Hohe Verfügbarkeits Überlegungen zu AWS und Azure

108843

Created On 09/25/18 15:12 PM - Last Modified 06/15/23 22:35 PM

Resolution

Da die Kunden mit der VM-Serie beginnen, ihre geschäftskritischen Anwendungen und Daten in der Public Cloud zu schützen, stellt sich die Frage "unterstützen Sie eine hohe Verfügbarkeit in AWS oder Azure". Die ursprüngliche November 2016 Post (unten) beantwortete die Frage nicht eindeutig. Die Antwort lautet: Ja, Sie können eine Architektur mit der VM-Serie auf AWS und Azure einsetzen, die eine hohe Verfügbarkeit und Widerstandsfähigkeit bietet, die für die Anwendung von Unternehmensanwendungen erforderlich ist. Der Teufel steckt aber in den Umsetzungsdetails.

VM-Serie aktiv-passiv hohe VerfügBarkeit auf AWS

Bei AWS unterstützt die VM-Serie die aktiv-passive hohe Verfügbarkeit mit zwei Firewalls der VM-Serie (aktiv und passiv), die in einer einzigen AWS-Verfügbarkeits Zone eingesetzt werden. Kommt es zu einem Ausfall, wird die AWS ENI, die mit der aktiven VM-Series-Firewall verbunden ist, in die passive VM-Serie-Firewall versetzt. Der ENI-Zug wird über einen API-Aufruf an AWS durchgeführt, der typischerweise bis zu 60 Sekunden dauert, aber manchmal länger. Die Verzögerung ist ein Nebenprodukt der Funktionsweise des AWS-Stoffes und wird nicht von der VM-Serie gesteuert. Während dieser Zeit können einige Sitzungen verloren gehen, aber der Staat wird beibehalten.

Die Verwendung von aktivem passiv auf diese Weise liefert eine hohe Verfügbarkeit in der traditionellen Definition. Zusätzlich zu der Failover-Zeit, kann dieses aktive passive HA nicht mehrere Verfügbarkeits Zonen überspannen, da die AWS-Beschränkung nicht zulässt, dass ENI-Bewegungen AZs überspannen. Darüber hinaus sind beide Lizenzen der VM-Serie aktiv, ebenso wie die AWS-Ressourcen, die für den Betrieb benötigt werden, was zu Kostenüberlegungen führt.

VM-Serie über AWS hoch Verfügbarkeits Dokumentation

VM-Serie hohe VerfügBarkeit auf AWS (Inbound mit automatischer Skalierung & ELB-Integration)

Ein alternativer Ansatz, um die hohe Verfügbarkeit von Rechenzentren zu gewährleisten, ist die Nutzung des Wolken Gewebes, um HA zu bauen, die mehrere AZs in ihren Einsatz überspannen können. Mit der VM-Serie Auto-Skalierung und ELB-Integration können Sie dieses Endziel für den Inbound-Traffic erreichen.

Die automatische Skalierung für die VM-Serie auf AWS setzt mehrere Firewalls in zwei Verfügbarkeits Zonen innerhalb eines VPC ein. Wenn eine der Firewalls der VM-Serie ausfällt, passieren zwei Dinge: Erstens erkennt der AWS Load Balancer den Ausfall und lenkt den Verkehr auf die verbleibenden, gesunden Firewalls der VM-Serie ab – dies geschieht typischerweise in wenigen Sekunden, abhängig von den Gesundheits-beweisen-Einstellungen. Zweitens werden die AWS-Auto-Skalierungs Gruppen automatisch ungesunde Firewalls entfernen und Sie durch neue, bootstrapped Firewalls der VM-Serie ersetzen, die vollständig konfiguriert, lizenziert und bereit sind, mit dem Verkehr umzugehen.

Je nach Leistungsbilanz und Kostensensibilität lassen sich die Gesundheitschecks und Auto-Skalierungs Gruppen sehr aggressiv oder sehr konservativ auf das erkennen und ersetzen gescheiterter Bauteile einstellen. So können Sie bei der Gestaltung Ihres Einsatzes Ihre eigene Kosten-Nutzen-Entscheidung treffen. Die VM-Serie skaliert nicht nur automatisch ein und aus, sondern ist auch eine Selbstheilung, die eine insgesamt hochverfügbare Lösung über mehrere Verfügbarkeits Zonen hinweg bietet.

