البرنامج التعليمي: حماية بوابة التطبيق باستخدام Azure DDoS Network Protection
تساعدك هذه المقالة على إنشاء بوابة تطبيق Azure مع شبكة ظاهرية محمية DDoS. تتيح حماية شبكة Azure DDoS إمكانات تخفيف DDoS المحسنة مثل الضبط التكيفي وإعلامات تنبيه الهجوم والمراقبة لحماية بوابات التطبيق من هجمات DDoS واسعة النطاق.
هام
تتحمل Azure DDoS Protection تكلفة عند استخدام وحدة SKU لحماية الشبكة. تنطبق الرسوم الزائدة فقط إذا كان أكثر من 100 عنوان IP عام محميا في المستأجر. تأكد من حذف الموارد في هذا البرنامج التعليمي إذا كنت لا تستخدم الموارد في المستقبل. للحصول على معلومات حول التسعير، راجع تسعير حماية Azure DDoS. لمزيد من المعلومات حول حماية Azure DDoS، راجع ما هي حماية Azure DDoS.
في هذا البرنامج التعليمي، تتعلم كيفية:
- قم بإنشاء خطة حماية DDoS
- إنشاء بوابة تطبيق
- إقران خطة DDoS Protection بالشبكة الظاهرية
- إضافة أجهزة ظاهرية إلى الخلفية لبوابة التطبيق
- اختبار بوابة التطبيق
المتطلبات الأساسية
مطلوب حساب Azure مع اشتراك نشط. إذا لم يكن لديك حساب بالفعل، يمكنك إنشاء حساب مجانا.
قم بإنشاء خطة حماية DDoS
قم بتسجيل الدخول إلى بوابة Azure.
في مربع البحث أعلى المدخل، أدخل حماية DDoS. حدد خطط حماية DDoS في نتائج البحث ثم حدد + إنشاء.
في علامة التبويب Basics في صفحة Create a DDoS protection plan ، أدخل المعلومات التالية أو حددها:
الإعداد القيمة تفاصيل المشروع الاشتراك حدد اشتراك Azure الخاص بك. مجموعة الموارد حدد إنشاء جديد.
أدخل myResourceGroupAG.
حدد موافق.تفاصيل المثيل الاسم أدخل myDDoSProtectionPlan. المنطقة حدد Central US. حدد Review + create ثم حدد Create لنشر خطة حماية DDoS.
إنشاء بوابة تطبيق
ستقوم بإنشاء بوابة التطبيق باستخدام علامات التبويب في صفحة إنشاء بوابة التطبيق.
- في قائمة مدخل Microsoft Azure أو من صفحة الصفحة الرئيسية، حدد إنشاء مورد.
- ضمن Categories، حدد Networking ثم حدد Application Gateway في قائمة Popular Azure services .
علامة تبويبBasics
في علامة التبويب "Basics"، أدخل هذه القيم لإعدادات بوابة التطبيق التالية:
"Resource group": حدد "myResourceGroupAG" لمجموعة الموارد. إذا لم يكن موجوداً، فحدد "Create new" لإنشائه.
"Application gateway name": أدخل "myAppGateway" لاسم بوابة التطبيق.
لكي يتصل Azure بين الموارد التي تقوم بإنشائها، يلزم وجود شبكة ظاهرية. يمكنك إما إنشاء شبكة ظاهرية جديدة أو استخدام شبكة موجودة. في هذا المثال، تنشئ شبكة ظاهرية جديدة في نفس الوقت الذي تنشئ فيه بوابة التطبيق. يجري إنشاء مثيلات Application Gateway في شبكات فرعية منفصلة. يمكنك إنشاء شبكتين فرعيتين في هذا المثال: واحدة لبوابة التطبيق، وأخرى للخوادم الخلفية.
إشعار
نُهج نقطة نهاية خدمة الشبكة الظاهرية غير مدعومة حالياً في الشبكة الفرعية لـ Application Gateway.
ضمن تكوين شبكة ظاهرية، أنشئ شبكة ظاهرية جديدة عن طريق تحديد "Create new". في نافذة "Create virtual network" التي تفتح، أدخل القيم التالية لإنشاء شبكة افتراضية وشبكتين فرعيتين:
"Name": أدخل "myVNet" لاسم الشبكة الظاهرية.
اسم الشبكة الفرعية (الشبكة الفرعية لبوابة التطبيق): ستعرض شبكة الشبكات الفرعية شبكة فرعية تسمى افتراضية. قم بتغيير اسم هذه الشبكة الفرعية إلى "myAGSubnet".
