen unterstützen, zu zonenredundanten Firewalls:

• Die Migration ist automatisch und transparent.
• Es ist keine Ausfallzeit oder Administratoraktion erforderlich.

ZR-kompatible Regionen

Seit dem 9. Oktober 2026 ist die Migration abgeschlossen und Zonenredundanz ist standardmäßig in den folgenden Regionen verfügbar.

EUAP-Regionen haben eingeschränkten Zugang. Verwenden Sie eine Region, die für Ihr Abonnement in der entsprechenden Azure-Cloud verfügbar ist.

Grundlegendes zu Zoneneigenschaften nach der Migration

Nach der Migration:

• Für Abwärtskompatibilität erscheint der Migrationsstatus (also aktualisierte Zonenkonfiguration) nicht sofort in den Eigenschaften der ARM-Template, JSON oder Azure Resource Graph (ARG).
• Die Firewall ist weiterhin zonenredundant im Back-End.
• Die Plattforminfrastruktur verwaltet Zonenredundanz unabhängig von den ARM-Vorlageneigenschaften.

Konfigurieren von Verfügbarkeitszonen in azure Firewall

Für den empfohlenen Bereitstellungspfad lassen Sie die Firewall-Zoneneinstellungen weg und lassen Sie Azure die Zuweisung verwalten. Wählen Sie eine ZR-kompatible Region , wenn Sie standardmäßig Zonenredundanz benötigen.

Verwenden des Azure-Portals

• Das Azure-Portal verlangt nicht, dass Sie beim Erstellen einer neuen Firewall bestimmte Verfügbarkeitszonen auswählen. In ZR-kompatiblen Regionen verwaltet Azure standardmäßig die zonenredundante Platzierung.

Verwenden von APIs

• Lassen Sie die Eigenschaft zones der Firewall in API-Anfragen, ARM-Vorlagen, Bicep- und Terraform-Konfigurationen weg. In kompatiblen Regionen verwaltet Azure die Zonenredundanz im Backend.
• Füge keine expliziten Zonen zu bestehenden Konfigurationen hinzu, nur um Zonenredundanz zu erreichen. Geeignete bestehende Firewalls werden automatisch migriert.

Verwenden von Azure PowerShell

Das folgende Beispiel erzeugt eine Firewall, ohne New-AzFirewall an -Zone zu übergeben. Azure verwaltet die Backend-Zonenzuweisung der Firewall in East US, einer ZR-kompatiblen Region.

Wenn Sie eine standardmäßige öffentliche IP-Adresse ohne Angabe einer Zone erstellen, wird sie standardmäßig als zonenredundant konfiguriert. Standardmäßige öffentliche IP-Adressen können allen Zonen oder einer einzelnen Zone zugeordnet werden.

$rgName = "Test-FW-RG"

$vnet = Get-AzVirtualNetwork `
  -Name "Test-FW-VN" `
  -ResourceGroupName $rgName

$pip1 = New-AzPublicIpAddress `
  -Name "AzFwPublicIp1" `
  -ResourceGroupName "Test-FW-RG" `
  -Sku "Standard" `
  -Location "eastus" `
  -AllocationMethod Static `
  -Zone 1,2,3

New-AzFirewall `
  -Name "azFw" `
  -ResourceGroupName $rgName `
  -Location "eastus" `
  -VirtualNetwork $vnet `
  -PublicIpAddress @($pip1)

Einschränkungen

• Zonenredundanz erfordert eine Region, die mehrere Verfügbarkeitszonen unterstützt. In Regionen ohne Verfügbarkeitszonen bleibt die Azure Firewall eine regionale Ressource.
• Regionale Kapazitätsbeschränkungen können den Einsatz beeinflussen. Das Weglassen von Zonen umgeht keine Kapazitätsbeschränkungen. Überprüfen Sie die Bereitstellungsfehler und die bekannten Probleme der Azure Firewall, bevor Sie Ihre Konfiguration ändern.
• Portal- und Ressourcenzonen-Eigenschaften zeigen nicht unbedingt vom System verwaltete Backend-Platzierung an. Weitere Informationen finden Sie unter Zoneneigenschaften nach der Migration verstehen.

Service-Level-Vereinbarungen (SLA)

• Wenn Sie Azure Firewall als zonenredundant (zwei oder mehr Verfügbarkeitszonen) bereitstellen, erhalten Sie eine SLA mit 99,99% Betriebszeit.
• Eine SLA mit einer Betriebszeit von 99.95% gilt für regionale Bereitstellungen in Regionen, die keine Verfügbarkeitszonen unterstützen.

Weitere Informationen finden Sie unter den Azure Firewall Service Level Agreement (SLA) und azure Firewall-Features von SKU.

Nächste Schritte

• Tutorial: Azure Firewall-Protokolle überwachen