AZ-104
Deep Dive
Azure ofrece cuatro servicios de balanceo de carga: Load Balancer (L4 regional), Application Gateway (L7 regional), Traffic Manager (DNS global) y Front Door (L7 global). El AZ-104 evalúa cuál usar en cada escenario.
Contenido
Azure Load Balancer distribuye tráfico TCP/UDP en capa 4 entre backends. Es regional — no puede balancear entre regiones. Opera en milisegundos de latencia y es la opción de menor overhead.
Tipos de SKU
Basic (legacy)
Standard (recomendado)
Componentes clave
Frontend IP
IP pública o privada que recibe el tráfico. Puede ser dinámica o estática.
Backend Pool
Conjunto de VMs o VMSS que reciben el tráfico. Pueden estar en diferentes subredes de la misma VNet.
Health Probe
El LB sondea periódicamente los backends. Si una instancia falla la sonda, el LB deja de enviarle tráfico.
Load Balancing Rule
Mapea un puerto frontend a un puerto backend con un algoritmo de distribución (5-tuple hash por defecto).
Inbound NAT Rule
Mapea un puerto específico del frontend a un backend específico. Útil para acceso directo (ej: RDP a una VM específica).
Outbound Rule
Configura SNAT para tráfico saliente desde el backend hacia internet (solo Standard LB).
LB Público vs Interno
Público: Frontend con IP pública. Para distribuir tráfico de internet a VMs internas.
Interno (ILB): Frontend con IP privada. Para balanceo entre capas de aplicación (web tier → app tier) o desde on-premises.
Algoritmos de distribución
5-tuple hash: IP src, IP dst, protocolo, puerto src, puerto dst. Garantiza que una sesión TCP va siempre al mismo backend. Default.
2-tuple hash: Solo IP src + dst. Misma IP cliente siempre al mismo backend.
3-tuple hash: IP src, IP dst, protocolo.
Azure Application Gateway es un balanceador de carga de capa 7 (HTTP/HTTPS) con terminación SSL, enrutamiento basado en URL/host, y WAF opcional. Entiende el contenido HTTP — puede tomar decisiones de routing basadas en URL paths o headers.
Terminación SSL
Descifra HTTPS en el gateway — el backend recibe HTTP sin overhead de TLS. También soporta end-to-end SSL (re-cifra hacia el backend).
URL-based Routing
Rutas distintas a distintos backends según el path: /api/* → backend API, /images/* → backend de imágenes estáticas.
Multi-site Hosting
Un gateway puede servir múltiples sitios (www.contoso.com y www.fabrikam.com) con backends distintos para cada uno.
WAF Integration
WAF v2 con reglas OWASP CRS 3.2. Modo Detection (log) o Prevention (bloquea). Reglas personalizadas para excepciones.
Autoscaling (v2)
SKU v2 escala automáticamente según la carga. Mínimo y máximo de instancias configurables. Sin downtime en escala.
Session Affinity
Cookie-based affinity — el gateway establece una cookie en el cliente para que las peticiones de una sesión vayan siempre al mismo backend.
Azure Traffic Manager es un balanceador de carga DNS-based. No toca el tráfico de datos — solo resuelve a qué IP/endpoint apunta el DNS según el método de routing configurado. Funciona a nivel global entre múltiples regiones o endpoints.
Importante: el cliente se conecta directamente al endpoint — el tráfico NO pasa por Traffic Manager. Solo el DNS pasa por él.
| Método de routing | Comportamiento | Caso de uso |
|---|---|---|
| Priority | Envía siempre al endpoint primario; failover al secundario si el primario falla | Activo/pasivo — DR entre regiones |
| Weighted | Distribuye tráfico según pesos configurados (ej: 70% región A, 30% región B) | Despliegues blue/green, A/B testing, migraciones graduales |
| Performance | Resuelve al endpoint con menor latencia de red desde la ubicación del cliente | Apps globales — usuarios van a la región más cercana |
| Geographic | Dirige según la región geográfica del cliente (país/continente) | Cumplimiento de datos (GDPR: usuarios EU → endpoints en EU) |
| Multivalue | Devuelve múltiples endpoints healthy en la respuesta DNS | Aplicaciones que pueden usar múltiples IPs (solo soporta IPv4/6) |
| Subnet | Mapea rangos de IP de origen a endpoints específicos | Dirigir tráfico de oficinas específicas a endpoints específicos |
Azure Front Door es un CDN + balanceador L7 global. Combina aceleración de contenido, terminación SSL en el edge, WAF global y enrutamiento inteligente. A diferencia de Traffic Manager, el tráfico SÍ pasa por la infraestructura de Azure (anycast).
Front Door Standard/Premium
Front Door Classic (legacy)
| Servicio | Capa | Alcance | Protocolo | Cuándo usar |
|---|---|---|---|---|
| Load Balancer | L4 | Regional | TCP/UDP | VMs en misma región, balanceo simple sin necesidad de L7 |
| Application Gateway | L7 | Regional | HTTP/HTTPS | Apps web que necesitan SSL termination, URL routing, WAF en una región |
| Traffic Manager | DNS | Global | Cualquiera | Failover entre regiones o routing global sin modificar el tráfico HTTP |
| Front Door | L7 | Global | HTTP/HTTPS | Apps web globales que necesitan CDN, WAF global, aceleración y multi-región |
Trampa clásica del examen
Traffic Manager es DNS-based — el tráfico NO pasa por él. Si el escenario requiere WAF, SSL termination, o cualquier inspección del contenido HTTP, Traffic Manager no puede hacerlo. En ese caso usa Application Gateway (regional) o Front Door (global). Traffic Manager solo resuelve a qué endpoint apunta el DNS.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Una empresa tiene una aplicación web desplegada en East US y West Europe. Quieren que los usuarios de Europa se conecten automáticamente a West Europe y los de EE.UU. a East US para minimizar latencia. ¿Qué servicio usar?