Azure Application Gateway проти Load Balancer і Front Door: вибір правильного інструменту

By Mirko Peters · 2026-10-26

Порівняйте Azure Application Gateway, Load Balancer і Front Door. Дізнайтеся, коли використовувати маршрутизацію Layer 4 чи Layer 7 для вашої хмарної архітектури.

Automatically translated with AI from the original post. Read the English original

Вибір правильного маршрутизатора трафіку в Microsoft Azure критично важливий для продуктивності та безпеки застосунків. Azure Application Gateway спеціалізується на керуванні веб-трафіком Layer 7 з маршрутизацією за URL, тоді як стандартні Load Balancer і Azure Front Door працюють на зовсім інших мережевих рівнях і відповідають різним вимогам до глобального розподілу для хмарних архітекторів.

Головне

• Azure Application Gateway працює на Layer 7: він читає шляхи HTTP/HTTPS-запитів і імена хостів.
• Azure Load Balancer працює на Layer 4: він оперує виключно IP-адресами та портами, не читаючи вмісту пакетів.
• Azure Front Door забезпечує глобальне балансування навантаження Layer 7 у кількох регіонах із вбудованою доставкою контенту.
• Правильно підібрана служба балансування навантаження в Azure запобігає вузьким місцям маршрутизації та покращує безпековий стан хмари.
• Неправильна конфігурація рівнів балансувальників часто призводить до прихованих затримок і зайвих витрат на експлуатацію.

Розуміння спектра балансування навантаження в Azure

Проєктуючи хмарну інфраструктуру в Microsoft Azure, інженери неминуче стикаються з лабіринтом мережевих варіантів. Плутанина зазвичай починається, коли потрібно відрізнити локальні менеджери трафіку від глобальних, а балансування Layer 4 від доставки застосунків Layer 7. Якщо розмістити не той інструмент на вхідній точці архітектури, можна опинитися в ситуації, коли неможливо маршрутизувати трафік за шляхами URL або важко захистити кінцеві точки за допомогою веб-брандмауера застосунків.

Розподіл Layer 4 і Layer 7

Щоб зрозуміти, де місце Azure Application Gateway, спочатку варто подивитися, чим традиційна мережева взаємодія відрізняється від сучасної доставки застосунків. Стандартний Azure Load Balancer працює глибоко в мережевому стеку, на Layer 4. Він поводиться як працівник поштового відділення, який бачить лише зовнішній бік конверта: перевіряє IP-адреси джерела й призначення та порти. Він ніколи не відкриває конверт, щоб подивитися, що всередині.

Натомість Azure Application Gateway працює на Layer 7. Він читає фактичний вміст веб-запиту, зокрема шлях URL і запитувану назву веб-сайту. Це дозволяє шлюзу приймати розумні рішення щодо маршрутизації, наприклад надсилати запити на зображення до окремого пулу серверів обробки зображень, а відео спрямовувати деінде. Традиційні балансувальники Layer 4 просто не здатні достатньо добре бачити всередину веб-трафіку, щоб робити такі розрізнення.

Поглиблений огляд: можливості Azure Application Gateway

Azure Application Gateway розміщується безпосередньо перед вашими веб-застосунками у виділеній підмережі й діє як розумний рецепціоніст. Він бере на себе завдання, які інакше навантажували б ваші внутрішні сервери, звільняючи ресурси обчислень для власної логіки застосунку.

Термінація TLS і безпека

Одна з головних переваг розгортання шлюзу застосунків — термінація TLS. Замість того щоб змушувати кожну окрему віртуальну машину або службу застосунків на сервері внутрішнього пулу керувати SSL-сертифікатами, виконувати складні криптографічні обчислення та самостійно займатися їх поновленням, шлюз приймає зашифроване з'єднання HTTPS на периферії. Він розшифровує трафік, перевіряє його та безпечно передає до пулу бекенд-серверів. Крім того, можна налаштувати наскрізне шифрування, якщо вимоги безпеки та відповідності вимагають, щоб трафік залишався зашифрованим аж до сервера.

Брандмауер веб-застосунків (WAF)

Безпека не обмежується шифруванням. TLS не дає стороннім підслуховувати трафік, але нічого не робить, щоб зупинити зловмисників від надсилання шкідливих корисних навантажень. Версія WAF V2 для Azure Application Gateway забезпечує захист від поширених веб-вразливостей на основі базового набору правил OWASP. Вона активно блокує SQL-ін'єкції, міжсайтовий скриптинг (XSS) та ін'єкції команд ще до того, як ці атаки досягнуть ваших бекенд-серверів. Спочатку запуск WAF у режимі виявлення дозволяє інженерним командам знаходити хибні спрацьовування та налаштовувати правила перед переходом у режим запобігання.

Коли варто обрати Azure Front Door

Azure Application Gateway — чудове регіональне рішення, але сучасні підприємства часто працюють у кількох географічних регіонах. Якщо ваші користувачі розподілені по всьому світу, на різних континентах, регіональний шлюз застосунків створюватиме затримки для користувачів, які підключаються здалеку. Саме тут на допомогу приходить Azure Front Door.

Azure Front Door — це сучасна глобальна хмарна мережа доставки контенту (CDN) і балансувальник навантаження рівня 7. Він забезпечує швидкий, надійний і безпечний доступ між користувачами та вашим статичним і динамічним глобальним веб-контентом. Front Door використовує глобальну периферійну мережу Microsoft, наближаючи вхідні з'єднання користувачів якомога ближче до периферії мережі. Якщо Application Gateway обробляє трафік у межах конкретного регіону Azure або віртуальної мережі, то Front Door організовує глобальну маршрутизацію, термінацію SSL та захист WAF у багатьох регіонах світу.

Висновок

Вибір правильної служби балансування навантаження в Azure значною мірою залежить від архітектури вашого застосунку, географічного розподілу користувачів і вимог до перевірки трафіку. Чи потрібна вам регіональна маршрутизація на основі шляхів з інтегрованим захистом WAF, чи глобальна мережа доставки — розуміння цих відмінностей забезпечує стійке хмарне середовище. Щоб детальніше і без зайвого жаргону розібратися, як ці компоненти працюють разом на практиці, обов'язково послухайте повний випуск подкасту з експертними порадами та практичними стратегіями!

Поширені запитання

Чи може Azure Application Gateway замінити Azure Load Balancer?

Ні, оскільки вони працюють на різних рівнях моделі OSI. Azure Application Gateway призначений виключно для веб-трафіку (HTTP/HTTPS) на рівні 7, тоді як Azure Load Balancer обробляє невеб-протоколи, зокрема TCP, UDP і трафік баз даних, на рівні 4.

Коли слід використовувати Azure Front Door замість Application Gateway?

Azure Front Door варто обрати, коли ваш застосунок розташовано в кількох географічних регіонах і вам потрібні глобальне балансування навантаження, миттєве перемикання між регіонами та доставка контенту з периферійних вузлів, а не регіональна маршрутизація.

Чи підтримує Azure Application Gateway кілька веб-сайтів на одній IP-адресі?

Так. Завдяки правилам маршрутизації для кількох сайтів і окремим прослуховувачам один розгорнутий Azure Application Gateway може обслуговувати до 40 різних веб-сайтів з однією статичною публічною IP-адресою.

Як працює автомасштабування в Azure Application Gateway V2?

Автомасштабування дозволяє шлюзу автоматично збільшувати або зменшувати кількість екземплярів залежно від коливань трафіку. Ви можете задати мінімальну й максимальну кількість екземплярів, а шлюз динамічно коригує обсяг ресурсів, щоб підтримувати високу доступність.