什么是可用性区域
可用性区域（AZ） 是 Azure 区域中的物理独立数据中心，每个数据中心都有独立的电源、冷却和网络。 可用性区域隔离基础结构故障，并提高应用程序的复原能力和可用性。
支持可用性区域 的区域 通常具有三个不同的区域（例如区域 1、区域 2 和区域 3）。 并非所有 Azure 区域都支持可用性区域。 对于 Azure 防火墙，可用性区域确定防火墙实例在区域中的放置方式，以及防火墙对区域性故障的复原能力。
区域冗余
Azure 防火墙使用 区域冗余的默认 部署模型来提高针对区域性故障的复原能力、可用性和保护。
对于新部署， 不要为防火墙指定可用性区域。 Azure 在提供默认设置的区域中管理跨多个可用性区域的后端区域分配。 你不需要选择区域标识符来获得区域冗余。
- 没有指定区域的新防火墙在 ZR兼容区域默认是区域冗余的。
- 现有的非区域冗余防火墙，包括明确指定的单一区域的防火墙，在支持多个可用性区域的区域中进行了平台迁移。
- 所列地区的迁移已完成。 随着迁移进程，其他区域也会被启用。
- 你不需要解除分配、重新部署或更改防火墙的区域设置，就能接受自动迁移。
定义
Azure 防火墙部署选项分为以下类别。
| 部署类型 | Description |
|---|---|
| 区域冗余 （ZR） | 防火墙跨多个可用性区域（两个或更多个）进行部署。 |
| 区域（单区域） | 防火墙配置为单一区域（例如仅限区域1）。 |
| 区域（无区） | 防火墙未配置到任何区域。 |
某些区域不支持可用性区域。 在这些区域中，Azure 防火墙将继续部署为区域资源。
现有防火墙的平台迁移
Azure 防火墙 将现有的非可用区冗余防火墙迁移为可用区冗余，适用于支持多个可用区的区域：
- 迁移是自动且透明的。
- 无需停机，也不需要管理员操作。
ZR兼容区域
截至2026年10月9日，迁移已完成，以下地区默认提供区域冗余。
| 云 | 区域标识符 |
|---|---|
| Azure 中国 | chinanorth3 |
了解迁移后的区域属性
迁移后：
- 为了向后兼容，迁移状态（即更新后的区域配置）不会立即出现在 ARM 模板、JSON 或 Azure Resource Graph（ARG）属性中。
- 防火墙在后端仍然具有区域内冗余。
- 平台基础结构独立于 ARM 模板属性管理区域冗余。
在 Azure 防火墙中配置可用性区域
对于推荐的部署方式，省略防火墙区域设置，让 Azure 管理分配。 当你默认需要区域冗余时，选择ZR 兼容区域。
使用 Azure 门户
- Azure 门户在创建新防火墙时不需要你选择特定的可用性区域。 在 ZR 兼容的区域中，Azure 默认管理区域冗余部署。
使用 API
- 在 API 请求、ARM 模板、Bicep 和 Terraform 配置中省略防火墙的
zones属性。 在受支持的区域中，Azure 在后端管理区域冗余。 - 不要仅仅为了获得区域冗余而在现有配置中添加显式区域。 符合条件的现有防火墙会自动迁移。
使用 Azure PowerShell
以下示例创建防火墙，而不将 -Zone 传递给 New-AzFirewall。 Azure管理中国东部（ZR 兼容区域）中的防火墙后端可用区分配。
在不指定区域的情况下创建标准公共 IP 地址时，默认将其配置为区域冗余。 标准公共 IP 地址可以与所有区域或单个区域相关联。
$rgName = "Test-FW-RG"
$vnet = Get-AzVirtualNetwork `
-Name "Test-FW-VN" `
-ResourceGroupName $rgName
$pip1 = New-AzPublicIpAddress `
-Name "AzFwPublicIp1" `
-ResourceGroupName "Test-FW-RG" `
-Sku "Standard" `
-Location "chinanorth3" `
-AllocationMethod Static `
-Zone 1,2,3
New-AzFirewall `
-Name "azFw" `
-ResourceGroupName $rgName `
-Location "chinanorth3" `
-VirtualNetwork $vnet `
-PublicIpAddress @($pip1) `
-Zone 1,2,3
局限性
- 区域冗余需要一个支持多个可用区的区域。 在没有可用性区域的区域，Azure 防火墙 仍是一个区域资源。
- 区域容量限制会影响部署。 省略分区并不能绕过容量限制。 在更改配置前，务必检查部署错误和Azure 防火墙已知问题。
- 门户和资源区属性不一定显示平台管理的后端部署位置。 更多信息请参见 “迁移后理解区域属性”。
服务级别协议（SLA）
- 将 Azure 防火墙部署为区域冗余（两个或多个可用性区域）时，将获得 99.99% 运行时间 SLA。
- 99.95% 运行时间 SLA 适用于不支持可用性区域的区域中的区域部署。
有关详细信息，请参阅 SKU 提供的 Azure 防火墙 服务级别协议（SLA） 和 Azure 防火墙功能。