Руководство по защите общедоступной подсистемы балансировки нагрузки с помощью Защиты от атак DDoS Azure

Защита от DDoS Azure обеспечивает расширенные возможности по смягчению DDoS-атак, такие как адаптивная настройка, уведомления и мониторинг для защиты публичных балансировщиков нагрузки от крупномасштабных атак DDoS.

В этом руководстве вы узнаете, как:

Если у вас нет подписки на Azure, создайте бесплатную учетную запись перед началом.

Prerequisites

• Учетная запись Azure с активной подпиской.

Создайте план защиты от атак DDoS

1. Войдите на портал Azure.

2. В поле поиска в верхней части портала введите защиту от атак DDoS. Выберите планы защиты от атак DDoS в результатах поиска и нажмите кнопку +Создать.

3. На вкладке "Основные сведения" на странице "Создание плана защиты от атак DDoS" введите или выберите следующие сведения:

   

   Setting	Value
   Сведения о проекте
   Subscription	Выберите подписку Azure.
   Группа ресурсов	Выберите Создать новое. Введите TutorLoadBalancer-rg. Нажмите кнопку ОК.
   Сведения об инстанции
   Name	Введите myDDoSProtectionPlan.
   Region	Выберите регион (США) Восточная часть США.

4. Выберите "Просмотр и создание ", а затем нажмите кнопку "Создать ", чтобы развернуть план защиты от атак DDoS.

Создание виртуальной сети

В этом разделе описано, как создать виртуальную сеть, подсеть, узел Бастиона Azure и связать план защиты от атак DDoS. Виртуальная сеть и подсеть содержат подсистему балансировки нагрузки и виртуальные машины. Хост бастиона используется для безопасного управления виртуальными машинами и установки IIS для тестирования балансировщика нагрузки. План защиты от атак DDoS защищает все общедоступные IP-ресурсы в виртуальной сети.

Почасовая тарификация начинается с момента развертывания Бастиона, независимо от объема исходящего трафика. Дополнительные сведения см. в разделе "Цены и номера SKU". Если вы развертываете Бастион в рамках руководства или теста, рекомендуется удалить этот ресурс после завершения работы с ним.

1. В поле поиска в верхней части портала введите виртуальные сети. В результатах поиска выберите Виртуальные сети.

2. В разделе Виртуальные сети выберите + Создать.

3. В подменю Создать виртуальную сеть введите или выберите следующую информацию на вкладке Основы:

   Setting	Value
   Сведения о проекте
   Subscription	Выберите подписку Azure.
   Группа ресурсов	Выберите TutorLoadBalancer-rg
   Сведения об инстанции
   Name	Введите myVNet.
   Region	Выберите Восточная часть США.

4. Перейдите на вкладку "IP-адреса" или нажмите кнопку "Далее": IP-адреса в нижней части страницы.

5. На вкладке IP-адреса укажите следующие сведения:

   Setting	Value
   Диапазон IPv4-адресов	Введите 10.1.0.0/16.

6. В разделе Имя подсети выберите по умолчанию. Если подсеть отсутствует, нажмите кнопку "Добавить подсеть".

7. В окне Изменение подсети введите следующие сведения:

   Setting	Value
   Имя подсети	Введите myBackendSubnet.
   Диапазон адресов подсети	Введите 10.1.0.0/24.

8. Нажмите кнопку "Сохранить " или "Добавить".

9. Выберите вкладку Безопасность.

10. В разделе BastionHost выберите Включить. Введите такие сведения:

    Setting	Value
    Имя бастиона	Введите myBastionHost.
    Диапазон адресов AzureBastionSubnet	Введите 10.1.1.0/26.
    Общедоступный IP-адрес	Выберите Создать новое. В поле Имя введите myBastionIP. Нажмите кнопку ОК.

11. В разделе "Защита сети от атак DDoS" выберите "Включить". Затем в раскрывающемся меню выберите myDDoSProtectionPlan.

    

12. Перейдите на вкладку Просмотр и создание или нажмите кнопку Просмотр и создание.

13. Нажмите кнопку "Создать".

