Migre da Fastly para a Azion

Um serviço da Fastly acumula anos de lógica de entrega: várias origens, snippets VCL, condições, pacotes do Compute, dictionaries e cache overrides. Ao redor dele ficam a automação de TLS, as políticas de WAF, os endpoints de logging e os dashboards dos inspectors. Movê-lo significa recriar cada camada na Azion e confirmar o comportamento antes da mudança do domínio.

Na Azion, uma aplicação e suas regras assumem a entrega, o roteamento e o cache, e os connectors guardam as origens. Functions executa o código do Compute. KV Store e Object Storage guardam os dados. Firewall filtra o tráfego, e um workload atende o domínio. Real-Time Metrics, Real-Time Events e Data Stream substituem os inspectors e os endpoints de logging.

Cada etapa deste guia move uma camada, na ordem em que uma migração acontece: inventário, entrega, código e regras, dados, segurança, monitoramento e o domínio. Origens, políticas de cache, redirecionamentos, headers e acesso aos dados migram com mudanças pontuais de configuração. Quando um downtime próximo de zero não é um requisito, migre em fases com janelas de manutenção. As gravações param durante cada passo, então os dados não precisam de sincronização paralela.

Os pré-requisitos e os procedimentos desta página mudam conforme a interface que você seleciona:

Pré-requisitos

• Uma conta Azion. Para abrir uma, cadastre-se no Azion Console. Para mais informações, consulte Crie uma conta.
• A conta Fastly, com acesso aos seus serviços, versões de serviço, pacotes do Compute, armazenamentos de dados e configurações de TLS.
• Acesso aos registros DNS ou ao registrador de cada domínio que você move.
• curl e dig, para verificar as respostas e as respostas DNS.

Faça o inventário da conta Fastly

Mova um serviço primeiro, e não o mais complexo da conta. Escolha um serviço que teste o caminho completo e ainda migre rápido. Um bom primeiro serviço tem um ou dois domínios, algumas origens, regras de cache, redirecionamentos e headers. Ele também pode ter um pacote do Compute e um destino de logging. Use-o para documentar o processo e encontrar os padrões que sua equipe reutiliza. Depois expanda: VCL mais complexo, mais serviços Compute, os dados armazenados, a observabilidade e as regras de segurança.

Antes de criar qualquer coisa na Azion, liste o que o serviço usa:

• Serviços ativos e suas versões de serviço.
• Domínios e certificados TLS.
• Origens, shielding, health checks e lógica de failover.
• Configurações de cache, chaves de cache, comportamento de conteúdo expirado e fluxos de purge.
• Condições, snippets VCL, VCL personalizado e configurações de requisição e de resposta.
• Pacotes do Compute e seus runtimes de linguagem, com o fastly.toml e as configurações de CI/CD que fazem o deploy deles.
• Dictionaries, dados do Config Store, valores do Secret Store e Edge Data Storage.
• Buckets do Object Storage, otimização de imagens, streaming, WebSocket e tráfego do AI Accelerator.
• Políticas de WAF, controles de bots, proteções contra DDoS e rate limits.
• Endpoints de logging, dashboards dos inspectors e os alertas que dependem deles.

Cada item da lista corresponde a uma etapa deste guia. A tabela em Mapeie cada produto da Fastly para a Azion indica o destino de cada um.

Mapeie cada produto da Fastly para a Azion

Todo produto da Fastly do inventário tem um destino na Azion. Encontre o produto na primeira coluna e mova-o com a etapa que indica seu destino. Um traço (-) na última coluna significa que a Azion não tem um equivalente direto.

Recrie o serviço na Azion

Na Azion, um serviço da Fastly se divide em três recursos. Um connector guarda a origem, uma aplicação guarda as regras e o cache, e um workload atende a aplicação em seus domínios.

Os dois subcomandos azion logs retornam os logs dos últimos 5 minutos. Para suas flags, consulte Logs da Azion CLI.

Entregue uma origem por meio de uma aplicação

Um serviço à frente de uma origem se torna a cadeia connector, aplicação, regra e workload. A regra envia toda requisição para o connector com Set Connector.

Faça o deploy de um projeto a partir do repositório

Um projeto do Compute ou um site com framework faz o deploy a partir do seu repositório. A Azion suporta 19 frameworks e 5 presets genéricos. Azion Console importa um repositório com um de seis presets, e Azion CLI pede o preset em um seletor.

Verifique o deployment

O deployment responde em um domínio de workload que a Azion atribui sob map.azionedge.net, como xxxxxxxxxx.map.azionedge.net. Antes de mover qualquer domínio de produção, envie uma requisição para o caminho raiz, com esse domínio no lugar de <your-workload-domain>:

A resposta traz o status, os headers e o corpo que o serviço retorna para /. Envie a mesma requisição para cada rota crítica, como um endpoint /health. Um primeiro 200 sozinho comprova pouco: o comportamento do cache, os redirecionamentos, os headers e o roteamento para a origem ainda podem diferir da Fastly.

