Microsoft AZ-700: Lastenausgleich & Traffic-Management — Lernleitfaden

By Laurynas Brazys · 1 August 2026 · #microsoft #az-700 #certification #exam-prep #study-guide

Teil des Microsoft Azure Network Engineer AZ-700 — Lernleitfaden. Üben Sie mit verifizierten Antworten im Microsoft-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Wichtige Azure Load Balancing- und Edge-Dienste

Azure bietet mehrere, speziell entwickelte Schichten zur Verteilung von Datenverkehr: Azure Load Balancer (Layer 4), Application Gateway (Layer 7), Front Door (globale Edge-Bereitstellung und Routing) und Traffic Manager (DNS-basiertes Routing). Wählen Sie Azure Load Balancer Standard für TCP/UDP-Szenarien im Ost-West- und Nord-Süd-Verkehr in Produktionsumgebungen, bei denen hoher Durchsatz, Zonenredundanz und ein vorhersagbares SNAT-Verhalten erforderlich sind. Die Basic-SKU ist eingeschränkt und wird nicht für kritische Workloads empfohlen. Application Gateway v2 unterstützt Autoskalierung, Zonenredundanz, WAF (WAF_v2) und natives URL- sowie hostbasiertes Routing für HTTP/S-Verkehr, während v1 keine automatische Skalierung bietet und einen Mehraufwand bei der Kapazitätsplanung erfordert. Front Door (Standard/Premium) bietet globales Anycast, TLS-Terminierung am Edge, schnelles Failover und eine Regel-Engine zur Modifizierung von Headern und Pfaden. Premium fügt erweiterte WAF-Funktionen und Unterstützung für private Ursprünge hinzu. Traffic Manager ist DNS-basiert und nützlich für Geo-Routing, Failover und gewichtete Verteilung, kann aber weder eine TLS-Terminierung bereitstellen noch als HTTP-Reverse-Proxy fungieren. Bei der Kombination von Diensten sollten statische Inhalte in ein CDN verschoben und Front Door für das globale Routing sowie Application Gateway für regionale L7-Richtlinien und den Zugriff auf private Backends verwendet werden. Berücksichtigen Sie diese SKU-Vergleiche bei der Auswahl der Komponenten:

Azure Load Balancer: Basic vs. Standard (wählen Sie Standard für die Produktion: zonenredundant, standardmäßig sicher).
Application Gateway: v1 vs. v2 (v2 für Autoskalierung, schnellere WAF-Updates).
Front Door: Standard vs. Premium (Premium für erweiterte WAF und Private Link zu Ursprüngen).

Integritätsprüfungen, Umschreiberegeln und Verhalten der Web Application Firewall

Integritätsprüfungen und WAF-Steuerelemente sind für einen resilienten Layer-7-Betrieb von zentraler Bedeutung. Konfigurieren Sie Integritätsprüfungen mit realistischen Endpunkten, die den gesamten Anforderungspfad testen (einschließlich Authentifizierungsheadern, falls erforderlich) und dem Backend-Verhalten entsprechen. Legen Sie das Prüfintervall und die Schwellenwerte für fehlerhafte Zustände so fest, dass ein Gleichgewicht zwischen Erkennungsgeschwindigkeit und Fehlalarmen (False Positives) besteht. Integritätsprüfungen von Application Gateway können den Host-Header überschreiben und einen bestimmten Pfad prüfen. Stellen Sie sicher, dass die HTTP-Einstellungen des Backends (Cookie-basierte Affinität, Connection Draining, Leerlauftimeouts) den Anwendungsanforderungen entsprechen. Umschreiberegeln (Rewrite Rules) gibt es sowohl in den Regel-Engines von Application Gateway als auch von Front Door. Sie sollten verwendet werden, um Header zu normalisieren, Präfixe zu entfernen oder einzufügen oder URL-Umschreibungen für das Backend-Routing durchzuführen. Bedenken Sie jedoch, dass Umschreibungen Caching-Heuristiken und signierte URLs beeinträchtigen können. WAF-Richtlinien unterscheiden sich je nach Plattform: Die Application Gateway WAF schützt regionale Backends mit von OWASP verwalteten Regeln und benutzerdefinierten Ausschlüssen, während die Front Door Premium WAF am Edge schützt und globale Richtlinien, Bot-Schutz und erweiterte Ratenbegrenzung (Rate-Limiting) unterstützt. Häufige Fehler sind das Prüfen einer statischen Integritätsseite, die erfolgreich antwortet, während die Anwendungsendpunkte ausfallen, das Vergessen, die IP-Bereiche der Prüfungen in NSGs zuzulassen, und die Fehlkonfiguration von Host-Headern, sodass Backends die Prüfanfragen ablehnen.

