Esercitazione: Proteggere il gateway applicazione con Protezione di rete DDoS di Azure
Questo articolo illustra come creare un gateway applicazione di Azure con una rete virtuale protetta da DDoS. Protezione di rete DDoS di Azure consente funzionalità avanzate di mitigazione DDoS, ad esempio l'ottimizzazione adattiva, le notifiche degli avvisi di attacco e il monitoraggio per proteggere i gateway applicazione da attacchi DDoS su larga scala.
Importante
Protezione DDoS di Azure comporta un costo quando si usa lo SKU di Protezione di rete. Gli addebiti per eccedenza si applicano solo se nel tenant sono protetti più di 100 indirizzi IP pubblici. Assicurarsi di eliminare le risorse di questa esercitazione se non si intende utilizzarle nuovamente in futuro. Per informazioni sui prezzi, vedere Prezzi di Protezione DDoS di Azure. Per altre informazioni su Protezione DDoS di Azure, vedere Che cos'è Protezione DDoS di Azure?.
In questa esercitazione apprenderai a:
- Creare un piano di protezione DDoS
- Creare un gateway applicazione
- Associare un piano di protezione DDoS alla rete virtuale
- Aggiungere macchine virtuali al back-end del gateway applicazione
- Testare il gateway applicazione
È richiesto un account Azure con una sottoscrizione attiva. Se non si ha già un account, è possibile creare gratuitamente un account.
Accedere al portale di Azure.
Nella casella di ricerca nella parte superiore del portale immettere Protezione DDoS. Selezionare Piani di protezione DDoS nei risultati della ricerca e quindi selezionare + Crea.
Nella scheda Informazioni di base della pagina Creare un piano di protezione DDoS immettere o selezionare le informazioni seguenti:
Impostazione Valore Dettagli di progetto Abbonamento Seleziona la tua sottoscrizione di Azure. Gruppo di risorse Selezionare Crea nuovo.
Immettere myResourceGroupAG.
Selezionare OK.Dettagli istanza Nome Immettere myDDoSProtectionPlan. Area Selezionare Stati Uniti centrali. Selezionare Rivedi e crea e quindi crea per distribuire il piano di protezione DDoS.
Per creare il gateway applicazione, usare le schede nella pagina Creare un gateway applicazione.
- Nel menu del portale di Azure o nella home page selezionare Crea una risorsa.
- In Categorie selezionare Rete e quindi Gateway applicazione nell'elenco Servizi di Azure più diffusi.
Nella scheda Informazioni di base immettere questi valori per le impostazioni del gateway applicazione seguenti:
Gruppo di risorse: selezionare myResourceGroupAG per il gruppo di risorse. Se non esiste, selezionare Crea nuovo per crearlo.
Nome gateway applicazione: immettere myAppGateway come nome gateway applicazione.
Affinché Azure possa comunicare tra le risorse create, è necessaria una rete virtuale. È possibile creare una nuova rete virtuale oppure usarne una esistente. In questo esempio verrà creata una nuova rete virtuale in concomitanza con la creazione del gateway applicazione. Le istanze del gateway applicazione vengono create in subnet separate. In questo esempio vengono create due subnet: una per il gateway applicazione e l'altra per i server back-end.
Nota
I criteri degli endpoint servizio di rete virtuale non sono attualmente supportati in una subnet del gateway applicazione.
In Configura rete virtuale creare una nuova rete virtuale selezionando Crea nuovo. Nella finestra Crea rete virtuale visualizzata immettere i valori seguenti per creare la rete virtuale e due subnet:
Nome: immettere myVNet come nome della rete virtuale.
Nome subnet (subnet del gateway applicazione): nella griglia Subnet verrà visualizzata una subnet denominata Impostazione predefinita. Modificare il nome della subnet in myAGSubnet.
La subnet del gateway applicazione può contenere solo i gateway applicazione. Non sono consentite altre risorse.Nome subnet (subnet del server back-end): nella seconda riga della griglia Subnet, immettere myBackendSubnet nella colonna Nome subnet.
Intervallo di indirizzi (subnet del server back-end): nella seconda riga della griglia Subnet, immettere un intervallo di indirizzi che non si sovrappone all'intervallo di indirizzi di myAGSubnet. Ad esempio, se l'intervallo di indirizzi di myAGSubnet è 10.0.0.0/24, immettere 10.0.1.0/24 per l'intervallo di indirizzi di myBackendSubnet.
Selezionare OK per chiudere la finestra Crea rete virtuale e salvare le impostazioni della rete virtuale.
Nella scheda Informazioni di base, accettare i valori predefiniti per le altre impostazioni, quindi selezionare Avanti: Front-end.
Nella scheda Front- end verificare che Tipo di indirizzo IP front-end sia impostato su Pubblico.
È possibile configurare l'indirizzo IP front-end come pubblico o privato in base al caso d'uso. In questo esempio si sceglierà un indirizzo IP front-end pubblico.Nota
Per lo SKU v2 del gateway applicazione, è possibile scegliere solo la configurazione IP front-end pubblico. È comunque possibile avere una configurazione IP front-end con indirizzo pubblico e privato, ma la configurazione IP front-end solo privato (solo modalità bilanciamento del carico interno) non è attualmente abilitata per lo SKU v2.
Scegliere Aggiungi nuovo per Indirizzo IP pubblico e immettere myAGPublicIPAddress per il nome dell'indirizzo IP pubblico, quindi selezionare OK.
Selezionare Avanti: Back-end.
Il pool back-end viene usato per instradare le richieste ai server back-end che gestiscono la richiesta. I pool back-end possono essere costituiti da schede di interfaccia di rete, set di scalabilità di macchine virtuali, indirizzi IP pubblici, indirizzi IP interni, nomi di dominio completi (FQDN) e back-end multi-tenant come servizio app di Azure. In questo esempio verrà creato un pool back-end vuoto con il gateway applicazione a cui verranno aggiunte le destinazioni back-end.
Nella scheda Back-end selezionare Aggiungi un pool back-end.
Nella finestra Aggiungi un pool back-end visualizzata immettere i valori seguenti per creare un pool back-end vuoto:
- Nome: immettere myBackendPoolcome nome del pool back-end.
- Aggiungere un pool back-end senza destinazioni: selezionare Sì per creare un pool back-end senza destinazioni. Le destinazioni back-end verranno aggiunte dopo la creazione del gateway applicazione.
Nella finestra Aggiungi un pool back-end selezionare Aggiungi per salvare la configurazione del pool back-end e tornare alla scheda Back-end.
Nella scheda Back-end selezionare Avanti: Configurazione.
Nella scheda Configurazione verranno connessi il front-end e il pool back-end creati tramite una regola di routing.
Selezionare Aggiungi una regola di gestione nella colonna Regole di gestione.
Nella finestra Aggiungi una regola di gestionevisualizzata, immettere i valori seguenti per Nome regola e Priorità:
- Nome regola: immettere myRoutingRule come nome della regola.
- Priorità: Il valore della priorità deve essere compreso tra 1 e 20000 (dove 1 rappresenta la priorità più alta e 20000 quella più bassa); ai fini di questa guida rapida, inserire 100 come priorità.
Una regola di routing richiede un listener. Nella scheda Listener nella finestra Aggiungi una regola di routing immettere i valori seguenti per il listener:
Nome listener: immettere myListener come nome del listener.
IP front-end: selezionare Pubblico per scegliere l'indirizzo IP pubblico creato per il front-end.
Accettare i valori predefiniti per le altre impostazioni nella scheda Listener, quindi selezionare la scheda Destinazioni back-end per configurare il resto della regola di routing.
Nella scheda Destinazioni back-end selezionare myBackendPool per Destinazione back-end.
Per Impostazione back-end, selezionare Aggiungi nuovo per aggiungere una nuova impostazione back-end. L'impostazione Back-end determinerà il comportamento della regola di gestione. Nella finestra Aggiungi impostazione back-end visualizzata, immettere myBackendSetting per Nome delle impostazioni back-end e 80 per Porta back-end. Accettare i valori predefiniti per le altre impostazioni nella finestra Aggiungi impostazione back-end e quindi selezionare Aggiungi per tornare alla finestra Aggiungi una regola di gestione.
Nella finestra Aggiungi una regola di routing selezionare Aggiungi per salvare la regola di routing e tornare alla scheda Configurazione.
Selezionare Avanti: Tag, quindi Avanti: Rivedi e crea.
Rivedere le impostazioni nella scheda Rivedi e crea e quindi selezionare Crea per creare la rete virtuale, l'indirizzo IP pubblico e il gateway applicazione. La creazione del gateway applicazione in Azure può richiedere diversi minuti. Attendere fino al termine della distribuzione prima di passare alla sezione successiva.
Protezione di rete DDoS di Azure è abilitata nella rete virtuale in cui risiede la risorsa da proteggere.
Nella casella di ricerca nella parte superiore del portale immettere Rete virtuale. Selezionare Reti virtuali nei risultati della ricerca.
Selezionare myVNET.
Selezionare Protezione DDoS in Impostazioni.
Seleziona Abilita.
Nella casella di riepilogo a discesa nel piano di protezione DDoS selezionare myDDoSProtectionPlan.
Seleziona Salva.
In questo esempio vengono usate macchine virtuali come back-end di destinazione. È possibile usare macchine virtuali esistenti o crearne di nuove. Vengono create due macchine virtuali, usate come server back-end per il gateway applicazione.
A questo scopo, è necessario:
- Creare due nuove macchine virtuali, myVM e myVM2, da usare come server back-end.
- Installare IIS nelle macchine virtuali per verificare che il gateway applicazione sia stato creato correttamente.
- Aggiungere i server back-end al pool back-end.
Nel menu del portale di Azure o nella home page selezionare Crea una risorsa. Verrà visualizzata la finestra Nuovo.
Selezionare Windows Server 2016 Datacenter nell'elenco Più comuni. Viene visualizzata la pagina Creare una macchina virtuale.