Se o build falhar na Azion, compare o preset com o framework do projeto e verifique build.preset, build.entry e build.bundler no azion.config.js. O bloco build não tem campo de comando.

Mova as variáveis de ambiente

Variáveis de ambiente guardam chaves de API, credenciais de origem, feature flags, endpoints de terceiros e configurações operacionais. Uma variável que não chega à Azion quebra o serviço em tempo de execução, mesmo quando o deployment tem sucesso.

Procure variáveis no fastly.toml e no projeto do Compute, nos dictionaries e nas entradas do Config Store, no Secret Store, nas configurações de CI/CD e no código-fonte. Na Azion, cada variável tem uma chave, um valor e uma flag que a marca como secret. Dados que mudam por requisição, como uma tabela de roteamento, ficam melhor no KV Store. Um valor que pertence a uma instância de função vai nos seus argumentos, que o código lê de ctx.args.

Uma função em produção lê uma variável com Azion.env.get(), e process.env continua funcionando:

No azion dev, uma função lê o arquivo .env do projeto em vez das variáveis da conta, ou todo o ambiente do shell quando não há arquivo .env. Se uma função informar que uma variável não foi encontrada, confirme que a variável existe na conta e que o código a lê com Azion.env.get(). Para os argumentos da instância, consulte Functions instances.

Mova serviços do Compute para Functions

Os serviços do Compute carregam o tratamento de requisições, a orquestração de APIs, a personalização, a autenticação e a lógica de integração. Na Azion, esse código roda em Functions. Uma função guarda o código, uma instância de função o executa em uma aplicação, e uma regra decide quais requisições chegam até ela.

Em uma função em produção, env é um objeto vazio, e ctx traz args e waitUntil. A Azion também executa o formato Service Worker, addEventListener('fetch', ...), mas o objeto ES Modules é o handler recomendado:

Para um projeto do Compute em outra linguagem, azion list presets inclui rustwasm para Rust e emscripten para C++. Uma linguagem sem preset, como Go, é reescrita em JavaScript. Em qualquer caso, o código que chama APIs da plataforma Fastly muda. Separe a lógica de negócio dessas chamadas e associe cada área à sua API da Azion:

Para os presets, consulte Presets da Azion CLI. Para os formatos de handler, consulte Handlers, e para as APIs de runtime, Web APIs.

Converta o VCL e as condições do serviço

O comportamento crítico para o negócio costuma ficar em snippets VCL, condições e configurações de requisição ou de resposta. A maior parte dele passa para o Rules Engine para Applications. Reserve Functions para a lógica que precisa de código, como consultas externas, tokens assinados ou algoritmos personalizados.

Converta cada condição sobre o caminho em um critério de regra. Mova cada header que uma configuração de resposta adiciona para uma regra da Response Phase, e cada normalização de header de requisição para uma regra da Request Phase. Reconstrua a seleção de backend como um connector por origem, escolhido por Set Connector na regra correspondente. No azion.config.js, esses comportamentos são redirect_to_301, add_request_header, filter_request_header, add_response_header e set_connector. Para manter um caminho fora do cache, adicione Bypass Cache, bypass_cache, à sua regra.

Quando a aplicação responde de forma diferente do serviço da Fastly, compare a versão ativa do serviço com as regras e os connectors da aplicação. As causas comuns são uma regra, um ramo do VCL, uma chave de cache ou uma seleção de origem que não foi mapeada. Para ver quais regras rodam em uma requisição, consulte Faça o debug de regras.

Recrie redirecionamentos e reescritas

Redirecionamentos protegem rankings de busca, links de campanhas, backlinks e favoritos. Quando um redirecionamento quebra, o resultado é perda de tráfego e jornadas de usuário interrompidas. A Azion guarda os redirecionamentos nas regras da aplicação, que você escreve no Azion Console, na API ou no azion.config.js.

Um redirecionamento em VCL se torna uma regra com um critério, uma captura e um redirecionamento:

Os critérios de uma regra selecionam as requisições, mas não capturam nada. Para reutilizar parte do caminho no destino, adicione um comportamento Capture Match Groups antes do redirecionamento, na mesma regra. Capture Match Groups requer Application Accelerator na aplicação. O array é local, então só a regra que o captura pode lê-lo.

Para verificar o redirecionamento, requisite um caminho antigo:

A resposta traz 301 Moved Permanently e um header location que termina em /new/post. Uma regra nova pode levar alguns minutos para se propagar. Diante de uma resposta inesperada, aguarde e tente de novo antes de diagnosticar. Se o redirecionamento ainda falhar, teste a expressão regular e seus grupos de captura com os caminhos antigos.