Globales Traffic Management: Front Door, Traffic Manager und CDN

Front Door und Traffic Manager dienen beide der globalen Verteilung, arbeiten aber unterschiedlich. Front Door fungiert als globaler, zustandsbehafteter (stateful) HTTP/S-Proxy mit TLS-Terminierung am Edge, intelligentem Routing (Latenz, Priorität und dynamische Website-Beschleunigung), einer integrierten CDN-Cache-Schicht und einer Regel-Engine zur Bearbeitung von Headern/Pfaden. Traffic Manager ist ein DNS-basierter Selektor für Endpunkte, der Routing-Methoden wie Priorität, Gewichtung, Leistung und geografisch nutzt. Er eignet sich hervorragend für einfaches Failover und Compliance-Routing, kann aber weder TLS-Offloading durchführen noch Umschreibungen auf Anwendungsebene vornehmen. Azure CDN (Optionen: Standard Microsoft, Standard Verizon, Premium Verizon/Akamai) ist für statische und zwischenspeicherbare Inhalte optimiert und kann von Front Door vorgeschaltet oder unabhängig verwendet werden. Wählen Sie Premium CDN für komplexe Regel-Engines, Origin Shield und erweiterte SSL-Optionen. Für Multi-Site-Routing verwenden Sie hostbasierte Listener in Application Gateway zur regionalen Trennung und Front Door für regionenübergreifendes Multi-Site-Fronting mit benutzerdefinierten Domains. Beachten Sie, dass DNS-Caching die Failover-Geschwindigkeit von Traffic Manager beeinflusst, Front Door ein schnelles Edge-Failover bietet und die Konfiguration des CDN-Ursprungs mit den Purge- und TTL-Strategien abgestimmt sein sollte, um veraltete Inhalte zu vermeiden. Für Szenarien mit privaten Ursprüngen unterstützt Front Door Premium Private Link zur Absicherung der Ursprünge; andernfalls ziehen Sie eine Application Gateway in einem regionalen Hub in Betracht.