قد لا تحتوي الشبكة الفرعية لبوابة التطبيق إلا على بوابات تطبيق ما. لا يسمح بأي موارد أخرى."Subnet name" (الشبكة الفرعية لخادم الواجهة الخلفية): في الصف الثاني من شبكة "Subnets"، أدخل "myBackendSubnet" في العمود "Subnet name".
"Address range" (الشبكة الفرعية لخادم الواجهة الخلفية): في الصف الثاني من شبكة "Subnets"، أدخل نطاق عناوين لا يتداخل مع نطاق عناوين "myAGSubnet". على سبيل المثال، إذا كان نطاق عناوين "myAGSubnet" هو 10.0.0.0/24، أدخل 10.0.1.0/24 لنطاق العناوين "myBackendSubnet".
حدد "OK" لإغلاق نافذة "Create virtual network" وحفظ إعدادات الشبكة الظاهرية.
في علامة التبويب الأساسيات، وافق على القيم الافتراضية للإعدادات الأخرى ثم حدد "Next: Frontends".
علامة تبويب الواجهات
في علامة التبويب Frontends، تحقق من تعيين Frontend IP address type إلى Public.
يمكنك تكوين IP للواجهة الأمامية ليكون عاماً أو خاصاً حسب حالة استخدامك. في هذا المثال، ستختار عنوان IP للواجهة الأمامية.إشعار
بالنسبة لوحدة حفظ المخزون v2 لبوابة التطبيق، يلزم وجود تكوين عنوان IP عام للواجهة الأمامية. لا يزال بإمكانك الحصول على تكوين IP للواجهة الأمامية العامة والخاصة، ولكن تكوين IP للواجهة الأمامية الخاص فقط (وضع ILB فقط) غير ممكّن حالياً لوحدة حفظ المخزون v2.
حدد "Add new" لـ عنوان IP العام وأدخل myAGPublicIPAddress لاسم عنوان IP العام، ثم حدد "OK".
حدد Next: Backends.
علامة تبويب "Backends"
يُستخدم التجمع الخلفي لتوجيه الطلبات إلى الخوادم الخلفية التي تخدم الطلب. يمكن أن تتكون تجمعات الواجهة الخلفية من NICs ومجموعات مقياس الجهاز الظاهري وعناوين IP العامة وعناوين IP الداخلية وأسماء المجال المؤهلة بالكامل (FQDN) والخلفيات متعددة المستأجرين مثل Azure App Service. في هذا المثال، تنشئ تجمع واجهة خلفية فارغاً باستخدام بوابة تطبيقك وتضيف أهداف الواجهة الخلفية إلى تجمع الواجهة الخلفية.
في علامة التبويب Backends، حدد Add a backend pool.
في نافذة Add a backend pool التي تفتح، أدخِل القيم التالية لإنشاء تجمع خلفي فارغ:
- "Name": أدخل myBackendPool لاسم تجمع الواجهة الخلفية.
- إضافة تجمع واجهة خلفية بدون أهداف: حدد "Yes" لإنشاء تجمع واجهة خلفية بدون أهداف. تضيف أهداف الواجهة الخلفية بعد إنشاء بوابة التطبيق.
في نافذة Add a backend pool حدد Add لحفظ تكوين التجمع الخلفي والعودة إلى علامة التبويب Backends.
في علامة التبويب Backends حدد Next: Configuration.
علامة التبويب "التكوين"
في علامة التبويب Configuration ستوصل التجمع الأمامي والخلفي التي أنشأته باستخدام قاعدة تحويل.
حدد "Add a routing rule" من عمود "Routing rules".
في نافذة Add a routing rule التي تفتح، أدخل القيم التالية لاسم القاعدة والأولوية:
- اسم القاعدة: أدخل myRoutingRule لاسم القاعدة.
- الأولوية: يجب أن تتراوح قيمة الأولوية بين 1 و20000 (حيث يمثل 1 أعلى أولوية ويمثل 20000 أدنى قيمة) - لأغراض هذا التشغيل السريع، أدخل 100 للأولوية.
تتطلب قاعدة التوجيه وحدة إصغاء. من علامة التبويب "Listener" داخل نافذة "Add a routing rule"، أدخل القيم التالية لوحدة الإصغاء:
"Listener name": أدخل myListener لاسم وحدة الإصغاء.
"Frontend IP": حدد Public لاختيار عنوان IP العام الذي أنشأته للواجهة الأمامية.
وافق على القيم الافتراضية للإعدادات الأخرى في علامة التبويب وحدة الإصغاء، ثم حدد علامة التبويب أهداف الواجهة الخلفية لتكوين بقية قاعدة التوجيه.
في علامة التبويب أهداف الواجهة الخلفية، حدد myBackendPool لهدف الواجهة الخلفية.
بالنسبة لإعداد الواجهة الخلفية، حدد إضافة جديد لإضافة إعداد خلفية جديد. سيحدد إعداد الواجهة الخلفية سلوك قاعدة التوجيه. في نافذة Add Backend setting التي تفتح، أدخل myBackendSetting لاسم إعدادات الواجهة الخلفية و80 لمنفذ الواجهة الخلفية. اقبل القيم الافتراضية للإعدادات الأخرى في نافذة Add Backend setting ، ثم حدد Add للعودة إلى نافذة Add a routing rule .
من نافذة "Add a routing rule"، حدد "Add" لحفظ قاعدة التحويل والعودة إلى علامة التبويب "Configuration".
حدد Next: Tags ثم Next: Review + create.
مراجعة + إنشاء علامة التبويب
راجع الإعدادات في علامة التبويب "Review + create"، ثم حدد "Create" لإنشاء الشبكة الظاهرية وعنوان IP العام وبوابة التطبيق. قد يستغرق الأمر عدة دقائق لـ Azure لإنشاء application gateway. انتظر حتى ينتهي التوزيع بنجاح قبل الانتقال إلى القسم التالي.
تمكين حماية DDoS
يتم تمكين Azure DDoS Network Protection في الشبكة الظاهرية حيث يوجد المورد الذي تريد حمايته.
في مربع البحث أعلى البوابة، أدخل Virtual network. حدد الشبكات الظاهرية في نتائج البحث.
حدّد «myVNet».
حدد حماية DDoS في الإعدادات.
حدد تمكين.
في المربع المنسدل في خطة حماية DDoS، حدد myDDoSProtectionPlan.
حدد حفظ.
إضافة أهداف الخلفية
في هذا المثال، ستستخدم الأجهزة الظاهرية كخلفية هدف. يمكنك إمّا استخدام الأجهزة الظاهرية الموجودة وإمّا إنشاء أجهزة جديدة. ستنشئ جهازين ظاهريين كخوادم خلفية لـ application gateway.
لفعل ذلك، ستقوم بما يلي:
- أنشئ جهازين ظاهرين جديدين، myVM وmyVM2، لاستخدامهما كخوادم للواجهة الخلفية.
- تثبيت IIS على الأجهزة الظاهرية للتحقق من إنشاء application gateway بنجاح.
- أضِف خوادم خلفية إلى التجمع الخلفي.
إنشاء جهاز ظاهري
في قائمة مدخل Microsoft Azure أو من صفحة الصفحة الرئيسية، حدد إنشاء مورد. تظهر النافذة "New".
اختر Windows Server 2016 Datacenter في القائمة الشائعة. تظهر صفحة إنشاء جهاز ظاهري.
يمكن لـ Application Gateway توجيه حركة المرور إلى أي نوع من الأجهزة الافتراضية المستخدمة في مجموعة الواجهة الخلفية الخاصة بها. في هذا المثال، يمكنك استخدام جهاز ظاهري لـ Windows Server 2016 Datacenter.أدخل هذه القيم في علامة التبويب "Basics" لإعدادات الجهاز الظاهري التالية:
- مجموعة الموارد: حدد "myResourceGroupAG" لاسم مجموعة الموارد.
- "Virtual machine name": أدخل myVM لاسم الجهاز الظاهري.
- المنطقة: حدد المنطقة نفسها التي أنشأت فيها بوابة التطبيق.
- اسم المستخدم: اكتب اسماً لاسم المستخدم المسؤول.
- كلمة المرور: اكتب كلمة مرور.
- المنافذ الواردة العامة: لا توجد.
وافق على الإعدادات الافتراضية الأخرى ثم حدد "Next: Disks".
اقبل الإعدادات الافتراضية لعلامة التبويب "Disks" ثم حدد "Next: Networking".
في علامة التبويب "Networking"، تحقق من تحديد myVNet لـ "Virtual network" وتعيين "Subnet" على myBackendSubnet. اقبل الإعدادات الافتراضية الأخرى ثم حدد "Next: Management".
