Monitorizar o Azure Front Door

Os logs rastreiam todas as solicitações que passam pela Porta da Frente do Azure. Pode demorar alguns minutos até o sistema processar e armazenar registos.

Existem vários logs do Front Door, que pode usar para diferentes fins:

• Os logs de acesso podem ser usados para identificar solicitações lentas, determinar taxas de erro e entender como o comportamento de cache do Front Door está funcionando para sua solução.
• Os logs do WAF (Web Application Firewall) podem ser usados para detetar possíveis ataques e deteções de falsos positivos que podem indicar solicitações legítimas que o WAF bloqueou. Para obter mais informações sobre os logs WAF, consulte monitorização e registo do Firewall de Aplicação Web do Azure.
• Os logs de verificações de integridade podem ser usados para identificar origens que não estão saudáveis ou que não respondem a solicitações de alguns dos PoPs distribuídos geograficamente do Front Door.
• Os logs de atividades fornecem visibilidade sobre as operações executadas em seus recursos do Azure, como alterações de configuração em seu perfil do Azure Front Door.

Os logs de acesso e os logs WAF incluem uma referência de rastreamento, que também é propagada nas solicitações para destinos e nas respostas aos clientes através do cabeçalho X-Azure-Ref. Você pode usar a referência de acompanhamento para obter uma visão de ponta a ponta do processamento de sua solicitação de aplicativo.

Os logs de acesso, os logs de investigação de integridade e os logs WAF não são habilitados por padrão. Para habilitar e armazenar os seus logs de diagnóstico, consulte Configurar logs da Porta da Frente do Azure. As entradas de registos de atividades são recolhidas por predefinição e pode visualizá-las no portal do Azure.

Registo de acesso

O registo de acesso regista informações sobre cada pedido. Cada entrada de log de acesso contém as informações listadas na tabela a seguir.

Log da sonda de saúde

O Azure Front Door registra todas as solicitações de investigação de integridade com falha. Estes registos podem ajudar a diagnosticar problemas com uma origem. Use os registos para investigar a razão da falha e depois devolva a origem a um estado saudável.

Alguns cenários em que este registo pode ser útil incluem:

• Repara que o tráfego do Azure Front Door é enviado para um subconjunto das origens. Por exemplo, você pode notar que apenas três em cada quatro origens recebem tráfego. Você quer saber se as origens estão recebendo e respondendo a sondas de saúde para saber se as origens são saudáveis.
• Reparas que a métrica de percentagem de saúde de origem é mais baixa do que esperavas. Você quer saber quais origens são registradas como insalubres e o motivo das falhas na sonda de saúde.

Cada entrada de registo da sonda de saúde tem o seguinte esquema:

O trecho JSON de exemplo a seguir mostra uma entrada de log de teste de integridade para uma solicitação de teste de integridade com falha.

{
  "records": [
    {
      "time": "2021-02-02T07:15:37.3640748Z",
      "resourceId": "/SUBSCRIPTIONS/mySubscriptionID/RESOURCEGROUPS/myResourceGroup/PROVIDERS/MICROSOFT.CDN/PROFILES/MyProfile",
      "category": "FrontDoorHealthProbeLog",
      "operationName": "Microsoft.Cdn/Profiles/FrontDoorHealthProbeLog/Write",
      "properties": {
        "healthProbeId": "9642AEA07BA64675A0A7AD214ACF746E",
        "POP": "MAA",
        "httpVerb": "HEAD",
        "result": "OriginError",
        "httpStatusCode": "400",
        "probeURL": "http://www.example.com:80/",
        "originName": "www.example.com",
        "originIP": "PublicI:Port",
        "totalLatencyMilliseconds": "141",
        "connectionLatencyMilliseconds": "68",
        "DNSLatencyMicroseconds": "1814"
      }
    }
  ]
}

Log do firewall do aplicativo Web

Para obter mais informações sobre os logs do Firewall de Aplicação Web (WAF) do Azure Front Door, consulte Monitoração e registo do Firewall de Aplicação Web do Azure.

Para o Azure Front Door clássico, a monitorização integrada inclui logs de diagnóstico.

Registos de diagnósticos

Os logs de diagnóstico fornecem informações detalhadas sobre operações e erros que são importantes para auditoria e solução de problemas. Os logs de diagnóstico diferem dos logs de atividade.

Os logs de atividades fornecem informações sobre as operações feitas nos recursos do Azure. Os logs de diagnóstico fornecem informações sobre as operações que seu recurso faz. Para obter mais informações, consulte Logs de diagnóstico do Azure Monitor.

Para configurar logs de diagnóstico para sua porta frontal do Azure (clássico):

1. Selecione seu perfil do Azure Front Door (clássico).

2. Escolha Configurações de diagnóstico.

3. Selecione Ativar diagnóstico. Arquive logs de diagnóstico juntamente com métricas em uma conta de armazenamento, transmita-os para um hub de eventos ou envie-os para logs do Azure Monitor.

Front Door atualmente fornece logs de diagnóstico. Os logs de diagnóstico fornecem solicitações de API individuais com cada entrada com o seguinte esquema:

Envio para descontinuação do Origin Shield

A propriedade de registo bruto isSentToOriginShield foi preterida e substituída pelo novo campo isReceivedFromClient. Use o novo campo se já estiver usando o campo preterido.

Os logs brutos incluem logs gerados a partir da borda CDN (POP filho) e do escudo de origem. O escudo de origem refere-se aos nós principais que estão estrategicamente localizados pelo mundo. Esses nós se comunicam com os servidores de origem e reduzem a carga de tráfego na origem.

Para cada solicitação que vai para um escudo de origem, há duas entradas de log:

• Um para nós de borda
• Um para escudo de origem

Para diferenciar a saída ou as respostas dos nós periféricos versus protecção de origem, pode usar o campo isReceivedFromClient para obter os dados precisos.

Se o valor for falso, isso significa que a resposta à solicitação é feita do escudo de origem aos nós de borda. Essa abordagem é eficaz para comparar logs brutos com dados de faturamento. Não há custos na transferência da barragem de origem para os nós de borda. São cobrados encargos pelo egresso dos nós de borda para os clientes.

Exemplo de consulta Kusto para excluir logs gerados no Origin Shield no Log Analytics.

AzureDiagnostics | where Category == "FrontdoorAccessLog" and isReceivedFromClient_b == true

O Azure Front Door usa uma técnica chamada fragmentação de objetos. Quando um ficheiro grande é solicitado, o Azure Front Door recupera pedaços mais pequenos do ficheiro da origem. Após o servidor POP do Azure Front Door receber um arquivo completo ou intervalos de bytes do arquivo solicitado, o servidor de borda do Azure Front Door solicita o arquivo da origem em blocos de 8 MB.

Depois que o bloco chega à borda da Porta da Frente do Azure, ele é armazenado em cache e imediatamente servido ao usuário. Em seguida, a Azure Front Door pré-carrega a próxima parte em paralelo. Essa pré-busca garante que o conteúdo fique um pedaço à frente do usuário, o que reduz a latência. Esse processo continua até que todo o arquivo seja baixado (se solicitado), todos os intervalos de bytes estejam disponíveis (se solicitado) ou o cliente feche a conexão. Para obter mais informações sobre a solicitação de intervalo de bytes, consulte RFC 7233. O Azure Front Door armazena em cache qualquer fragmento à medida que é recebido. O arquivo inteiro não precisa ser armazenado em cache no cache da Front Door. As solicitações subsequentes para os intervalos de arquivos ou bytes são atendidas a partir do cache do Azure Front Door. Se nem todas as partes forem armazenadas em cache no Azure Front Door, o prefetch será usado para solicitar partes da origem. Essa otimização depende da capacidade do servidor de origem de suportar solicitações de intervalo de bytes. Se o servidor de origem não suportar solicitações de intervalo de bytes, essa otimização não será eficaz.