Il gateway applicazione può indirizzare il traffico a qualsiasi tipo di macchina virtuale usato nel pool back-end. In questo esempio, si utilizza una macchina virtuale Windows Server 2016 Datacenter.Immettere questi valori nella scheda Informazioni di base per le seguenti impostazioni della macchina virtuale:
- Gruppo di risorse: selezionare myResourceGroupAG come nome del gruppo di risorse.
- Nome macchina virtuale: immettere myVM come nome della macchina virtuale.
- Regione: selezionare la stessa regione in cui è stato creato il gateway applicazione.
- Username: digitare un nome per il nome utente amministratore.
- Password: digitare una password.
- Porte in ingresso pubbliche: nessuno.
Accettare tutte le altre impostazioni predefinite e quindi selezionare Avanti: Dischi.
Accettare le impostazioni predefinite della scheda Dischi, quindi selezionare Avanti: Rete.
Nella scheda Rete verificare che myVNet sia selezionato per la Rete virtuale e che la Subnet sia myBackendSubnet. Accettare tutte le altre impostazioni predefinite, quindi selezionare Avanti: Gestione.
Il gateway applicazione può comunicare con le istanze all'esterno della rete virtuale in cui si trova, ma è necessario verificare che ci sia la connettività IP.Nella scheda Gestione impostare Diagnostica di avvio su Disabilita. Accettare tutte le altre impostazioni predefinite e quindi selezionare Rivedi e crea.
Nella scheda Rivedi e crea rivedere le impostazioni, correggere eventuali errori di convalida e quindi selezionare Crea.
Attendere il termine della creazione della macchina virtuale prima di continuare.
In questo esempio si installa IIS nelle macchine virtuali per verificare l'avvenuta creazione del gateway applicazione in Azure.
Aprire Azure PowerShell.
Selezionare Cloud Shell dalla barra di spostamento superiore del portale di Azure e quindi selezionare PowerShell nell'elenco a discesa.
Eseguire il comando seguente per installare IIS nella macchina virtuale. Se necessario, modificare il valore del parametro Location:
Set-AzVMExtension ` -ResourceGroupName myResourceGroupAG ` -ExtensionName IIS ` -VMName myVM ` -Publisher Microsoft.Compute ` -ExtensionType CustomScriptExtension ` -TypeHandlerVersion 1.4 ` -SettingString '{"commandToExecute":"powershell Add-WindowsFeature Web-Server; powershell Add-Content -Path \"C:\\inetpub\\wwwroot\\Default.htm\" -Value $($env:computername)"}' ` -Location EastUS
Creare una seconda macchina virtuale e installare IIS seguendo la procedura precedentemente completata. Uso myVM2 per il nome della macchina virtuale e per l'impostazione VMName del cmdlet Set-AzVMExtension.
Nel menu del portale di Azure selezionare Tutte le risorse oppure cercare e selezionare Tutte le risorse. Selezionare quindi myAppGateway.
Selezionare Pool back-end dal menu a sinistra.
Selezionare myBackendPool.
In Destinazioni back-end, Tipo di destinazione selezionare Macchina virtuale dall'elenco a discesa.
In Destinazione selezionare le macchine virtuali myVM e myVM2 e le relative interfacce di rete associate dagli elenchi a discesa.
Seleziona Salva.
Attendere il completamento della distribuzione prima di procedere al passaggio successivo.
Nonostante l'installazione di IIS non sia necessaria per creare il gateway applicazione, è stata eseguita in questa guida di avvio rapido per verificare se il gateway applicazione è stato creato correttamente in Azure.
Usare IIS per testare il gateway applicazione:
Trovare l'indirizzo IP pubblico del gateway applicazione nella relativa pagina Panoramica. In alternativa è possibile selezionare Tutte le risorse, immettere myAGPublicIPAddress nella casella di ricerca e quindi selezionarlo nei risultati della ricerca. Azure mostra l'indirizzo IP pubblico nella pagina Panoramica.
Copiare l'indirizzo IP pubblico e quindi incollarlo nella barra degli indirizzi del browser per passare a tale indirizzo.
Controllare la risposta. Una risposta valida verifica che il gateway applicazione sia stato creato correttamente e possa connettersi al back-end.
Aggiornare più volte il browser per visualizzare le connessioni sia a myVM che a myVM2.
Quando le risorse create con il gateway applicazione non sono più necessarie, eliminare il gruppo di risorse. L'eliminazione del gruppo di risorse comporta anche la rimozione del gateway applicazione e di tutte le risorse correlate.
Per eliminare il gruppo di risorse:
- Nel menu del portale di Azure selezionare Gruppi di risorse oppure cercare e selezionare Gruppi di risorse.
- Nella pagina Gruppo di risorse cercare myResourceGroupAG nell'elenco e selezionarlo.
- Nella pagina Gruppo di risorse selezionare Elimina gruppo di risorse.
- Immettere myResourceGroupAG in DIGITARE IL NOME DEL GRUPPO DI RISORSE e quindi selezionare Elimina
Passare all'articolo successivo per informazioni su come: