中心辐射型架构中Application Gateway与Azure Front Door选型咨询

一、是否需要在中心网络部署Application Gateway？ #

是否部署核心取决于业务需求与架构设计目标，可从以下维度判断：

• 如果中心网络承载跨辐射子网的共享服务（如统一API网关、管理控制台、身份认证服务），需要为这类服务提供区域内负载均衡、WAF防护或流量集中管控，中心AG是必要的，能实现跨子网服务流量的统一管理。
• 如果中心网络仅作为中转枢纽（仅负责VPN/ExpressRoute跨网连接，无对外或跨子网的业务服务），且辐射子网的AG已独立完成各自区域的流量处理，那么中心AG并非必需，反而会增加额外成本与复杂度。
• 若需实现统一安全策略（比如所有进出辐射子网的公网流量都要经过集中WAF扫描），中心AG可作为安全入口，完成流量的统一审计与防护。

二、能否使用Azure Front Door替代Application Gateway？ #

无法直接完全替代，两者定位与能力差异显著，需结合场景选择：

• Azure Front Door是全局边缘负载均衡服务，部署在Azure边缘节点，适合面向全球用户的公网服务，核心能力包括全局流量路由、边缘缓存、全局WAF、SSL卸载与跨区域故障转移，但无法直接访问VNet内的私有IP后端，需通过公网IP或Private Link对接。
• Application Gateway是区域级VNet内负载均衡服务，直接部署在VNet中，可对接私有IP后端，支持VNet内部服务的负载均衡、区域内WAF防护、会话亲和性及基于路径的路由。
• 场景组合建议：若服务同时面向全球用户与VNet内部用户，可采用「Front Door + Application Gateway」架构——Front Door作为全局流量入口与边缘防护层，AG负责区域内VNet服务的精细化流量管理，兼顾全局性能与内部服务安全访问。

三、相关参考架构与案例方向 #

• 中心辐射型应用交付架构：Azure标准架构中，中心网络部署AG作为共享服务的流量入口，辐射子网的AG负责各自业务单元的流量处理，实现服务隔离与集中管控。
• Front Door与AG组合架构：针对全球分布式业务，用Front Door做全局流量调度，将流量转发至各区域的AG，再由AG路由到VNet内的后端服务，兼顾全局性能与区域内流量管理。
• 实验室环境隔离架构：实验室网络的AG独立部署，与中心网络通过VNet对等连接，实现实验室流量与生产流量的隔离，同时可通过中心网络的安全设备完成跨网流量审计。

内容的提问来源于stack exchange，提问作者Akshay