Automatische Skalierung der VM-Serie auf AWS-Einsatz Ressourcen

Automatische Skalierung der VM-Serie für AWS Lightboard

VM-Serie hohe VerfügBarkeit auf AWS (Multi-AZ mit Lambda-Funktionen)

Eine weitere Alternative ist die Nutzung einer von der Community unterstützten Lambda-basierten Lösung, die von Cloudticity für Kunden entwickelt wurde, die HA benötigen, die mehrere Verfügbarkeits Zonen umfassen. In diesem Einsatzszenario überwacht eine Lambda-Funktion die Gesundheit der in jeder AZ eingesetzten VM-Serie. Jede AZ hat eine aktive, primäre Firewall, um den Verkehr zu bewältigen. Wenn eine Firewall der VM-Serie ausfällt, wird eine weitere Lambda-Funktion den Verkehr auf eine sekundäre VM-Serie umleiten, die in einer anderen AZ eingesetzt wird.

Multi-AZ HA-Lösung mit Lambda-Ressourcen

VM-Serie auf Azure hohe VerfügBarkeit

Für die VM-Serie über Microsoft Azure-Einsätze wird eine hohe Verfügbarkeit durch die Verwendung mehrerer Instanzen der VM-Serie mit den unten stehenden Azure-Ressourcen erreicht.

VM-Serie hohe VerfügBarkeit auf Azure (Inbound mit Anwendung Gateway & Load Balancer Integration)

Die hohe Verfügbarkeit von VM-Serien auf Azure kann mit Azure-Verfügbarkeits Sets in Kombination mit Application Gateway und Load Balancer Integration erreicht werden. Die Verfügbarkeits Sets richten sich nach der Notwendigkeit einer hohen Verfügbarkeit und Widerstandsfähigkeit, indem Sie die negativen Auswirkungen, die die Wartung von Azure Infrastructure oder Systemfehlern auf Ihr Unternehmen haben kann, durch die Verteilung der Arbeitslasten auf verschiedene Hosts minimieren oder Das Application Gateway wird als Last Balancer Sandwich eingesetzt und fungiert als externer Lastausgleichs Front, der die Anwendung beendet, während der LastAusgleich als interner Verkehrs Verteilungsmechanismus fungiert und den Verkehr auf Ihre Web-App verteilt.

Der Verkehr wird auf die beiden Firewalls der VM-Serie verteilt, die jeweils einem anderen Verfügbarkeits Satz zugeordnet sind. Scheitert eine VM-Serie, wird der Verkehr durch das Azure App Gateway auf die verbliebenen gesunden VM-Serien-Firewalls umgeleitet. Wenn die VM-Serie repariert wird (durch Verfügbarkeits-Set-Funktionalität), wird der Datenverkehr wieder verteilt. Diese Architektur bietet nicht nur Skalierbarkeit, sondern sorgt auch für Widerstandsfähigkeit und hohe VerfügBarkeit durch die Unterstützung von Azure Availability Sets.

Die Skalierbarkeit und die Widerstandsfähigkeit der VM-Serie

Lesen Sie die Skalierbarkeit und Resilienz der VM-Serie für Azure Tech Brief

VM-Serie hohe VerfügBarkeit auf Azure (Inbound & Outbound mit Anwendung Gateway & Load Balancer Integration)

Um den Bedarf an ein-und ausgehenden hohen Verfügbarkeit auf Azure zu beheben, kann die Community-basierte Armschablone verwendet werden, um separate, Last ausgewogene Firewalls für den ein-und ausgehende Verkehr zu implementieren. Jede Firewall besteht aus zwei oder mehr Firewalls der VM-Serie in einem Verfügbarkeits Satz, so dass Sie unabhängig verwaltet und in oder aus skaliert werden können, um die Last zu berücksichtigen. Der eingehende Verkehr aus dem Application Gateway wird durch den Inbound Load Balancer empfangen, der die Last an eine Instanz der eingehenden VM-Series-Firewall verteilt. Die Firewall wendet Sicherheitsrichtlinien an und leitet den sicheren Verkehr auf den Backend-Load-Balancer, der die Last auf eine Instanz der Backend-Web-Arbeitsbelastung verteilt.

Sichere Internet-basierte Web-Workloads auf Azure-Einsatz Ressourcen

Sichere Internet-basierte Web-Workloads auf Azure Whitepaper

-----------Original Beitrag: November, 2016-----------

Da die Kunden ihre Anwendungen und Daten in die Public Cloud verlagern wollen, ist es nicht ungewöhnlich, dass Fragen rund um herkömmliche Rechenzentrums Konstrukte wie hohe Verfügbarkeit (HA) auftauchen. Die Frage stellt sich oft als "wie unterstützt man HA in AWS oder Azure". EINE Wolken zentrischere Art, die Frage zu stellen, wäre "brauchen wir HA in der öffentlichen Wolke?"

Um die Frage zu beantworten, müssen wir zunächst genau definieren, was wir mit HA meinen. Wenn es um die Frage geht, brauchen wir dann eine völlig überflüssige, hoch verfügbare Lösung für die Sicherung von öffentlichen Cloud-Anwendungen? Dann lautet die Antwort auf jeden Fall ja. Aber wenn die Frage ist, brauchen wir PAN-OS stattliche HA Failover, so wie wir es in der privaten Cloud getan haben, dann ist die Antwort wahrscheinlich nicht .

