關於 Azure DDoS 保護層比較

本文中的各節將討論 Azure DDoS 保護的資源和設定。

階層

Azure DDoS 保護支援兩種階層類型，DDoS IP 保護與 DDoS 網路保護。 當您設定 Azure DDoS 保護時，階層會在工作流程期間於 Azure 入口網站中進行設定。

下表顯示功能和對應的階層。

功能	DDoS IP 保護	DDoS 網路保護
作用中的流量監視和隨時偵測	Yes	Yes
L3/L4 自動攻擊風險降低	Yes	Yes
自動降低攻擊風險	Yes	Yes
以應用程式為基礎的風險降低原則	Yes	Yes
計量與警示	Yes	Yes
風險降低報告	Yes	Yes
風險降低流量記錄	Yes	Yes
為客戶應用程式量身打造的風險降低原則	Yes	Yes
與防火牆管理員整合	Yes	Yes
Microsoft Sentinel 資料連接器與活頁簿	Yes	Yes
保護租用戶中跨訂用帳戶的資源	Yes	Yes
公用 IP 標準層保護	Yes	Yes
公用 IP 基本層保護	No	Yes
DDoS 快速回應支援	無法使用	Yes
成本保護	無法使用	Yes
WAF 折扣	無法使用	Yes
價格	每個受保護的 IP	每 100 個受保護的 IP 位址

注意

「Azure DDoS 基礎結構保護」無需額外的費用，它會保護使用公用 IPv4 和 IPv6 位址的每一個 Azure 服務。 此 DDoS 保護服務可協助保護所有 Azure 服務，包括平台即服務 (PaaS) 服務 (例如 Azure DNS)。 如需支援 PaaS 服務的詳細資訊，請參閱 DDoS 保護參考架構。 「Azure DDoS 基礎結構保護」不需要進行任何的使用者設定或應用程式變更。 Azure 提供持續保護來抵禦 DDoS 攻擊。 DDoS 保護不會儲存客戶資料。

限制

DDoS 網路保護和 DDoS IP 保護具有下列限制：

• 目前不支援 PaaS 服務 (多租用戶)，這些不支援的服務包括適用於 Power Apps 的 Azure App Service 環境、除了使用虛擬網路整合之 APIM 以外的部署模式中 Azure API 管理 (如需詳細資訊，請參閱 https://techcommunity.microsoft.com/t5/azure-network-security-blog/azure-ddos-standard-protection-now-supports-apim-in-vnet/ba-p/3641671)，以及 Azure Virtual WAN。
• 不支援保護連結至 NAT 閘道的公用 IP 資源。
• 不支援傳統/RDFE 部署中的虛擬機器。
• VPN 閘道或虛擬網路閘道受到 DDoS 原則的保護。 本階段不支援調適型微調。
• 部分支援：Azure DDoS 保護服務可透過連結至其前端的公用 IP 位址前置詞來保護公用負載平衡器。 其可有效地偵測及減輕 DDoS 攻擊。 不過，在前置詞範圍內受保護公用 IP 位址的遙測和記錄目前無法使用。

DDoS IP 保護類似於網路保護，但有下列額外限制：

• 不支援公用 IP 基本層保護。

注意

支援在公用 IP 後面執行單一 VM 的情節，但不建議。 如需詳細資訊，請參閱基礎最佳做法。

如需詳細資訊，請參閱 Azure DDoS 保護參考結構 (部分機器翻譯)。

下一步

• Azure DDoS 保護功能 (部分機器翻譯)
• 參考架構