Application Gateway: roteamento na camada 7, WAF, TLS, investigações e escolha do serviço
Domine listeners, regras de roteamento, configurações e pools de back-end, roteamento por URL e host, afinidade por cookie, investigações de integridade, terminação TLS, TLS de ponta a ponta, WAF, dimensionamento automático e drenagem de conexão.
Tempo de estudo sugerido: 70 minutos • Nível intermediário • Reescrita autoral baseada no módulo fornecido do Microsoft Learn e corrigida pela documentação vigente do Application Gateway
Por João Ricardo Dutra••Conteúdo autoral completo
1. Substitua um Web antigo por um serviço gerenciado do
A Adatum administra uma loja crescente de drones industriais. Os aplicativos Web ainda estão em servidores no local, e um dispositivo antigo da rede de perímetro controla o tráfego. A equipe quer que o intermedeie essas conexões sem perder disponibilidade, desempenho, afinidade ou segurança.
A substituição deve retirar servidores indisponíveis da rotação, terminar para reduzir o trabalho de CPU no back-end, manter a sessão de um cliente no mesmo servidor quando o estado for local e rejeitar ataques como injeção de SQL e scripts entre sites antes que cheguem ao aplicativo.
Explicar a finalidade e os componentes do .
Acompanhar solicitações (S) por listeners, regras, configurações e pools de back-end.
Configurar roteamento por caminho e host, afinidade, investigações e manutenção gradual.
Comparar terminação com de ponta a ponta e explicar a inspeção do .
Escolher ou outro serviço de tráfego do .
São pré-requisitos os fundamentos de rede, máquinas virtuais do ,, redes virtuais, e .
O combina um ponto de entrada, uma decisão ciente do aplicativo, conectividade de back-end e avaliação contínua de integridade.
2. O é um de terminação para tráfego de aplicativo
O aceita a conexão do cliente e abre outra conexão com o destino escolhido. Em e , ele lê atributos da camada de aplicativo, como host e caminho da , e toma decisões mais precisas que um balanceador limitado a e porta.
Os pools podem conter máquinas virtuais, instâncias de , aplicativos do , IPs privados, FQDNs ou servidores locais alcançáveis pela rede virtual. O serviço distribui, inspeciona com , termina , criptografa novamente, dimensiona, drena conexões e preserva afinidade.
3. O roteamento na camada 7 difere da distribuição de fluxos na camada 4
Escolha a camada correspondente ao requisito.
Capacidade
Modelo
de terminação com roteamento ciente do aplicativo
Distribuidor de fluxos por passagem
Protocolos típicos
,, /2 e ; v2 também oferece /
e
Critérios
Host, caminho, listener, cabeçalhos e regras
IPs, portas, protocolo e do fluxo
Segurança
opcional para (S)
Sem inspeção da carga Web
Escopo
Entrega regional de aplicativos
Distribuição regional ou entre regiões
O foco da AZ-104 continua sendo a camada 7 descrita no PDF. v2 atuais também podem intermediar e , mas o não inspeciona esses listeners que não são .
4. O caminho passa por front-end, listener, , regra, configuração e pool
O resolve o nome para um front-end. Um listener correspondente aceita a conexão. Com em (S), a política avalia a solicitação. A regra escolhe pool e configuração de back-end, e o cria uma nova conexão com um membro íntegro.
A regra liga o listener voltado ao cliente a um destino e ao comportamento da conexão de back-end.
5. As configurações de front-end definem como o cliente chega
O front-end pode ser público, privado ou ambos. A afirmação antiga do PDF sobre apenas um público e um privado ficou incompleta: a documentação atual de listeners permite até quatro configurações—pública e privada para e —conforme SKU e disponibilidade do recurso.
Cada listener referencia um front-end e uma porta. O Standard_v2 usa virtual estático e pode ser redundante entre zonas. Uma implantação somente privada mantém o dentro da rede virtual.
6. Listeners reconhecem qual conexão deve ser aceita
Um listener (S) combina front-end, porta, protocolo e, opcionalmente, nomes de host. Em , também referencia o certificado apresentado ao cliente. Um listener básico aceita o tráfego correspondente sem host específico; o listener de vários sites distingue sites pelo cabeçalho Host ou do .
Quando mais de um listener pode corresponder, a prioridade da regra v2 define a ordem. Coloque o host específico antes do curinga para que um padrão amplo não capture a solicitação primeiro.
7. Regras e configurações de back-end controlam destino e conexão
Uma regra básica mapeia um listener para um pool. A regra baseada em caminho acrescenta um mapa de que pode selecionar diferentes pools e configurações. Cada regra v2 tem prioridade exclusiva; o menor número é avaliado primeiro.
