Procedure consigliate per Azure Load Balancer

Questo articolo illustra una raccolta di procedure consigliate di Azure per la distribuzione del servizio di bilanciamento del carico. Queste procedure consigliate derivano dalla nostra esperienza con il networking di Azure e dalle esperienze di clienti come lei.

Per ogni procedura consigliata questo articolo spiega:

• Qual è la procedura consigliata
• Il motivo per cui si vuole abilitare tale procedura consigliata
• Cosa può accadere se non si riesce ad abilitare la procedura consigliata
• Come è possibile imparare a abilitare questa procedura consigliata

Queste procedure consigliate si basano su un parere di consenso e sulle funzionalità e sui set di funzionalità della piattaforma Azure, così come esistono al momento della scrittura di questo articolo.

Le procedure consigliate per l'architettura

Le indicazioni sull'architettura seguenti consentono di garantire l'affidabilità della distribuzione di Azure Load Balancer. Comprende procedure consigliate per la distribuzione con ridondanza tra zone, la ridondanza nel pool di back-end e la distribuzione di un servizio di bilanciamento del carico globale. Oltre all'affidabilità di Gateway Load Balancer, consigliato quando si usano appliance virtuali di rete anziché una configurazione con doppio servizio di bilanciamento del carico.

Procedure consigliate per l'ottimizzazione dell'affidabilità

Per garantire l'affidabilità della distribuzione di Azure Load Balancer, è consigliabile seguire le procedure consigliate seguenti.

Distribuisci con ridondanza di zona

La ridondanza tra zone offre il massimo livello di resilienza, proteggendo il percorso dei dati dal guasto di una zona. La selezione della zona di disponibilità del bilanciatore del carico corrisponde a quella dell'indirizzo IP frontend. Per i servizi di bilanciamento del carico pubblico, se l'indirizzo IP pubblico nel front-end del servizio di bilanciamento del carico è ridondante della zona, anche il servizio di bilanciamento del carico è ridondante della zona.

• Distribuisci il bilanciatore del carico in un'area che supporti le zone di disponibilità e abilita l'opzione di ridondanza della zona durante la creazione di un nuovo indirizzo IP pubblico usato per la configurazione IP frontend.
• Gli indirizzi IP pubblici non possono essere convertiti in indirizzi con ridondanza della zona, ma stiamo aggiornando tutti gli IP pubblici Standard non zonali in modo che siano con ridondanza della zona per impostazione predefinita. Per ulteriori informazioni, visitare il seguente articolo del blog di Microsoft Azure Gli IP pubblici di Azure ora sono con ridondanza della zona per impostazione predefinita | Blog di Microsoft Azure. Per visualizzare l'elenco più aggiornato di aree che supportano indirizzi IP pubblici standard con ridondanza della zona per impostazione predefinita, vedere Indirizzi IP pubblici in Azure
• Se non è possibile eseguire una distribuzione a ridondanza di zona, l'opzione successiva è una distribuzione zonale del servizio di bilanciamento del carico.
• Un front-end di zona è consigliato quando il back-end viene concentrato in una particolare zona. Anche se è consigliabile distribuire membri del pool back-end tra più zone per trarre vantaggio dalla ridondanza della zona.
• Fare riferimento al documento seguente se si desidera eseguire la migrazione delle distribuzioni esistenti a configurazioni zonali o con ridondanza della zona: Eseguire la migrazione di Load Balancer al supporto delle zone di disponibilità.

Ridondanza nel pool di back-end

Assicurarsi che il pool back-end contenga almeno due istanze. Se il pool back-end ha una sola istanza e non è integro, tutto il traffico inviato al pool back-end ha esito negativo a causa dell'assenza di ridondanza. Il contratto di servizio Load Balancer Standard è supportato anche solo quando sono presenti almeno due istanze del pool back-end integre per ogni pool back-end. Visita la documentazione SLA per ulteriori informazioni.

Distribuire un servizio di bilanciamento del carico globale

Load Balancer Standard supporta il bilanciamento del carico tra aree abilitando la ridondanza a livello di area tramite il collegamento di un servizio di bilanciamento del carico globale ai servizi di bilanciamento del carico a livello di area esistenti. Con un servizio di bilanciamento del carico globale, se un'area ha esito negativo, il traffico viene instradato al successivo servizio di bilanciamento del carico a livello di area integro più vicino. Per altre informazioni, vedere la documentazione di Global Load Balancer.