In der Public Cloud geht es darum, gemeinsame Ressourcen zu nutzen und Anwendungen einzusetzen, die einen Misserfolg überall in der Architektur überleben können. Dazu gehört aber nicht nur ein Ausfall von:

ein virtueller Router
eine virtuelle Firewall
einen Netzwerkschalter
eine Anwendungs Instanz
eine Belastungs-Balancer-Instanz
eine Verfügbarkeits Zone Ausfall
auch das Scheitern einer ganzen Region

Die Kunden verwenden wahrscheinlich Dutzende oder sogar Hunderte von Anwendungen auf Ihrem Laptop, Tablet und Smartphone, die Infrastruktur, die einen Ausfall von irgendeinem Typ hatte. Und 99% der Zeit haben Sie keine Ahnung, dass es passiert ist. Ein Ladungs Ausgleich oder ein Schalter-oder Routing-Prozess umgangen den Ausfall und die Anwendung hat den Benutzer stillschweigend mit wenig oder gar keiner Unterbrechung ausprobiert. Der Fokus für die Integration unserer VM-Serie Firewall-Sicherheit in Public Cloud-Anwendungen sollte also auf nativen Cloud-Diensten wie Auto-Skalierungs Gruppen, elastischem Lastausgleich, Routing, etc. und nicht auf PAN-OS HA liegen.

Die VM-Serie unterstützt HA für AWS, aber Sie wird in der Regel nicht benötigt, wenn der Kunde die Public Cloud Migration als Gelegenheit nutzt, um Ihre Anwendungen zu aktualisieren, um die Vorteile einheimischer Cloud-Dienste zu nutzen, um eine belastbare Architektur zu entwickeln, die die Betriebszeit maximiert. Viele Kunden werden Ihre Migration in die Public Cloud beginnen, die an einer traditionellen Rechenzentrums Hardware-Anforderungsliste (redundante Schalter, Router, Firewalls, etc.) festhält, die die Fähigkeit, die Macht der Cloud zu nutzen, einschränken kann. Mit dem Erfordernis der Redundanz als Fahrer, und dann die Nutzung der Cloud o erreichen, wird es den Kunden ermöglichen,: a) die Anwendung Uptime zu verbessern und b) Kosten zu senken. Ich weiß, dass dies nicht immer möglich ist, aber der Versuch, dieses Gepäck hinter sich zu lassen.

Für Kunden, die keine andere Wahl haben, als eine Legacy-Anwendung in die Public Cloud zu verlegen, haben wir HA für AWS und wir untersuchen HA für Azure. Aber es kommt auf Kosten. Sie werden nicht nur eine passive Firewall brauchen, die zu jeder Zeit in Betrieb ist (und die Rechnung, die damit einhergeht), sondern HA in der Public Cloud setzt auf API-Anrufe, die viel länger dauern können, als das, was wir in der Hardware auf dedizierter Netzwerkinfrastruktur tun können. Zum Beispiel setzt unsere HA-Lösung bei AWS auf einen API-Aufruf, um Schnittstellen (ENI) von einer gescheiterten Firewall auf die passive Firewall zu verschieben. In der Praxis dauert das 30-45 Sekunden, aber manchmal länger. Die Chancen stehen gut, dass die Sitzungen, die HA retten sollte, bereits in diesem Zeitrahmen wieder hergestellt werden müssen.

Stattdessen konzentrieren Sie sich auf Lastausgleich und dynamisches Routing, die konvergieren können, muss schneller und lassen Sie die Anwendung mit Session-Wiederherstellung zu beschäftigen. Öffentliche Wolken entwickeln neue architektonische Muster, die sich gut mit den allgemeinen Trends in IT-Anwendungsarchitekturen ausrichten:

Verwendung von horizontaler Skalierung (Alias Scale-Out), um größere Belastungen und Verfügbarkeit zu bewältigen.
Wachstum von Web/HTTP-basierten Architekturen, die insgesamt weniger staatsmänin sind; alle staatlichen Informationen wie ein Session-Cookie können einfach wieder aufgebaut oder entlassen werden.
Einsatz von serviceorientierten Architekturen (SOA) wie Micro-Services, die oft auf Containern gebaut werden, um die zu zerlegen. die Anwendung stapelt sich über mehrere Ebenen, die unabhängig hinter Last Balancer skaliert werden.

In diesen Umgebungen werden Sitzungsdaten in zuverlässigen Daten Bank Diensten wie Amazon DynamoDB oder Amazon ElastiCache gespeichert und von den Anwendungsservern geteilt. Zum Beispiel kann die Cookie-Sitzung des Nutzers in einem Warenkorb-Dienst zwischen den Webservern synchronisiert/gespeichert werden, so dass der Ausfall eines einzelnen Webservers keinen Einfluss auf die Benutzererfahrung hat. Der Fokus neuer Architekturen, in der öffentlichen Cloud und in privaten Wolken vor Ort liegt auf Service-Zuverlässigkeit und nicht auf Sitzungs Sicherheit.

Mit automatischer Skalierung für die VM-Serie auf AWS, um HA zu erreichen

Wie bereits erwähnt, muss jeder AWS-Einsatz für die Widerstandsfähigkeit konstruiert werden, um die negativen Auswirkungen zu beseitigen, die ein Ausfall der Infrastrukturkomponenten haben kann. Kommt es zu einem Ausfall, muss die Lösung in der Lage sein, einen Ausfall zu erkennen und umzuleiten. Das gilt auch für die Sicherheit der Lösung. Die automatische Skalierung für die VM-Serie auf AWS liefert HA mit nativen Cloud-Diensten.

Die automatische Skalierung für die VM-Serie auf AWS setzt mehrere Firewalls in zwei oder mehr Verfügbarkeits Zonen innerhalb eines VPC ein. Wenn eine der Firewalls der VM-Serie ausfällt, passieren zwei Dinge: zum einen erkennt der AWS Load Balancer den Ausfall und lenkt den Verkehr auf die verbleibenden, gesunden Firewalls der VM-Serie ab. Zweitens werden die AWS-Auto-Skalierungs Gruppen automatisch ungesunde Firewalls entfernen und Sie durch neue, bootstrapped Firewalls der VM-Serie ersetzen, die vollständig konfiguriert und bereit sind, den Verkehr zu bewältigen.

Je nach Leistungsbilanz und Kostensensibilität lassen sich die Gesundheitschecks und Auto-Skalierungs Gruppen sehr aggressiv oder sehr konservativ auf das erkennen und ersetzen gescheiterter Bauteile einstellen. So können Sie bei der Gestaltung Ihres Einsatzes Ihre eigene Kosten-Nutzen-Entscheidung treffen. Die VM-Serie skaliert nicht nur automatisch ein und aus, unabhängig von der Arbeitsbelastung, sondern auch die Selbstheilung, die eine insgesamt hochverfügbare Lösung über mehrere Verfügbarkeits Zonen hinweg bietet.

Mit der VM-Serie Azure Application Gateway und Load Balancer Integration
, um ha zu erreichen

Mit der VM-Serie können Sie mit einem Last Balancer "Sandwich" eine verwaltete Scale-Out-Lösung für Ihren eingehenden Web-Application-Arbeitsverkehr einsetzen. Das Application Gateway fungiert als externer Lastausgleich, der die Anwendung vorne beendet und als Internet-Gateway für den gesamten Service dient. Es bietet Application Delivery Controller (ADC) als Dienstleistung an und beinhaltet die Lastausgleich von Layer 7 für http und HTTPS sowie Funktionen wie SSL-abzuladen und Content-basiertes Routing. Die Firewalls der VM-Serie, die hinter dem Application Gateway eingesetzt werden, werden die volle Sicherheit der nächsten Generation gewährleisten, die Azure-Einsätze von Angriffen bekannter und unbekannter Bedrohungen schützt. Nach der Sicherheitskontrolle durch die Firewall wird der Verkehr an den Azure Load Balancer gesendet, der als interner Lastausgleich fungiert, der den Traffic auf Ihre Web-Anwendungen verteilt. Diese Architektur bietet nicht nur Skalierbarkeit, sondern sorgt auch für Widerstandsfähigkeit und hohe VerfügBarkeit durch die Unterstützung von Azure Availability Sets

Die Application Gateway und Load Balancer befassen sich mit etwaigten Verkehrsstörungen, Verfügbarkeits Sets bieten Schutz vor geplanter und ungeplanter Wartung der Azure-Infrastruktur. Dies geht auf die Notwendigkeit der Widerstandsfähigkeit und Verfügbarkeit ein, indem die negativen Auswirkungen, die die Wartung von Azure Infrastructure oder Systemfehlern auf Ihr Unternehmen haben kann, minimiert oder eliminiert werden, indem die Arbeitslasten auf verschiedene Hosts verteilt werden.

Referenzen

Dia 45-AWS Re: invent 2013- hoch Verfügbarkeits-Anwendungsarchitekturen in Amazon VPC (ARC202) |...
Seite 11-Amazon Web Services-Architektur für die Cloud: Best Practices- https://Media.amazonwebservices.com/AWS_Cloud_Best_Practices.PDF