Design-Abwägungen, operative Fallstricke und Überwachung

Design-Entscheidungen wägen Leistung, Kosten und Ausfallsicherheit gegeneinander ab. Priorisieren Sie Front Door oder CDN für die globale Bereitstellung und geringere Client-Latenz, Application Gateway für umfassende L7-Richtlinienkontrollen in der Nähe des Backends und Azure Load Balancer Standard für reinen TCP/UDP-Durchsatz und vorhersagbare Skalierung. Zu den Kostenabwägungen gehören Front Door Premium/WAF und Application Gateway v2 mit Autoskalierung im Vergleich zu kostengünstigeren, manuell skalierbaren v1-Alternativen. Gleichen Sie die Kosten aus, indem Sie das globale Routing am Edge konsolidieren, während Sie regionale Gateways für die Inspektion des privaten Datenverkehrs beibehalten. Zu den operativen Fallstricken gehört die SNAT-Port-Erschöpfung, wenn viele Backends ausgehende Verbindungen von einem kleinen Satz von NAT-Adressen initiieren – verwenden Sie NAT Gateway oder passen Sie die SNAT-Einstellungen an und vermeiden Sie Hairpinning-Verkehr durch dasselbe NAT. Ein weiteres häufiges Problem ist das Vergessen, Probe-IPs in NSGs zu öffnen oder benutzerdefinierte Domänen und Zertifikate für Front Door und App Gateway falsch zu konfigurieren. Für die Überwachung aktivieren Sie Diagnoseprotokolle und Metriken für jeden Dienst (Load Balancer, App Gateway, Front Door, CDN), leiten Sie diese an Log Analytics weiter und nutzen Sie Traffic Analytics und Connection Monitor von Network Watcher für eine Sichtbarkeit auf Flow-Ebene. Konfigurieren Sie Warnungen für Probe-Fehler, Anomalien beim Backend-Durchsatz und WAF-Erkennungen und testen Sie das Failover mit kontrolliertem Datenverkehr, um Runbooks und Rollback-Verfahren zu validieren.

Praktisches Problem: Anwendungsfallszenario

Szenario: Contoso Manufacturing betreibt eine Azure-Umgebung mit mehreren Regionen mit zwei regionalen Hubs (EastUS und WestEurope), regionalen Application Gateway v2-Instanzen, einem Paar VM-Scale-App-Pools und einem bestehenden CDN für statische Assets. Sie müssen einen einzigen globalen Endpunkt mit Edge-WAF und schnellem Failover bereitstellen und gleichzeitig die private regionale Inspektion beibehalten.

Herausforderung: Bereitstellung eines globalen HTTPS-Endpunkts mit Edge-WAF, schnellem regionsübergreifendem Failover und der Möglichkeit, den Datenverkehr an regionale Application Gateway-Backends (die privat sind) zu leiten, ohne die Ursprünge öffentlich preiszugeben.

Empfohlener Ansatz:

Stellen Sie Azure Front Door Premium als globalen Eingangspunkt (SKU: Front Door Premium) mit TLS-Terminierung bereit, aktivieren Sie eine Front Door WAF-Richtlinie (benutzerdefinierte Regeln + OWASP) und konfigurieren Sie einen Backend-Pool für jede Region, der auf die öffentliche IP eines regionalen Application Gateway v2 mit aktiviertem Private Link für eine sichere Konnektivität zum Ursprung verweist.
Konfigurieren Sie den Ursprung von Front Door als Private Link zum regionalen Frontend des Application Gateway und richten Sie Health Probes auf einen geschützten Integritätsendpunkt, den das Application Gateway bereitstellt. Legen Sie niedrige Probe-Intervalle (z. B. 10s) und einen aggressiven Schwellenwert für den fehlerhaften Zustand (z. B. 3) für ein schnelles Failover fest.
Behalten Sie Application Gateway v2 in jeder Region für L7-Routing, URL-Rewrite und lokale WAF-Regeln bei, die auf regionale Richtlinien zugeschnitten sind. Aktivieren Sie die automatische Skalierung und die Weiterleitung von Diagnoseprotokollen an Log Analytics.
Verwenden Sie Azure CDN (Standard Microsoft) für zwischenspeicherbare statische Assets, die von Front Door für eine optimale TTL- und Purge-Kontrolle vorgeschaltet werden. Implementieren Sie Überwachung und Warnungen für Front Door Probe-Fehler und WAF-Blockierungsraten.

Begründung: Front Door Premium bietet Edge-WAF und schnelles globales Failover, während Private Link die regionalen Gateways als Ursprünge absichert. Das regionale Application Gateway v2 ermöglicht granulare L7-Kontrollen und Inspektionen, ohne die Backend-VMs preiszugeben, und schafft so ein Gleichgewicht zwischen Leistung, Sicherheit und Ausfallsicherheit.

← Netzwerksicherheit · Alle Domänen · Netzwerküberwachung →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →