Microsoft AZ-700: 負載平衡與流量管理 — 學習指南

By Laurynas Brazys · 1 August 2026 · #microsoft #az-700 #certification #exam-prep #study-guide

屬於 Microsoft Azure Network Engineer AZ-700 — 學習指南. 使用經過驗證的解答練習： Microsoft 考試中心, 或參加限時模擬考試： ExamRoll.io.

Azure 核心負載平衡與邊緣服務

Azure 提供數個專為分散流量而設計的層級：Azure Load Balancer (第 4 層)、Application Gateway (第 7 層)、Front Door (全球邊緣傳遞與路由)，以及 Traffic Manager (以 DNS 為基礎的路由)。對於需要高輸送量、區域備援以及可預測 SNAT 行為的生產環境 TCP/UDP 東西向與南北向情境，請選擇 Azure Load Balancer Standard；Basic SKU 功能有限，不建議用於關鍵工作負載。Application Gateway v2 支援自動擴展、區域備援、WAF (WAF_v2)，以及原生的 URL 與主機型 HTTP/S 流量路由；而 v1 則缺乏自動擴展功能，且有容量規劃的額外負擔。Front Door (Standard/Premium) 提供全球 Anycast、邊緣 TLS 終止、快速容錯移轉，以及用於標頭和路徑修改的規則引擎；Premium 版本還增加了進階 WAF 和私有來源支援。Traffic Manager 是以 DNS 為基礎，適用於地理路由、容錯移轉和加權分送，但它無法提供 TLS 終止，也不能作為 HTTP 反向代理。在搭配使用服務時，可將靜態資產推送到 CDN，使用 Front Door 進行全球路由，並使用 Application Gateway 處理區域性的 L7 策略和私有後端存取。選擇元件時，請考量以下 SKU 的比較：

Azure Load Balancer：Basic vs Standard (生產環境請選擇 Standard：區域備援、預設安全)。
Application Gateway：v1 vs v2 (v2 提供自動擴展、更快的 WAF 更新)。
Front Door：Standard vs Premium (Premium 提供進階 WAF 和連至來源的 private link)。

健康狀態探查、重寫規則與 Web 應用程式防火牆行為

健康狀態探查和 WAF 控制是彈性第 7 層維運的核心。設定健康狀態探查時，應使用能實際測試完整請求路徑 (必要時包含驗證標頭) 的端點，並符合後端行為；設定探查間隔和狀況不良閾值，以在偵測速度與誤判之間取得平衡。Application Gateway 的健康狀態探查可以覆寫主機標頭並探查特定路徑；請確保後端 HTTP 設定 (基於 cookie 的親和性、連線耗盡、閒置逾時) 符合應用程式需求。重寫規則同時存在於 Application Gateway 和 Front Door 的規則引擎中，應用於正規化標頭、移除或插入前綴，或為後端路由執行 URL 重寫，但請記住，重寫可能會破壞快取啟發式演算法和簽署的 URL。WAF 策略因平台而異：Application Gateway WAF 透過 OWASP 管理的規則和自訂排除項目來保護區域性後端，而 Front Door Premium WAF 則在邊緣提供保護，並支援全域策略、機器人防護和進階速率限制。常見的陷阱包括：探查一個靜態的健康狀態頁面，即使應用程式端點已失效，該頁面仍回傳成功；忘記在 NSG 中允許探查的 IP 範圍；以及錯誤設定主機標頭，導致後端拒絕探查請求。

全球流量管理：Front Door、Traffic Manager 與 CDN

Front Door 和 Traffic Manager 都處理全球流量分送，但運作方式不同。Front Door 作為一個全球性、具狀態的 HTTP/S 代理，具備邊緣 TLS 終止、智慧路由 (延遲、優先順序和動態站台加速)、內建的 CDN 快取層，以及用於標頭/路徑操作的規則引擎。Traffic Manager 是一個以 DNS 為基礎的端點選擇器，使用如優先順序、加權、效能和地理位置等路由方法；它擅長於簡單的容錯移轉和合規性路由，但無法卸載 TLS 或執行應用程式層的重寫。Azure CDN (提供 Standard Microsoft、Standard Verizon、Premium Verizon/Akamai 選項) 專為靜態和可快取內容進行優化，可由 Front Door 作為前端，或獨立使用；若需要複雜的規則引擎、來源防護 (origin shield) 和進階 SSL 選項，請選擇 Premium CDN。對於多站台路由，可在 Application Gateway 中使用基於主機的接聽程式進行區域性隔離，並使用 Front Door 搭配自訂網域來作為跨區域多站台的前端。請注意，DNS 快取會影響 Traffic Manager 的容錯移轉速度，Front Door 提供快速的邊緣容錯移轉，而 CDN 的來源設定應與清除 (purge) 和 TTL 策略保持一致，以避免過時的內容。對於私有來源的情境，Front Door Premium 支援使用 Private Link 來保護來源；否則，可考慮在區域性中樞 (hub) 中使用 Application Gateway。

