Implementar um Azure Firewall com zonas de disponibilidade

Quais são as zonas de disponibilidade

As zonas de disponibilidade (AZs) são centros de dados fisicamente separados dentro de uma região Azure, cada um com energia, arrefecimento e rede independentes. As zonas de disponibilidade isolam falhas na infraestrutura e melhoram a resiliência e disponibilidade das aplicações.

Uma região que suporta zonas de disponibilidade tem tipicamente três zonas distintas (por exemplo, Zona 1, Zona 2 e Zona 3). Nem todas as regiões Azure suportam zonas de disponibilidade. Para o Azure Firewall, as zonas de disponibilidade determinam como as instâncias de firewall são colocadas numa região e quão resistente é a falhas zonais.

Redundância entre zonas

O Azure Firewall utiliza um modelo de implementação redundância zonal por padrão para melhorar a resiliência, disponibilidade e proteção contra falhas de zona.

Para novas implementações, não especifique zonas de disponibilidade para o firewall. O Azure gere a alocação de zonas de back-end entre múltiplas zonas de disponibilidade em regiões em que esta predefinição está disponível. Não precisas de escolher identificadores de zona para obter redundância de zona.

• Novos firewalls sem zonas especificadas são redundantes por zona por defeito nas regiões compatíveis com ZR.
• Firewalls existentes que não são redundantes por zona, incluindo firewalls com uma única zona explicitamente especificada, são migrados para a plataforma em regiões que suportam múltiplas zonas de disponibilidade.
• A migração está completa nas regiões listadas. Outras regiões são ativadas à medida que a migração avança.
• Não é necessário desalocar, reimplantar ou alterar as definições de zona do firewall para receber a migração automática.

Definições

As opções de implementação do Azure Firewall enquadram-se nas seguintes categorias.

Algumas regiões não suportam zonas de disponibilidade. Nessas regiões, o Azure Firewall continua a ser implementado como recurso regional.

Migração de plataforma de firewalls já existentes

O Azure Firewall migra firewalls existentes que não são redundantes entre zonas para se tornarem redundantes entre zonas em regiões que suportam múltiplas zonas de disponibilidade:

• A migração é automática e transparente.
• Não é necessário tempo de inatividade ou ação do administrador.

Regiões compatíveis com ZR

A 9 de outubro de 2026, a migração está completa e a redundância de zonas está disponível por defeito nas seguintes regiões.

As regiões EUAP têm acesso restrito. Use uma região disponível para a sua subscrição na cloud Azure apropriada.

Compreender as propriedades das zonas após a migração

Após a migração:

• Para retrocompatibilidade, o estado da migração (ou seja, a configuração atualizada da zona) não aparece imediatamente nas propriedades do modelo ARM, JSON ou Azure Resource Graph (ARG).
• O firewall continua a ser redundante em zona no backend.
• A infraestrutura da plataforma gere a redundância de zonas independentemente das propriedades do template ARM.

Configurar zonas de disponibilidade no Azure Firewall

Para o caminho de implementação recomendado, omita as definições da zona do firewall e deixe o Azure gerir a alocação. Escolha uma região compatível com ZR quando precisar de redundância de zona por defeito.

Usando o portal do Azure

• O portal do Azure não exige que selecione zonas de disponibilidade específicas ao criar um novo firewall. Em regiões compatíveis com ZR, o Azure gere por defeito a colocação redundante por zona.

Utilizar APIs

• Omita a propriedade do zones firewall em pedidos de API, templates ARM, Bicep e configurações Terraform. Em regiões compatíveis, o Azure gere a redundância de zonas no backend.
• Não adicione zonas explícitas a configurações existentes apenas para obter redundância de zona. Os firewalls existentes elegíveis são migrados automaticamente.

Utilizar o Azure PowerShell

O exemplo seguinte cria uma firewall sem passar -Zone para New-AzFirewall. O Azure gere a alocação de zonas de backend do firewall no Leste dos EUA, uma região compatível com ZR.

Quando crias um endereço IP público padrão sem especificar uma zona, está configurado como redundante de zona por defeito. Endereços IP públicos padrão podem ser associados a todas as zonas ou a uma única zona.

$rgName = "Test-FW-RG"

$vnet = Get-AzVirtualNetwork `
  -Name "Test-FW-VN" `
  -ResourceGroupName $rgName

$pip1 = New-AzPublicIpAddress `
  -Name "AzFwPublicIp1" `
  -ResourceGroupName "Test-FW-RG" `
  -Sku "Standard" `
  -Location "eastus" `
  -AllocationMethod Static `
  -Zone 1,2,3

New-AzFirewall `
  -Name "azFw" `
  -ResourceGroupName $rgName `
  -Location "eastus" `
  -VirtualNetwork $vnet `
  -PublicIpAddress @($pip1)

Limitações

• A redundância de zonas requer uma região que suporte múltiplas zonas de disponibilidade. Em regiões sem zonas de disponibilidade, o Azure Firewall continua a ser um recurso regional.
• As restrições regionais de capacidade podem afetar a implantação. Omitir zonas não contorna as restrições de capacidade. Revise os erros de implementação e os problemas conhecidos do Azure Firewall antes de alterar a sua configuração.
• As propriedades de portais e zonas de recursos não mostram necessariamente a colocação do backend gerido pela plataforma. Para mais informações, consulte Compreender as propriedades da zona após a migração.

Acordos de nível de serviço (SLA)

• Quando implementas o Azure Firewall como redundante de zona (duas ou mais Zonas de Disponibilidade), obténs um SLA de 99,99% de disponibilidade.
• Um SLA de 99,95% de disponibilidade aplica-se a implementações regionais em regiões que não suportam Zonas de Disponibilidade.

Para mais informações, consulte o Acordo de Nível de Serviço (SLA) do Azure Firewall e as funcionalidades do Azure Firewall por SKU.

Próximos passos

• Tutorial: Monitorizar Registos do Azure Firewall