Azure Application Gateway, Load Balancer или Front Door: как выбрать правильный инструмент

By Mirko Peters · 2026-10-26

Сравните Azure Application Gateway, Load Balancer и Front Door. Узнайте, когда использовать маршрутизацию уровня 4 и уровня 7 в вашей облачной архитектуре.

Automatically translated with AI from the original post. Read the English original

Выбор правильного маршрутизатора трафика в Microsoft Azure критически важен для производительности и безопасности приложений. Azure Application Gateway специализируется на управлении веб-трафиком уровня 7 с маршрутизацией на основе URL, тогда как стандартные балансировщики нагрузки и Azure Front Door работают на совершенно других сетевых уровнях и решают задачи глобального распределения для облачных архитекторов.

Главное

• Azure Application Gateway работает на уровне 7, анализируя пути запросов и имена хостов HTTP/HTTPS.
• Azure Load Balancer работает на уровне 4, оперируя только IP-адресами и портами, без чтения содержимого пакетов.
• Azure Front Door обеспечивает глобальную многорегиональную балансировку нагрузки уровня 7 со встроенной доставкой контента.
• Правильный выбор сервиса балансировки нагрузки Azure предотвращает узкие места в маршрутизации и повышает уровень безопасности облачной инфраструктуры.
• Ошибки в настройке уровней балансировки нагрузки часто приводят к скрытым задержкам и лишним эксплуатационным затратам.

Спектр возможностей балансировки нагрузки в Azure

При проектировании облачной инфраструктуры в Microsoft Azure инженеры неизбежно сталкиваются с лабиринтом сетевых опций. Путаница обычно начинается, когда нужно отделить локальные менеджеры трафика от глобальных, а балансировку уровня 4 от доставки приложений уровня 7. Если поставить не тот инструмент на входе в архитектуру, можно обнаружить, что невозможно маршрутизировать трафик по путям URL или что с защитой конечных точек с помощью веб-брандмауэра возникают трудности.

Разница между уровнями 4 и 7

Чтобы понять, где находится Azure Application Gateway, сначала нужно разобраться, чем традиционная сеть отличается от современной доставки приложений. Стандартный Azure Load Balancer работает глубоко в сетевом стеке, на уровне 4. Он действует как сотрудник почтового отделения, который читает только надпись на конверте: проверяет IP-адреса отправителя и получателя, а также порты. Он никогда не вскрывает конверт, чтобы посмотреть, что внутри.

Azure Application Gateway, напротив, работает на уровне 7. Он читает реальное содержимое веб-запроса, включая путь URL и имя запрошенного веб-сайта. Это позволяет шлюзу принимать интеллектуальные решения о маршрутизации, например направлять запросы к изображениям на выделенный пул серверов обработки изображений, а запросы к видео — в другое место. Традиционные балансировщики уровня 4 просто не могут достаточно хорошо видеть содержимое веб-трафика, чтобы проводить такие различия.

Подробно: возможности Azure Application Gateway

Azure Application Gateway располагается непосредственно перед вашими веб-приложениями, в выделенной подсети, и выполняет роль умного администратора на ресепшн. Он берёт на себя задачи, которые иначе легли бы на ваши серверы внутренней обработки, освобождая вычислительные ресурсы для логики самого приложения.

Завершение TLS и безопасность

Одно из главных преимуществ развёртывания шлюза приложений —終端ация TLS. Вместо того чтобы заставлять каждую виртуальную машину или службу приложений в бэкенде управлять сертификатами SSL, выполнять сложные криптографические вычисления и самостоятельно обрабатывать продление, шлюз принимает зашифрованное HTTPS-подключение на границе. Он расшифровывает трафик, проверяет его и безопасно передаёт в пул бэкенда. Кроме того, вы можете настроить сквозное шифрование, если требования безопасности и соответствия предписывают, чтобы трафик оставался зашифрованным до самого сервера.

Брандмауэр веб-приложений (WAF)

Безопасность не ограничивается шифрованием. TLS не даёт посторонним перехватывать трафик, но не мешает злоумышленникам отправлять вредоносные полезные нагрузки. Версия WAF V2 SKU шлюза приложений Azure включает защиту от распространённых веб-уязвимостей на основе базового набора правил OWASP. Она активно блокирует SQL-инъекции, межсайтовый скриптинг (XSS) и внедрение команд до того, как эти атаки достигнут бэкенд-серверов. Запуск WAF в режиме обнаружения на первом этапе позволяет командам инженеров выявлять ложные срабатывания и настраивать правила до перехода в режим предотвращения.

Когда выбрать Azure Front Door

Azure Application Gateway — отличное региональное решение, но современные предприятия часто работают в нескольких географических регионах. Если ваши пользователи распределены по всему миру, на континентах, региональный шлюз приложений будет добавлять задержку для пользователей, подключающихся издалека. Именно здесь на сцену выходит Azure Front Door.

Azure Front Door — это современная глобальная облачная сеть доставки контента (CDN) и балансировщик нагрузки уровня 7. Он обеспечивает быстрый, надёжный и безопасный доступ между пользователями и вашим статическим и динамическим глобальным веб-контентом. Front Door использует глобальную периферийную сеть Microsoft, приближая входящие пользовательские подключения как можно ближе к границе сети. Если Application Gateway обрабатывает трафик в пределах конкретного региона Azure или виртуальной сети, то Front Door организует глобальную маршрутизацию, разгрузку SSL и защиту WAF в нескольких регионах по всему миру.

Заключение

Выбор подходящей службы балансировки нагрузки в Azure во многом зависит от архитектуры приложения, географического распределения пользователей и требований к инспекции трафика. Нужна ли вам региональная маршрутизация на основе путей с интегрированной защитой WAF или глобальная сеть доставки, понимание этих различий обеспечит отказоустойчивую облачную среду. Чтобы глубже и без лишнего жаргона разобраться, как эти компоненты работают вместе на практике, обязательно послушайте полный выпуск подкаста с экспертными советами и практическими стратегиями!

Часто задаваемые вопросы

Может ли Azure Application Gateway заменить Azure Load Balancer?

Нет, поскольку они работают на разных уровнях модели OSI. Azure Application Gateway предназначен исключительно для веб-трафика (HTTP/HTTPS) на уровне 7, тогда как Azure Load Balancer обрабатывает не веб-протоколы, такие как TCP, UDP и трафик баз данных, на уровне 4.

Когда следует использовать Azure Front Door вместо Application Gateway?

Azure Front Door стоит выбирать, когда ваше приложение работает в нескольких географических регионах и вам нужны глобальная балансировка нагрузки, мгновенное переключение при отказе между регионами и доставка контента с периферийных узлов, а не региональная маршрутизация.

Поддерживает ли Azure Application Gateway несколько веб-сайтов на одном IP-адресе?

Да. С помощью правил маршрутизации нескольких сайтов и выделенных прослушивателей одно развёртывание Azure Application Gateway может размещать до 40 различных веб-сайтов, используя один статический публичный IP-адрес.

Как работает автомасштабирование в Azure Application Gateway V2?

Автомасштабирование позволяет шлюзу автоматически увеличивать или уменьшать количество экземпляров в зависимости от колеблющегося трафика. Вы можете задать минимальный и максимальный пределы экземпляров, и шлюз динамически корректирует единицы емкости, чтобы поддерживать высокую доступность.