Para servir conteúdo de outro caminho sem redirecionamento, use Rewrite Request com as mesmas capturas. Em mudanças sensíveis para SEO, prefira redirecionamentos permanentes, evite cadeias de redirecionamento, mantenha os caminhos canônicos consistentes e teste os caminhos com e sem barra final.

Recrie headers personalizados

Headers controlam o cache, a segurança e o comportamento do navegador. Na Fastly, o VCL e as configurações de resposta os alteram. A Azion os adiciona com regras em qualquer uma das fases: Add Request Header altera a requisição enviada à origem, e Add Response Header altera a resposta enviada ao usuário.

Este azion.config.js adiciona dois headers de segurança a toda resposta da aplicação:

O valor tem o formato Name: value, e o Console recusa qualquer outro formato com Header must follow the header-name: value format. Um workload precisa atender a aplicação para que os headers cheguem a um domínio. Execute azion deploy e depois verifique uma resposta:

A resposta traz x-frame-options: SAMEORIGIN e x-content-type-options: nosniff. Um header que depende de uma lógica que nenhuma regra expressa vai em uma função.

Recrie as configurações de cache

Na Fastly, o cache depende das configurações do serviço, do VCL, das surrogate keys, dos cache overrides e das APIs de purge. Na Azion, uma configuração de cache define por quanto tempo uma resposta fica em cache e o que faz duas requisições compartilharem uma cópia em cache. Uma regra com Set Cache Policy aplica a configuração às requisições a que corresponde. A regra seleciona uma configuração, e a configuração guarda o TTL e a chave de cache.

Max Age tem padrão de 60 segundos. Um valor abaixo de 60 requer Application Accelerator, e uma configuração de cache com Tiered Cache ativado precisa de pelo menos 3 segundos e de Override cache behavior. Stale cache respeita o stale-while-revalidate que a origem envia, ou mantém uma janela de 300 segundos com Override cache behavior. Ele vem ativado por padrão no Azion Console e desativado na API e na CLI.

Para variar o cache por query string, cookie ou dispositivo, use os controles Cache vary by da configuração de cache: Cache vary by Query String, Cache vary by Cookies e Cache vary by Devices. Eles requerem Application Accelerator na aplicação. Cache vary by Devices com o comportamento Allowlist mantém uma cópia para cada grupo de dispositivos que você seleciona. Os grupos vêm da aba Device Groups da aplicação. Para os controles, consulte Variação de cache.

Quando menos requisições vêm do cache depois da migração, compare a configuração de cache com o serviço da Fastly. Compare os controles Cache vary by com as chaves de cache, Max Age com os TTLs e Tiered Cache com o shielding.

A Azion não tem purge por surrogate key. Substitua cada fastly purge pelo endpoint de purge do tipo correspondente:

Purge é um endpoint de nível superior, não aninhado em applications. Um purge por URL aceita até 50 itens, e um purge por wildcard aceita uma expressão. Só um purge por chave de cache, em /v4/workspace/purge/cachekey, alcança Tiered Cache com "layer": "tiered_cache". Um purge por URL ou wildcard com essa camada falha com 30001.

Azion CLI faz o purge da mesma forma:

O comando responde Purge carried out successfully. Em um script, sempre passe --urls, --cachekey ou --wildcard: sem flag e sem terminal, o comando falha com Error: EOF. Para os tipos de purge, consulte Real-Time Purge e azion purge.

Balanceie o tráfego entre origens

Na Azion, Load Balancer é um módulo de um connector, não um recurso separado. Um connector do tipo http guarda cada origem como um endereço, até 15 endereços com Load Balancer ativado e um endereço sem ele. Uma regra com Set Connector envia as requisições da aplicação para o connector.

Nenhum método direciona por localização ou por tempo de resposta medido, e não há afinidade por cookie: IP Hash associa cada endereço IP de cliente a um endereço. Cada endereço tem um Weight de 1 a 100, que define sua parcela do tráfego. IP Hash recusa endereços Backup, com 28005 na API. Max Retries aceita de 0 a 20, Connection Timeout de 1 a 300 segundos e Read/Write Timeout de 1 a 600 segundos. Esses campos existem apenas com Load Balancer ativado. Quando você o ativa no Azion Console, o formulário preenche Round Robin, 3, 30 e 60. Os padrões da API são 0, 60 e 120.

Para os campos do connector, consulte Configurações de connectors e Connectors.

Entregue imagens otimizadas

Image Processor redimensiona, recorta, converte e aplica filtros a imagens sob demanda. Ele não armazena nada: lê a imagem de origem da origem da aplicação. Essa origem pode ser um servidor HTTP ou um bucket do Object Storage atrás de um connector.

Image Processor funciona em dois passos: ative o módulo na aplicação e depois crie uma regra com o comportamento Optimize Images. Uma requisição que nenhuma regra desse tipo atende é entregue sem processamento. Image Processor não tem configuração padrão de qualidade nem de formato: a URL de cada requisição os traz.

Image Processor lê a transformação do parâmetro de query ims:

Image Processor converte para WebP quando o header Accept do cliente permite. AVIF precisa de ?ims=filters:format(avif) e de um cliente que aceite image/avif. Para manter em cache uma cópia para cada valor de ims, ative Application Accelerator e varie o cache por query string. Verifique URLs de imagem representativas no domínio do workload antes da virada. Para cada parâmetro, consulte Parâmetros de URL.

Mova streaming, WebSockets e Fanout

O tráfego de streaming, Media Shield, WebSocket e Fanout consome muita banda ou tem longa duração. Mova cada um conforme seu modelo de tráfego: mídia que vai para o cache, conexões de longa duração ou mensagens publish-subscribe.

Uma transmissão ao vivo que a Azion ingere chega por meio de um connector do tipo live_ingest. Ele recebe a transmissão por RTMP e a converte para HLS, e uma aplicação a entrega aos espectadores. Para o fluxo, consulte Ingestão e entrega.

Transporte conexões WebSocket

WebSocket Proxy e a API WebSocket estão disponíveis com os suportes Business, Enterprise ou Mission-Critical, ou com um contrato Reserved Capacity ou Saving Plan. Para solicitar acesso, entre em contato com o Suporte Técnico.

Uma aplicação com WebSocket Proxy trata como conexão WebSocket toda requisição que traz os dois headers de upgrade, qualquer que seja o caminho:

Antes da virada:

1. Confirme que o cliente e a origem suportam WebSocket nativamente e que a origem aceita Upgrade: websocket e Connection: upgrade.
2. Envie os headers de upgrade apenas nas requisições que abrem uma conexão e mantenha as regras de cache e de imagem fora desses caminhos.
3. Teste um upgrade: uma conexão que abre retorna 101 Switching Protocols. Qualquer outro status, mesmo um 2xx ou um 3xx, significa que o upgrade não foi concluído.
4. Faça o cliente reabrir uma conexão fechada. A Azion recicla as conexões keepalive a cada 15 minutos, aproximadamente, o que pode fechar uma conexão WebSocket ativa.

As regras de firewall podem inspecionar uma requisição WebSocket antes de o upgrade ser concluído. Depois da virada, acompanhe os eventos websocket.connection.accepted, message.sent e message.received no Real-Time Metrics e no Data Stream.

Sirva WebSockets a partir de uma função

Quando uma função é o servidor WebSocket, upgradeWebSocket(request) aceita o upgrade e retorna um response e um socket. O runtime também oferece helpers que fazem broadcast de uma mensagem para todos os clientes conectados, o que cobre um padrão Fanout:

Uma requisição sem o header upgrade recebe 400 com Expected WebSocket upgrade. No azion dev, upgradeWebSocket não está definido, então teste a função em produção. Para a API, consulte WebSocket.

Mova os padrões do AI Accelerator

Fastly AI Accelerator faz cache e acelera o tráfego para APIs de IA generativa. Na Azion, o destino depende do objetivo: executar a inferência, controlar o tráfego, observá-lo ou fazer cache das respostas.

Uma função pode continuar chamando o provedor de IA externo, com a chave em uma variável de ambiente:

A função retorna a resposta do provedor ao cliente. Para executar o modelo na Azion, chame-o pelo seu ID com Azion.AI.run(). AI Inference executa um catálogo de modelos open source, e a chamada não precisa de credencial:

No azion dev, Azion.AI é undefined. Teste a chamada em uma função em produção. Para os campos da requisição, consulte Invocação de modelos e a API de runtime de IA. Para um endpoint /v1/chat/completions compatível com OpenAI na Azion, faça o deploy do template AI Inference Starter Kit a partir do Azion Console > Create.

Mova Edge Data Storage para KV Store

KV Store guarda configurações, feature flags, personalização, metadados de autorização e estado leve. As chaves ficam em um namespace. Uma função abre o namespace com Azion.KV.open(), um global do runtime que não precisa de linha de import.

Azion.KV.open() é o único ponto de entrada e é assíncrono. O namespace precisa existir antes, ou open() lança NotFound. get() retorna o valor como texto por padrão, e null para uma chave inexistente, assim como para uma chave expirada. Ele também retorna json, arrayBuffer ou stream quando o segundo argumento indica esse tipo.