Per altre informazioni, vedere la documentazione sull'affidabilità di Azure Load Balancer.

Affidabilità con Gateway Load Balancer

Per garantire l'affidabilità della distribuzione del servizio di bilanciamento del carico del gateway, è consigliabile seguire le procedure consigliate seguenti.

Collegare in cascata il Gateway Load Balancer a un Load Balancer pubblico Standard

È consigliabile concatenare il servizio di bilanciamento del carico del gateway a un servizio di bilanciamento del carico pubblico Standard. Questa configurazione offre disponibilità elevata e ridondanza sia nell'appliance virtuale di rete che nel livello dell'applicazione. Per altre informazioni, vedere Esercitazione: Creare un servizio di bilanciamento del carico del gateway

Usare un bilanciatore del carico gateway quando si usano NVA anziché una configurazione con doppio bilanciatore del carico.

Si consiglia di utilizzare un Gateway Load Balancer negli scenari di traffico nord-sud con Network Virtual Appliances (NVA) dei partner. È più semplice eseguire la distribuzione perché i servizi di bilanciamento del carico del gateway non richiedono una configurazione aggiuntiva, ad esempio route definite dall'utente (UDR) perché mantiene la coerenza del flusso e la simmetria del flusso. È anche più facile da gestire perché le appliance virtuali di rete (NVA) possono essere aggiunte e rimosse con facilità. Per altre informazioni, vedere la documentazione di Gateway Load Balancer.

Linee guida per la configurazione

Le linee guida per la configurazione seguenti sono le procedure consigliate per la configurazione delle distribuzioni di Azure Load Balancer.

Creare gruppi di sicurezza di rete (NSG)

Per consentire in modo esplicito il traffico in ingresso consentito, è necessario creare gruppi di sicurezza di rete. I gruppi di sicurezza di rete (NSG) devono essere creati sulla subnet o sulla scheda di interfaccia di rete (NIC) della VM, altrimenti non sarà disponibile alcuna connettività in ingresso verso i bilanciatori del carico esterni Standard. Per altre informazioni, vedere Creare, modificare o eliminare un gruppo di sicurezza di rete di Azure.

Sbloccare l'indirizzo IP 168.63.129.16

Non bloccare 168.63.129.16 in nessun gruppo di sicurezza di rete Azure o policy firewall locali. Azure Load Balancer utilizza questo indirizzo IP per le sonde di salute. Per dettagli sul comportamento della sonda e sulle conseguenze dei guasti, vedi Azure Load Balancer health probe e Cos'è l'indirizzo IP 168.63.129.16?

Usare le regole in uscita con l'assegnazione manuale delle porte

Usare le regole outbound con l'allocazione manuale delle porte anziché l'allocazione predefinita delle porte per evitare l'esaurimento delle porte SNAT o errori di connessione. L'allocazione delle porte predefinita assegna automaticamente un numero conservativo di porte che possono causare un rischio più elevato di esaurimento delle porte SNAT. L'allocazione manuale delle porte consente di ottimizzare il numero di porte SNAT rese disponibili per ognuna delle istanze nel pool back-end, in modo da evitare che le connessioni siano interessate a causa della riallocazione delle porte. Sono disponibili due opzioni per l'allocazione manuale delle porte, "porte per istanza" o "numero massimo di istanze back-end". Per comprendere entrambe le considerazioni, vedere Source Network Address Translation (SNAT) per le connessioni in uscita.

Controllare la modalità di distribuzione

Azure Load Balancer usa una modalità di distribuzione basata su hash a 5 tuple per impostazione predefinita e offre anche la persistenza della sessione usando un hash a 2 tuple o a 3 tuple. Valutare se la distribuzione può trarre vantaggio dalla persistenza della sessione (nota anche come affinità di sessione), per cui le connessioni provenienti dallo stesso IP client o dallo stesso IP client e protocollo vengono indirizzate alla stessa istanza back-end all'interno del pool back-end. Si consideri anche che l'abilitazione dell'affinità di sessione può causare una distribuzione non uniforme del carico perché la maggior parte delle connessioni provengono dallo stesso IP client o dallo stesso ip client e protocollo verranno inviati alla stessa macchina virtuale back-end. Per altre informazioni sulle modalità di distribuzione di Azure Load Balancers, vedere Modalità di distribuzione di Azure Load Balancer.

Abilitare le reimpostazioni TCP

L'abilitazione dei reset TCP sul bilanciatore del carico invia pacchetti TCP di reset bidirezionali agli endpoint del client e del server allo scadere del timeout di inattività, per informare gli endpoint dell'applicazione che la connessione è scaduta e non è più utilizzabile. Senza abilitare la reimpostazione TCP, il servizio di bilanciamento del carico elimina automaticamente i flussi quando viene raggiunto il timeout di inattività di un flusso. Può anche essere utile aumentare il timeout di inattività e/o usare un keep-alive TCP se si verifica il timeout delle connessioni. Per altre informazioni su reimpostazioni TCP, timeout di inattività e keepalive TCP, vedere Load Balancer TCP Reset and idle timeout in Azure (Reimpostazione TCP del servizio di bilanciamento del carico e timeout di inattività in Azure).

Configurare l'interfaccia di loopback durante la configurazione dell'indirizzo IP flottante

Se si abilita l'indirizzo IP mobile, assicurarsi di disporre di un'interfaccia di loopback all'interno del sistema operativo guest configurato con l'indirizzo IP front-end del servizio di bilanciamento del carico. L'IP floating deve essere abilitato se si desidera riutilizzare la porta back-end tra più regole. Alcuni esempi di casi d'uso del riutilizzo delle porte includono il clustering per l'alta disponibilità e le appliance virtuali di rete. Per altre informazioni, vedi configurazione dell'IP mobile di Azure Load Balancer.

Implementare le procedure consigliate per la configurazione del servizio di bilanciamento del carico del gateway

Separare il traffico attendibile e non attendibile su due interfacce di tunnel diverse; usare il tipo di interfaccia del tunnel esterno per il traffico non attendibile o non ancora controllato o gestito e usare il tipo di interfaccia del tunnel interno per il traffico attendibile/controllato. Come procedura consigliata per la sicurezza, ciò garantisce l'isolamento del traffico attendibile e non attendibile e può consentire un controllo e una risoluzione dei problemi più granulari del traffico.

Verificare che il limite MTU delle NVA venga aumentato ad almeno 1550, oppure fino al limite consigliato di 4000 negli scenari in cui si utilizzano jumbo frame. Se non si aumenta il limite MTU, è possibile che si verifichi una perdita di pacchetti a causa delle maggiori dimensioni dei pacchetti dovute alle intestazioni VXLAN.

Annunci di ritiro

Oltre ai nuovi miglioramenti e aggiornamenti di Azure Load Balancer, sono previste anche deprecazioni di alcune funzionalità. È fondamentale rimanere aggiornati e assicurarsi di apportare le modifiche necessarie per evitare potenziali interruzioni del servizio. Per un elenco completo degli annunci di ritiro, vedere la pagina Aggiornamenti di Azure e filtrare "Load Balancer" in "Prodotti" e "Ritiri" in "Tipo di aggiornamento".

Usare o eseguire l'aggiornamento a Load Balancer Standard

Basic Load Balancer è stato ritirato il 30 settembre 2025. Se si usa ancora Load Balancer Basic, eseguire l'aggiornamento a Load Balancer Standard appena possibile. Load Balancer Standard offre miglioramenti significativi, tra cui alte prestazioni, latenza ultra-bassa, sicurezza di default e un SLA di 99,99% disponibilità.

Non usare l'accesso in uscita predefinito

In futuro, non usare l'accesso in uscita predefinito e assicurarsi che tutte le macchine virtuali abbiano un metodo in uscita esplicito definito. Questo approccio offre una maggiore sicurezza e un maggiore controllo su come le vostre VM si connettono a internet. L'accesso in uscita predefinito è stato ritirato il 31 marzo 2026 e le VM create dopo questa data devono utilizzare una delle seguenti soluzioni in uscita per comunicare con internet:

• Associare un GW NAT alla subnet
• Usare uno o più IP frontend di un Load Balancer per il traffico in uscita tramite regole in uscita
• Assegnare un indirizzo IP pubblico a livello di istanza alla macchina virtuale

Passaggi successivi