Краткое руководство: Создание и настройка защиты сети Azure от DDoS-атак с использованием портала Azure

В этом кратком руководстве вы создадите план защиты от атак DDoS и свяжите его с виртуальной сетью.

План защиты от атак DDoS определяет набор виртуальных сетей с включенной защитой от сети DDoS в подписках. Вы можете настроить один план защиты от атак DDoS для организации и связать виртуальные сети из нескольких подписок в одном клиенте Microsoft Entra с одним планом.

Схема защиты сети от атак DDoS.

Предварительные условия

Создайте план защиты от атак DDoS

  1. Выберите Создать ресурс в левом верхнем углу портала Azure.

  2. Выполните поиск по запросу DDoS. Когда в результатах поиска появится элемент План защиты от атак DDoS, выберите его.

  3. Нажмите кнопку "Создать".

  4. Введите или выберите следующие значения:

    Настройка Значение
    Подписка Выберите свою подписку.
    Группа ресурсов Выберите Создать новую, а затем введите MyResourceGroup.
    Имя. Введите MyDdosProtectionPlan.
    Область/регион Введите Восточная часть США.

  5. Выберите Проверить и создать, а затем — Создать.

Примечание.

Хотя ресурсы плана защиты от атак DDoS должны быть связаны с регионом, пользователи могут включить защиту от атак DDoS в виртуальных сетях в разных регионах и между несколькими подписками в одном клиенте Microsoft Entra.

Включение защиты от атак DDoS для виртуальной сети

  1. Выберите Создать ресурс в левом верхнем углу портала Azure.

  2. Щелкните Сеть и выберите Виртуальная сеть.

  3. Введите или выберите следующие значения, а затем нажмите кнопку "Далее".

    Настройка Значение
    Подписка Выберите свою подписку.
    Группа ресурсов Выберите Использовать существующую группу, а затем выберите MyResourceGroup.
    Имя. Введите MyVnet.
    Область/регион Введите Восточная часть США.

  4. В области Security выберите Включить на радиокнопке Azure DDoS Network Protection.

  5. Выберите MyDdosProtectionPlan в области плана защиты от атак DDoS или создайте новый план. План, который вы выбираете, может находиться в одной или другой подписке, отличной от виртуальной сети, но обе подписки должны быть связаны с тем же клиентом Microsoft Entra.

  6. Нажмите кнопку Далее. В области IP-адресов обновите пространство IP-адресов следующими значениями.

    Настройка Значение
    Диапазон IPv4-адресов Введите 10.1.0.0/16.
    Имя подсети В разделе "Подсети" выберите ссылку по умолчанию и обновите имя mySubnet.
    Начальный адрес Введите 10.1.0.0.
    размера Выберите /24.

  7. Нажмите Сохранить>Проверить + создать>Создать.

Примечание.

Невозможно переместить виртуальную сеть в другую группу ресурсов или подписку, если защита от атак DDoS включена для виртуальной сети. Если необходимо переместить виртуальную сеть с включенной защитой от атак DDoS, сначала отключите защиту от атак DDoS, переместите виртуальную сеть и включите защиту от атак DDoS. После перемещения пороговые значения политики автоматической настройки для всех защищенных общедоступных IP-адресов в виртуальной сети сбрасываются.

Настройка плана защиты от атак DDoS Azure с помощью Azure Firewall Manager

Azure Firewall Manager — это платформа для управления и защиты сетевых ресурсов в масштабе. Виртуальные сети можно связать с планом защиты от атак DDoS в Azure Firewall Manager. См. раздел Configure Azure план защиты от атак DDoS с помощью Azure Firewall Manager.

Включение защиты от атак DDoS для всех виртуальных сетей

Эта встроенная политика обнаруживает виртуальные сети в определенной области, которая не включает защиту сети от атак DDoS. Затем она может при необходимости создать задачу исправления, чтобы включить защиту для виртуальной сети. Полный список встроенных политик см. в встроенных определениях Azure Policy для защиты сети Azure DDoS.

Просмотр защищенных ресурсов

Сначала проверьте сведения о плане защиты от атак DDoS:

  1. Введите планы защиты DDoS в поле Поиск ресурсов, служб и документации в верхней части портала Azure. Когда он появится, выберите его.
  2. Выберите план защиты от атак DDoS из списка.
  3. В разделе "Параметры" выберите "Защищенные ресурсы".
  4. На странице "Защищенные ресурсы " можно просмотреть ресурсы, защищенные этим планом защиты от атак DDoS.

Отключение для виртуальной сети:

Вы можете отключить защиту от атак DDoS для виртуальной сети, сохраняя ее включенную в других виртуальных сетях. Чтобы отключить защиту от атак DDoS для виртуальной сети, выполните следующие действия.

  1. Найдите Virtual Network в поле для поиска "ресурсы, службы и документы" вверху портала Azure. Когда он появится, выберите его.
  2. В разделе "Параметры" выберите "Защита от атак DDoS".
  3. Выберите "Отключить для защиты сети от атак DDoS".

Примечание.

Отключение защиты от атак DDoS для виртуальной сети не удаляет план защиты. Вы по-прежнему будете нести расходы, если вы отключаете защиту от атак DDoS, не удаляя план. Чтобы избежать ненужных расходов, необходимо удалить ресурс плана защиты от атак DDoS. См. раздел "Очистка ресурсов".

Очистка ресурсов

Вы можете сохранить свои ресурсы для следующего урока. Если она больше не нужна, удалите MyResourceGroup , используемую в этом примере. При удалении группы ресурсов вы также удаляете план защиты от атак DDoS и все связанные с ним ресурсы. Если вам больше не нужен этот план защиты от атак DDoS, удалите все связанные с ним ресурсы, чтобы избежать лишних расходов.

Предупреждение

Это действие необратимо.

  1. На портале Azure найдите и выберите группы Resource или выберите ГруппыResource в меню портала Azure.

  2. Прокрутите страницу вниз или используйте фильтр, чтобы найти группу ресурсов MyResourceGroup.

  3. Выберите эту группу ресурсов и щелкните Удалить группу ресурсов.

  4. Введите имя группы ресурсов для подтверждения и щелкните Удалить.

Примечание.

Чтобы удалить план защиты от атак DDoS, сначала разъедините все виртуальные сети от него.

Следующие шаги

Чтобы узнать, как настроить оповещения метрик с помощью Azure Monitor, перейдите к руководствам.

Настройка оповещений метрик Azure для защиты от DDoS атак в портале

  • Last updated on