KV Store não tem importação em massa. Nenhuma tela do Azion Console, comando da CLI, chamada de API ou recurso do Terraform lê ou grava chaves. Para mover os dados:

1. Exporte da Fastly as chaves, os valores, os metadados e as regras de expiração.

2. Crie o namespace pela API:

   Shell

   01curl --request POST \

   02 --url https://api.azion.com/v4/workspace/kv/namespaces \

   03 --header 'Authorization: Token [TOKEN VALUE]' \

   04 --header 'Content-Type: application/json' \

   05 --data '{ "name": "fastly-migration-kv" }'

   O namespace existe, e uma função pode abri-lo pelo nome. O nome aceita de 3 a 63 caracteres, diferencia maiúsculas de minúsculas e é permanente: um namespace não pode ser renomeado nem excluído.

3. Grave as chaves a partir de uma função em produção com kv.put().

A função grava uma chave no máximo uma vez por segundo. Um valor aceita até 25 MB, uma chave até 512 bytes e os metadados até 1.024 bytes. Associe cada expiração à opção expiration, em segundos Unix, ou a expirationTtl, em segundos com mínimo de 60. Antes da importação, mantenha os prefixos das chaves e verifique a codificação dos valores de texto, JSON e dados binários. Revise o código que trata uma chave inexistente. Teste os caminhos de leitura e gravação antes de mover o tráfego de produção. Se faltarem chaves depois da importação, exporte-as de novo, verifique o nome do namespace e verifique a codificação.

Para as operações de namespace e seus erros, consulte Namespaces. Para o cliente, consulte API de runtime do KV Store e Gerencie KV Store com Functions.

Mova Fastly Object Storage para Object Storage

Object Storage guarda imagens, documentos, assets estáticos, mídia, uploads e arquivos gerados. Ele fala o protocolo S3, então ferramentas e SDKs S3 o alcançam com um novo endpoint, uma região e um par de chaves.

O par de chaves vem de uma credencial do Object Storage. Crie-a no Azion Console ou com uma requisição POST para https://api.azion.com/v4/workspace/storage/credentials. A secret_key só volta na resposta de criação. Para migrar, a credencial precisa de pelo menos listBuckets, listFiles e writeFiles, além de listAllBucketNames para listar os buckets. Quando o acesso for negado, verifique primeiro o par de chaves e o endpoint.

Um script de migração em Node.js alcança Object Storage com o AWS SDK:

Para copiar os dados com o s3cmd, crie antes o bucket de destino no Azion Console, na API ou na CLI. O s3cmd não cria nem remove um bucket na Azion: s3cmd mb e s3cmd rb são recusados com 403 AccessDenied. Um nome de bucket aceita de 6 a 63 caracteres, é único entre todas as contas e não pode começar com azion.

1. Execute s3cmd --configure -c ~/.s3cfg-azion e informe estes valores:

   • Access Key e Secret Key: o par de chaves da credencial.
   • Default Region: us-east-005.
   • S3 Endpoint: s3.us-east-005.azionstorage.net.
   • DNS-style bucket+hostname
     template: %(bucket).s3.us-east-005.azionstorage.net.
   • Use HTTPS protocol: true.

2. Configure um segundo arquivo, ~/.s3cfg-fastly, com o endpoint e as chaves do bucket da Fastly. Uma configuração do s3cmd guarda um endpoint.

3. Baixe os objetos da Fastly:

   s3cmd -c ~/.s3cfg-fastly sync s3://fastly-bucket/ ./export/

4. Envie-os para a Azion:

   s3cmd -c ~/.s3cfg-azion sync ./export/ s3://azion-bucket/

Os objetos estão no bucket da Azion. Para verificar, liste-os com s3cmd -c ~/.s3cfg-azion ls s3://azion-bucket/. s3cmd ls sem bucket lista todos os buckets, o que exige listAllBucketNames na credencial. s3cmd sync s3://source-bucket/ s3://dest-bucket/ copia apenas entre dois buckets do mesmo provedor. Outros comandos funcionam da mesma forma: s3cmd put file.png s3://my-bucket/ envia um objeto, e s3cmd get s3://my-bucket/file.png baixa um. O rclone, a AWS CLI e outras ferramentas S3 também funcionam.

Azion Console recusa um upload individual acima de 300 MB. A API e as ferramentas S3 não estão sujeitas a esse limite. Use o endpoint S3 para gerenciar os objetos. Entregue-os aos usuários por meio de uma aplicação e de um connector, para que o tráfego tenha cache, segurança e seu domínio. O acesso do bucket aos workloads é read_only, read_write ou restricted, e uma credencial funciona de forma independente dele. Para as operações S3, consulte Compatibilidade com S3 e Use ferramentas compatíveis com S3. Para os buckets e seus objetos, consulte Crie e modifique um bucket, Faça upload e download de objetos e Use um bucket como origem.

