Najlepsze rozwiązania dotyczące usługi Azure Load Balancer

W tym artykule omówiono kolekcję najlepszych rozwiązań platformy Azure dotyczących wdrażania modułu równoważenia obciążenia. Te najlepsze rozwiązania pochodzą z naszego doświadczenia z siecią platformy Azure i doświadczeniami klientów, takich jak ty.

W przypadku każdego najlepszego rozwiązania w tym artykule wyjaśniono:

• Jakie jest najlepsze rozwiązanie
• Dlaczego chcesz włączyć to najlepsze rozwiązanie
• Co może się zdarzyć, jeśli nie można włączyć najlepszych rozwiązań
• Jak dowiedzieć się, jak włączyć to najlepsze rozwiązanie

Te najlepsze rozwiązania są oparte na opinii konsensusu oraz zestawach funkcji i możliwości platformy Azure, ponieważ istnieją w momencie pisania tego artykułu.

Najlepsze rozwiązania dotyczące architektury

Poniższe wskazówki dotyczące architektury pomagają zapewnić niezawodność wdrożenia usługi Azure Load Balancer. Zawiera najlepsze praktyki dotyczące wdrażania z redundancją strefową, redundancją w puli zaplecza i wdrażaniem globalnego równoważenia obciążenia. Wraz z niezawodnością równoważnika obciążenia bramy, który jest zalecany podczas używania urządzeń NVAs zamiast konfiguracji podwójnego równoważnika obciążenia.

Najlepsze rozwiązania dotyczące niezawodności

Poniższe najlepsze rozwiązania są zalecane, aby zapewnić niezawodność wdrożenia usługi Azure Load Balancer.

Wdrażanie przy użyciu nadmiarowości strefowej

Redundancja strefowa zapewnia najwyższą odporność danych, chroniąc ścieżkę danych przed awarią strefy. Wybór strefy dostępności modułu równoważenia obciążenia jest tożsamy z wyborem strefy IP frontend. W przypadku publicznych modułów równoważenia obciążenia, jeśli publiczny adres IP frontonu modułu równoważenia obciążenia jest strefowo nadmiarowy, moduł równoważenia obciążenia jest również strefowo nadmiarowy.

• Wdróż równoważnik obciążenia w regionie obsługującym strefy dostępności i włącz redundancję strefową podczas tworzenia nowego publicznego adresu IP używanego do konfiguracji IP frontonu.
• Nie można zmienić publicznych adresów IP na nadmiarowe strefowo, ale domyślnie aktualizujemy wszystkie niestrefowe publiczne adresy IP w warstwie Standardowa na nadmiarowe strefowo. Aby uzyskać więcej informacji, odwiedź następujący wpis na blogu Microsoft Azure Azure Public IPs are now zone-redundant by default | Microsoft Azure Blog. Aby wyświetlić najbardziej zaktualizowaną listę regionów, które domyślnie obsługują strefowo nadmiarowe publiczne adresy IP w warstwie Standard, zobacz Publiczne adresy IP na platformie Azure
• Jeśli nie możesz wdrożyć jako strefowo nadmiarowe, następną opcją jest wdrożenie strefowego równoważnika obciążenia.
• Frontend strefowy jest zalecany, gdy backend jest skoncentrowany w określonej strefie. Chociaż zalecamy wdrażanie członków puli zaplecza w wielu strefach, aby skorzystać z nadmiarowości strefowej.
• Zapoznaj się z poniższym dokumentem, jeśli chcesz przeprowadzić migrację istniejących wdrożeń do strefowej lub strefowo nadmiarowej usługi Migrate Load Balancer do obsługi stref dostępności.

Redundancja w zapleczu serwerowym

Upewnij się, że pula zapasowa zawiera co najmniej dwa wystąpienia. Jeśli pula zaplecza ma tylko jedno wystąpienie i jest w złej kondycji, cały ruch wysyłany do puli zaplecza kończy się niepowodzeniem z powodu braku nadmiarowości. Umowa SLA usługi Load Balancer wariantu Standard jest również obsługiwana tylko wtedy, gdy istnieją co najmniej dwa sprawne wystąpienia w każdej puli zaplecza. Aby uzyskać więcej informacji, odwiedź dokumentację SLA.

Wdrażanie globalnego modułu równoważenia obciążenia

Standardowy moduł równoważenia obciążenia obsługuje równoważenie obciążenia między regionami, umożliwiając nadmiarowość regionalną poprzez łączenie globalnego modułu równoważenia obciążenia z istniejącymi regionalnymi modułami równoważenia obciążenia. W przypadku globalnego modułu równoważenia obciążenia, jeśli jeden region ulegnie awarii, ruch jest kierowany do kolejnego najbliższego regionalnego modułu równoważenia obciążenia w dobrej kondycji. Aby uzyskać więcej informacji, odwiedź dokumentację globalną usługi Load Balancer.

Aby uzyskać więcej informacji, zobacz dokumentację niezawodności usługi Azure Load Balancer.

Niezawodność przy użyciu modułu równoważenia obciążenia bramy

Zalecane są następujące najlepsze praktyki, aby zapewnić niezawodność wdrożenia bramy Gateway Load Balancer.

Połącz swój moduł równoważenia obciążenia bramy ze standardowym publicznym modułem równoważenia obciążenia

Zaleca się łączenie bramowego równoważenia obciążenia z publicznym modułem równoważenia obciążenia standardowego. Ta konfiguracja zapewnia wysoką dostępność i nadmiarowość zarówno w warstwie NVA, jak i na warstwie aplikacji. Aby uzyskać więcej informacji, zobacz Samouczek: tworzenie modułu równoważenia obciążenia bramy

Użyj modułu równoważenia obciążenia Gateway podczas korzystania z wirtualnych urządzeń sieciowych zamiast konfiguracji podwójnego modułu równoważenia obciążenia.

Zalecamy użycie load balancera Gateway w scenariuszach ruchu północ-południe z partnerskimi Wirtualnymi Urządzeniami Sieciowymi (WUS). Łatwiej jest wdrożyć, ponieważ moduły równoważenia obciążenia w bramie nie wymagają dodatkowej konfiguracji, takiej jak trasy zdefiniowane przez użytkownika (UDR), ponieważ utrzymują lepkość przepływu i symetrię przepływu. Łatwiej jest nimi zarządzać, ponieważ urządzenia NVAs można łatwo dodawać i usuwać. Aby uzyskać więcej informacji, zobacz dokumentację Gateway Load Balancer.

Wskazówki dotyczące konfiguracji

Poniższe wskazówki dotyczące konfiguracji to najlepsze rozwiązania dotyczące konfigurowania wdrożeń usługi Azure Load Balancer.

Tworzenie sieciowych grup zabezpieczeń

Użyj reguły równoważenia obciążenia, aby kierować ruch z frontendu do puli zaplecza, a następnie użyj sieciowej grupy zabezpieczeń (NSG) w podsieci zaplecza lub na interfejsie sieciowym, aby zezwolić na ruch aplikacji. Dla ruchu zrównoważonego obciążenia NSG ocenia adres IP i port źródłowy klienta, a nie równoważnik obciążenia, więc pozwala na zakres portu źródłowego klienta, a nie tylko portu docelowego aplikacji. Aby uzyskać więcej informacji, zobacz Tworzenie, zmienianie lub usuwanie sieciowej grupy zabezpieczeń platformy Azure.

Odblokuj adres IP 168.63.129.16

Sprawdzaj dostęp do sondy zdrowotnej oddzielnie od dostępu do ruchu aplikacji. Zezwól na sondy kondycji z tagu usługi AzureLoadBalancer w grupach zabezpieczeń sieciowych (NSG) oraz z adresu 168.63.129.16 w lokalnych zasadach zapory. Jeśli blokujesz ruch aplikacji, ale testy sond zakończą się powodzeniem, przejrzyj regułę NSG dotyczącą ruchu aplikacji. Jeśli działanie sond zakończy się niepowodzeniem, sprawdź tolerancję sondy oraz aplikację nasłuchującą na porcie sondy. Więcej informacji można znaleźć w sekcji Azure Load Balancer health probe oraz What is IP address 168.63.129.16?

Używanie reguł ruchu wychodzącego z ręczną alokacją portów

Użyj reguł ruchu wychodzącego z ręczną alokacją portów zamiast domyślnej alokacji portów, aby zapobiec wyczerpaniu sieci SNAT lub awariom połączenia. Domyślna alokacja portów automatycznie przypisuje konserwatywną liczbę portów, co może spowodować większe ryzyko wyczerpania portów SNAT. Ręczna alokacja portów może pomóc w maksymalnym wykorzystaniu liczby portów SNAT dostępnych dla każdego wystąpienia w puli zaplecza, co może pomóc zapobiec wpływowi na połączenia wynikającemu z reasignacji portów. Istnieją dwie opcje ręcznego przydzielenia portów: "porty na wystąpienie" lub "maksymalna liczba wystąpień zaplecza". Aby zrozumieć zagadnienia obu tych elementów, zobacz Source Network Address Translation (SNAT) for outbound connections (Translacja adresów sieciowych źródła (SNAT) dla połączeń wychodzących.

Sprawdzanie trybu dystrybucji

Azure Load Balancer domyślnie używa trybu dystrybucji opartego na skrócie pięcioelementowego, a także oferuje utrzymanie sesji przy użyciu skrótu dwu- lub trzyelementowego. Rozważ, czy wdrożenie może korzystać z utrzymania sesji (znanego również jako koligacja sesji), gdzie połączenia z tego samego adresu IP klienta albo tego samego adresu IP klienta w połączeniu z protokołem przechodzą do tej samej instancji backendu w puli instancji backendu. Należy również wziąć pod uwagę, że włączenie koligacji sesji może spowodować nierównomierną dystrybucję obciążenia, ponieważ większość połączeń pochodzi z tego samego adresu IP klienta lub z tego samego adresu IP klienta i protokołu, które będą wysyłane do tej samej maszyny wirtualnej backend. Aby uzyskać więcej informacji na temat trybów dystrybucji usługi Azure Load Balancers, zobacz Tryby dystrybucji usługi Azure Load Balancer.

Włączanie resetowania protokołu TCP

Włączenie resetowań TCP w usłudze Load Balancer powoduje wysyłanie dwukierunkowych pakietów resetowania TCP do punktów końcowych klienta i serwera podczas bezczynności, aby poinformować punkty końcowe aplikacji, że upłynął limit czasu połączenia i nie można go już używać. Bez włączania resetowania protokołu TCP moduł równoważenia obciążenia dyskretnie odrzuca przepływy po osiągnięciu limitu czasu bezczynności przepływu. Korzystne może być również zwiększenie limitu czasu bezczynności i/lub użycie funkcji TCP keep-alive, jeśli widzisz przekroczenie limitu czasu połączeń. Aby uzyskać więcej informacji na temat resetowania protokołu TCP, limitów czasu bezczynności i utrzymywania aktywności protokołu TCP, odwiedź stronę Resetowanie protokołu TCP usługi Load Balancer i limit czasu bezczynności na platformie Azure.

Skonfiguruj interfejs loopback podczas ustawiania pływającego adresu IP.

Jeśli włączysz pływający adres IP, upewnij się, że masz interfejs sprzężenia zwrotnego w systemie operacyjnym gościa skonfigurowanym przy użyciu adresu IP frontonu modułu równoważenia obciążenia. Pływający adres IP musi być włączony, aby można było ponownie użyć portu zaplecza w obrębie wielu reguł. Niektóre przykładowe przypadki użycia ponownego użycia portów obejmują klastrowanie w celu zapewnienia wysokiej dostępności i wirtualnych urządzeń sieciowych. Aby uzyskać więcej informacji, zobacz Konfigurację pływających adresów IP usługi Azure Load Balancer.

Wdrażanie najlepszych praktyk dotyczących konfiguracji Gateway Load Balancer

Rozdziel zaufany i niezaufany ruch na dwa różne interfejsy tunelu; użyj typu interfejsu tunelu zewnętrznego dla niezaufanego/jeszcze nieoznaczonego lub zarządzanego ruchu i użyj typu interfejsu tunelu wewnętrznego dla zaufanego/kontrolowanego ruchu. Najlepszym rozwiązaniem w zakresie zabezpieczeń jest zapewnienie izolacji zaufanego i niezaufanego ruchu oraz umożliwia bardziej szczegółową kontrolę ruchu i rozwiązywanie problemów.

Upewnij się, że limit MTU dla NVAs został zwiększony do co najmniej 1550, lub do zalecanego limitu 4000 w scenariuszach, w których używane są ramki jumbo. Bez zwiększania limitu jednostki MTU można doświadczyć spadku pakietów ze względu na większy rozmiar pakietu z innych pakietów generowanych przez nagłówki sieci VXLAN.

Ogłoszenia o wycofaniu

Oprócz nowych usprawnień i aktualizacji usługi Azure Load Balancer, niektóre funkcje zostaną wycofane. Ważne jest, aby zachować aktualność i upewnić się, że wprowadzasz niezbędne zmiany, aby uniknąć potencjalnych zakłóceń w działaniu usługi. Aby uzyskać pełną listę anonsów dotyczących wycofywania, zobacz stronę Aktualizacje platformy Azure i filtruj dla pozycji "Load Balancer" w obszarze "Produkty" i "Wycofywanie" w obszarze "Typ aktualizacji".

Użyj lub zaktualizuj do Standardowego Load Balancera

Basic Load Balancer został wycofany 30 września 2025 roku. Jeśli nadal używasz Load Balancer w warstwie Podstawowa, przeprowadź uaktualnienie do usługa Load Balancer w warstwie Standardowa tak szybko, jak to możliwe. usługa Load Balancer w warstwie Standardowa zapewnia znaczące ulepszenia, w tym wysoką wydajność, ultra-niskie opóźnienia, domyślne bezpieczeństwo oraz dostępność SLA na poziomie 99,99%.

Nie używaj domyślnego dostępu wychodzącego

W przyszłości nie używaj domyślnego dostępu wychodzącego i upewnij się, że wszystkie maszyny wirtualne mają zdefiniowaną jawną metodę dostępu wychodzącego. Takie podejście zapewnia lepsze bezpieczeństwo i większą kontrolę nad tym, jak Twoje maszyny wirtualne łączą się z internetem. Domyślny dostęp wychodzący został wycofany 31 marca 2026 roku, a maszyny wirtualne utworzone po tej dacie muszą korzystać z jednego z następujących rozwiązań wychodzących do komunikacji z internetem:

• Połącz bramę NAT z podsiecią
• Użyj co najmniej jednego adresu IP frontonu modułu równoważenia obciążenia dla ruchu wychodzącego za pośrednictwem reguł ruchu wychodzącego
• Przypisz publiczny adres IP dla instancji maszyny wirtualnej

Następne kroki