Azure Application Gateway vs Load Balancer vs Front Door: cómo elegir la herramienta adecuada

By Mirko Peters · 2026-10-26

Compara Azure Application Gateway, Load Balancer y Front Door. Descubre cuándo usar enrutamiento de capa 4 o de capa 7 para tu arquitectura en la nube.

Automatically translated with AI from the original post. Read the English original

Elegir el enrutador de tráfico correcto en Microsoft Azure es fundamental para el rendimiento y la seguridad de las aplicaciones. Mientras que Azure Application Gateway se especializa en la gestión del tráfico web de capa 7 con enrutamiento basado en URL, los Load Balancer estándar y Azure Front Door responden a capas de red y necesidades de distribución global completamente diferentes para los arquitectos de nube.

Puntos clave

• Azure Application Gateway opera en la capa 7, leyendo las rutas y los nombres de host de las solicitudes HTTP/HTTPS.
• Azure Load Balancer funciona en la capa 4, trabajando estrictamente con direcciones IP y puertos sin leer el contenido de los datos.
• Azure Front Door proporciona equilibrio de carga global de capa 7 en varias regiones, con entrega de contenido integrada.
• Elegir el servicio de equilibrio de carga de Azure adecuado evita cuellos de botella en el enrutamiento y optimiza la postura de seguridad de la nube.
• Configurar mal los niveles de equilibrio de carga suele provocar problemas de latencia ocultos y una sobrecarga operativa innecesaria.

Comprender el espectro del equilibrio de carga en Azure

Al diseñar una infraestructura en la nube en Microsoft Azure, los ingenieros se enfrentan inevitablemente a un laberinto de opciones de red. La confusión suele empezar al intentar distinguir los gestores de tráfico locales de los globales, y el equilibrio de carga de capa 4 del suministro de aplicaciones de capa 7. Si colocas la herramienta equivocada en el punto de entrada de tu arquitectura, puede que no consigas enrutar el tráfico según las rutas de URL o que te cueste proteger los endpoints con un firewall de aplicaciones web.

La división entre capa 4 y capa 7

Para entender dónde encaja Azure Application Gateway, primero hay que ver en qué se diferencia la red tradicional del suministro de aplicaciones moderno. Un Azure Load Balancer estándar trabaja en lo profundo de la pila de red, en la capa 4. Actúa como un empleado de correspondencia que solo lee el exterior del sobre: revisa las direcciones IP y los puertos de origen y destino. Nunca abre el sobre para ver lo que hay dentro.

En cambio, Azure Application Gateway opera en la capa 7. Lee el contenido real de la solicitud web, incluidas la ruta de la URL y el nombre del sitio web solicitado. Esta capacidad le permite tomar decisiones de enrutamiento inteligentes, como enviar las solicitudes de imágenes a un grupo de servidores de procesamiento de imágenes dedicado mientras dirige las solicitudes de vídeo a otro lugar. Los balanceadores de capa 4 tradicionales simplemente no pueden ver el tráfico web con la profundidad necesaria para hacer estas distinciones.

En profundidad: capacidades de Azure Application Gateway

Azure Application Gateway se sitúa directamente delante de tus aplicaciones web, dentro de una subred dedicada, y actúa como un recepcionista inteligente. Se encarga de tareas que, de otro modo, sobrecargarían tus servidores back-end, liberando recursos de cómputo para la lógica de tu aplicación.

Terminación TLS y seguridad

Una de las principales ventajas de desplegar una puerta de enlace de aplicaciones es la terminación TLS. En lugar de obligar a cada máquina virtual o app service del backend a gestionar certificados SSL, realizar complejos cálculos criptográficos y encargarse de las renovaciones de forma individual, la puerta de enlace acepta la conexión HTTPS cifrada en el perímetro. Descifra el tráfico, lo inspecciona y lo reenvía de forma segura a tu grupo de backend. Como alternativa, puedes configurar el cifrado de extremo a extremo si tus requisitos de cumplimiento de seguridad exigen que el tráfico permanezca cifrado hasta el servidor.

Firewall de aplicaciones web (WAF)

La seguridad va más allá del cifrado. TLS evita que personas ajenas espíen el tráfico, pero no hace nada para impedir que actores maliciosos envíen cargas dañinas. La SKU WAF V2 de Azure Application Gateway integra protección frente a vulnerabilidades web comunes basada en el conjunto de reglas principal de OWASP. Bloquea de forma activa la inyección SQL, el cross-site scripting (XSS) y la inyección de comandos antes de que esos ataques lleguen a tus servidores de backend. Ejecutar el WAF en modo de detección al principio permite a los equipos de ingeniería identificar falsas alarmas y ajustar las reglas antes de pasar al modo de prevención.

Cuándo elegir Azure Front Door

Aunque Azure Application Gateway es una solución regional excepcional, las empresas modernas suelen abarcar varias regiones geográficas. Si tus usuarios están distribuidos por todo el mundo, en distintos continentes, una puerta de enlace de aplicaciones regional introducirá latencia para los usuarios que se conecten desde lejos. Aquí es donde entra en juego Azure Front Door.

Azure Front Door es una red de entrega de contenido (CDN) global moderna en la nube y un equilibrador de carga de capa 7. Proporciona un acceso rápido, fiable y seguro entre los usuarios y tu contenido web global, tanto estático como dinámico. Front Door utiliza la red perimetral global de Microsoft, acercando las conexiones de los usuarios lo máximo posible al borde de la red. Mientras que Application Gateway gestiona el tráfico dentro de una región de Azure o red virtual concreta, Front Door orquesta el enrutamiento global, la descarga SSL y la protección WAF en varias regiones de todo el mundo.

Conclusión

Elegir el servicio de equilibrio de carga adecuado en Azure depende en gran medida de la arquitectura de tu aplicación, de la distribución geográfica de tus usuarios y de los requisitos de inspección del tráfico. Tanto si necesitas enrutamiento regional basado en rutas con protección WAF integrada como una red de entrega global, entender estas diferencias garantiza un entorno en la nube resiliente. Para un desglose más profundo y sin jerga de cómo funcionan estos componentes juntos en la práctica, no dejes de escuchar el episodio completo del podcast, con la opinión de expertos y estrategias prácticas.

Preguntas frecuentes

¿Puede Azure Application Gateway reemplazar a Azure Load Balancer?

No, porque operan en capas distintas del modelo OSI. Azure Application Gateway está diseñado exclusivamente para tráfico web (HTTP/HTTPS) en la capa 7, mientras que Azure Load Balancer gestiona protocolos no web, como TCP, UDP y el tráfico de bases de datos, en la capa 4.

¿Cuándo debo usar Azure Front Door en lugar de Application Gateway?

Debes elegir Azure Front Door cuando tu aplicación abarque varias regiones geográficas y necesites equilibrio de carga global, conmutación por error instantánea entre regiones y entrega de contenido en el perímetro, en lugar de enrutamiento regional.

¿Admite Azure Application Gateway varios sitios web en una única IP?

Sí. Mediante reglas de enrutamiento multisitio y escuchas dedicados, una única implementación de Azure Application Gateway puede alojar hasta 40 sitios web distintos utilizando una única dirección IP pública estática.

¿Cómo funciona el escalado automático en Azure Application Gateway V2?

El escalado automático permite que la puerta de enlace aumente o reduzca automáticamente el número de instancias según la demanda de tráfico fluctuante. Puedes definir límites mínimo y máximo de instancias, y la puerta de enlace ajusta de forma dinámica las unidades de capacidad para mantener una alta disponibilidad.