Traffic Manager vs Front Doorを理解するための前提
Traffic ManagerはDNS responseでendpointを選び、その後clientはendpointへ直接接続する。 Traffic Managerのfailover speedはendpoint healthに加えてDNS TTL/cacheの影響を受ける。
Azure Front Doorはglobal L7 serviceとしてHTTP/HTTPS connectionをedgeで受け、originへproxyする。 Front DoorはTLS termination、WAF、routing rules、caching/CDN等のapplication-layer機能を提供する。
simple global load balancingでclient→endpoint direct connectionが必要ならTraffic Managerが適する。 Front Door classicは2027-03-31 retire予定で、新規設計はStandard/Premiumを前提にする。
Control plane と data plane
仕組みと設計上の意味
TMはHTTP以外もendpointとして誘導できるが、application protocolをproxyしない。
AFDはclient IP/origin protection/Host/TLS/WAF ruleを設計し、originへdirect bypassされないよう制御する。
TMをFront Doorの前段に置くadvanced DR patternはあり得るが、Front Doorの後ろにTMを置くのはMicrosoft best practiceに反する。
multi-region failover testではDNS cache behaviorとAFD health probe behaviorを別に測る。
Packet / decision path
source→destinationを1本のflowとして固定し、名前解決・routing・security・NAT/service processing・return pathを必要な範囲で順に確認する。
- protocol/L7機能要件を決める。
- client→service data pathをTM directかAFD proxyか選択。
- health probe/failover behaviorを設計。
- TLS/WAF/cache/origin security要件を設定。
- region failure drillでRTOとclient behaviorを測る。
設計判断
| 判断点 | 推奨 | 理由 |
|---|---|---|
| DNS-only steering | Traffic Manager | clientがendpointへ直接接続 |
| HTTP/S + WAF/CDN | Front Door Standard/Premium | edge L7 capability |
| Non-HTTP global choice | Traffic Manager | protocol proxy不要 |
| Origin concealment/security | Front Door + origin restriction | proxy経由を強制 |
確認手順
Azure Portal
- TM: profile → Routing method / DNS TTL / Endpoint monitoringを確認。
- AFD: endpoint/routes/origin group/health/WAFを確認。
- DNS answerとactual TCP/TLS peerをclient側で確認。
Evidence contract
az network traffic-manager profile show -g <rg> -n <tm> -o jsonc
az network traffic-manager endpoint list -g <rg> --profile-name <tm> -o table
az afd profile show -g <rg> -n <afd> -o jsoncGet-AzTrafficManagerProfile -ResourceGroupName <rg> -Name <tm>
Get-AzFrontDoorCdnProfile -ResourceGroupName <rg> -Name <afd>障害切り分け
| 症状 | 疑う点 | 証拠 | 次の確認 |
|---|---|---|---|
| TM failoverが遅い | DNS TTL/cache | authoritative/client DNS | TTLとresolver behavior確認 |
| AFD healthは良いが5xx | origin app/Host/TLS | AFD logs + origin logs | L7 settings確認 |
| origin direct access可能 | origin restriction不足 | direct origin test | FrontDoor service tag/Private Link等で制限 |
| classic利用中 | retirement risk | profile SKU | Standard/Premium migration |
変更・rollback
- failover前にDNS TTLとhealth probe thresholdを記録。
- AFD changeはorigin/route/WAF単位でstageしmetrics/logsを確認。
- TM rollbackはendpoint status/weight/priorityとDNS cacheを考慮。
- AFD rollbackはroute/origin configだけでなくcertificate/WAFを含める。