Microsoft AZ-104: Azure 부하 분산 및 트래픽 관리 — 학습 가이드

By Laurynas Brazys · 6 August 2026 · #microsoft #az-104 #certification #exam-prep #study-guide

다음의 일부입니다: Microsoft Azure Administrator Associate AZ-104 — 학습 가이드. 검증된 답안으로 연습하기: Microsoft 시험 허브, 또는 다음에서 시간 제한 모의고사 풀기: ExamRoll.io.

개요

Azure는 트래픽을 분산하고 보호하기 위한 계층화된 포트폴리오를 제공합니다: Azure Load Balancer(Layer 4, TCP/UDP), Application Gateway(Layer 7, HTTP/S), Azure Front Door(글로벌 Layer 7 엣지), Azure Traffic Manager(DNS 기반), Azure CDN(엣지 캐싱). 각 서비스는 글로벌 DNS 결정 및 엣지 POP에서부터 지역별 HTTP 라우팅 및 프라이빗, 동서(east-west) 트래픽에 이르기까지 요청 경로의 특정 세그먼트를 대상으로 합니다. 프로토콜과 대상에 맞는 올바른 서비스를 선택하고, 이를 적절히 구성하며, 안정적인 장애 조치(failover)를 유도하는 상태 프로브와 규칙을 구성하는 것이 핵심입니다.

Azure Load Balancer(L4): SKU, 구성 요소, NAT/아웃바운드, Floating IP

Standard Load Balancer는 프로덕션 등급의 L4 부하 분산 장치입니다. 영역 인식/영역 중복을 지원하며, HA Ports, 고급 진단/메트릭, 기본적으로 보안(규칙을 정의하지 않으면 인바운드 없음), 구성 가능한 아웃바운드 규칙, 대규모 백엔드 확장을 지원합니다. Basic은 제한된 확장성/기능과 영역 중복성이 없는 레거시 SKU입니다. 단종될 예정이므로 새로운 워크로드에는 선택하지 않아야 합니다.

핵심 구성 요소는 트래픽 흐름을 정의합니다:

프런트엔드 IP: 클라이언트에 노출되는 VIP입니다. 외부 LB는 공용 IP 또는 공용 IP 접두사를 사용하고, 내부 LB는 서브넷의 개인 고정 IP를 사용합니다. Standard는 여러 프런트엔드와 영역 중복 공용 IP를 지원합니다.
백엔드 풀: 동일한 지역/VNet에 있는 NIC, NIC의 IP 구성 또는 VM 확장 집합 인스턴스입니다. 단일 풀이 여러 규칙에 사용될 수 있습니다. Standard는 한 지역 내에서 여러 영역에 걸친 백엔드를 지원합니다.
상태 프로브: 어떤 백엔드 인스턴스가 정상인지 결정합니다. TCP 프로브는 핸드셰이크를 완료하고, HTTP/HTTPS 프로브는 특정 경로로 GET 요청을 보내 200–399 응답을 성공으로 간주합니다. 프로토콜, 포트, 경로(HTTP/S의 경우), 간격, 비정상 임계값(다운으로 표시되기 전 연속 실패 횟수)을 제어할 수 있습니다.
부하 분산 규칙: 프런트엔드(IP/포트/프로토콜)를 백엔드 풀 및 상태 프로브에 연결합니다. 규칙 설정에는 백엔드 포트, 프로토콜(TCP/UDP), 세션 지속성, 유휴 시간 제한, Floating IP(Direct Server Return)가 포함됩니다.

인바운드 NAT 규칙은 특정 프런트엔드 포트를 단일 백엔드 NIC/포트로 전달하는 VM별 변환입니다(예: 부하 분산 없이 단일 VM에 RDP 또는 SSH를 노출). 상태 프로브를 사용하지 않으며 스케일 아웃 메커니즘이 아닙니다.

아웃바운드 규칙은 Standard Load Balancer 백엔드가 LB의 공용 프런트엔드를 통해 인터넷으로 연결을 시작할 때의 SNAT 동작을 정의합니다. 이를 통해 어떤 프런트엔드가 SNAT 포트를 공급할지, 백엔드 인스턴스당 몇 개의 포트를 할당할지 제어하여 높은 아웃바운드 동시성 하에서 SNAT 포트 고갈을 방지할 수 있습니다. 서브넷에 NAT Gateway가 연결되어 있으면 LB SNAT보다 우선 적용됩니다. 일관되고 확장 가능한 아웃바운드를 위해서는 NAT Gateway를 사용하는 것이 좋습니다.