A configuração de back-end controla a segunda conexão: ou , porta, tempo limite, nome do host, afinidade por , drenagem e investigação. Ela traduz a intenção de roteamento no protocolo usado para falar com o servidor.
do cliente pertence ao listener; protocolo e validação do certificado de back-end pertencem à configuração de back-end.
8. Pools de back-end reúnem destinos alcançáveis e compatíveis
O pool é um conjunto lógico de destinos. Os membros podem ser interfaces de máquinas ou conjuntos de dimensionamento, IPs e FQDNs, inclusive servidores locais alcançáveis. Quem atende ao mesmo aplicativo deve expor portas, conteúdo, estado de sessão e segurança compatíveis.
Para FQDN, o resolve o e mantém o resultado pelo do registro. A associação ao pool diz onde estão os destinos; a configuração diz como chegar. O funciona melhor preservando o domínio personalizado, e serviços confiáveis do normalmente não exigem raiz confiável carregada manualmente.
9. Distribuição e afinidade por atendem necessidades diferentes
Entre os destinos íntegros do pool escolhido, o distribui novas solicitações em comportamento round-robin. A afinidade adiciona um do para que pedidos posteriores da mesma sessão voltem ao mesmo back-end, o que ajuda no cenário da Adatum com estado armazenado localmente.
Afinidade não corrige o desenho do estado: pode desequilibrar a utilização, e a falha do servidor ainda perde a sessão local. Prefira aplicativos sem estado ou um repositório de sessão externo e ative afinidade apenas quando necessária.
10. Investigações de integridade retiram pontos com falha
O investiga cada membro periodicamente, deixa de enviar novas solicitações a quem estiver não íntegro e continua monitorando. Quando o ponto se recupera, volta à rotação automaticamente.
Investigação padrão e personalizada.
Tipo
Comportamento
Uso
Padrão
(S) na porta da configuração a cada 30 segundos; 200–399 é íntegro
Ponto simples que responde no host e caminho padrão
Personalizada
Define host, caminho, protocolo, intervalo, , limite de falhas e correspondência
Aplicativo com próprio ou critério mais rigoroso
A expressão do PDF “espera 30 segundos” simplifica demais. No v2, intervalo e limite de falhas consecutivas determinam o momento da remoção. O caminho de saúde deve validar dependências essenciais do aplicativo, não apenas a existência da máquina.
11. O roteamento por caminho envia áreas da a pools especializados
Um mapa pode enviar `/video/*` para servidores de mídia, `/images/*` para servidores de imagem e o restante para um pool padrão. A avaliação ocorre depois que listener e regra baseada em caminho correspondem.
Assim, um host expõe áreas escaladas de forma independente. Ordem e especificidade importam para que um padrão abrangente não encubra outro mais restrito.
O caminho da passa a fazer parte da decisão de balanceamento.
12. O roteamento de vários sites hospeda muitos domínios em um
Vários nomes podem apontar para o mesmo . Listeners distintos reconhecem `contoso.com`, `fabrikam.com` ou curingas e encaminham cada site ao seu pool. É útil em plataformas multilocatário e entrada compartilhada.
O serviço atual hospeda mais de 100 sites e admite vários nomes ou curingas por listener dentro dos limites documentados. Em , certificados e precisam cobrir os nomes apresentados.
O host isola sites sem duplicar o .
13. Redirecionamentos, regravações e erros moldam a troca
Redirecione o cliente a outra ou force para ; o navegador recebe a resposta e faz nova solicitação.
Regrave , consulta ou cabeçalho compatível dentro do ; o navegador não vê a mudança de .
Insira cabeçalhos de segurança ou remova cabeçalhos de resposta que revelem detalhes.
Mostre páginas de erro personalizadas com a marca da organização.
Regravação de e cabeçalho é recurso v2. Há limites de interação entre regravação, redirecionamento e erro personalizado; associe cada conjunto à regra ou ao caminho certo e confira os de acesso.
14. A terminação retira a criptografia dos servidores
Na terminação, o cliente estabelece com o listener. O apresenta o certificado, descriptografa, aplica roteamento e e pode encaminhar . Centralizar certificados e aliviar CPU são as vantagens.
Somente o fica exposto nas portas do listener, geralmente 80 e 443, enquanto servidores permanecem privados. O trecho não criptografado só é aceitável quando o limite de confiança e os requisitos de segurança permitirem.
15. de ponta a ponta cria duas sessões criptografadas e validadas
Para tráfego sensível, configure no back-end. O termina a sessão do cliente para processar a camada 7 e abre outra sessão , criptografando a solicitação com a chave pública do certificado do servidor.
No v2, confiança, validade e correspondência entre host e identidade do certificado são verificadas. Serviços confiáveis como simplificam a configuração; autoridades privadas exigem a raiz confiável apropriada. A investigação também precisa passar.
O descriptografa, processa e criptografa novamente; não repassa uma única sessão .
16. O inspeciona antes de alcançar o aplicativo
A política opcional do avalia cabeçalhos, corpo e outros atributos com regras gerenciadas e personalizadas. Ajuda contra injeção de SQL, scripts entre sites, injeção de comando ou código, contrabando de solicitações , divisão de respostas , inclusão remota de arquivos, violações e anomalias de protocolo, scanners, bots e rastreadores.
O PDF cita versões antigas de CRS e chama CRS 3.1 de padrão. Hoje, conjuntos DRS gerenciados pelo são usados: DRS 2.2 é o mais recente, baseado no CRS 3.3.4 e em proteções da . Ajuste regras, ações, exclusões e limites de inspeção ou upload com cuidado.
Modos do .
Modo
Resultado
Detecção
Registra correspondências para validar e ajustar, sem bloqueá-las.
Prevenção
Registra e bloqueia solicitações cuja ação exija bloqueio.
Inspeção de segurança e alcance do serviço são decisões independentes.
17. Dimensionamento automático e drenagem protegem operação
Standard_v2 e WAF_v2 dimensionam entre capacidades mínima e máxima conforme o tráfego. A redundância de zona distribui instâncias por zonas de disponibilidade. Defina mínimo sensato e espaço de sub-rede suficiente.
A drenagem impede novas solicitações a um back-end removido ou atualizado e deixa conexões ativas concluírem dentro do . Use-a em manutenção; use investigações em falhas. O v1 foi retirado em 28 de abril de 2026, portanto novos desenhos e regravações devem usar v2.
18. e /2 atendem tráfego interativo e duradouro
O serviço aceita nativamente e /2 em portas Web convencionais. promove a comunicação full duplex prolongada sem sondagem; /2 multiplexa trocas em menos conexões . Ambos ainda dependem de listeners, , integridade e compatibilidade do back-end.
19. O desenho da Adatum associa cada requisito a um recurso
Do requisito à configuração.
Requisito
Desenho
Retirar o dispositivo
Front-end v2 conectado pela rede híbrida ao pool local.
Evitar servidor com falha
Investigação personalizada do real.
Reduzir CPU criptográfica
Listener com terminação; de novo se for exigido ponta a ponta.
Manter sessão local
Afinidade por e plano de migrar a um repositório compartilhado.
Bloquear SQL e
Política WAF_v2 em prevenção depois do ajuste em detecção.
Atualizar sem interromper
Drenagem de conexão e implantação ciente das investigações.
O back-end pode permanecer local se conectividade privada e permitirem o acesso. Monitoramento, , certificados, ajuste do ,,, capacidade e testes de falha completam a produção.
20. Escolha o serviço por camada, alcance e protocolo
Guia de decisão.
Serviço
Escopo e camada
Quando escolher
de terminação regional, principalmente camada 7
(S) regional, , host/caminho ou diante de destinos privados.
Rede global de entrega, camada 7
Borda, aceleração, , global e opcional.
Traffic Manager
Direcionamento global por
Seleção de aceitando e do .
Camada 4 regional ou entre regiões
Distribuição / de alto desempenho sem inspeção .
Não adicione a um único servidor pouco usado sem necessidade, nem o escolha para puro, direção ou global. Serviços podem ser combinados, como Front Door global e regional.
21. Respostas, versão resumida e recursos oficiais
Respostas da avaliação.
Pergunta
Resposta
Motivo
O que protege contra injeção de SQL?
Inspeciona com regras de ataque.
O que evita uma VM sem resposta?
Investigação de integridade
Retira o ponto das novas decisões.
O que bloqueia novas conexões e conclui as atuais?
Drenagem de conexão
Remove o back-end gradualmente durante manutenção.
Versão resumida de todos os tópicos
Revisão rápida.
Tópico
Lembre-se
Fluxo
Front-end → listener/ → regra → configuração → membro íntegro.
Roteamento
Mapa separa caminhos; listener de vários sites separa hosts.
Afinidade e integridade
mantém sessão; investigação define elegibilidade.
Terminação alivia CPU; ponta a ponta abre outra conexão criptografada.
Ajuste DRS e regras personalizadas antes da prevenção.