    Note

    Виртуальная сеть и подсеть будут созданы незамедлительно. Задание на создание сервера Бастиона будет выполнено в течение 10 минут. Вы можете перейти к следующим шагам, пока создаётся узел Бастиона.

Создание подсистемы балансировки нагрузки

В этом разделе вы создадите балансировщик нагрузки с резервированием по зонам, который балансирует нагрузку виртуальных машин. При зональной избыточности в одной или нескольких зонах доступности может произойти отказ, но путь к данным останется рабочим, пока одна из зон в регионе остается работоспособной.

Во время создания подсистемы балансировки нагрузки вы настроите следующие параметры:

• IP-адрес фронтенда
• Пул серверов заднего плана
• Правила балансировки нагрузки для входящего трафика
• Проверка состояния здоровья

1. В поле поиска в верхней части портала введите Подсистема балансировки нагрузки. В результатах поиска выберите Подсистема балансировки нагрузки.

2. На странице Подсистема балансировки нагрузки выберите + Создать.

3. На странице Создание подсистемы балансировки нагрузки на вкладке Основные сведения введите или выберите следующую информацию:

   Setting	Value
   Сведения о проекте
   Subscription	Выберите подписку.
   Группа ресурсов	Выберите TutorLoadBalancer-rg.
   Сведения об инстанции
   Name	Введите myLoadBalancer.
   Region	Выберите Восточная часть США.
   SKU	Оставьте значение по умолчанию Стандартная.
   Type	Выберите Общедоступный.
   Tier	Оставьте значение по умолчанию Региональная.

   

4. В нижней части страницы выберите Далее: интерфейсная IP-конфигурация.

5. В разделе Интерфейсная IP-конфигурация выберите + Добавить интерфейсную IP-конфигурацию.

6. Введите myFrontend в поле Имя.

7. Выберите IPv4 в качестве версии IP-адреса.

8. Выберите значение IP-адрес для параметра Тип IP-адреса.

   Note

   Дополнительные сведения о префиксах IP-адресов см. в статье Префикс общедоступного IP-адреса Azure.

9. Выберите вариант Создать новый в разделе Общедоступный IP-адрес.

10. В окне Добавление общедоступного IP-адреса в поле Имя введите myPublicIP.

11. Выберите Межзонное резервирование в зоне доступности.

    Note

    В регионах с зонами доступности можно выбрать вариант без зоны (параметр по умолчанию), конкретную зону или избыточность между зонами. Выбранный вариант будет зависеть от конкретных требований к сбою домена. Для регионов без зон доступности это поле не отображается.
    Дополнительные сведения о зонах доступности см. здесь.

12. Для параметра Предпочтение маршрутизации оставьте значение по умолчанию Сеть Майкрософт.

13. Нажмите ОК.

14. Нажмите кнопку "Добавить".

15. Внизу страницы выберите элемент Далее. Серверные пулы.

16. На вкладке Серверные пулы нажмите кнопку + Добавить серверный пул.

17. В разделе Добавление серверного пула в поле Имя введите myBackendPool.

18. Выберите myVNET в поле Виртуальные сети.

19. Выберите IP-адрес в поле Конфигурация внутреннего пула.

20. Нажмите кнопку "Сохранить".

21. Внизу страницы выберите Далее. Правила для входящего трафика.

22. На вкладке Правила для входящего трафика в разделе Правило балансировки нагрузки выберите + Добавить правило балансировки нагрузки.

23. В разделе Добавление правила балансировки нагрузки введите следующую информацию или выберите указанные ниже варианты.

    Setting	Value
    Name	Введите myHTTPRule.
    Версия IP	Выберите IPv4 или IPv6 в зависимости от своих требований.
    IP-адрес фронтенда	Выберите myFrontend (Создаётся).
    Пул серверов заднего плана	Выберите myBackendPool.
    Protocol	Выберите TCP.
    Port	Введите 80.
    Серверный порт	Введите 80.
    Проверка состояния здоровья	Выберите Создать новое. В поле Имя введите myHealthProbe. Выберите TCP в поле Протокол. Сохраните остальные значения по умолчанию и щелкните ОК.
    Сохраняемость сеанса	Выберите "Нет".
    Время ожидания простоя (в минутах)	Введите или выберите 15.
    Сброс TCP	Выберите "Включено".
    Плавающий IP-адрес	Выберите Отключено.
    Преобразование исходных сетевых адресов (SNAT) для исходящего трафика	Оставьте значение по умолчанию (Рекомендуется) Используйте правила для исходящего трафика, чтобы предоставить участникам внутреннего пула доступ в Интернет.

