基于Azure的DDOS减少，基于Azure的防火墙？

Question

对于Azure vm服务器(只有TCP端口80和443)，我想减轻DDOS攻击。Azure似乎是一个很好的解决方案。我找不到任何Azure文档，如果在Azure vm服务器前面有一个Azure防火墙，我可以配置它。例如，如果有10 Gigabit/秒UDP攻击，我不希望这些数据包攻击我的Azure vm服务器。有没有Azure防火墙，可以防止那些UDP数据包攻击我的Azure vm服务器？

Answer 1

微软为我提供了一个网页，并给出了答案。总之，Azure云有一个云防火墙，它将受到DDOS的攻击，因此没有DDOS流量访问我的vm来宾。这是网页网址。

Answer 2

您可能会认为，微软可以在您的环境中帮助减轻DDoS。微软有自己的DDoS防御系统，但它只为保护Azure客户租户的网络层高容量攻击而设计。这基本上意味着没有任何保证，从微软，以防止攻击的规模较小，你可能是目标。微软也没有关于网络容量攻击有多高的官方信息。Azure也不会在应用程序层攻击时为客户部署提供缓解或主动阻塞网络流量。

为了减少对虚拟机的直接攻击，您不应该在Internet上拥有它的公共IP地址。相反，您应该在主虚拟机前面构建一个堡垒主机。堡垒主机和虚拟机之间的连接应该是P2S (点对点) VPN。这意味着没有任何互联网连接的流量直接进入您的虚拟机。如果这个虚拟机承载了一个web应用程序，那么您只需使用Azure应用程序网关或开源防火墙即可。

接下来，启用这里记录的Azure DDos保护(https://docs.microsoft.com/en-us/azure/virtual-network/ddos-protection-overview)。除了启用此服务之外，您没有什么可做的。

更高级的，如果预算不是一个关注，看看第三虚拟设备，例如梭鱼，F5等，以帮助保护体积攻击。