設計上的權衡、維運陷阱與監控

設計決策需要在效能、成本和彈性之間進行權衡。若要全球交付並降低用戶端延遲，應優先考慮 Front Door 或 CDN；若需要在靠近後端的位置進行豐富的 L7 策略控制，則應優先考慮 Application Gateway；若需要原始的 TCP/UDP 輸送量和可預測的擴展性，則應選擇 Azure Load Balancer Standard。成本權衡包括 Front Door Premium/WAF 和 Application Gateway v2 自動擴展，相對於成本較低、手動擴展的 v1 替代方案；可透過在邊緣整合全球路由，同時保留區域性閘道以進行私有流量檢測，來平衡成本。維運陷阱包括當許多後端從一小組 NAT 位址發起對外連線時，會發生 SNAT 連接埠耗盡的問題——應使用 NAT Gateway 或調整 SNAT 設定，並避免流量透過同一個 NAT 進行髮夾彎（hairpinning）。另一個常見問題是忘記在 NSG 中開放探測 IP，或是為 Front Door 和 App Gateway 錯誤設定自訂網域和憑證。在監控方面，應為每個服務（Load Balancer、App Gateway、Front Door、CDN）啟用診斷日誌和指標，將其傳送到 Log Analytics，並使用 Network Watcher 的 Traffic Analytics 和 Connection Monitor 來獲得流量層級的可視性。針對探測失敗、後端輸送量異常和 WAF 偵測設定警示，並透過受控流量測試容錯移轉，以驗證執行手冊（runbook）和復原程序。

實務問題：使用案例情境

情境：Contoso Manufacturing 公司在一個多區域的 Azure 環境中營運，擁有兩個區域性中樞（EastUS 和 WestEurope）、區域性的 Application Gateway v2 執行個體、一對 VM 擴展集應用程式集區，以及一個用於靜態資產的現有 CDN。他們需要提供一個具備邊緣 WAF 和快速容錯移轉能力的單一全球端點，同時保留私有的區域性檢測功能。

挑戰：提供一個具備邊緣 WAF、快速跨區域容錯移轉能力的全球 HTTPS 端點，並且能夠將流量路由到私有的區域性 Application Gateway 後端，而不需公開來源。

建議方法：

部署 Azure Front Door Premium 作為全球進入點（SKU：Front Door Premium），進行 TLS 終止，啟用 Front Door WAF 策略（自訂規則 + OWASP），並為每個區域設定一個後端集區，指向已啟用 Private Link 的區域性 Application Gateway v2 的公用 IP，以確保來源連線的安全性。
將 Front Door 的來源設定為連向 Application Gateway 區域性前端的 Private Link，並將健康狀態探測設定指向 Application Gateway 所公開的受保護健康狀態端點；設定較低的探測間隔（例如 10 秒）和積極的非健康閾值（例如 3 次），以實現快速容錯移轉。
在每個區域保留 Application Gateway v2，用於 L7 路由、URL 重寫，以及根據區域性策略量身定制的本地 WAF 規則；啟用自動擴展並將診斷日誌傳送到 Log Analytics。
使用 Azure CDN (Standard Microsoft) 來處理可快取的靜態資產，並由 Front Door 作為其前端，以實現最佳的 TTL 和清除控制；針對 Front Door 探測失敗和 WAF 封鎖率實作監控與警示。

理由：Front Door Premium 提供邊緣 WAF 和快速的全球容錯移轉，而 Private Link 則能保護作為來源的區域性閘道；區域性的 Application Gateway v2 能夠實現精細的 L7 控制和檢測，而無需暴露後端 VM，從而在效能、安全性和彈性之間取得平衡。

← 網路安全性 · 所有領域 · 網路監視與疑難排解 →

練習這些題目 → · 在 ExamRoll.io 上限時練習 →