Floating IP(Direct Server Return)는 대상 IP/포트가 엔드투엔드로 보존되어야 할 때 사용되는 규칙 옵션입니다. SQL Server Always On 가용성 그룹 수신기와 같은 클러스터형 시나리오에 필요합니다. SQL AG의 경우, 내부 Standard Load Balancer를 사용하고 클러스터의 프로브 포트로 TCP 프로브(HTTP 아님)를 설정하며 LB 규칙에서 Floating IP를 활성화해야 합니다. SQL은 HTTP 워크로드가 아니므로 포트 1433을 HTTP로 프로브해서는 안 됩니다.

내부 부하 분산 장치와 외부 부하 분산 장치의 선택은 대상과 보안 경계에 따라 달라집니다. 기간 업무(LOB) 앱, 데이터베이스, NVA를 위해 VNet 내부 또는 프라이빗 연결(VPN/ExpressRoute)을 통해 프라이빗 VIP를 노출할 때는 내부 LB를 사용합니다. 인터넷과 연결되는 L4 서비스에는 외부 LB를 사용합니다. 내부 LB의 경우 대상 서브넷에 고정 개인 프런트엔드를 할당하고, 외부 LB의 경우 Standard 공용 IP를 바인딩하고 선택적으로 여러 프런트엔드를 사용합니다.

지역 간 부하 분산 장치(Cross-region Load Balancer)는 여러 지역에 걸쳐 글로벌 애니캐스트(anycast) Layer 4 부하 분산을 제공합니다. 각 지역에 Standard 공용 부하 분산 장치(지역 계층)를 배포하고, 이들의 공용 프런트엔드를 단일 글로벌 부하 분산 장치(글로벌 계층)의 백엔드에 배치합니다. 글로벌 LB는 각 지역 LB에 대한 상태 프로브를 사용하여 5튜플 해싱 기반의 흐름 대칭성을 바탕으로 클라이언트를 가장 가까운(지연 시간 기준) 정상 지역으로 안내합니다. 이것은 TCP/UDP 전용이며 TLS 종료 기능은 없고, 지역별 L7 게이트웨이를 보완합니다.

설계 선택, 지역 간 통합 및 상태 프로브 동작

내부 로드 밸런서와 외부 로드 밸런서는 대상 그룹과 라우팅 노출 여부에 따라 선택됩니다. 소비자가 사설 네트워크 내에만 있는 경우, 내부 LB를 사용하여 공용 노출을 피하고 NSG 제어를 단순화합니다. 인터넷 사용자나 파트너를 위해서는 공용 프런트엔드를 사용합니다. 대규모 아웃바운드 연결의 경우, LB SNAT보다 NAT Gateway를 선호합니다. LB의 프런트엔드가 SNAT를 제공해야 하는 경우에만 아웃바운드 규칙을 사용하도록 합니다.

Cross-region Load Balancer는 지역별 Standard Public Load Balancer와 통합하여 TCP/UDP 서비스에 대한 액티브-액티브, 글로벌 Layer 4 복원력을 구현합니다. 지역 LB의 공용 프런트엔드를 글로벌 LB의 백엔드 풀에 배치합니다. 글로벌 계층의 상태 프로브는 지역별 가용성을 반영합니다. 라우팅은 가장 낮은 지연 시간을 가진 정상 지역으로 트래픽을 보내고, 전체 지역(또는 해당 지역의 LB)이 비정상이 되면 자동으로 장애 조치(failover)를 수행합니다. 별도의 VIP 아래에서 두 프로토콜 지원(예: cross-region LB를 통한 TCP 서비스 및 Front Door를 통한 HTTP/S)이 모두 필요한 경우, 이를 Front Door와 결합하여 사용합니다.

상태 프로브는 장애 조치를 위한 진실의 원천(truth source)입니다:

TCP 프로브: 모든 TCP 서비스에서 작동합니다. 3-way handshake가 완료되면 성공으로 간주합니다. SQL, SMTP 또는 사용자 지정 TCP 프로토콜에 적합합니다.
HTTP/HTTPS 프로브: 특정 경로를 요청하고 200–399 응답 코드를 예상하여 애플리케이션 수준의 상태를 확인합니다. 호스트/경로 사용자 정의를 허용하며 부분적인 앱 장애를 구별할 수 있습니다. HTTPS 프로브는 TLS 협상은 확인하지만 핸드셰이크 이상의 인증서 유효성은 검증하지 않습니다. 가상 호스팅 앱의 경우 올바른 호스트 헤더를 사용해야 합니다.
비정상 임계값: Azure Load Balancer는 N번의 연속 프로브 실패 후 백엔드를 다운 상태로 표시합니다(구성 가능, 기본 간격은 장애 조치 속도를 높이기 위해 짧음). Application Gateway와 Front Door는 여러 지점에서 프로브를 수행하며, 프로브 세트 전반에 걸쳐 충분한 연속 실패가 누적되면 오리진(origin)을 다운 상태로 간주합니다. 복구에는 연속적인 성공이 필요합니다. 민감도와 플래핑(flapping) 사이의 균형을 맞추기 위해 간격과 임계값을 조정하고, 프로브가 경량의 종속성 인식 엔드포인트에 도달하도록 해야 합니다.

실용적인 문제 시나리오

Adobe는 웹 프런트엔드, 마이크로서비스, SQL Server Always On 가용성 그룹으로 구성된 다중 지역 SaaS를 전 세계 사용자에게 낮은 지연 시간, 빠른 장애 조치, 엄격한 보안을 적용하여 글로벌하게 노출해야 합니다. 또한 레거시 TCP 기반 원격 측정 수집 서비스도 노출합니다.

에지에 Azure Front Door Standard를 배치하고 WAF 정책과 www.adobe.com 및 api.adobe.com에 대한 경로를 설정합니다. 오리진은 East US와 West Europe에 있는 Application Gateway이며, 지연 시간 기반 라우팅 및 우선순위 장애 조치로 그룹화됩니다.

이유: Front Door는 글로벌 애니캐스트(anycast), 에지 WAF, 선택적 캐싱을 제공하여 인터넷 HTTP/S 트래픽을 가속화하고 보호하며, 가장 가까운 정상 지역을 자동으로 선택합니다.

각 지역에 WAF가 포함된 Application Gateway v2를 배포합니다. 두 호스트 이름에 대해 SNI를 사용하는 다중 사이트 리스너, 마이크로서비스로의 URL 경로 기반 라우팅, 각 서비스의 /healthz에 대한 사용자 지정 상태 프로브를 구성합니다. 백엔드 호스트를 서비스 FQDN으로 재정의하여 엔드투엔드 SSL을 활성화합니다.

이유: Application Gateway는 지역별 L7 라우팅, 앱에 가까운 WAF 검사, 경로 기반 팬아웃, 경로별 정책을 제공하며, 사설 백엔드에 안전하게 연결하고 헤더 재작성/리디렉션을 처리합니다.

SQL AG 리스너를 위해 각 지역에 내부 Standard Load Balancer를 배포합니다. 정적 사설 프런트엔드, Windows 장애 조치 클러스터(Windows Failover Cluster) 프로브 포트로의 TCP 상태 프로브, 리스너 포트에 대해 Floating IP가 활성화된 부하 분산 규칙을 구성합니다.

이유: SQL 리스너는 Direct Server Return(DSR)을 사용하는 L4가 필요합니다. Floating IP는 대상 시맨틱을 보존하고, TCP 프로브는 AG 소유권을 정확하게 반영합니다. 이는 포트 1433에 대한 HTTP 프로빙이 유효하지 않다는 알려진 요구 사항을 반영합니다.

웹 정적 자산은 긴 TTL과 재검증을 포함하는 /static/*에 대한 Azure Front Door 캐싱 규칙으로 지원하고, 또한 downloads.adobe.com에서 대용량 미디어 다운로드를 위해 경로별 캐싱 및 쿼리 문자열 변형을 사용하는 Azure CDN 프로필 및 엔드포인트를 설정합니다.

이유: Front Door 캐싱은 에지 라우팅과 함께 핵심 웹 정적 콘텐츠의 지연 시간을 줄여주는 반면, 전용 CDN 엔드포인트는 대용량 객체 전송을 최적화하고 다운로드에 대한 캐시 정책 독립성을 보장합니다.

각 지역의 지역별 Standard Public Load Balancer를 통해 레거시 TCP 원격 측정 수집 서비스를 게시한 다음, 단일 공용 VIP로서 Cross-region Load Balancer를 그 앞에 배치합니다. 각 지역 LB에 대한 글로벌 프로브를 구성하고 지연 시간 기반 라우팅을 사용합니다.

이유: 이 서비스는 HTTP가 아닌 TCP입니다. Cross-region Load Balancer는 자동 장애 조치 및 낮은 지연 시간의 지역 선택 기능을 갖춘 글로벌 액티브-액티브 L4를 제공합니다.

Azure 외부에 호스팅된 외부 파트너 SFTP 엔드포인트에 대해서만 우선순위(Priority) 정책을 사용하는 Azure Traffic Manager를 추가하고, 파트너의 기본 엔드포인트와 Azure에 호스팅된 백업 엔드포인트를 나열합니다.

이유: Traffic Manager는 DNS 기반이며 외부 엔드포인트를 포함할 수 있습니다. 프록시가 바람직하지 않은 비-HTTP 및 타사 대상에 대해 간단한 액티브/패시브 장애 조치를 제공합니다.

앱 서브넷의 아웃바운드 연결을 위해 NAT Gateway를 연결하고 LB 아웃바운드 SNAT 의존성을 제거합니다. Azure Monitor에서 프로브 결과와 LB/App Gateway/Front Door 메트릭을 모니터링하고, 프로브 간격/비정상 임계값을 조정하여 플래핑(flapping)을 제거합니다.