Implantar um Firewall do Azure com zonas de disponibilidade

O que são zonas de disponibilidade

As AZs (zonas de disponibilidade) são datacenters fisicamente separados em uma região do Azure, cada uma com energia, resfriamento e rede independentes. As zonas de disponibilidade isolam falhas de infraestrutura e melhoram a resiliência e a disponibilidade dos aplicativos.

Uma região que dá suporte a zonas de disponibilidade normalmente tem três zonas distintas (por exemplo, Zona 1, Zona 2 e Zona 3). Nem todas as regiões do Azure dão suporte a zonas de disponibilidade. Para o Firewall do Azure, as zonas de disponibilidade determinam como as instâncias de firewall são colocadas dentro de uma região e o quão resiliente o firewall é para falhas zonais.

Redundância de zona

O Firewall do Azure usa um modelo de implantação com redundância de zona por padrão para melhorar a resiliência, a disponibilidade e a proteção contra falhas zonais.

Para novas implantações, não especifique zonas de disponibilidade para o firewall. O Azure gerencia a alocação de zonas de back-end entre múltiplas zonas de disponibilidade em regiões onde a opção padrão está disponível. Você não precisa escolher identificadores de zona para obter redundância de zona.

• Novos firewalls sem zonas especificadas são redundantes por zona por padrão nas regiões compatíveis com ZR.
• Firewalls existentes que não são redundantes de zona, incluindo firewalls com uma única zona explicitamente especificada, são migrados para a plataforma em regiões que suportam múltiplas zonas de disponibilidade.
• A migração está completa nas regiões listadas. Outras regiões são habilitadas à medida que a migração avança.
• Você não precisa desalocar, reimplantar ou mudar as configurações de zona do firewall para receber a migração automática.

Definições

As opções de implantação do Firewall do Azure se enquadram nas seguintes categorias.

Algumas regiões não dão suporte a zonas de disponibilidade. Nessas regiões, o Firewall do Azure continua a ser implantado como um recurso regional.

Migração de plataforma de firewalls existentes

O Firewall do Azure migra firewalls existentes que não são redundantes por zona para se tornarem redundantes por zona em regiões que oferecem suporte a várias zonas de disponibilidade:

• A migração é automática e transparente.
• Nenhum tempo de inatividade ou ação de administrador é necessária.

Regiões compatíveis com ZR

A partir de 9 de outubro de 2026, a migração está completa e a redundância de zonas por padrão está disponível nas seguintes regiões.

Regiões EUAP têm acesso restrito. Use uma região disponível para sua assinatura na nuvem Azure apropriada.

Noções básicas sobre as propriedades da zona após a migração

Após a migração:

• Para compatibilidade retroativa, o status de migração (ou seja, configuração atualizada da zona) não aparece imediatamente nas propriedades do template ARM, JSON ou Azure Resource Graph (ARG).
• O firewall ainda tem redundância de zona no back-end.
• A infraestrutura da plataforma gerencia a redundância de zona independentemente das propriedades do modelo do ARM.

Configurar zonas de disponibilidade no Firewall do Azure

Para o caminho de implantação recomendado, omita as configurações de zona do firewall e deixe o Azure gerenciar a alocação. Escolha uma região compatível com ZR quando você precisar de redundância de zona por padrão.

Usando o portal do Azure

• O portal do Azure não exige que você selecione zonas de disponibilidade específicas ao criar um novo firewall. Em regiões compatíveis com ZR, o Azure gerencia por padrão o posicionamento redundante de zonas.

Como usar APIs

• Omita a propriedade do zones firewall em solicitações de API, templates ARM, Bicep e configurações do Terraform. Em regiões compatíveis, o Azure gerencia a redundância de zonas no backend.
• Não adicione zonas explícitas a configurações existentes apenas para obter redundância de zona. Firewalls existentes elegíveis são migrados automaticamente.

Usando o PowerShell do Azure

O exemplo a seguir cria um firewall sem passar -Zone para New-AzFirewall. O Azure gerencia a alocação de zonas backend do firewall no Leste dos EUA, uma região compatível com ZR.

Quando você cria um endereço IP público padrão sem especificar uma zona, ele é configurado como com redundância de zona por padrão. Os endereços IP públicos padrão podem ser associados a todas as zonas ou a uma única zona.

$rgName = "Test-FW-RG"

$vnet = Get-AzVirtualNetwork `
  -Name "Test-FW-VN" `
  -ResourceGroupName $rgName

$pip1 = New-AzPublicIpAddress `
  -Name "AzFwPublicIp1" `
  -ResourceGroupName "Test-FW-RG" `
  -Sku "Standard" `
  -Location "eastus" `
  -AllocationMethod Static `
  -Zone 1,2,3

New-AzFirewall `
  -Name "azFw" `
  -ResourceGroupName $rgName `
  -Location "eastus" `
  -VirtualNetwork $vnet `
  -PublicIpAddress @($pip1)

Limitações

• Redundância de zonas requer uma região que suporte múltiplas zonas de disponibilidade. Em regiões sem zonas de disponibilidade, o Firewall do Azure continua sendo um recurso regional.
• Restrições regionais de capacidade podem afetar a implantação. Omitir zonas não contorna as restrições de capacidade. Revise os erros de implantação e os problemas conhecidos do Firewall do Azure antes de mudar sua configuração.
• As propriedades do portal e da zona de recursos não necessariamente exibem a alocação do backend gerenciado pela plataforma. Para mais informações, veja Compreendendo as propriedades das zonas após a migração.

Contratos de nível de serviço (SLA)

• Ao implantar o Firewall do Azure como redundância de zona (duas ou mais Zonas de Disponibilidade), você obtém um SLA de 99,99% de tempo de atividade.
• Um SLA de tempo de atividade 99.95% se aplica a implantações regionais em regiões que não dão suporte a Zonas de Disponibilidade.

Para obter mais informações, consulte o Contrato de Nível de Serviço (SLA) do Firewall do Azure e os recursos do Firewall do Azure por SKU.

Próximas etapas

• Tutorial: Monitorar os logs do Firewall do Azure