您的订阅有三个公共 IP：一个用于客户门户的 Application Gateway v2，一个用于 AKS 的标准负载均衡器，以及一个测试 IP。预算有限。您必须只保护两个关键 IP 免受容量型 DDoS 攻击，并获取攻击指标和缓解报告。您应该怎么做？

DDoS IP Protection 专门用于保护单个公共 IP 地址免受容量型 DDoS 攻击，并且是成本效益最高的选项，因为它按受保护的公共 IP 资源收费。它提供攻击指标和缓解报告，这些可以通过将 DDoS 诊断日志和指标流式传输到 Log Analytics 工作区来获取。 DDoS Network Protection 保护整个虚拟网络中的所有公共 IP，但成本更高，并且题目明确指出预算有限，且只需要保护两个关键 IP。 依靠平台的 Basic DDoS 保护不足以满足需求，因为它不提供攻击指标和缓解报告，并且 Application Gateway 上的 WAF 主要用于 Web 应用程序防火墙功能，而不是全面的 L3/4 DDoS 保护。 将端点放在 Azure Front Door 后面可以提供 DDoS 保护，但题目明确要求保护现有的公共 IP 资源，并且 Front Door 是一种更全面的 CDN 和 WAF 服务，可能超出仅保护两个 IP 的预算和范围。 单独使用 Azure Monitor 无法缓解 DDoS 攻击，它只是一个监控服务，需要与 DDoS Protection 服务结合使用才能提供报告。