24. Нажмите кнопку "Добавить".

25. В нижней части страницы нажмите синюю кнопку Просмотр + создание.

26. Нажмите кнопку "Создать".

    Note

    В этом примере мы создадим шлюз NAT, который предоставляет исходящий доступ в сеть Интернет. Вкладка правил для исходящего трафика в конфигурации пропускается, так как она не является обязательной и не требуется для шлюза NAT. Дополнительные сведения о шлюзе NAT Azure см. в разделе Что такое NAT виртуальной сети Azure? Дополнительные сведения об исходящих подключениях в Azure см. в разделе Преобразование сетевых адресов источника (SNAT) для исходящих подключений.

Создание шлюза NAT

В этом разделе описано, как создать шлюз NAT для исходящего доступа к Интернету для ресурсов в виртуальной сети. Дополнительные сведения о правилах исходящего трафика см. в разделе "Преобразование сетевых адресов( SNAT) для исходящих подключений.

1. В поле поиска в верхней части портала введите сетевой шлюз NAT. В результатах поиска выберите NAT-шлюзы.

2. На странице Шлюзы NAT выберите + Создать.

3. В разделе Создание шлюза NAT введите или выберите следующие значения.

   Setting	Value
   Сведения о проекте
   Subscription	Выберите подписку.
   Группа ресурсов	Выберите TutorLoadBalancer-rg.
   Сведения об инстанции
   Имя шлюза NAT	Введите myNATGateway.
   Region	Выберите Восточная часть США.
   Зона доступности	Выберите "Нет".
   Время ожидания простоя (в минутах)	Введите 15.

4. Выберите вкладку "Исходящий IP-адрес" или нажмите кнопку "Далее: исходящий IP-адрес " в нижней части страницы.

5. На вкладке Исходящий IP-адрес выберите Создание общедоступного IP-адреса рядом с пунктом Общедоступные IP-адреса.

6. Введите myNATgatewayIP в имя.

7. Нажмите ОК.

8. Откройте вкладку Подсеть или нажмите кнопку Далее: подсеть внизу страницы.

9. На странице Виртуальная сеть на вкладке Подсеть выберите myVNet.

10. В поле Имя подсети выберите myBackendSubnet.

11. Нажмите синюю кнопку Просмотр и создание внизу страницы или перейдите на вкладку Просмотр и создание.

12. Нажмите кнопку "Создать".

Создание виртуальных машин

В этом разделе вы создадите две виртуальные машины (myVM1 и myVM2) в двух разных зонах (зона 1 и зона 2).

Эти виртуальные машины добавляются во внутренний пул подсистемы балансировки нагрузки, которую вы создали ранее.

1. В поле поиска в верхней части портала введите Виртуальная машина. В результатах поиска выберите Виртуальные машины.

2. На странице Виртуальные машины выберите + Создать>Виртуальная машина Azure.

3. В окне Создание виртуальной машины введите или выберите следующие значения на вкладке Основные сведения:

   Setting	Value
   Сведения о проекте
   Subscription	Выберите подписку Azure.
   Группа ресурсов	Выберите TutorLoadBalancer-rg
   Сведения об инстанции
   Название виртуальной машины	Введите myVM1.
   Region	Выберите регион ((США) Восточная часть США 2)
   Параметры доступности	Выберите Зоны доступности.
   Зона доступности	Выберите Зона 1
   Тип безопасности	Выберите Стандартное.
   Image	Выберите Windows Server 2022 Datacenter: Azure Edition — 2-го поколения.
   Виртуальная машина Azure Spot	Оставьте флажок в состоянии по умолчанию (не отмечен).
   Size	Выберите размер виртуальной машины или подтвердите значение по умолчанию.
   Учетная запись администратора
   Username	Введите имя пользователя.
   Password	Введите пароль.
   Подтверждение пароля	Введите пароль еще раз.
   Правила входящего порта
   Общедоступные входящие порты	Выберите Нет.

4. Выберите вкладку Сети или Next: Disks (Далее: диски), а затем Next: Networking (Далее: сеть).

5. На вкладке "Сеть" введите или выберите следующие данные.

   Setting	Value
   Сетевой интерфейс
   Виртуальная сеть	Выберите myVNet.
   Subnet	Выберите myBackendSubnet
   Общедоступный IP-адрес	Выберите "Нет".
   Группа безопасности сети NIC	Нажмите кнопку Дополнительно.
   Настройка группы безопасности сети	Пропустите этот параметр, пока остальные параметры не будут завершены. Завершите настройку после раздела Выбор серверного пула.
   Удалите сетевую карту при удалении виртуальной машины.	Оставьте значение не выбрано по умолчанию.
   Ускорение работы в сети	Оставьте значение выбрано по умолчанию.
   Балансировка нагрузки
   Параметры балансировки нагрузки
   Варианты балансировки нагрузки	Выберите подсистему балансировки нагрузки Azure
   Выбор подсистемы балансировки нагрузки	Выберите myLoadBalancer.
   Выберите серверный пул	Выберите MyBackendPool.
   Настройка группы безопасности сети	Выберите Создать новое. В разделе Создание группы безопасности сети в поле Имя введите myNSG. В разделе Правила для входящего трафика выберите + Добавить правило для входящего трафика. В поле Служба выберите HTTP. В поле Приоритет введите 100. В поле "Имя" введите myNSGRule Выберите Добавить Выберите OK

6. Выберите Review + create.

7. Проверьте параметры, а затем нажмите кнопку Создать.

8. Выполните шаги 1–7, чтобы создать другую виртуальную машину со следующими значениями и всеми остальными параметрами, как myVM1:

   Setting	Виртуальная машина 2
   Name	myVM2
   Зона доступности	Зона 2
   группу безопасности сети;	Выберите существующий вариант myNSG.

Установить IIS

1. В поле поиска в верхней части портала введите Виртуальная машина. В результатах поиска выберите Виртуальные машины.

2. Выберите myVM1.

3. На странице Обзор выберите Подключиться и Бастион.

4. Введите имя пользователя и пароль, введенные в процессе создания виртуальной машины.

5. Нажмите Подключиться.

6. На рабочем столе сервера выберите Пуск>Windows PowerShell>Windows PowerShell.

7. В окне PowerShell выполните команды, чтобы:

   • установить сервер IIS;
   • удалить файл iisstart.htm по умолчанию;
   • добавить новый файл iisstart.htm, в котором отображается имя виртуальной машины.

    # Install IIS server role
    Install-WindowsFeature -name Web-Server -IncludeManagementTools
   
    # Remove default htm file
    Remove-Item  C:\inetpub\wwwroot\iisstart.htm
   
    # Add a new htm file that displays server name
    Add-Content -Path "C:\inetpub\wwwroot\iisstart.htm" -Value $("Hello World from " + $env:computername)
   
   

8. Закройте сеанс Бастиона с myVM1.

9. Повторите шаги 1–8, чтобы установить IIS и обновленный файл iisstart.htm в myVM2.

Тестирование подсистемы балансировки нагрузки

1. В поле поиска в верхней части этой страницы введите значение в поле Общедоступный IP-адрес. В результатах поиска выберите элемент Общедоступный IP-адрес.

2. В общедоступных IP-адресах выберите myPublicIP.

3. Скопируйте элемент в поле IP-адрес. Вставьте общедоступный IP-адрес в адресную строку браузера. В браузере отобразится страница пользовательской виртуальной машины веб-сервера IIS.

   

Очистите ресурсы

Ставшие ненужными группу ресурсов, подсистему балансировки нагрузки и все связанные ресурсы можно удалить. Для этого выберите группу ресурсов TutorLoadBalancer-rg , содержащую ресурсы, а затем нажмите кнопку "Удалить".

Дальнейшие шаги

Перейдите к следующей статье, чтобы узнать, как: