부하 분산 고르기 (Load Balancer, Application Gateway, Front Door, Traffic Manager)

네 서비스 고르기

고르는 순서는 간단합니다. HTTP 가 아니면 Load Balancer(지역) 또는 Traffic Manager(전역). HTTP 이고 인터넷 사용자가 여러 지역이면 Front Door. HTTP 이고 한 리전, VNet 안 원본, 세밀한 L7 제어가 필요하면 Application Gateway. 둘을 겹쳐 Front Door 뒤에 Application Gateway 를 두는 구성도 흔합니다.

Azure Load Balancer

Basic SKU 는 2025-09-30 에 퇴역했습니다. 지금은 Standard(그리고 NVA 연결용 Gateway SKU)만 씁니다.

Standard LB 에는 Standard 공용 IP 만 붙습니다(Basic 공용 IP 도 2025-09-30 퇴역). 백엔드 VM 은 상태 프로브에 응답해야 하고, NSG 가 AzureLoadBalancer 서비스 태그의 프로브를 막지 않아야 합니다. 프로브 실패는 "LB 뒤 VM 이 응답 없음" 의 가장 흔한 원인입니다.

az network lb create -g rg-shop-prod -n lb-api-int --sku Standard \
  --vnet-name vnet-shop-prod --subnet snet-app --frontend-ip-name fe --backend-pool-name be
az network lb probe create -g rg-shop-prod --lb-name lb-api-int -n hp --protocol Http --port 8080 --path /healthz
az network lb rule create -g rg-shop-prod --lb-name lb-api-int -n r-8080 --protocol Tcp \
  --frontend-port 80 --backend-port 8080 --frontend-ip-name fe --backend-pool-name be --probe-name hp

Application Gateway v2

v1 SKU 는 2026-04-28 에 퇴역했습니다. Microsoft 는 남은 v1 게이트웨이의 트래픽을 보장하지 않고 삭제 일정을 통지한다고 안내합니다. 아직 v1 이 있다면 즉시 v2 로 옮겨야 합니다.

• 전용 서브넷(권장 /24)에 배포하고, 자동 확장과 영역 중복을 씁니다.
• WAF v2 는 OWASP 기반 관리 규칙(DRS)과 사용자 지정 규칙, 봇 보호를 제공합니다. 처음에는 탐지(Detection) 모드로 오탐을 확인한 뒤 방지(Prevention)로 바꿉니다.
• 백엔드 인증서와 프로브의 호스트 이름이 맞지 않으면 502 가 납니다. 백엔드 상태(Backend health) 화면이 첫 확인 지점입니다.
• TLS 인증서는 Key Vault 에서 관리 ID 로 가져오면 갱신이 자동입니다.
• AKS 용으로는 Application Gateway for Containers 라는 별도 제품이 있습니다.

Azure Front Door

Front Door 는 Microsoft 의 전역 에지에서 HTTP 요청을 받아 가장 가까운, 건강한 원본으로 보냅니다. 캐시(CDN), WAF, 규칙 엔진을 같이 제공합니다.

Front Door (classic) 은 2025-04-01 부터 새로 만들 수 없고, 2025-08-15 부터 관리 인증서를 지원하지 않으며, 2027-03-31 에 퇴역합니다. 마이그레이션 도구로 Standard/Premium 으로 옮깁니다.

원본 보호

Front Door 를 우회해 원본(App Service, Application Gateway)에 직접 들어오는 것을 막아야 WAF 가 의미가 있습니다.

1. Premium 의 Private Link 원본: 원본의 공용 액세스를 끄고 Front Door 만 사설로 연결. 가장 확실합니다.
2. 원본의 접근 제한에서 AzureFrontDoor.Backend 서비스 태그만 허용하고, X-Azure-FDID 헤더가 내 Front Door ID 인지 확인. 태그만 허용하면 다른 고객의 Front Door 도 들어올 수 있습니다.

Traffic Manager

DNS 이름 질의에 대해 우선순위, 가중치, 성능, 지리 규칙으로 다른 엔드포인트 주소를 돌려줍니다. 트래픽을 직접 받지 않으므로 어떤 프로토콜이든 되지만, 장애 조치 속도는 클라이언트의 DNS TTL 캐시에 좌우됩니다.

퇴역 일정 요약 (2026-10 기준)

자주 만나는 문제

공식 문서

• Azure Load Balancer SKUs
• Application Gateway V1 retirement
• Azure Front Door (classic) retirement FAQ