Remise et performances des applications

Cet article vous aide à sélectionner le bon Azure service d’équilibrage de charge pour votre charge de travail. Il compare Azure Load Balancer, Application Gateway et Azure Front Door pour la distribution du trafic régional et mondial. Il explique également quand les combiner. Pour un aperçu plus court, service par service, voir Qu’est-ce que l’équilibrage de charge et la livraison de contenu ?

Présentation de cet article

La livraison d’applications inclut la manière dont votre réseau distribue le trafic entre les ressources backend après son arrivée au périmètre du réseau. Cet article traite de l’équilibrage de charge de couche 4 et de la couche 7 et de l’accélération globale du trafic. Il couvre également les critères de décision pour choisir entre les trois principaux services d’équilibrage de charge Azure.

Qui a besoin de cet article

Lisez cet article si vous :

• Héberger des applications web ou des API nécessitant une haute disponibilité sur plusieurs instances principales.
• Besoin d’un déchargement SSL/TLS, d’un routage basé sur URL ou d’une protection contre le Web Application Firewall (WAF) pour le trafic HTTP/HTTPS.
• Distribuez le trafic entre plusieurs régions Azure pour les performances ou la récupération d’urgence.
• Exécutez des charges de travail autres qu’HTTP (TCP/UDP) qui nécessitent un équilibrage de charge régional avec des sondes de vérification d’état.
• Vous souhaitez comprendre quel équilibreur de charge correspond à votre type de trafic, à votre étendue géographique et aux exigences de sécurité.

Azure services et fonctionnalités

Le tableau suivant récapitule les trois services d’équilibrage de charge principaux Azure.

Redondance de zone

La redondance de zone protège votre niveau de remise d’application contre les défaillances du centre de données. Chaque service gère les zones de disponibilité différemment :

• Standard Load Balancer (public) est redondant interzone par défaut, car les adresses IP publiques standard sont par défaut de configuration redondante interzone. Le trafic continue de circuler même si une zone de disponibilité échoue. Standard Load Balancer (interne) nécessite une configuration explicite d'une interface frontale redondante entre zones : vous devez sélectionner plusieurs zones lors de la création de l'adresse IP frontale.
• Application Gateway v2 prend en charge la redondance de zone lorsque vous déployez des instances dans plusieurs zones de disponibilité. Spécifiez les zones pendant le déploiement. Une passerelle Application Gateway redondante interzone répartit les instances entre les zones que vous sélectionnez, en conservant la disponibilité si une seule zone est hors connexion.
• Azure Front Door est intrinsèquement redondant en zone en tant que service unicast global. Ses plus de 190 PoPs en périphérie s’étendent sur plusieurs régions à travers le monde, de sorte que la défaillance d’une seule zone ou région n’a pas d’impact sur le routage du trafic mondial.

Autoscaling

Chaque service gère la mise à l’échelle différemment :

• Application Gateway v2 (niveaux Standard_v2 et WAF_v2) prend en charge la mise à l’échelle automatique en fonction de la charge du trafic. Vous configurez le nombre minimal et maximal d’instances, et la passerelle s’adapte dans ces limites. La tarification utilise des unités de capacité : mesure composite de nouvelles connexions par seconde, connexions persistantes et débit. Fixez un nombre minimum d’instances d’au moins deux pour les charges de production afin d’éviter la latence au démarrage à froid lors des pics de trafic.
• Azure Front Door s’adapte automatiquement en tant que service global géré. Vous n’avez pas besoin de planification de la capacité ni de dimensionnement des instances.
• Standard Load Balancer s’adapte à des millions de flux TCP/UDP sans intervention manuelle ni modification de configuration. Il s’agit d’un service de plateforme entièrement managé sans concept d’instance.

Sondes de santé

Les trois services utilisent des sondes d’intégrité pour détecter les back-ends défectueux et arrêter le routage du trafic vers eux :

• Standard Load Balancer prend en charge les sondes d’intégrité TCP, HTTP et HTTPS. Configurez les intervalles des sondes et les seuils d'état non sain pour contrôler la vitesse de basculement. Les intervalles plus courts détectent les défaillances plus rapidement, mais génèrent davantage de trafic de sonde.
• Application Gateway utilise des sondes d’intégrité HTTP/HTTPS avec des chemins d’accès personnalisables, des noms d’hôte et des correspondances de réponse. Les sondes personnalisées vous permettent de valider la logique d’application (par exemple, vérifier un /health point de terminaison qui vérifie la connectivité de la base de données).
• Front Door utilise des sondes d'intégrité HTTP/HTTPS sur les origines. Il prend en charge les chemins de sonde configurables, les intervalles et la correspondance de code de réponse. Front Door sonde les origines à partir de plusieurs PoP, offrant une vérification distribuée de l'intégrité.

Comment choisir

L’organigramme suivant récapitule le chemin de décision principal pour sélectionner un service d’équilibrage de charge Azure.

Utilisez les tableaux de décision suivants pour sélectionner le service d’équilibrage de charge approprié pour votre scénario.

Quel équilibreur de charge ai-je besoin ?

Comparaison des contraintes clés

Combinaison de services

De nombreuses architectures de production combinent plusieurs services d’équilibrage de charge dans une chaîne. Chaque service gère ce qu’il fait le mieux :

• Front Door + Application Gateway : Utilisez Front Door pour la distribution globale du trafic et le waf de périphérie, puis routez vers des instances Application Gateway régionales pour le routage basé sur le chemin d’URL et la gestion du pool principal. Front Door Premium peut se connecter à Application Gateway par le biais de Private Link, en conservant la passerelle d’application privée. Ce modèle convient aux déploiements multirégions où chaque région a des exigences de routage d’URL complexes.
• Front Door + Load Balancer : Utilisez Front Door pour la distribution HTTP/HTTPS globale, avec un Standard Load Balancer interne derrière pour répartir le trafic entre les Virtual Machine Scale Sets ou NVAs au sein d’une région. Front Door gère le routage global et la mise en cache, tandis que Load Balancer fournit une distribution de couche 4 aux instances de calcul.
• Application Gateway + Load Balancer : utilisez Application Gateway pour la gestion du trafic HTTP/HTTPS au front-end et Load Balancer pour les niveaux back-end non HTTP (bases de données, files d’attente de messages) dans le même déploiement. Ce modèle conserve l’intelligence de couche 7 en périphérie, avec une distribution légère de couche 4 en interne.

Fonctionnalités de routage

La compréhension des fonctionnalités de routage vous permet de limiter votre choix :

Considérations relatives à la conception

Prerequisites

Avant d’implémenter les services de remise d’applications :

• Réseau virtuel déployé : Vous avez besoin d’au moins un réseau virtuel avec des sous-réseaux. Consultez la conception du réseau virtuel et du sous-réseau pour obtenir des conseils de planification de sous-réseau.
• Type de trafic de charge de travail identifié : Déterminez si votre charge de travail utilise HTTP/HTTPS (couche 7) ou TCP/UDP (couche 4). Ce type de trafic détermine votre choix principal d’équilibreur de charge.
• Étendue géographique définie : Déterminez si vos utilisateurs se trouvent dans une seule région ou distribuées globalement. Les communautés d’utilisateurs à l’échelle mondiale bénéficient de l’accélération unicast de Front Door.
• Capacité de sous-réseau pour Application Gateway : Application Gateway nécessite un sous-réseau dédié sans aucune autre ressource. Un sous-réseau /24 prend en charge jusqu’à 125 instances plus cinq adresses réservées sur Azure.

Considérations relatives à la sécurité

Les services d’équilibrage de charge font partie de votre périmètre de sécurité. Ce sont les premiers composants à traiter le trafic entrant, ce qui rend leur configuration de sécurité critique. Suivez ces pratiques pour protéger votre couche de diffusion des applications.

Pare-feu d’applications web (WAF)

Activez WAF en mode Prévention sur Application Gateway ou Front Door pour toutes les charges de travail web de production. Le mode de détection journalise uniquement les menaces sans les bloquer. Utilisez-le lors du réglage initial pour identifier les faux positifs, puis basculez vers le mode prévention avant les flux de trafic de production.

WAF protège contre les attaques web courantes, notamment :

• Injection SQL et scripts intersites (XSS)
• Anomalies de protocole et dissimulation de requêtes
• Bots et analyseurs (avec des règles de protection des bots)
• Vulnérabilités de l’OWASP Top 10 grâce à des ensembles de règles gérés

Application Gateway WAF et Front Door WAF utilisent le même moteur de règle, mais diffèrent dans l’étendue. Application Gateway WAF protège un déploiement régional, tandis que front Door WAF applique des stratégies à la périphérie globale avant que le trafic n’atteigne n’importe quelle origine. Pour obtenir une configuration détaillée du paramétrage du pare-feu d’applications web et de l’ensemble de règles, consultez Web Application Firewall.

DDoS protection

Activez la protection DDoS Azure sur toutes les adresses IP publiques associées à vos services d’équilibrage de charge. Les adresses IP frontales publiques de Standard Load Balancer et les adresses IP publiques d’Application Gateway sont des cibles de choix pour les attaques volumétriques. Ces adresses IP représentent les points d’entrée de votre application.

Azure protection DDoS fournit les éléments suivants :

• Surveillance permanente du trafic avec ajustement adaptatif.
• Atténuation automatique des attaques lorsque le trafic dépasse un seuil.
• Attaquez la télémétrie et les alertes via Azure Monitor.
• Protection des coûts (crédit de service) pour la mise à l’échelle des ressources déclenchées par les attaques DDoS.

Pour la planification et la configuration de la protection DDoS, consultez protection DDoS.

Private Link vers l’origine (Front Door Premium)

Azure Front Door Premium prend en charge la connectivité Private Link vers les origines. Cette fonctionnalité supprime la nécessité de serveurs principaux accessibles publiquement. Front Door se connecte à votre origine via le réseau principal Azure au lieu de l’Internet public. Utilisez des origines Private Link lorsque :

• Vos back-ends sont des services internes qui ne doivent pas avoir d’adresses IP publiques.
• Vous devez restreindre l'accès à l'origine au seul trafic Front Door.
• Les exigences de conformité interdisent les points de terminaison publics sur les serveurs d’applications.
• Vous souhaitez supprimer la surface d'attaque d'une origine exposée publiquement.

Les origines Private Link prises en charge incluent App Service, stockage Azure, Application Gateway, les Standard Load Balancer internes et les origines personnalisées avec Private Link service.

Pour Private Link modèles d’architecture, consultez Accès privé aux services PaaS Azure.

TLS mutuel (mTLS)

Application Gateway v2 prend en charge le protocole TLS mutuel pour l’authentification back-end. Utilisez mTLS lorsque vos serveurs principaux nécessitent une authentification client basée sur des certificats à partir de la passerelle. Cette authentification ajoute une couche de vérification d’approbation. Le backend peut confirmer que le trafic provient de l’instance légitime de la passerelle d’application, et non d’un acteur malveillant qui a contourné la passerelle.

Articles connexes

• Qu’est-ce que l’équilibrage de charge et la livraison de contenu ? : Aperçu service par service d’Azure Application Gateway, Load Balancer et Front Door.
• Entrée Internet : exposez votre application à Internet : comment le trafic arrive à votre périmètre réseau Azure.
• Conception de réseau virtuel et de sous-réseau : planification du sous-réseau, y compris le dimensionnement du sous-réseau dédié Application Gateway.
• Accès privé aux services Azure PaaS : modèles Private Link, y compris Front Door Premium vers l'origine.
• Connectivité interrégionale : Architectures multirégions avec Front Door comme point d’entrée global.
• Trafic Internet sortant : SNAT, règles de sortie et passerelle NAT pour le trafic sortant des back-ends équilibrés par charge.

Learn more

• Qu’est-ce qu’Azure Load Balancer ?
• Qu’est-ce que Azure Application Gateway ?
• Qu’est-ce qu’Azure Front Door ?
• Emplacements Edge Azure Front Door par zone métropolitaine
• Fiabilité dans Azure Load Balancer
• Configuration de l’infrastructure Application Gateway
• Sécuriser votre origine avec Private Link dans Azure Front Door Premium

Étapes suivantes