Proteja a aplicação com WAF

Web Application Firewall pontua as requisições em relação a oito famílias de ameaças: cross-site scripting, directory traversal, evading tricks, file upload, identified attack, remote file inclusion, SQL injection e unwanted access. Um conjunto de regras WAF guarda uma sensibilidade para cada família, e uma regra de firewall o aplica com Set WAF.

mode é obrigatório em todo comportamento Set WAF e não tem padrão. Comece em Logging para verificar o que o conjunto de regras bloquearia e depois mude para Blocking. Antes de aplicar o bloqueio, compare os falsos positivos, as regras mais acionadas e as exceções de que a aplicação precisa. No modo Blocking, uma requisição que o conjunto de regras bloqueia recebe 400. Para evitar que uma requisição legítima corresponda, adicione uma exceção de WAF ou use a aba Tuning.

Converta cada regra de WAF da Fastly em critérios de firewall. As variáveis do firewall diferem das variáveis da aplicação: o caminho é ${request_uri}, e uma faixa de endereços vai em uma Network List comparada com ${network}.

O critério ${network} requer Network Shield no firewall. Para as variáveis e os operadores, consulte Rules Engine para Firewall. Para os campos do conjunto de regras, consulte Conjuntos de regras WAF, e para código em um firewall, Functions para Firewall.

Conte com DDoS Protection

DDoS Protection está ativado em todo workload, sem nada para criar e nada para configurar. Ele mitiga ataques volumétricos, de protocolo e de camada de aplicação nas camadas 3, 4, 6 e 7.

Um firewall mostra a chave DDoS Protection Unmetered em Main Settings > Modules, sempre ativada. Na API, modules.ddos_protection é somente leitura. DDoS Protection não tem limiares, chaves por regra nem alertas. Para uma mitigação direcionada, escreva regras personalizadas no firewall vinculado ao workload. O Security Response Team é um add-on dos suportes Enterprise e Mission-Critical. Para os tipos de ataque, consulte Mitigação de ataques.

Antes da virada, registre as premissas de DDoS, os processos de suporte e os caminhos de escalonamento da configuração da Fastly. Confirme o workload, o firewall e a configuração de Network Shield dele. Mantenha os procedimentos de rollback e de escalonamento prontos durante a janela da virada.

Network Shield é um módulo diferente do firewall. Ele compara o endereço do cliente com uma Network List de endereços IP, faixas CIDR, ASNs ou países, por meio do critério ${network}. Use-o para bloquear ou permitir conjuntos de clientes, restringir países ou aplicar rate limit a um conjunto de clientes.

Recrie o gerenciamento de bots

Bot Manager pontua cada requisição e age conforme a pontuação. Bot Manager Lite é a função do Marketplace incluída em todos os planos, e Bot Manager completo está disponível no Enterprise.

Bot Manager Lite pontua uma requisição com 26 regras estáticas, em relação a um threshold cujo padrão é 30, e executa a ação deny por padrão. Ele também pode verificar o cliente em Network Lists de reputação. Os níveis de tolerância pertencem às regras dinâmicas do Bot Manager completo, que Bot Manager Lite não tem.

Para configurar Bot Manager Lite no Azion Console:

O firewall pontua as requisições do workload. Para cada argumento, consulte Instale Bot Manager Lite e Bot Manager Lite.

Para bloquear um cliente pelo seu user agent, adicione uma regra de firewall:

${header_user_agent} requer o módulo WAF no firewall e suporta apenas matches e does not match. O firewall não tem comportamento de permissão. Para isentar um cliente como Googlebot, adicione um critério does not match à regra de bloqueio ou ordene as regras. Um cliente pode enviar qualquer user agent, então verifique um bot legítimo de outra forma. Para verificar a regra:

A primeira resposta é 403, com a página de erro Forbidden. A segunda, com o user agent de um navegador, recebe a resposta normal.

Recrie os rate limits

A Azion limita a taxa de requisições de duas formas, e cada uma cobre uma parte diferente do que Fastly Edge Rate Limiting faz. Use o comportamento nativo Set Rate Limit de uma regra de firewall para limitar as requisições por segundo ou por minuto, por endereço IP do cliente ou entre todos os clientes. Use a integração Upstash Rate Limiting, um rate limit com penalidade executado como função de firewall, para chaves personalizadas, janelas personalizadas ou um período de penalidade.

Use o rate limit nativo

Um comportamento Set Rate Limit conta as requisições a que sua regra corresponde. Os critérios da regra definem o escopo do limite, como o caminho com ${request_uri}, ou o método, que requer WAF no firewall. Rate Limit Type é Req/s ou Req/min, e Limit By é Client IP address ou Global. Average Rate Limit aceita no mínimo 1, e Maximum Burst Size aceita no mínimo 1 e se aplica apenas a Req/s. Nenhum comportamento pode vir depois de Set Rate Limit em uma regra. Uma regra cujos critérios unem vários caminhos com or compartilha uma contagem entre todos eles.

Uma requisição além da taxa e do burst recebe 429, com a página de erro intitulada Too Many Requests. Para saber como a taxa e o burst admitem requisições, consulte Set Rate Limit.

Use o rate limit com penalidade

A função Upstash Rate Limiting mantém seus contadores em um Upstash Global Database. Por isso, ela conta cada requisição em toda a rede, e não em cada data center. Uma requisição durante uma penalidade recebe 403 Forbidden. Uma requisição válida é contada, e a função retorna 429 Too Many Requests quando a contagem atinge o limite.

Para configurá-la no Azion Console:

A função conta as requisições a que a regra corresponde. Estes argumentos definem uma sliding window de 2 requisições a cada 20 segundos, da meia-noite ao meio-dia UTC, com uma penalidade de 45 segundos:

A chave une o prefixo e cada valor que os argumentos selecionam. Neste exemplo, ela é my_rate_limit + client IP + x-a-custom-header value + hostname, como my_rate_limit_127.0.0.1_Value_azion.com. Para a configuração completa, consulte Instale a integração Upstash Rate Limiting. KV Store também lista contadores de rate limit entre seus usos, para um contador que a própria função mantém.

Reconstrua o monitoramento

A Azion divide a observabilidade em três produtos. Real-Time Metrics mostra agregados ao longo do tempo em gráficos e substitui Domain Inspector e Origin Inspector. Real-Time Events responde a consultas sobre requisições individuais e substitui Log Explorer & Insights. Data Stream envia os logs para destinos externos e substitui High Volume Logging.

Real-Time Metrics

Uma métrica leva até 10 minutos para agregar. Os dados ficam por 2 anos, exceto 90 dias para httpBreakdownMetrics e 60 dias para botManagerBreakdownMetrics. O intervalo é de 1 minuto abaixo de 2,5 dias, 1 hora até 60 dias e 1 dia acima disso.

Os dashboards de Applications mostram:

• Requests: total de requisições, requisições por método e por esquema e Average Request Time, o tempo médio em segundos que a Azion leva para processar e responder a uma requisição.
• Status Codes: as respostas 2XX, 3XX, 4XX e 5XX e a tabela Requests by Status and Upstream Status, que distingue erros da Azion de erros da origem.
• Data Transferred: dados e largura de banda economizados e perdidos e Edge Offload.
• Cache: Requests Offloaded, Saved Requests e Missed Requests.

Real-Time Metrics não informa latência, tempo até o primeiro byte nem tempo de resposta da origem. Para ler o status de cache das requisições, filtre um dashboard por Upstream Cache Status, cujos valores incluem HIT, MISS, STALE e EXPIRED. Para encontrar erros da origem, filtre por Upstream Status, que é 0 quando a origem não respondeu.

Para abrir os dashboards, acesse Azion Console > Real-Time Metrics. Ele abre em Build > Applications > Data Transferred, nos Last 5 minutes. Para restringir um dashboard a um workload, adicione o filtro Domain ou Workload. Para exportar um gráfico, abra seu menu More options e selecione Export CSV.

Para consultar os mesmos dados, envie uma consulta GraphQL para https://api.azion.com/v4/metrics/graphql:

Substitua as datas por um intervalo dentro do período de retenção. Um intervalo fora dele retorna um array vazio. limit aceita até 10.000 linhas e tem padrão 10. O dataset httpMetrics de consultas antigas ainda funciona, mas está obsoleto. Para cada campo, consulte Campos GraphQL do Real-Time Metrics e Primeiros passos com Real-Time Metrics. Para dashboards no Grafana, consulte Dashboards personalizados do plugin Grafana. Para ler os dashboards, consulte Analise métricas.

Real-Time Events

Um registro pode ser consultado até 30 segundos depois do evento e fica disponível por 7 dias. Para uma retenção maior, use Data Stream. Real-Time Events não precisa de configuração. Suas fontes de dados são HTTP Requests, Functions, Functions Console, Image Processor, Tiered Cache, Edge DNS, Data Stream e Activity History. Os resultados do WAF são campos de HTTP Requests.

Para consultar os eventos no Azion Console:

A tabela de resultados lista os eventos. Selecione uma linha para abrir o registro completo.

Para consultar os mesmos dados, envie uma consulta GraphQL para https://api.azion.com/v4/events/graphql. O dataset workloadEvents guarda as requisições HTTP:

Substitua as datas por um intervalo dentro dos últimos 7 dias. upstreamResponseTime e upstreamHeaderTime são campos brutos de workloadEvents, e upstreamResponseTime mostra - para uma resposta entregue a partir do cache. Para cada campo, consulte Campos GraphQL do Real-Time Events e Investigue requisições com a API GraphQL. Para ler um registro, consulte Entenda os logs do Real-Time Events.

Data Stream

Os registros saem em lotes de 2.000 ou a cada 60 segundos e são entregues em até 3 minutos. A retenção é definida pelo destino. Um stream envia uma fonte de dados para um destino:

• Armazenamento: Amazon S3, Azure Blob Storage e Azion Object Storage, pelo tipo S3.
• Monitoramento: Datadog, Splunk, Elasticsearch e Azure Monitor.
• Streaming: AWS Kinesis Data Firehose e Apache Kafka.
• Analytics: Google BigQuery.
• Segurança: IBM QRadar.
• Personalizado: Standard HTTP/HTTPS POST.

Um stream precisa de exatamente um entre sampling e um filtro de workload. Salvar um stream ativo com sampling desativa todos os outros streams da conta. Streams com filtro coexistem.

Quando os logs não chegam ao destino, verifique o status do stream, as credenciais do destino e as variáveis que o template seleciona. Para um destino Object Storage, a credencial precisa de listAllBucketNames, listBuckets, listFiles e writeFiles, ou todo envio falha com 503. Para os campos, consulte Configurações do stream e Fontes de dados e variáveis. Para o sampling, consulte Configure o sampling.

Prepare o certificado

Certificate Manager guarda os certificados que os workloads servem. Fastly Platform TLS, TLS Service Options e Certainly correspondem a ele. Prepare o certificado antes de o domínio apontar para a Azion, para que os usuários acessem o serviço por HTTPS desde a primeira requisição.

A Azion emite um certificado Let’s Encrypt sem custo adicional assim que você escolhe um preset Let’s Encrypt. Escolha o desafio conforme onde o DNS responde:

• HTTP-01 precisa que o hostname, e cada nome alternativo, já apontem para a Azion.
• DNS-01 funciona antes da migração. Em um provedor de DNS externo, adicione um CNAME de _acme-challenge.<domain> para <domain>.letsencrypt.azion.com. No Edge DNS, o registro é automático.

Para uma migração a partir da Fastly, use DNS-01.

Se o certificado não ficar ativo, leia seus campos status e status_detail. Para HTTP-01, verifique se o hostname aponta para a Azion. Para DNS-01, verifique o CNAME _acme-challenge. Confirme que o hostname está nos Domains do workload. As novas tentativas continuam conforme o cronograma, então um registro corrigido emite o certificado mais tarde. Para as regras de emissão, consulte Emissão e renovação, e para cada campo de certificado, Certificados.

O mTLS precisa de um certificado Trusted CA, e um certificado gerado pela Azion não pode ser o Trusted CA. A equipe de vendas ativa o mTLS na conta. Depois defina mtls.enabled, mtls.config.certificate e verification, enforce ou permissive, no workload pela API ou com azion update workload --file. O mTLS funciona apenas por HTTPS. Para os passos, consulte Configure o mTLS em um workload e mTLS.

Aponte o domínio para o workload

A mudança de DNS é a virada: assim que o domínio resolve para o workload, os usuários acessam o serviço pela Azion. Ela afeta os usuários, o SEO, a confiança na marca e a disponibilidade, então trate-a como uma transição controlada. Antes da virada, confirme que:

• O certificado está ativo.
• O hostname está nos Domains do workload.
• Os registros DNS estão prontos.
• As rotas críticas e os redirecionamentos respondem como esperado no domínio do workload. Para testá-los com o hostname real antes da virada, consulte Teste uma aplicação pelo arquivo hosts.
• O monitoramento está pronto para acompanhar o tráfego depois da virada.

Aponte cada nome com o registro que sua zona permite:

Para a estratégia de nameservers, crie antes a zona no Edge DNS, com todos os registros da zona atual. Edge DNS aceita 11 tipos de registro: A, AAAA, ANAME, CAA, CNAME, DS, MX, NS, PTR, SRV e TXT. Um ANAME cria um alias do apex para um hostname da Azion, e seu TTL precisa ser 20. Depois defina os nameservers do domínio no registrador como ns1.aziondns.net, ns2.aziondns.com e ns3.aziondns.org. Para a zona e seus registros, consulte Primeiros passos com Edge DNS.

Para verificar um CNAME e a resposta com o hostname real:

A resposta do dig é o domínio do workload, como xxxxxxxxxx.map.azionedge.net, e o curl retorna a resposta do workload. Mudanças de DNS levam tempo para se propagar. Para as configurações do domínio personalizado no Console, consulte Aponte um domínio para um workload. Para mover os nameservers, consulte Migre os nameservers para a Azion. Para as configurações do workload, consulte Workloads.

Próximos passos