يمكن لـ Application Gateway التواصل مع مثيلات خارج الشبكة الظاهرية الموجودة بها، ولكن عليك التأكد من وجود اتصال IP.في علامة التبويب "Management"، عيّن "Boot diagnostics" على "Disable". اقبل الإعدادات الافتراضية، ثم حدد Review + create.
في علامة التبويب Review + create راجع الإعدادات، وصحح أي أخطاء في التحقق من السلامة، ثم حدد Create.
انتظر حتى يتكمل إنشاء الجهاز الظاهري قبل المتابعة.
ثبِّت IIS للاختبار
في هذا المثال، ثبتَّ IIS على الأجهزة الظاهرية للتحقق من أن Azure قد أنشأت application gateway بنجاح.
افتح Azure PowerShell.
حدد Cloud Shell من شريط التنقل العلوي في مدخل Azure ثم حدد PowerShell من القائمة المنسدلة.
شغَّل الأمر التالي لتثبيت الجهاز الظاهري. غيّر معلمة الموقع عند الضرورة:
Set-AzVMExtension ` -ResourceGroupName myResourceGroupAG ` -ExtensionName IIS ` -VMName myVM ` -Publisher Microsoft.Compute ` -ExtensionType CustomScriptExtension ` -TypeHandlerVersion 1.4 ` -SettingString '{"commandToExecute":"powershell Add-WindowsFeature Web-Server; powershell Add-Content -Path \"C:\\inetpub\\wwwroot\\Default.htm\" -Value $($env:computername)"}' ` -Location EastUS
أنشئ جهازاً ظاهرياً ثانياً وثبِّت IIS باتباع الخطوات التي أكملتها مسبقاً. استخدم myVM2 لاسم الجهاز الظاهري ولإعداد VMName للأمر cmdlet "Set -AzVMExtension".
إضافة خوادم الواجهة الخلفية إلى تجمع الواجهة الخلفية
في قائمة مدخل Microsoft Azure، حدد "All resources" أو ابحث عن "All "resources وحددها. ثم حدد "myAppGateway".
حدد تجمعات الواجهة الخلفية من القائمة اليمنى.
حدد «myBackendPool».
ضمن أهداف الواجهة الخلفية ونوع الهدف، حدد الجهاز الظاهري من القائمة المنسدلة.
ضمن الهدف، حدد الأجهزة الظاهرية myVM وmyVM2 وواجهات الشبكة المعنية من القوائم المنسدلة.
حدد حفظ.
انتظر حتى يكتمل التوزيع قبل المتابعة إلى الخطوة التالية.
اختبار بوابة التطبيق
على الرغم من أن IIS غير مطلوب لإنشاء بوابة التطبيق، يمكنك تثبيته في هذا التشغيل السريع للتحقق مما إذا كان Azure قد أنشأ بوابة التطبيق بنجاح.
استخدم IIS لاختبار application gateway:
ابحث عن عنوان IP العام لـ application gateway في صفحته Overview.
أو، يمكنك تحديد All resources، وإدخال myAGPublicIPAddress في مربع البحث، ثم تحديده في نتائج البحث. يعرض Azure عنوان IP العام في الصفحة Overview.
انسخ عنوان IP العام، ثم الصقه في شريط العناوين في مستعرضك لاستعراض عنوان IP هذا.
تحقق من الاستجابة. تتحقق الاستجابة الصالحة من إنشاء application gateway بنجاح ويمكنها الاتصال بنجاح بالخلفية.
حدِّث المستعرض عدة مرات يجب أن تشاهد الاتصالات الحالية بكل من myVM وmyVM2.
تنظيف الموارد
عند عدم الحاجة إلى الموارد التي أنشأتها باستخدام بوابة التطبيق، احذف مجموعة الموارد. عند حذف مجموعة الموارد، فإنك تحذف أيضاً بوابة التطبيق وجميع الموارد ذات الصلة.
لحذف مجموعة الموارد:
- في قائمة Azure portal، حدد "Resource groups"، أو ابحث عن "Resource groups" وحددها.
- في صفحة مجموعات الموارد، ابحث عن myResourceGroup في القائمة، ثم حددها.
- في صفحة مجموعة الموارد، حدد "Delete resource group".
- أدخل myResourceGroup في خانة اكتب اسم مجموعة الموارد وحدّد "Delete"
الخطوات التالية
تقدم إلى المقالة التالية لمعرفة كيفية: