Azure DDoS 防护的可靠性

Azure DDoS 防护是一种基础Azure网络功能，可帮助保护应用程序免受分布式拒绝服务（DDoS）攻击。 DDoS 攻击试图使应用程序因流量而淹没，从而拒绝向合法用户提供服务。 Azure DDoS 防护通过监视网络流量模式并自动缓解可能影响可用性的异常流量来帮助保护应用程序。

使用 Azure 时，可靠性是共同的责任。 Azure提供了一系列功能来支持复原和恢复。 你负责了解这些功能如何在你使用的所有服务中工作，并选择满足业务目标和运行时间目标所需的功能。

本文介绍了 Azure DDoS 防护如何在多种潜在的中断和问题中表现出强抗性，包括暂时性故障、可用性区域中断和区域中断。 它还重点介绍了有关 Azure DDoS 防护服务级别协议（SLA）的一些关键信息。

可靠性体系结构概述

使用以下层之一部署Azure DDoS 防护：

• DDoS 网络保护：部署 DDoS 保护计划，它定义了一组启用了 DDoS 网络保护的虚拟网络，即使它们位于不同的Azure订阅和区域。 与这些虚拟网络中的资源关联的每个公共 IP 地址都受计划保护。
• DDoS IP 保护： 部署一个公共 IP 地址，然后可以仅在该 IP 地址上启用 DDoS IP 保护。

有关 DDoS 网络保护和 DDoS IP 保护之间的差异的详细信息，请参阅 About Azure DDoS 保护层比较。

暂时性故障的复原能力

暂时性故障是指组件发生短暂的间歇性故障。 这些故障经常出现在云之类的分布式环境中，在运营过程中比较常见。 暂时性故障在短时间内自行纠正。 应用程序通常可以通过重试受影响的请求来处理暂时性故障，这一点很重要。

与任何云托管的 API、数据库和其他组件通信时，所有云托管的应用程序都应遵循Azure暂时性故障处理指南。 有关详细信息，请参阅 处理暂时性故障的建议。

启用 DDoS 保护不会改变应用程序处理暂时性故障的方式。

应对可用区故障的弹性

可用性区域 是 Azure 区域内物理上分开的数据中心组。 当某个区域发生故障时，服务可以切换到其他可用的区域。

默认情况下，Azure DDoS 防护在支持可用性区域的区域中是区域冗余的。 该服务自动跨越所有可用性区域，无需客户配置才能启用区域冗余。 Azure管理跨区域的 DDoS 防护基础结构的分发。

Azure DDoS 防护旨在保护公共 IP 地址免受 DDoS 攻击。 为实现对可用性区域故障的全面复原能力，还必须确保公共 IP 地址具备区域冗余功能。 还应查看整个工作负荷的区域复原能力，包括你使用的其他Azure服务。

下图显示了区域冗余的 DDoS 网络保护计划和多个受保护的区域冗余公共 IP 地址：

要求

区域支持： Azure DDoS 防护在支持可用区域的任何区域中具有区域冗余性。

Cost

为 Azure DDoS 防护启用区域冗余无需额外付费。 有关定价的详细信息，请参阅 Azure DDoS 保护定价。

配置可用性区域支持

Azure DDoS 防护在受支持区域中自动实现区域冗余。 无需配置即可启用区域冗余，并且无法禁用它。

所有区域正常时的行为

本部分介绍在具有可用性区域的区域中部署 DDoS 防护计划时预期的情况，公共 IP 地址是区域冗余的，并且所有可用性区域都正常运行。

• 跨区域操作：流量检查可以在所有区域中进行，流量在区域之间的路由是 Azure 网络操作的一部分，并且是透明的。

• 跨区域操作数据复制： Azure DDoS 防护不会跨区域复制用户数据，因为该服务是无状态的，不会维护用户数据。

区域故障期间的行为

本部分介绍在具有可用性区域的区域中部署 DDoS 防护计划时会发生什么情况，公共 IP 地址是区域冗余的，其中一个可用性区域发生中断。

• 检测和响应：Azure 检测可用性区域故障并管理所有响应操作。 无需执行任何操作即可启动区域故障转移。

• Notification： Azure不会在区域关闭时自动通知你。 但是，可以使用 Azure 服务运行状况 了解服务的总体运行状况，包括任何区域故障，并且可以设置 Service Health 警报来通知问题。

• 活动请求： 活动流量将继续自动处理，无需客户操作。

• 预期数据丢失：由于服务是无状态的且不存储客户数据，因此不会丢失任何数据。

• 预期的停机时间： 在区域故障期间， 数据路径 的可用性不会受到影响。 数据路径表示流量从Azure边缘经过Azure平台到达应用程序的路径。 在整个区域中断期间，应用程序仍受 DDoS 防护计划的保护。

  但是，如果在区域故障期间对 DDoS 防护计划执行管理操作，这些操作可能会延迟到平台内部执行故障转移。

• Redistribution： Azure自动通过健康的可用区重新配置流量保护。

区域恢复

发生故障的可用性区域恢复时，Azure DDoS 防护会自动还原正常操作，而无需客户干预。

测试区域故障

Azure DDoS 防护是一项完全Azure托管的区域冗余服务。 由于Azure管理区域冗余，因此无需测试可用性区域故障转移方案。

对区域范围的故障的复原能力

区域范围故障期间Azure DDoS 防护的行为因使用的 DDoS 保护类型而异：

• DDoS 网络保护计划部署到你选择的Azure区域中。 但是，该计划也会保护其他区域中的公共 IP 地址。

  如果托管 DDoS 网络保护计划的区域变得不可用，则其他区域中受保护的公共 IP 地址将继续受到保护。 但是，在区域恢复之前，计划的管理操作可能不可用。

• 在单个公共 IP 地址上配置 DDoS IP 保护。

  对于区域公共 IP 地址，如果发生区域范围的故障，IP 地址及其服务器可能不可用。

  对于全局公共 IP 地址，即使区域发生故障，IP 地址仍受 DDoS IP 保护保护。

服务级别协议

Azure服务的服务级别协议（SLA）描述了每个服务的预期可用性以及解决方案必须满足的条件，以实现该可用性预期。 有关详细信息，请参阅 SLa for 联机服务。

Azure DDoS 防护提供一个 SLA，涵盖 DDoS 缓解服务的可用性，以防止攻击。

相关内容

• Azure DDoS 防护概述
• Azure 的可靠性